|
Защита информации в Интернете
" Защита информации в
Интернет " ВОРОНЕЖ
1997 .................
..............................................................................2 1.1 История скти
Internet...........................................................
4 1.2 Услуги
предоставляемые сетью........................................... 6 1.3.1
Архитектура WWW - технологии.................................... 10
Защита информации в глобальлной сети Internet............... 16
2.1.1 Информационная безопасность и информационные
2.2 Средства защиты
информации.......................................... 23 Solstice FireWall-
1......................................................................24 2.3
Информационная безопасность в Intranet........................
35 Спиок использованных
источников Internet - глобальная компьютерная сеть, охватывающая весь мир.
Сегодня Internet имеет около 15 миллионов абонентов в более чем 150странах мира.
Ежемесячно размер сети увеличивается на 7-10%. Internet образует как бы ядро,
обеспечивающее связь различных информационных сетей, принадлежащихразличным
учреждениям во всем мире, одна с другой. Если ранее сеть использовалась
исключительно в качестве среды передачи файлов и сообщений электронной почты, то
сегоднярешаются более сложные задачи распределеного доступа к ресурсам. Около
двух лет назад были созданы оболочки, поддерживающие функции сетевого поиска и
доступа краспределенным информационным ресурсам, электронным
архивам. Internet, служившая когда-то исключительно исследовательским и
учебным группам, чьи интересы простирались вплоть додоступа к суперкомпьютерам,
становится все более популярной в деловом мире. Компании соблазняют
быстрота, дешевая глобальная связь, удобство для проведения совместных работ,
доступные программы,уникальная база данных сети Internet. Они рассматривают
глобальную сеть как дополнение к своим собственным
локальнойсетям. Фактически Internet состоит из множества локальных и
глобальных сетей, принадлежащихразличным компаниям и предприятиям, связанных
между собой различными линиями связи. Internet можно представить себе в виде
мозаики сложенной из небольшихсетей разной величины, которые активно
взаимодействуют одна с другой, пересылая файлы, сообщения и т.п. При
низкой стоимости услуг (часто это только фиксированная ежемесячная плата за
используемые линии или телефон) пользователимогут получить доступ к коммерческим
и некоммерческим информационным службам США, Канады, Австралии и многих
европейских стран. В архивах свободного доступасети Internet можно найти
информацию практически по всем сферам человеческой деятельности, начиная с новых
научных открытий до прогноза погоды на завтра. Кроме того Internet
предоставляет уникальные возможности дешевой, надежной и конфиденциальной
глобальной связи по всемумиру. Это оказывается очень удобным для фирм имеющих
свои филиалы по всему миру, транснациональных корпораций и структур управления.
Обычно, использованиеинфраструктуры Internet для международной связи обходится
значительно дешевле прямой компьютерной связи через спутниковый канал или через
телефон. Электронная почта - самая распространенная услуга сети Internet.
В настоящее время свой адрес по электронной почте имеютприблизительно 20
миллионов человек. Посылка письма по электронной почте обходится значительно
дешевле посылки обычного письма. Кроме того сообщение,посланное по электронной
почте дойдет до адресата за несколько часов, в то время как обычное письмо может
добираться до адресата несколько дней, а то инедель. В настоящее время
Internet испытывает период подъема, во многом благодаря активной поддержке со
стороны правительств европейскихстран и США. Ежегодно в США выделяется около 1-2
миллионов долларов на создание новой сетевой инфраструктуры. Исследования в
области сетевых коммуникацийфинансируются также правительствами Великобритании,
Швеции, Финляндии, Германии. Однако, государственное финансирование - лишь
небольшая часть поступающих средств, т.к. все более заметной
становится коммерцизация сети (80-90% средств поступает из частного
сектора). 1.1 История сети
Internet В 1961 году Defence Advanced Research Agensy (DARPA) по
заданию министерства обороны СШАприступило к проекту по созданию
экспериментальной сети передачи пакетов. Эта сеть, названная ARPANET,
предназначалась первоначально для изучения методовобеспечения надежной связи
между компьютерами различных типов. Многие методы передачи данных через модемы
были разработаны в ARPANET. Тогда же былиразработаны и протоколы передачи данных
в сети - TCP/IP. TCP/IP - это множество коммуникационных протоколов, которые
определяют, как компьютеры различных типовмогут общаться между
собой. Эксперимент с ARPANET был настолько успешен, что многие организации
захотели войти в нее, с целью использования для ежедневнойпередачи данных. И в
1975 году ARPANET превратилась из экспериментальной сети в рабочую сеть.
Ответственность за администрирование сети взяло на себя DefenceCommunication
Agency (DCA), в настоящее время называемое Defence Information Systems Agency
(DISA). Но развитие ARPANET на этом не остановилось; ПротоколыTCP/IP продолжали
развиваться и совершенствоваться. В 1983 году вышел первый стандарт для
протоколов TCP/IP, вошедший в Military Standarts (MIL STD), т.е. в военные
стандарты, ивсе, кто работал в сети, обязаны были перейти к этим новым
протоколам. Для облегчения этого перехода DARPA обратилась с предложением к
руководителям фирмыBerkley Software Design - внедрить протоколы TCP/IP в
Berkeley(BSD) UNIX. С этого и начался союз UNIX и TCP/IP. Спустя некоторое
время TCP/IP был адаптирован в обычный, то есть в общедоступный стандарт, и
термин Internet вошел во всеобщееупотребление. В 1983 году из ARPANET
выделилась MILNET, которая стала относиться к Defence Data Network
(DDN)министерства обороны США. Термин Internet стал использоваться для
обозначения единой сети: MILNET плюс ARPANET. И хотя в 1991 году ARPANET
прекратила своесуществование, сеть Internet существует, ее размеры намного
превышают первоначальные, так как она объединила множество сетей во всем мире.
Диаграмма1.1 иллюстрирует рост числа хостов, подключенных к сети Internet с 4
компьютеров в 1969 году до 8,3 миллионов в 1994. Хостом в сети
Internetназываются компьютеры, работающие в многозадачной операционной системе
(Unix, VMS), поддерживающие протоколыTCP\IP и предоставляющие пользователям
какие-либо сетевые услуги. Основное, что отличает Internet от
других сетей - это ее протоколы - TCP/IP. Вообще, термин TCP/IP обычно означает
все, что связано спротоколами взаимодействия между компьютерами в Internet. Он
охватывает целое семейство протоколов, прикладные программы, и даже саму сеть.
TCP/IP - этотехнология межсетевого взаимодействия, технология internet. Сеть,
которая использует технологию internet, называется internet . Если
речь идето глобальной сети, объединяющей множество сетей с технологией internet,
то ее называют Internet. Свое название протокол TCP/IP получил от двух
коммуникационных протоколов (или протоколов связи). Это Transmission
ControlProtocol (TCP) и Internet Protocol (IP). Несмотря на то, что в сети
Internet используется большое число других протоколов, сеть Internet часто
называютTCP/IP-сетью, так как эти два протокола, безусловно, являются
важнейшими. Как и во всякой другой сети в Internet существует 7 уровней
взаимодействия между компьютерами: физический, логический, сетевой,
транспортный, уровеньсеансов связи, представительский и прикладной уровень.
Соответственно каждому уровню взаимодействия соответствует набор протоколов
(т.е. правилвзаимодействия). Протоколы физического уровня определяют вид и
характеристики линий связи между компьютерами. В Internet
используютсяпрактически все известные в настоящее время способы связи от
простого провода (витая пара) до волоконно-оптических линий связи
(ВОЛС). Для каждого типа линий связи разработан соответствующий протокол
логического уровня, занимающийся управлением передачейинформации по каналу. К
протоколам логического уровня для телефонных линий относятся протоколы SLIP
(Serial Line Interface Protocol) и PPP (Point to PointProtocol). Для связи по
кабелю локальной сети - это пакетные драйверы плат ЛВС. Протоколы сетевого
уровня отвечают за передачу данных между устройствами в разных сетях, то есть
занимаются маршрутизацией пакетов всети. К протоколам сетевого уровня
принадлежат IP (Internet Protocol) и ARP (Address Resolution
Protocol). Протоколы транспортного уровня управляют передачей данных из
одной программы в другую. К протоколам транспортного уровняпринадлежат TCP
(Transmission Control Protocol) и UDP (User Datagram Protocol). Протоколы
уровня сеансов связи отвечают за установку, поддержание и уничтожение
соответствующих каналов. В Internet этим занимаютсяуже упомянутые TCP и UDP
протоколы, а также протокол UUCP (Unix to Unix Copy Protocol). Протоколы
представительского уровня занимаются обслуживанием прикладных программ. К
программам представительского уровняпринадлежат программы, запускаемые, к
примеру, на Unix-сервере, для предоставления различных услуг абонентам. К таким
программам относятся:telnet-сервер, FTP-сервер, Gopher-сервер, NFS-сервер, NNTP
(Net News Transfer Protocol), SMTP (Simple Mail Transfer Protocol), POP2 и POP3
(Post OfficeProtocol) и т.д. 1.2 Услуги
предоставляемые сетью Все услуги предоставляемые сетью Internet
можно условно поделить на две категории: обмен информацией между абонентами сети
ииспользование баз данных сети. - удаленный доступ. Дает возможность абоненту
работать на любой ЭВМ сети Internetкак на своей собственной. То есть запускать
программы, менять режим работы и т.д. (File Transfer Protocol)
- протокол передачи файлов. Дает возможность абонентуобмениваться двоичными и
текстовыми файлами с любым компьютером сети. Установив связь с удаленным
компьютером, пользователь может скопировать файл с удаленногокомпьютера на свой
или скопировать файл со своего компьютера на удаленный.
(Network File System) - распределенная файловая система. Дает возможность
абонентупользоваться файловой системой удаленного компьютера, как своей
собственной. - обмен почтовыми сообщениями с
любым абонентом сети Internet.Существует возможность отправки как текстовых, так
и двоичных файлов. На размер почтового сообщения в сети Internet накладывается
следующее ограничение - размерпочтового сообщения не должен превышать 64
килобайт. - получение сетевых новостей и электронных досок
объявлений сети и возможностьпомещения информации на доски объявлений сети.
Электронные доски объявлений сети Internet формируются по тематике. Пользователь
может по своему выборуподписаться на любые группы новостей.
(Remote Shell) - удаленный доступ. Аналог Telnet, но работает только в том
случае, еслина удаленном компьютере стоит ОС UNIX. - сетевая печать. Отправка файла на печать на удаленном (сетевом)
принтере. проверка доступности удаленной
ЭВМ по сети. - дает возможность открытия разговора
с пользователем удаленной ЭВМ. Приэтом на экране одновременно виден вводимый
текст и ответ удаленного пользователя. - дает возможность
доступа к серверу ЛВС NetWare с которым нет непосредственнойсвязи по ЛВС, а
имеется лишь связь по сети Internet. - адресная книга сети
Internet. По запросу абонент может получить информацию опринадлежности
удаленного компьютера, о пользователях. Кроме вышеперечисленных
услуг, сеть Internet предоставляет также следующие специфические
услуги. - дает возможность пользователю отправлять
сообщения по факсимильной связи,пользуясь факс-сервером
сети. - производит перевод присланного на
него текста содного языка на другой. Обращение к электронным переводчикам
происходит посредством электронной почты. - дают возможность
абоненту отправлять сообщения в сети, не работающие с протоколамиTCP\IP
(FidoNet, Goldnet, AT50). Gopher - наиболее
широко распространенное средство поиска информации в сети Internet, позволяющее
находить информацию поключевым словам и фразам. Работа с системой Gopher
напоминает просмотр оглавления, при этом пользователюпредлагается пройти сквозь
ряд вложенных меню и выбрать нужную тему. В Internet в настоящее время свыше
2000 Gopher-систем,часть из которых является узкоспециализированной, а часть
содержит более разностороннюю информацию. Gopher позволяет получить
информацию без указания имен и адресов авторов, благодаря чему пользователь не
тратит много времени инервов. Он просто сообщит системе Gopher, что именно ему
нужно, и система находит соответствующие данные. Gopher-серверов свыше двух
тысяч, поэтому с ихпомощью не всегда просто найти требуемую информацию. В случае
возникших затруднений можно воспользоваться службой VERONICA. VERONICA
осуществляет поискболее чем в 500 системах Gopher, освобождая пользователя от
необходимости просматривать их вручную. - еще более мощное
средство получения информации, чем Gopher, поскольку оноосуществляет поиск
ключевых слов во всех текстах документов. Запросы посылаются в WAIS на
упрощенном английском языке. Это значительно легче, чем формулироватьих на языке
алгебры логики, и это делает WAIS более привлекательной для пользователей-
непрофессионалов. В сети Internet существует
более 200 WAIS - библиотек. Но поскольку информация представляется
преимущественно сотрудникамиакадемических организаций на добровольных началах,
большая часть материалов относится к области исследований и компьютерных
наук. - система для работы с гипертекстом. Потенциально она
является наиболее мощнымсредством поиска. Гипертекст соединяет различные
документы на основе заранее заданного набора слов. Например, когда в тексте
встречается новое слово илипонятие, система, работающая с гипертекстом, дает
возможность перейти к другому документу, в котором это слово или понятие
рассматривается более подробно. WWW часто используется в качестве
интерфейса к базам данных WAIS, но отсутствие гипертекстовых связей ограничивает
возможности WWWдо простого просмотра. Пользователь со своей стороны может
задействовать возможность WWW работать с гипертекстом для связи между своими
данными иданными WAIS и WWW таким образом , чтобы собственные записи
пользователя как бы интегрировались в информацию для общего доступа. На самом
деле этого, конечно, не происходит, новоспринимается именно так. WWW -
этоотносительно новая система. Установлены несколько демонстрационных серверов,
в том числе Vatican Exibit в библиотекеКонгресса США и мультфильм о погоде
Витки спутника в Мичиганском государственном университете. В
качестве демонстрационных также работаютсерверы into.funet.fi (Финляндия);
into.cern.ch. (Швейцария) и eies2.njit.edu (США). Практически все услуги
сети построены на принципе клиент-сервер. Сервером в сети Internet называется
компьютер способный предоставлять клиентам (по мере прихода от них запросов)
некоторые сетевыеуслуги. Взаимодействие клиент-сервер строится обычно следующим
образом. По приходу запросов от клиентов сервер запускает различные
программыпредоставления сетевых услуг. По мере выполнения запущенных программ
сервер отвечает на запросы клиентов. Все программное обеспечение сети
также можно поделить на клиентское и серверное. При этом программное обеспечение
сервера занимаетсяпредоставлением сетевых услуг, а клиентское программное
обеспечение обеспечивает передачу запросовсерверу и получение ответов от
него. World Wide Web переводится на русский язык как
"Всемирная Паутина". И, в сущности, это действительно так. WWW является однимиз
самых совершенных инструментов для работы в глобальной мировой сети Internet.
Эта служба появилась сравнительно недавно и все еще продолжает бурноразвиваться.
Наибольшее количество разработок имеют отношение к родине WWW - CERN,
European ParticlePhysics Laboratory; но было бы ошибкой считать, что Web
является инструментом, разработанным физиками и для физиков. Плодотворность и
привлекательность идей,положенных в основу проекта, превратили WWW в систему
мирового масштаба, предоставляющую информацию едва ли не во всех областях
человеческойдеятельности и охватывающую примерно 30 млн. пользователей в 83
странах мира. Главное отличие WWW от остальных инструментов для работы с
Internet заключается в том, что WWWпозволяет работать практически со всеми
доступными сейчас на компьютере видами документов: это могут быть текстовые
файлы, иллюстрации, звуковые и видеоролики, и т.д. Что такое WWW? Это
попытка организовать всю информацию в Internet, плюс любую локальнуюинформацию
по вашему выбору, как набор гипертекстовых документов. Вы перемещаетесь по сети,
переходя от одного документа к другому по ссылкам. Всеэти документы написаны на
специально разработанном для этого языке, который называется HyperText Markup
Language (HTML). Он чем-то напоминает язык,использующийся для написания
текстовых документов, только HTML проще. Причем, можно использовать не только
информацию, предоставляемую Internet, но исоздавать собственные документы. В
последнем случае существует ряд практических рекомендаций к их написанию.
Вся польза гипертекста состоит в создании гипертекстовых
документов,если вас заинтересовалкакой либо пункт в таком документе, то вам
достаточно ткнуть туда курсором для получения нужной информации. Также в одном
документе возможно делать ссылки надругие, написанные другими авторами или даже
расположенные на другом сервере. В то время как вам это представляется как одно
целое. Гипермедиа это надмножество гипертекста. В гипермедиа
производятся операции не только надтекстом но и над звуком, изображениями,
анимацией. Существуют WWW-серверы для Unix, Macintosh, MS Windows и
VMS, большинство из нихраспространяются свободно. Установив WWW-сервер, вы
можете решить две задачи: 1. Предоставить информацию внешним
потребителям - сведения о вашей фирме, каталоги продуктов и услуг, техническую
или научную информацию. 2. Предоставить своим
сотрудникам удобный доступ к внутренним информационным ресурсам
организации.Это могут быть последние распоряжения руководства,
внутренний телефонный справочник, ответына часто задаваемые вопросы
дляпользователей прикладных систем , техническая документация и
все, что подскажет фантазия администратора и пользователей.Информация,
которую вы хотите предоставить пользователям WWW, оформляется в виде
файлов наязыке HTML. HTML - простой язык разметки, который
позволяет помечать фрагменты текста изадавать ссылки на другие
документы, выделять заголовки нескольких уровней, разбивать текст на
абзацы, центрироватьих и т. п., превращая простой текст в
отформатированный гипермедийный документ. Достаточно легко создать html-
файлвручную, однако, имеются специализированные редакторы и преобразователи
файлов из других форматов. Для просмотра документов
используются специальные просмоторщики, такие как Mosaic, Netscape,Internet
Explorer, lynx, www и другие. Mosaic и Netscape удобно использовать на
графических терминалах. Для работы на символьных терминалах можнопорекомендовать
lynx. От описания основных
компонентов перейдем к архитектуре взаимодействия программного обеспечения в
системе WorldWide Web. WWW построена по хорошо известной схеме "клиент-сервер".
На схеме 1.2 показано, какразделены функции в этой схеме. Программа-клиент
выполняет функции интерфейса пользователя и обеспечивает доступ практически ко
всем информационным ресурсам Internet. В этом смысле она выходитза обычные
рамки работы клиента только с сервером определенного протокола, как это
происходит в telnet, например. Отчасти, довольно широкораспространенное мнение,
что Mosaic или Netscape, которые являются WWW-клиентами, это просто
графический интерфейс в Internet, является отчасти верным.Однако, как уже было
отмечено, базовые компоненты WWW-технологии (HTML и URL) играют при доступе к
другим ресурсам Mosaic не последнюю роль, и поэтому мультипротокольные клиенты
должны бытьотнесены именно к World Wide Web, а не к другим информационным
технологиям Internet. Фактически, клиент—это интерпретатор HTML. И как
типичныйинтерпретатор, клиент в зависимости от команд (разметки) выполняет
различные функции. Схема 1.2
Структура "клиент - сервер" . В круг этих функций входит не только
размещение текста на экране, но обмен информацией ссервером по мере анализа
полученного HTML-текста, что наиболее наглядно происходит при отображении
встроенных в текст графических образов. Прианализе URL-спецификации или по
командам сервера клиент запускает дополнительные внешние программы для работы с
документами в форматах, отличныхот HTML, например GIF, JPEG, MPEG, Postscript и
т. п. Вообще говоря для запуска клиентом программ независимо от типа документа
была разработанапрограмма Luncher, но в последнее время гораздо большее
распространение получил механизм согласования запускаемых программ через MIME-
типы. Другуючасть программного комплекса WWW составляет сервер протокола HTTP,
базы данных документов в формате HTML,управляемые сервером, и программное
обеспечение, разработанное в стандарте спецификации CGI. До самого последнего
времени (до образованияNetscape) реально использовалось два HTTP-сервера:
сервер CERN и сервер NCSA. Но в настоящее время число базовых серверов
расширилось. Появился оченьнеплохой сервер для MS-Windows и Apachie-сервер для
Unix-платформ. Существуют и другие, но два последних можно выделить из
соображений доступностииспользования. Сервер для Windows - это shareware, но
без встроенного самоликвидатора, как в Netscape. Учитывая распространенность
персоналок внашей стране, такое программное обеспечение дает возможность
попробовать, что такое WWW. Второй сервер -это ответ на угрозу коммерциализации.
Netscape уже не распространяет свой сервер Netsite свободно и прошел слух,
чтоNCSA-сервер также будет распространяться на коммерческой основе. В
результате был разработан Apachie, который по словам его авторов будетfreeware,
и реализует новые дополнения к протоколу HTTP, связанные с защитой от
несанкционированного доступа, которые предложены группой поразработке этого
протокола и реализуются практически во всех коммерческих серверах.
База данных HTML-документов—это часть файловой системы, которая содержит
текстовые файлы в формате HTML и связанные сними графику и другие ресурсы.
Особое внимание хотелось бы обратить на документы, содержащие элементы экранных
форм. Эти документы реальнообеспечивают доступ к внешнему программному
обеспечению. Прикладное программное обеспечение, работающее с
сервером, можно разделить на программы-шлюзы и прочие. Шлюзы—этопрограммы,
обеспечивающие взаимодействие сервера с серверами других протоколов, например
ftp, илис распределенными на сети серверами Oracle. Прочие программы—это
программы, принимающие данные от сервера и выполняющие какие-либо действия:
получение текущей даты, реализациюграфических ссылок, доступ к локальным базам
данных или просто расчеты. Завершая обсуждение архитектуры World Wide
Web хотелось бы еще раз подчеркнуть, что ее компоненты существуютпрактически
для всех типов компьютерных платформ и свободно доступны в сети. Любой, кто
имеет доступ в Internet, может создать свой WWW-сервер,или, по крайней мере,
посмотреть информацию с других серверов. К 1989 году гипертекст
представлял новую, многообещающую технологию, которая имела относительно
большое числореализаций с одной стороны, а с другой стороны делались попытки
построить формальные модели гипертекстовых систем, которые носили скорее
описательныйхарактер и были навеяны успехом реляционного подхода описания
данных. Идея Т. Бернерс-Ли заключаласьвтом, чтобы применить гипертекстовую
модель к информационным ресурсам, распределенным в сети, и сделать это
максимально простым способом.Он заложил три краеугольных камня системы из
четырех существующих ныне, разработав: • универсальный способ
адресации ресурсов в сети URL (Universal Resource Locator); Позже команда NCSA добавила к этим трем компонентам четвертый: Идея HTML—пример чрезвычайно удачного решения проблемы построения
гипертекстовой системы припомощи специального средства управления отображением.
На разработку языка гипертекстовой разметкисущественное влияние оказали два
фактора: исследования в области интерфейсов гипертекстовых систем и желание
обеспечить простой и быстрый способ создания гипертекстовой базы
данных,распределенной на сети. В 1989 году активно обсуждалась
проблема интерфейса гипертекстовых систем, т.е. способов отображения
гипертекстовойинформации и навигации в гипертекстовой сети. Значение
гипертекстовой технологии сравнивали со значением книгопечатания. Утверждалось,
чтолист бумаги и компьютерные средства отображения/воспроизведения серьезно
отличаются друг от друга, и поэтому форма представления информации тожедолжна
отличаться. Наиболее эффективной формой организации гипертекста были признаны
контекстные гипертекстовые ссылки, а кроме того былопризнано деление на
ссылки, ассоциированные со всем документом в целом и отдельными его частями.
Самым простым способом создания любого документа является его набивка
в текстовом редакторе. Опыт создания хорошоразмеченных для последующего
отображения документов в CERN_е был - трудно найти физика, которыйне
пользовался бы системой TeX или LaTeX. Кроме того к тому времени существовал
стандарт языка разметки—Standard Generalised Markup Language
(SGML). Следует также принять во внимание, что согласно своим
предложениям Бернерс-Ли предполагал объединить в единую систему
имеющиесяинформационные ресурсы CERN, и первыми демонстрационными системами
должны были стать системы для NeXT и VAX/VMS. Обычно гипертекстовые
системы имеют специальные программные средства построения гипертекстовых
связей. Самигипертекстовые ссылки хранятся в специальных форматах или даже
составляют специальные файлы. Такойподход хорош для локальной системы, но не
для распределенной на множестве различных компьютерных платформ. В HTML
гипертекстовые ссылки встроеныв тело документа и хранятся как его часть. Часто
в системах применяют специальные форматы хранения данных для повышения
эффективности доступа.В WWW документы—это обычные ASCII- файлы, которые можно
подготовить в любом текстовом редакторе. Таким образом, проблема
созданиягипертекстовой базы данных была решена чрезвычайно просто. В
качестве базы для разработки языка гипертекстовой разметки был выбран SGML
(Standard Generalised Markup Language).Следуя академическим традициям, Бернерс-
Ли описал HTML в терминах SGML (как описывают язык программирования в терминах
формыБекуса-Наура). Естественно, что в HTML были реализованы все разметки,
связанные с выделением параграфов,шрифтов, стилей и т. п., т.к. реализация для
NeXT подразумевала графический интерфейс. Важным компонентом языка стало
описание встроенных и ассоциированных гипертекстовых ссылок,встроенной графики
и обеспечение возможности поиска по ключевым словам. С момента
разработки первой версии языка (HTML 1.0) прошло уже пять лет. За это время
произошло довольно серьезноеразвитие языка. Почти вдвое увеличилось число
элементов разметки, оформление документов все больше приближается к оформлению
качественныхпечатных изданий, развиваются средства описания не текстовых
информационных ресурсов и способы взаимодействия с прикладным
программнымобеспечением. Совершенствуется механизм разработки типовых стилей.
Фактически, в настоящее время HTML развивается в сторону создания
стандартногоязыка разработки интерфейсов как локальных, так и распределенных
систем. Вторым краеугольным камнем WWW стала универсальная форма
адресации информационных ресурсов. Universal ResourceIdentification (URI)
представляет собой довольно стройную систему, учитывающую опыт адресации и
идентификации e-mail, Gopher, WAIS, telnet,ftp и т. п. Но реально из всего, что
описано в URI, для организации баз данных в WWW требуется только Universal
Resource Locator (URL). Безналичия этой спецификации вся мощь HTML оказалась бы
бесполезной. URL используется в гипертекстовых ссылках и обеспечивает доступ к
распределеннымресурсам сети. В URL можно адресовать как другие гипертекстовые
документы формата HTML, так и ресурсыe-mail, telnet, ftp, Gopher, WAIS,
например. Различные интерфейсные программы по разному осуществляют доступ к
этим ресурсам. Одни, как напримерNetscape, сами способны поддерживать
взаимодействие по протоколам, отличным от протокола HTTP, базового для WWW,
другие, как например Chimera,вызывают для этой цели внешние программы. Однако,
даже в первом случае, базовой формой представления отображаемой информации
является HTML, ассылки на другие ресурсы имеют форму URL. Следует отметить, что
программы обработки электронной почты в формате MIME также имеют возможность
отображать документы, представленные в формате HTML. Дляэтой цели в MIME
зарезервирован тип "text/html". Третьим в нашем списке стоит протокол
обмена данными в World Wide Web -HyperText TransferProtocol. Данный протокол
предназначен для обмена процессе взаимодействия, клиент может
получить новый адрес ресурса на сети т. п. Управление в HTTP
реализовано в виде ASCII-команд. Реально только при использовании
внешних расчетных программ или при доступе к Последняя составляющая
технологии WWW - это уже плод работы группы NCSA -- спецификация Common Gateway
Interface. CGIбыла специально разработана для расширения возможностей WWW за
счет подключения всевозможноговнешнего программного обеспечения. Такой подход
логично продолжал принцип публичности и простоты разработки и наращивания
возможностей WWW.Если команда CERN предложила простой и быстрый способ
разработки баз данных, то NCSA развила этот принцип на разработку программных
средств. Надозаметить, что в общедоступной библиотеке CERN были модули,
позволяющие программистам подключать свои программы к серверу HTTP, ноэто
требовало использования этой библиотеки. Предложенный и описанный в CGI способ
подключения не требовал дополнительных библиотек и буквальноошеломлял своей
простотой. Сервер взаимодействовал с программами через стандартные потоки
ввода/вывода, что упрощает программированиедо предела. При реализации CGI
чрезвычайно важное место заняли методы доступа, описанные в HTTP. Ихотя реально
используются только два из них (GET и POST), опыт развития HTML показывает, что
сообщество WWW ждет развития и CGI по мереусложнения задач, в которых будет
использоваться WWW-технология. 2.1 Проблемы защиты
информации Internet и информационная
безопасность несовместны по самой природе Internet. Она родиласькак чисто
корпоративная сеть, однако, в настоящее время с помощью единого стекапротоколов
TCP/IP и единого адресного пространства объединяет не толькокорпоративные и
ведомственные сети (образовательные, государственные, коммерческие, военные и
т.д.), являющиеся, по определению, сетями сограниченным доступом, но и рядовых
пользователей, которые имеют возможность получить прямой доступ в Internet со
своих домашних компьютеров с помощьюмодемов и телефонной сети общего
пользования. Как известно, чем проще доступ в Сеть, тем хуже
ее информационная безопасность, поэтому сполным основанием можно сказать, что
изначальная простота доступа в Internet - хуже воровства, так как пользователь
может даже и не узнать, что у него былископированы - файлы и программы, не
говоря уже о возможности их порчи и корректировки. Что же
определяет бурный рост Internet, характеризующийся ежегодным удвоением
числапользователей? Ответ прост -"халява", то есть дешевизна программного
обеспечения (TCP/IP), которое в настоящее время включено в Windows 95, легкостьи
дешевизна доступа в Internet (либо с помощью IP-адреса, либо с помощью
провайдера) и ко всем мировым информационным ресурсам. Платой за
пользование Internet является всеобщее снижение информационной
безопасности,поэтому для предотвращения несанкционированного доступа к своим
компьютерам все корпоративные и ведомственные сети, а также предприятия,
использующиетехнологию intranet, ставят фильтры (fire-wall) между внутренней
сетью и Internet, что фактически означает выход из единого адресного
пространства. Ещебольшую безопасность даст отход от протокола TCP/IP и доступ в
Internet через шлюзы. Этот переход можно осуществлять одновременно с
процессом построения всемирной информационнойсети общего пользования, на базе
использования сетевых компьютеров, которые с помощью сетевой карты 10Base-T и
кабельного модема обеспечиваютвысокоскоростной доступ (10 Мбит/с) к локальному
Web-серверу через сеть кабельного телевидения. Internet нужно
предусмотреть следующее: , ликвидировать физическую связь
между будущей Internet (которая превратится воВсемирную информационную сеть
общего пользования) и корпоративными и ведомственными сетями, сохранив между
ними лишь информационную связь черезсистему World Wide Web. , заменить маршрутизаторы на коммутаторы, исключив обработку в узлах
IP-протоколаи заменив его на режим трансляции кадров Ethernet, при котором
процесс коммутации сводится к простой операции сравнения MAC-адресов.
, перейти в новое единое адресное пространство на базе
физических адресов доступак среде передачи (MAC-уровень), привязанное к
географическому расположению сети, и позволяющее в рамках 48-бит создать адреса
для более чем 64 триллионовнезависимых узлов. Безопасность данных
является одной из главных проблем в Internet. Появляются все новые и новые
страшные истории о том, каккомпьютерные взломщики, использующие все более
изощренные приемы, проникают в чужие базы данных. Разумеется, все это не
способствует популярности Internet вделовых кругах. Одна только мысль о том, что
какие-нибудь хулиганы или, что еще хуже, конкуренты, смогут получить доступ к
архивам коммерческих данных,заставляет руководство корпораций отказываться от
использования открытых информационных систем. Специалисты утверждают, что
подобные опасениябезосновательны, так как у компаний, имеющих доступ и к
открытым, и частным сетям, практически равные шансы стать жертвами компьютерного
террора. Каждая организация, имеющая дело с какими бы то ни было
ценностями, рано или поздносталкивается с посягательством на них.
Предусмотрительные начинают планировать защиту заранее, непредусмотрительные—
после первого крупного "прокола". Так илииначе, встает вопрос о том, что, как и
от кого защищать. Обычно первая реакция на угрозу—стремление спрятать
ценности в недоступное место и приставитьк ним охрану. Это относительно
несложно, если речь идет о таких ценностях, которые вам долго не понадобятся:
убрали и забыли. Куда сложнее, если вамнеобходимо постоянно работать с ними.
Каждое обращение в хранилище за вашими ценностями потребует выполненияособой
процедуры, отнимет время и создаст дополнительные неудобства. Такова дилемма
безопасности: приходится делать выбор между защищенностью вашегоимущества и его
доступностью для вас, а значит, и возможностью полезного использования.
Все это справедливо и в отношении информации. Например, база данных,
содержащаяконфиденциальные сведения, лишь тогда полностью защищена от
посягательств, когда она находится на дисках, снятых с компьютера и убранных в
охраняемоеместо. Как только вы установили эти диски в компьютер и начали
использовать, появляется сразу несколько каналов, по которым злоумышленник, в
принципе, имеетвозможность получить к вашим тайнам доступ без вашего ведома.
Иными словами, ваша информация либо недоступна для всех, включая и вас, либо не
защищена насто процентов. Может показаться, что из этой ситуации нет
выхода, но информационная безопасностьсродни безопасности мореплавания: и то, и
другое возможно лишь с учетом некоторой допустимой степени риска. В
области информации дилемма безопасности формулируется следующим образом:
следуетвыбирать между защищенностью системы и ее открытостью. Правильнее,
впрочем, говорить не о выборе, а о балансе, так как система, не обладающая
свойствомоткрытости, не может быть использована. В банковской сфере
проблема безопасности информации осложняется двумя факторами: во-первых,почти
все ценности, с которыми имеет дело банк (кроме наличных денег и еще кое-чего),
существуют лишь в виде той или иной информации. Во-вторых, банк неможет
существовать без связей с внешним миром: без клиентов, корреспондентов и т. п.
При этом по внешним связям обязательно передается та самая информация,выражающая
собой ценности, с которыми работает банк (либо сведения об этих ценностях и их
движении, которые иногда стоят дороже самих ценностей). Извнеприходят документы,
по которым банк переводит деньги с одного счета на другой. Вовне банк передает
распоряжения о движении средств по корреспондентскимсчетам, так что открытость
банка задана a priori. Стоит отметить, что эти соображения справедливы
по отношению не только к автоматизированнымсистемам, но и к системам,
построенным на традиционном бумажном документообороте и не использующим иных
связей, кроме курьерской почты.Автоматизация добавила головной боли службам
безопасности, а новые тенденции развития сферы банковских услуг, целиком
основанные на информационныхтехнологиях, усугубляют проблему. На раннем
этапе автоматизации внедрение банковских систем (и вообще средств
автоматизациибанковской деятельности) не повышало открытость банка. Общение с
внешним миром, как и прежде, шлочерез операционистов и курьеров, поэтому
дополнительная угроза безопасности информации проистекала лишь от возможных
злоупотреблений со стороны работавшихв самом банке специалистов по
информационным технологиям. Положение изменилось после того, как на
рынке финансовых услуг стали появляться продукты,само возникновение которых было
немыслимо без информационных технологий. В первую очередь это—пластиковые
карточки. Пока обслуживание по карточкам шло в режиме голосовой авторизации,
открытость информационной системы банка повышалась незначительно, но
затемпоявились банкоматы, POS-терминалы, другие устройства самообслуживания—то
есть средства, принадлежащие к информационной системе банка, но расположенные
вне ееи доступные посторонним для банка лицам. Повысившаяся открытость
системы потребовала специальных мер для контроля и регулированияобмена
информацией: дополнительных средств идентификации и аутентификации лиц, которые
запрашивают доступ к системе (PIN-код, информация о клиенте намагнитной полосе
или в памяти микросхемы карточки, шифрование данных, контрольные числа и другие
средства защиты карточек), средств криптозащитыинформации в каналах связи и т.
д. Еще больший сдвиг баланса "защищенность-открытость" в сторону
последней связан стелекоммуникациями. Системы электронных расчетов между банками
защитить относительно несложно, так как субъектами электронного обмена
информациейвыступают сами банки. Тем не менее, там, где защите не уделялось
необходимое внимание, результаты были вполне предсказуемы. Наиболее кричащий
пример—к сожалению, наша страна. Использование крайне примитивных средств защиты
телекоммуникаций в 1992 г. привело к огромнымпотерям на фальшивых авизо.
Общая тенденция развития телекоммуникаций и массового распространения
вычислительной техникипривела в конце концов к тому, что на рынке банковских
услуг во всем мире появились новые, чисто телекоммуникационные продукты, и в
первую очередьсистемы Home Banking (отечественный аналог—"клиент-банк"). Это
потребовало обеспечить клиентам круглосуточный доступ к автоматизированной
банковскойсистеме для проведения операций, причем полномочия на совершение
банковских транзакций получил непосредственно клиент. Степень открытости
информационнойсистемы банка возросла почти до предела. Соответственно, требуются
особые, специальные меры для того, чтобы столь же значительно не упала ее
защищенность. Наконец, грянула эпоха "информационной супермагистрали":
взрывообразное развитие сетиInternet и связанных с нею услуг. Вместе с новыми
возможностями эта сеть принесла и новые опасности. Казалось бы, какая разница,
каким образом клиентсвязывается с банком: по коммутируемой линии, приходящей на
модемный пул банковского узла связи, или по IP-протоколу через Internet? Однако
в первомслучае максимально возможное количество подключений ограничивается
техническими характеристиками модемного пула, во втором же—возможностями
Internet, которыемогут быть существенно выше. Кроме того, сетевой адрес банка,
в принципе, общедоступен, тогда как телефонныеномера модемного пула могут
сообщаться лишь заинтересованным лицам. Соответственно, открытость банка, чья
информационная система связана с Internet, значительновыше, чем в первом случае.
Так только за пять месяцев 1995 г. компьютерную сеть Citicorp взламывали 40 раз!
(Это свидетельствует, впрочем, не столько окакой-то "опасности" Internet вообще,
сколько о недостаточно квалифицированной работе администраторов безопасности
Citicorp.) Все это вызывает необходимость пересмотра подходов к
обеспечению информационнойбезопасности банка. Подключаясь к Internet, следует
заново провести анализ риска и составить план защиты информационной системы, а
также конкретный планликвидации последствий, возникающих в случае тех или иных
нарушений конфиденциальности, сохранности и доступности информации. На
первый взгляд, для нашей страны проблема информационной безопасности банка не
стольостра: до Internet ли нам, если в большинстве банков стоят системы второго
поколения, работающие в технологии "файл-сервер". К сожалению, и у нас
ужезарегистрированы "компьютерные кражи". Положение осложняется двумя
проблемами. Прежде всего, как показывает опыт общения с представителями
банковских служббезопасности, и в руководстве, и среди персонала этих служб
преобладают бывшие оперативные сотрудники органов внутренних дел или
госбезопасности. Они обладаютвысокой квалификацией в своей области, но в
большинстве своем слабо знакомы с информационными технологиями. Специалистов по
информационной безопасности внашей стране вообще крайне мало, потому что
массовой эта профессия становится только сейчас. Вторая проблема связана
с тем, что в очень многих банках безопасность автоматизированной банковской
системы не анализируется и необеспечивается всерьез. Очень мало где имеется тот
необходимый набор организационных документов (анализ риска, план защиты и план
ликвидациипоследствий), о котором говорилось выше. Более того, безопасность
информации сплошь и рядом просто не может быть обеспечена в рамках имеющейся в
банкеавтоматизированной системы и принятых правил работы с ней. Не так
давно мне довелось читать лекцию об основах информационной безопасности на одном
изсеминаров для руководителей управлений автоматизации коммерческих банков. На
вопрос: "Знаете ли вы, сколько человек имеют право входить в помещение,
гденаходится сервер базы данных Вашего банка?", утвердительно ответило не более
40% присутствующих. Пофамильно назватьтех, кто имеет такое право, смогли лишь
20%. В остальных банках доступ в это помещение не ограничен и никак не
контролируется. Что говорить о доступе крабочим станциям! Что касается
автоматизированных банковских систем, то наиболее распространенные
системывторого-третьего поколений состоят из набора автономных программных
модулей, запускаемых из командной строки DOS на рабочих станциях. Оператор
имеетвозможность в любой момент выйти в DOS из такого программного модуля.
Предполагается, что это необходимо для перехода в другой программный модуль, но
фактически втакой системе не существует никаких способов не только исключить
запуск оператором любых других программ (от безобидной игры до
программы,модифицирующей данные банковских счетов), но и проконтролировать
действия оператора. Стоит заметить, что в ряде систем этих поколений, в том
числеразработанных весьма уважаемыми отечественными фирмами и продаваемых
сотнями, файлы счетов не шифруются, т. е. сданными в них можно ознакомиться
простейшими общедоступными средствами. Многие разработчики ограничивают средства
администрирования безопасности штатнымисредствами сетевой операционной системы:
вошел в сеть -- делай, что хочешь. Положение меняется, но слишком
медленно. Даже во многих новых разработках вопросамбезопасности уделяется явно
недостаточное внимание. На выставке "Банк и Офис -- 95" была представлена
автоматизированная банковская система с архитектуройклиент—сервер, причем
рабочие станции функционируют под Windows. В этой системе очень своеобразно
решен вход оператора в программу: в диалоговом окнезапрашивается пароль, а затем
предъявляется на выбор список фамилий всех операторов, имеющих право работать с
данным модулем! Таких примеров можно привести еще много. Тем не менее,
наши банки уделяют информационным технологиям много внимания, и достаточнобыстро
усваивают новое. Сеть Internet и финансовые продукты, связанные с ней, войдут в
жизнь банков России быстрее, чем это предполагают скептики, поэтомууже сейчас
необходимо озаботиться вопросами информационной безопасности на другом, более
профессиональном уровне, чем это делалось до сих пор. Информационная безопасность должна рассматриваться как
составная часть общей безопасности банка—причем как важная и неотъемлемая
еечасть. Разработка концепции информационной безопасности должна обязательно
проходить при участии управлениябезопасности банка. В этой концепции следует
предусматривать не только меры, связанные с информационными технологиями
(криптозащиту, программные средстваадминистрирования прав пользователей, их
идентификации и аутентификации, "брандмауэры" для защиты входов—выходов сети и
т. п.), но и меры административногои технического характера, включая жесткие
процедуры контроля физического доступа к автоматизированной банковской системе,
а также средства синхронизациии обмена данными между модулем администрирования
безопасности банковской системы и системой охраны. 2. Необходимо участие
сотрудников управления безопасности на этапе выбора—приобретения—разработки
автоматизированнойбанковской системы. Это участие недолжно сводиться к проверке
фирмы-поставщика. Управление безопасности должно контролировать
наличиенадлежащих средств разграничения доступа к информации в приобретаемой
системе. К сожалению, ныне действующие системы сертификации в
области банковских систем скорее вводятв заблуждение, чем помогают выбрать
средства защиты информации. Сертифицировать использование таких средств имеет
право ФАПСИ, однако правом своим этот органпользуется весьма своеобразно. Так,
один высокопоставленный сотрудник ЦБ РФ (попросивший не называть его имени)
рассказал, что ЦБ потратил довольно многовремени и денег на получение
сертификата на одно из средств криптозащиты информации (кстати, разработанное
одной из организаций, входящих в ФАПСИ).Почти сразу же после получения
сертификата он был отозван: ЦБ было предложено вновь пройти сертификацию уже с
новым средством криптозащиты—разработанным тойже организацией из ФАПСИ.
Возникает вопрос, а что же на самом деле подтверждает сертификат? Если, как
предполагаетнаивный пользователь, он подтверждает пригодность средства
криптозащиты выполнению этой функции, то отзыв сертификата говорит о том, что
припервоначальном сертифицировании ФАПСИ что-то упустило, а затем обнаружило
дефект. Следовательно, данный продукт не обеспечивает криптозащиты и
необеспечивал ее с самого начала. Если же, как предполагают
пользователи более искушенные, ФАПСИ отозвало сертификат не из-заогрехов в
первом продукте, то значение сертификации этим агентством чего бы то ни было
сводится к нулю. Действительно, раз "некие" коммерческие соображенияпреобладают
над объективной оценкой продукта, то кто может гарантировать, что в первый раз
сертификат был выдан благодаря высокому качеству продукта, а не потем же "неким"
соображениям? Отсюда следует третья практическая рекомендация:
относиться сугубо осторожно к любымсертификатам и отдавать предпочтение тем
продуктам, надежность которых подтверждена успешным использованием в мировой
финансовой практике.Безопасность в сети Internet Сейчас вряд ли кому-то надо
доказывать, что при подключении к Internet Вы подвергаете рискубезопасность
Вашей локальной сети и конфиденциальность содержащейся в ней информации. По
данным CERT Coordination Center в 1995 году былозарегистрировано 2421 инцидентов
- взломов локальных сетей и серверов. По результатам опроса, проведенного
Computer Security Institute (CSI) среди 500наиболее крупных организаций,
компаний и университетов с 1991 число незаконных вторжений возросло на 48.9 %, а
потери, вызванные этими атаками, оцениваются в66 млн. долларов США.
Одним из наиболее распространенных механизмов защиты от интернетовских бандитов
-"хакеров" является применение межсетевых экранов - Стоит отметить, что в следствии непрофессионализма
администраторов и недостатков некоторыхтипов брэндмауэров порядка 30% взломов
совершается после установки защитных систем. Не следует думать, что все
изложенное выше - "заморские диковины". Всем, кто еще не уверен, что Россия
увереннодогоняет другие страны по числу взломов серверов и локальных сетей и
принесенному ими ущербу, следует познакомиться с тематической
подборкойматериалов российской прессы и материалами Hack Zone
(Zhurnal...). Не смотря на кажущийся правовой хаос в расматриваемой
области, любая деятельность поразработке, продаже и использованию средств защиты
информации регулируется множеством законодательных и нормативных документов, а
все используемые системыподлежат обязательной сертификации Государственой
Технической Комисией при президенте России. В настоящее время
вопросам безопасности данных в распределенных компьютерных системахуделяется
очень большое внимание. Разработано множество средств для обеспечения
информационной безопасности, предназначенных для использования на
различныхкомпьютерах с разными ОС. В качестве одного из направлений можно
выделить межсетевые экраны (firewalls), призванные контролировать доступ к
информации состороны пользователей внешних сетей. В настоящем документе
рассматриваются основные понятия экранирующих систем, а такжетребования,
предъявляемые к ним. На примере пакета Solstice FireWall-1 рассматривается
неcколько типичных случаев использования таких систем, особенноприменительно к
вопросам обеспечения безопасности Internet-подключений. Рассмотрено также
несколько уникальных особенностей Solstice FireWall-1,позволяющих говорить о его
лидерстве в данном классе приложений. Проблема межсетевого экранирования
формулируется следующим образом. Пусть имеется двеинформационные системы или два
множества информационных систем. Экран (firewall) - это средстворазграничения
доступа клиентов из одного множества систем к информации, хранящейся на серверах
в другом множестве. Экран выполняет свои функции,
контролируя все информационные потоки между этими двумямножествами
информационных систем, работая как некоторая "информационная мембрана". В этом
смысле экран можно представлять себе как набор фильтров,анализирующих проходящую
через них информацию и, на основе заложенных в них алгоритмов, принимающих
решение: пропустить ли эту информацию или отказать в еепересылке. Кроме того,
такая система может выполнять регистрацию событий, связанных с процессами
разграничения доступа. в частности, фиксировать все "незаконные"попытки доступа
к информации и, дополнительно, сигнализировать о ситуациях, требующих
немедленной реакции, то есть поднимать тревогу. Обычно экранирующие
системы делают несимметричными. Для экранов определяются понятия"внутри" и
"снаружи", и задача экрана состоит в защите внутренней сети от "потенциально
враждебного" окружения. Важнейшим примером потенциальновраждебной внешней сети
является Internet. Рассмотрим более подробно, какие проблемы возникают
при построении экранирующих систем. При этоммы будем рассматривать не только
проблему безопасного подключения к Internet, но и разграничение доступа внутри
корпоративной сети организации. очевидное требование к
таким системам, это обеспечение безопасности внутренней(защищаемой) сети и
полный контроль над внешними подключениями и сеансами связи. экранирующая система должна обладать мощными и гибкими средствами
управлениядля простого и полного воплощения в жизнь политики безопасности
организации и, кроме того, для обеспечения простой реконфигурации системы при
измененииструктуры сети. экранирующая система должна
работать незаметно для пользователей локальной сетии не затруднять выполнение
ими легальных действий. экранирующая система должна
работать достаточно эффективно и успеватьобрабатывать весь входящий и исходящий
трафик в "пиковых" режимах. Это необходимо для того, чтобы firewallнельзя было,
образно говоря, "забросать" большим количеством вызовов, которые привели бы к
нарушению ее работы. . Система обеспечения безопасности
должна быть сама надежно защищена от любыхнесанкционированных воздействий,
поскольку она является ключом к конфиденциальной информации в организации.
В идеале, если у организации имеется несколько внешних
подключений, в том числе ив удаленных филиалах, система управления экранами
должна иметь возможность централизованно обеспечивать для них проведение единой
политики безопасности. Система Firewall должна иметь
средства авторизации доступа пользователей черезвнешние подключения. Типичной
является ситуация, когда часть персонала организации должна выезжать, например,
в командировки, и в процессе работы им,тем немение, требуется доступ, по крайней
мере, к некоторым ресурсам внутренней компьютерной сети организации. Система
должна уметь надежно распознавать такихпользователей и предоставлять им
необходимый доступ к информации. Классическим примером, на котором хотелось бы
проиллюстрировать все вышеизложенные принципы,является программный комплекс
Solstice FireWall-1 компании Sun Microsystems. Данный пакет неоднократно
отмечался наградами на выставках и конкурсах. Онобладает многими полезными
особенностями, выделяющими его среди продуктов аналогичного назначения. Центральным для системы FireWall-1 является
модуль управления всем комплексом. С этим модулемработает администратор
безопасности сети. Следует отметить, что продуманность и удобство графического
интерфейсамодуля управления отмечалось во многих независимых обзорах,
посвященных продуктам данного класса. Администратору безопасности сети для конфигурирования
комплекса FireWall-1 необходимовыполнить следующий ряд действий: •
Определить объекты, участвующие в процессе обработки информации. Здесь имеются в
видупользователи и группы пользователей, компьютеры и их группы, маршрутизаторы
и различные подсети локальной сети организации. • Описать сетевые
протоколы и сервисы, с которыми будут работать приложения. Впрочем,
обычнодостаточным оказывается набор из более чем 40 описаний, поставляемых с
системой FireWall-1. • Далее, с помощью введенных понятий описывается
политика разграничения доступа вследующих терминах: "Группе пользователей А
разрешен доступ к ресурсу Б с помощью сервиса или протокола С, но об этом
необходимо сделать пометку врегистрационном журнале". Совокупность таких записей
компилируется в исполнимую форму блоком управления и далее передается на
исполнение в модули фильтрации. Модули фильтрации могут
располагаться на компьютерах - шлюзах или выделенных серверах - или
вмаршрутизаторах как часть конфигурационной информации. В настоящее время
поддерживаются следующие два типа маршрутизаторов: Cisco IOS 9.x, 10.x, а
такжеBayNetworks (Wellfleet) OS v.8. Модули фильтрации просматривают
все пакеты, поступающие на сетевые интерфейсы, и, взависимости от заданных
правил, пропускают или отбрасывают эти пакеты, с соответствующей записью в
регистрационном журнале. Следует отметить, что этимодули, работая
непосредственно с драйверами сетевых интерфейсов, обрабатывают весь поток
данных, располагая полной информацией о передаваемых пакетах.
Расcмотрим процесc практической реализации политики безопасности организации с
помощьюпрограммного пакета FireWall-1. (рис. 2.2.3) . 1. Прежде
всего, как уже отмечалось, разрабатываются и утверждаются на уровне руководства
организации правила политики безопасности. 2. После утверждения эти
правила надо воплотить в жизнь. Для этого их нужно перевести в структуру типа
"откуда, куда и какимспособом доступ разрешен или, наоборот, запрещен. Такие
структуры, как мы уже знаем, легко переносятся в базы правил системы FireWall-1.
3. Далее, на основе этой базы правил формируются списки доступа для
маршрутизаторов и сценарии работы фильтров на сетевыхшлюзах. Списки и сценарии
далее переносятся на физические компоненты сети, после чего правила политики
безопасности "вступают в силу". 4. В процессе работы фильтры пакетов на
шлюзах и серверах генерируют записи обо всех событиях, которые им приказали
отслеживать,а, также, запускают механизмы "тревоги", требующие от администратора
немедленной реакции. 5. На основе анализа записей, сделанных системой,
отдел компьютерной безопасности организации может разрабатывать предложения
поизменению и дальнейшему развитию политики безопасности.
1.
Из локальных сетей подразделений, возможно удаленных, разрешается связь с любой
локальной сетью организации послеаутентификации, например, по UNIX-паролю.
2. Всем запрещается доступ к сети финансового департамента, за
исключением генерального директора и директора этогодепартамента. 3. Из
Internet разрешается только отправлять и получать почту. Обо всех других
попытках связи необходимо делать подробнуюзапись. Все эти
правила естественным образом представляются средствами графического
интерфейсаРедактора Правил FireWall-1 (рис. 2.2.4). После загрузки правил, FireWall-1 для каждого пакета,
передаваемого по сети, последовательнопросматривает список правил до нахождения
элемента, соответствующего текущему случаю. Важным моментом является
защита системы, на которой размещен административно-конфигурационныймодуль
FireWall-1. Рекомендуется запретить средствами FireWall-1 все виды доступа к
данной машине, или по крайней мере строгоограничить списокпользователей, которым
это разрешено, а также принять меры по физическому ограничению доступа и по
защите обычными средствами ОС UNIX. На рис. 2.2.5 показаны основные элементы
управления системой FireWall-1. Слева расположены редакторы баз данных об
объектах, существующих в сети и опротоколах или сервисах, с помощью которых
происходит обмен информацией. Справа вверху показан редактор правилдоступа.
Справа внизу располагается интерфейс контроля текущего состояния
системы, в котором для всехобъектов, которые занес туда администратор,
отображаются данные о количестве разрешенных коммуникаций (галочки), о
количестве отвергнутых связей (знак"кирпич") и о количестве коммуникаций с
регистрацией (иконка карандаш). Кирпичная стена за символом объекта (компьютера)
означает, что на немустановлен модуль фильтрации системы FireWall-1.
Рассмотрим теперь случай, когда первоначальная конфигурация сети меняется, а
вместе с нейменяется и политика безопасности. Пусть мы решили
установить у себя в организации несколько общедоступных серверов
дляпредоставления информационных услуг. Это могут быть, например, серверы World
Wide Web, FTP или другие информационные серверы. Поскольку такие
системыобособлены от работы всей остальной сети организации, для них часто
выделяют свою собственную подсеть, имеющую выход в Internet через шлюз (рис.
2.2.6). Поскольку в предыдущем примере
локальная сеть была уже защищена, то все, что нам надосделать, это просто
разрешить соответствующий доступ в выделенную подсеть. Это делается с помощью
одной дополнительной строки в редакторе правил, котораяздесь показана. Такая
ситуация является типичной при изменении конфигурации FireWall-1. Обычно для
этого требуется изменение одной или небольшого числастрок в наборе правил
доступа, что, несомненно, иллюстрирует мощь средств конфигурирования и общую
продуманность архитектуры FireWall-1. Solstice FireWall-1 позволяет администратору
установить различные режимы работы синтерактивными сервисами FTP и telnet для
различных пользователей и групп пользователей. При установленном режиме
аутентификации, FireWall-1 заменяетстандартные FTP и telnet демоны UNIX на свои
собственные, располагая их на шлюзе, закрытом с помощью модулей фильтрации
пакетов. Пользователь, желающий начать интерактивную сессию по FTP илиtelnet
(это должен быть разрешенный пользователь и в разрешенное для него время), может
сделать это только через вход на такой шлюз, где и выполняетсявся процедура
аутентификации. Она задается при описании пользователей или групп пользователей
и может проводиться следующими способами: • карточки SecurID с
аппаратной генерацией одноразовых паролей. UDP-протоколы,
входящие в состав набора TCP/IP, представляют собой особую проблему
дляобеспечения безопасности. С одной стороны на их основе создано множество
приложений. С другой стороны, все они являются протоколами "без состояния",
чтоприводит к отсутствию различий между запросом и ответом, приходящим извне
защищаемой сети. Пакет FireWall-1 решает эту проблему созданием
контекста соединений поверх UDPсессий, запоминая параметры запросов.
Пропускаются назад только ответы внешних серверов на высланные запросы, которые
однозначно отличаются от любых другихUDP-пакетов (читай: незаконных запросов),
поскольку их параметры хранятся в памяти FireWall-1. Следует отметить,
что данная возможность присутствует в весьма немногих программахэкранирования,
распространяемых в настоящий момент. Заметим также, что подобные
механизмы задействуются для приложений, использующих RPC, и дляFTP сеансов.
Здесь возникают аналогичные проблемы, связанные с динамическим выделением портов
для сеансов связи, которые FireWall-1 отслеживает аналогичнымобразом, запоминая
необходимую информацию при запросах на такие сеансы и обеспечивая только
"законный" обмен данными. Данные возможности пакета Solstice FireWall-1
резко выделяют его среди всех остальных межсетевых экранов. Впервые
проблемаобеспечения безопасности решена для всех без исключения сервисов и
протоколов, существующих в Internet.
Система Solstice FireWall-1 имеет собственный встроенный обьектно-
ориентированный языкпрограммирования, применяемый для описания поведения модулей
- Фильтров системы. Собственно говоря, результатом работы графического
интерфейсаадминистратора системы является сгенерированный сценарий работы именно
на этом внутреннем языке. Он не сложен для понимания, что допускает
непосредственноепрограммирование на нем. Однако на практике данная возможность
почти не используется, поскольку графический интерфейс системы и так позволяет
сделатьпрактически все, что нужно. FireWall-1 полностью прозрачен для конечных
пользователей. Еще одним замечательнымсвойством системы Solstice FireWall-1
является очень высокая скорость работы. Фактически модули системы работают на
сетевых скоростях передачи информации,что обусловлено компиляцией
сгенерированных сценариев работы перед подключением их непосредственно в процесс
фильтрации. Компания Sun Microsystems приводит такие данные об
эффективности работы Solstice FireWall-1.Модули фильтрации на Internet-шлюзе,
сконфигурированные типичным для многих организаций образом, работая на скоростях
обычного Ethernet в 10 Мб/сек,забирают на себя не более 10% вычислительной
мощности процессора SPARCstation 5,85 МГц или компьютера 486DX2-50 с
операционной системой Solaris/x86. Solstice FireWall-1 - эффективное
средство защиты корпоративных сетей и их сегментов от внешних угроз, а также от
несанкционированныхвзаимодействий локальных пользователей с внешними
системами. Solstice FireWall-1 обеспечивает высокоуровневую поддержку
политики безопасности организации по отношению ко всем протоколамсемейства
TCP/IP. По совокупности технических и
стоимостных характеристик Solstice FireWall-1 занимает лидирующую позицию среди
межсетевыхэкранов. • Ограничить доступ по IP
адресам клиентских машин; Такого рода ввод ограничений стал использоваться
достаточно часто, т.к. многие стремятсяв Internet, чтобы использовать его
коммуникации для доставки своей информации потребителю. С помощью такого рода
механизмов по разграничению прав доступаудобно производить саморассылку
информации на получение которой существует договор. Доступ к приватным документам можно разрешить, либо наоборот
запретить используя IP адреса конкретных машин или сеток,
например: В этом
случае доступ будет разрешен (или запрещен в зависимости от контекста) для
машины сIP адресом 123.456.78.9 и для всех машин
подсетки123.456.79. Доступ к приватным документам можно разрешить, либо
наоборот запретить используя присвоенное имя и пароль конкретному
пользователю,причем пароль в явном виде нигде не хранится. Рассмотрим
такой пример: Агенство печати предоставляет свою продукцию, только своим
подписчикам, которые заключили договор и оплатилиподписку. WWW Сервер находится
в сети Internet и общедоступен.
Выберем Вестник предоставляемый конкретному подписчику. На клиентском месте
подписчик получаетсообщение: Рисунок
2.2.8 Окно ввода пароля. Если он правильно написал свое
имя и пароль, то он допускается до документа, впротивном случае - получает
сообщение: Рисунок
2.2.9 Окно неправильного ввода пароля. Архитектура
Intranet подразумевает подключение к внешним открытым сетям,
использованиевнешних сервисов и предоставление собственных сервисов вовне, что
предъявляет повышенные требования к защите информации. В Intranet-
системах используется подход клиент-сервер, а главная роль на сегодняшний день
отводится Web-сервису. Web-серверы должны поддерживатьтрадиционные защитные
средства, такие как аутентификация и разграничение доступа; кроме того,
необходимо обеспечение новых свойств, в особенностибезопасности программной
среды и на серверной, и на клиентской сторонах. Таковы, если говорить
совсем кратко, задачи в области информационной безопасности,возникающие в связи
с переходом на технологию Intranet. Далее мы рассмотрим возможные подходы к их
решению. Меры по ее решению можно разделить на четыре уровня: •
административный (действия общего характера, предпринимаемые руководством
организации); • программно-технический (конкретные технические меры). В настоящее время наиболее подробным законодательным
документом в области информационнойбезопасности является Уголовный кодекс,
точнее говоря, его новая редакция, вступившая в силу в мае 1996 года. В
разделе IX ("Преступления против общественной безопасности") имеется глава 28 -
"Преступления в сфере компьютерной информации". Она содержит три статьи - 272
("Неправомерный доступ к компьютерной информации"), 273 ("Создание,использование
и распространение вредоносных программ для ЭВМ") и 274 - "Нарушение правил
эксплуатации ЭВМ, системы ЭВМ или их сети". - доступности,
целостности, конфиденциальности, предусматривая наказания за "уничтожение,
блокирование, модификацию и копирование информации, нарушение работы ЭВМ,
системы ЭВМ или их сети". Весьма энергичную работу в области современных
информационных технологий проводитГосударственная техническая комиссия
(Гостехкомиссия) при Президенте Российской Федерации. В рамках серии руководящих
документов (РД) Гостехкомиссииподготовлен проект РД, устанавливающий
классификацию межсетевых экранов (firewalls, или брандмауэров) по уровню
обеспечения защищенности отнесанкционированного доступа (НСД). Это принципиально
важный документ, позволяющий упорядочить использование защитных средств,
необходимых дляреализации технологии Intranet. Политика безопасности определяется
как совокупность документированных При разработке и
проведении ее в жизнь целесообразно руководствоваться следующими
принципами: • невозможность перехода в небезопасное
состояние; • разнообразие защитных
средств; Если у злоумышленника или недовольного
пользователя появится возможность миновать защитные средства, он, разумеется,
так и сделает.Применительно к межсетевым экранам данный принцип означает, что
все информационные потоки в защищаемую сеть и из нее должны проходить через
экран.Не должно быть "тайных" модемных входов или тестовых линий, идущих в обход
экрана. Надежность любой обороны определяется самым слабым звеном.
Злоумышленник не будет бороться против силы, он предпочтет легкуюпобеду над
слабостью. Часто самым слабым звеном оказывается не компьютер или программа, а
человек, и тогдапроблема обеспечения информационной безопасности приобретает
нетехнический характер. перехода в
небезопасное состояние означает, что при любыхобстоятельствах, в том числе
нештатных, защитное средство либо полностью выполняет свои функции, либо
полностью блокирует доступ. Образно говоря, если вкрепости механизм подъемного
моста ломается, мост должен оставаться в поднятом состоянии, препятствуя проходу
неприятеля. привилегий предписывает выделять
пользователям иадминистраторам только те права доступа, которые необходимы им
для выполнения служебных обязанностей.
обязанностей предполагает такое распределение ролей иответственности, при
котором один человек не может нарушить критически важный для организации
процесс. Это особенно важно, чтобы предотвратить злонамеренныеили
неквалифицированные действия системного администратора. предписывает не полагаться на один защитныйрубеж,
каким бы надежным он ни казался. За средствами физической защиты должны
следовать программно-технические средства, за идентификацией и аутентификацией-
управление доступом и, как последний рубеж, - протоколирование и аудит.
Эшелонированная оборона способна по крайней мере задержать злоумышленника,
аналичие такого рубежа, как протоколирование и аудит, существенно затрудняет
незаметное выполнение злоумышленных действий. рекомендует организовывать различные посвоему характеру
оборонительные рубежи, чтобы от потенциального несовместимыми между собой
навыками (например умением преодолевать высокую ограду и знанием слабостей
нескольких операционныхсистем). и
управляемости информационной системы в целом и защитныхсредств в особенности.
Только для простого защитного средства можно формально или неформально доказать
его корректность. Только в простой и управляемойсистеме можно проверить
согласованность конфигурации разных компонентов и осуществить централизованное
администрирование. В этой связи важно отметитьинтегрирующую роль Web-сервиса,
скрывающего разнообразие обслуживаемых объектов и предоставляющего единый,
наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем
таблицы базыданных) доступны через Web, необходимо заблокировать прямой доступ к
ним, поскольку в противном случае система будет сложной и
трудноуправляемой. - всеобщая поддержка мер
безопасности - носит нетехническийхарактер. Если пользователи и/или системные
администраторы считают информационную безопасность чем-то излишним или даже
враждебным, режимбезопасности сформировать заведомо не удастся. Следует с самого
начала предусмотреть комплекс мер, направленный на обеспечение лояльности
персонала,на постоянное обучение, теоретическое и, главное,
практическое. Анализ рисков - важнейший этап выработки политики
безопасности. При оценке рисков, которымподвержены Intranet-системы, нужно
учитывать следующие обстоятельства: • новые угрозы по отношению к старым
сервисам, вытекающие из возможности пассивного илиактивного прослушивания сети.
Пассивное прослушивание означает чтение сетевого трафика, а активное - его
изменение (кражу, дублирование или модификациюпередаваемых данных). Например,
аутентификация удаленного клиента с помощью пароля многократного использования
не может считаться надежной в сетевой среде,независимо от длины пароля; Как правило, в
Intranet-системах следует придерживаться принципа "все, что не
разрешено,запрещено", поскольку "лишний" сетевой сервис может предоставить канал
проникновения в корпоративную систему. В принципе, ту же мысль выражаетположение
"все непонятное опасно". В общем и целом
Intranet-технология не предъявляет каких-либо специфических требований к
мерампроцедурного уровня. На наш взгляд, отдельного рассмотрения заслуживают
лишь два обстоятельства: • описание должностей, связанных с определением,
наполнением и поддержанием корпоративнойгипертекстовой структуры официальных
документов; При описании должностей целесообразно исходить из аналогии
между Intranet и издательством. Виздательстве существует директор, определяющий
общую направленность деятельности. В Intranet ему соответствует Web-
администратор, решающий, какая корпоративнаяинформация должна присутствовать на
Web-сервере и как следует структурировать дерево (точнее, граф) HTML-
документов. В многопрофильных издательствах существуют редакции,
занимающиеся конкретныминаправлениями (математические книги, книги для детей и
т.п.). Аналогично, в Intranet целесообразновыделить должность публикатора,
ведающего появлением документов отдельных подразделений и определяющего перечень
и характер публикаций. У каждой книги есть титульный редактор,
отвечающий перед издательством за свою работу. ВIntranet редакторы занимаются
вставкой документов в корпоративное дерево, их коррекцией и удалением. В больших
организациях "слой" публикатор/редактор можетсостоять из нескольких
уровней. Наконец, и в издательстве, и в Intranet должны быть авторы,
создающие документы. Подчеркнем,что они не должны иметь прав на модификацию
корпоративного дерева и отдельных документов. Их дело - передать свой труд
редактору. Кроме официальных, корпоративных, в Intranet могут
присутствовать групповые и личныедокументы, порядок работы с которыми (роли,
права доступа) определяется, соответственно, групповыми и личными
интересами. Переходя к вопросам поддержки жизненного цикла Intranet-
информации, напомним онеобходимости использования средств конфигурационного
управления. Важное достоинство Intranet-технологии состоит в том, что основные
операцииконфигурационного управления - внесение изменений (создание новой
версии) и извлечение старой версии документа - естественным образом вписываются
в рамкиWeb-интерфейса. Те, для кого это необходимо, могут работатьс деревом всех
версий всех документов, подмножеством которого является дерево самых
свежихверсий. Мы переходим к рассмотрению мер программно-технического
уровня, направленных на обеспечениеинформационной безопасности систем,
построенных в технологии Intranet. На первое место среди таких мер мы поставим
межсетевые экраны - средстворазграничения доступа, служащее для защиты от
внешних угроз и от угроз со стороны пользователей других сегментов корпоративных
сетей. Отметим, что бороться с угрозами, присущими сетевой среде,
средствами универсальныхоперационных систем не представляется возможным.
Универсальная ОС - это огромная программа, наверняка содержащая,помимо явных
ошибок, некоторые особенности, которые могут быть использованы для получения
нелегальных привилегий. Современная технология программирования непозволяет
сделать столь большие программы безопасными. Кроме того, администратор, имеющий
дело со сложной системой, далеко не всегда в состоянииучесть все последствия
производимых изменений (как и врач, не ведающий всех побочных воздействий
рекомендуемых лекарств). Наконец, в универсальноймногопользовательской системе
бреши в безопасности постоянно создаются самими пользователями (слабые и/или
редко изменяемые пароли, неудачно установленныеправа доступа, оставленный без
присмотра терминал и т.п.). Как указывалось выше, единственный
перспективный путь связан с разработкой специализированныхзащитных средств,
которые в силу своей простоты допускают формальную или неформальную верификацию.
Межсетевой экран как раз и является таким средством,допускающим дальнейшую
декомпозицию, связанную с обслуживанием различных сетевых протоколов.
Межсетевой экран - это полупроницаемая мембрана, которая располагается между
защищаемой(внутренней) сетью и внешней средой (внешними сетями или другими
сегментами корпоративной сети) и контролирует все информационные потоки во
внутреннюю сетьи из нее (Рис. 2.3.1). Контроль информационных потоков состоит в
их фильтрации, то есть в выборочном пропускании через экран, возможно, с
выполнением некоторыхпреобразований и извещением отправителя о том, что его
данным в пропуске отказано. Фильтрация осуществляется на основе набора правил,
предварительнозагруженных в экран и являющихся выражением сетевых аспектов
политики безопасности организации. Целесообразно разделить случаи, когда экран устанавливается на
границе с внешней (обычнообщедоступной) сетью или на границе между сегментами
одной корпоративной сети. Соответственно, мы будет говорить о внешнем и
внутреннем межсетевых экранах. Как правило, при общении с внешними
сетями используется исключительно семейство протоколовTCP/IP. Поэтому внешний
межсетевой экран должен учитывать специфику этих протоколов. Для внутренних
экранов ситуация сложнее, здесь следует принимать вовнимание помимо TCP/IP по
крайней мере протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными
словами, от внутренних экранов нередко
требуетсямногопротокольность. Ситуации, когда корпоративная сеть содержит
лишь один внешний канал, является, скорее, исключением, чем правилом. Напротив,
типичнаситуация, при которой корпоративная сеть состоит из нескольких
территориально разнесенных сегментов, каждый из которых подключен к сети общего
пользования(Рис. 2.3.2). В этом случае каждое подключение должно защищаться
своим экраном. Точнее говоря, можно считать, что корпоративный внешний
межсетевой экранявляется составным, и требуется решать задачу согласованного
администрирования (управления и аудита) всех компонентов. Рисунок 2.3.2
Экранирование корпоративной сети, состоящей из нескольких территориально
разнесенных сегментов, каждый из которыхподключен к сети общего
пользования. При рассмотрении любого вопроса, касающегося сетевых
технологий, основой служитсемиуровневая эталонная модель ISO/OSI. Межсетевые
экраны также целесообразно классифицировать по тому, на каком уровне
производится фильтрация - канальном,сетевом, транспортном или прикладном.
Соответственно, можно говорить об экранирующих концентраторах(уровень 2),
маршрутизаторах (уровень 3), о транспортном экранировании (уровень 4) и о
прикладных экранах (уровень 7). Существуют также комплексные
экраны,анализирующие информацию на нескольких уровнях. В данной работе
мы не будем рассматривать экранирующие концентраторы, поскольку концептуальноони
мало отличаются от экранирующих маршрутизаторов. При принятии решения
"пропустить/не пропустить", межсетевые экраны могут использовать нетолько
информацию, содержащуюся в фильтруемых потоках, но и данные, полученные из
окружения, например текущее время. Таким образом, возможности
межсетевого экрана непосредственно определяются тем, какаяинформация может
использоваться в правилах фильтрации и какова может быть мощность наборов
правил. Вообще говоря, чем выше уровень в модели ISO/OSI, накотором
функционирует экран, тем более содержательная информация ему доступна и,
следовательно, тем тоньше и надежнее экран может быть сконфигурирован. В тоже
время фильтрация на каждом из перечисленных выше уровней обладает своими
достоинствами, такими как дешевизна, высокая эффективность или прозрачность
дляпользователей. В силу этой, а также некоторых других причин, в большинстве
случаев используются смешанные конфигурации, в которых объединены
разнотипныеэкраны. Наиболее типичным является сочетание экранирующих
маршрутизаторов и прикладного экрана (Рис. 2.3.3). Приведенная
конфигурация называется экранирующей подсетью. Как правило, сервисы,
которыеорганизация предоставляет для внешнего применения (например
"представительский" Web-сервер), целесообразно выносить как раз в экранирующую
подсеть. Помимо выразительных возможностей и допустимого количества
правил качество межсетевогоэкрана определяется еще двумя очень важными
характеристиками - простотой применения и собственной защищенностью. В плане
простоты использованияпервостепенное значение имеют наглядный интерфейс при
задании правил фильтрации и возможность централизованного администрирования
составных конфигураций. Всвою очередь, в последнем аспекте хотелось бы выделить
средства централизованной загрузки правил фильтрации и проверки набора правил
нанепротиворечивость. Важен и централизованный сбор и анализ регистрационной
информации, а также получение сигналов о попытках выполнения
действий,запрещенных политикой безопасности. Собственная защищенность
межсетевого экрана обеспечивается теми же средствами, что изащищенность
универсальных систем. При выполнении централизованного администрирования следует
еще позаботиться о защите информации от пассивного иактивного прослушивания
сети, то есть обеспечить ее (информации) целостность и
конфиденциальность. Рисунок 2.3.3
Сочетание экранирующих маршрутизаторов и прикладного экрана. Хотелось бы
подчеркнуть, что природа экранирования (фильтрации), как механизмабезопасности,
очень глубока. Помимо блокирования потоков данных, нарушающих политику
безопасности, межсетевой экран может скрывать информацию о защищаемойсети, тем
самым затрудняя действия потенциальных злоумышленников. Так, прикладной экран
может осуществлять действия от имени субъектов внутреннейсети, в результате чего
из внешней сети кажется, что имеет место взаимодействие исключительно с
межсетевым экраном (Рис. 2.3.4). При таком подходе топологиявнутренней сети
скрыта от внешних пользователей, поэтому задача злоумышленника существенно
усложняется. Рисунок 2.3.4
Истинные и кажущиеся информационные потоки. Более общим методом сокрытия
информации о топологии защищаемой сети является трансляция"внутренних" сетевых
адресов, которая попутно решает проблему расширения адресного пространства,
выделенного организации. Ограничивающий интерфейс также можно
рассматривать как разновидность экранирования. На невидимый объект трудно
нападать, особенно спомощью фиксированного набора средств. В этом смысле Web-
интерфейс обладает естественной защитой, особенно в том случае, когда
гипертекстовые документыформируются динамически. Каждый видит лишь то, что ему
положено. Экранирующая роль Web-сервиса наглядно проявляется и тогда,
когда этот сервис осуществляет посреднические (точнее, интегрирующие)функции при
доступе к другим ресурсам, в частности таблицам базы данных. Здесь не только
контролируются потоки запросов, но и скрывается реальная организациябаз
данных. Идея сетей с так
называемыми активными агентами, когда между компьютерами передаются нетолько
пассивные, но и активные исполняемые данные (то есть программы), разумеется, не
нова. Первоначально цель состояла в том, чтобы уменьшить сетевойтрафик, выполняя
основную часть обработки там, где располагаются данные (приближение программ к
данным). На практике это означало перемещение программна серверы. Классический
пример реализации подобного подхода - это хранимые процедуры в реляционных
СУБД. Для Web-серверов аналогом хранимых процедур являются программы,
обслуживающие общий шлюзовый интерфейс (Common Gateway Interface -CGI).
CGI-процедуры располагаются на серверах и обычно используются для динамического
порожденияHTML-документов. Политика безопасности организации и процедурные меры
должны определять, кто имеет право помещать на сервер CGI-процедуры. Жесткий
контрольздесь необходим, поскольку выполнение сервером некорректной программы
может привести к сколь угодно тяжелым последствиям. Разумная мера
техническогохарактера состоит в минимизации привилегий пользователя, от имени
которого выполняется Web-сервер. В технологии Intranet, если заботиться
о качестве и выразительной силе пользовательскогоинтерфейса, возникает нужда в
перемещении программ с Web-серверов на клиентские компьютеры - для создания
анимации, выполнения семантического контроля привводе данных и т.д. Вообще,
активные агенты - неотъемлемая часть технологии Intranet. В каком бы
направлении ни перемещались программы по сети, эти действия
представляютповышенную опасность, т.к. программа, полученная из ненадежного
источника, может содержать непреднамеренно внесенные ошибки или целенаправленно
созданныйзловредный код. Такая программа потенциально угрожает всем основным
аспектам информационной безопасности: • целостности (программа может удалить
или повредить данные); Проблему ненадежных программ осознавали
давно, но, пожалуй, только в рамках системыпрограммирования Java впервые
предложена целостная концепция ее решения. • контроль при
получении программ; Впрочем,
существует еще одно, очень важное средство обеспечения
информационнойбезопасности - беспрецедентная открытость Java-системы. Исходные
тексты Java-компилятора иинтерпретатора доступны для проверки, поэтому велика
вероятность, что ошибки и недочеты первыми будут обнаруживать честные
специалисты, а не злоумышленники. В концептуальном плане наибольшие
трудности представляет контролируемое выполнение программ, загруженных по сети.
Преждевсего, необходимо определить, какие действия считаются для таких программ
допустимыми. Если исходить из того, что Java - это язык для написанияклиентских
частей приложений, одним из основных требований к которым является мобильность,
загруженная программа может обслуживать только пользовательскийинтерфейс и
осуществлять сетевое взаимодействие с сервером. Программа не может работать с
файлами хотя бы потому, что на Java-терминале их, возможно, не будет. Более
содержательные действия должныпроизводиться на серверной стороне или
осуществляться программами, локальными для клиентской системы.
Интересный подход предлагают специалисты компании Sun Microsystems для
обеспечениябезопасного выполнения командных файлов. Речь идет о среде Safe-Tcl
(Tool Comman Language, инструментальный командный язык). Sun предложила
такназываемую ячеечную модель интерпретации командных файлов. Существует
главный интерпретатор, которомудоступны все возможности языка. Если в
процессе работы приложения необходимо выполнить сомнительный командный файл,
порождается подчиненный командный интерпретатор,обладающий ограниченной
функциональностью (например, из него могут быть удалены средства работы с
файлами и сетевые возможности). В результате потенциальноопасные программы
оказываются заключенными в ячейки, защищающие пользовательские системы от
враждебных действий. Для выполнения действий,которые считаются
привилегированными, подчиненный интерпретатор может обращаться с запросами к
главному. Здесь, очевидно, просматривается аналогия сразделением адресных
пространств операционной системы и пользовательских процессов и использованием
последними системных вызовов. Подобная модель уже около 30 лет
являетсястандартной для многопользовательских ОС. Наряду с обеспечением безопасности программной среды (см.
предыдущий раздел), важнейшимбудет вопрос о разграничении доступа к объектам
Web-сервиса. Для решения этого вопроса необходимо уяснить, что является
объектом, как идентифицируютсясубъекты и какая модель управления доступом -
принудительная или произвольная - применяется. В Web-серверах объектами
доступа выступают универсальные локаторы ресурсов (URL - Uniform(Universal)
Resource Locator). За этими локаторами могут стоять различные сущности - HTML-
файлы, CGI-процедуры и т.п. Как правило, субъекты доступа идентифицируются
по IP-адресам и/или именам компьютеров и областей управления. Кроме того,
можетиспользоваться парольная аутентификация пользователей или более сложные
схемы, основанные на криптографических технологиях. В большинстве Web-
серверов права разграничиваются с точностью до каталогов (директорий)
сприменением произвольного управления доступом. Могут предоставляться права на
чтение HTML-файлов, выполнение CGI-процедур и т.д. Для раннего выявления
попыток нелегального проникновения в Web-сервер важен регулярныйанализ
регистрационной информации. Разумеется, защита системы, на
которой функционирует Web-сервер, должна следоватьуниверсальным рекомендациям,
главной из которых является максимальное упрощение. Все ненужные сервисы, файлы,
устройства должны быть удалены. Числопользователей, имеющих прямой доступ к
серверу, должно быть сведено к минимуму, а их привилегии - упорядочены в
соответствии со служебными обязанностями. Еще один общий принцип состоит
в том, чтобы минимизировать объем информации о сервере, которуюмогут получить
пользователи. Многие серверы в случае обращения по имени каталога и отсутствия
файла index.HTML в нем, выдают HTML-вариант оглавлениякаталога. В этом
оглавлении могут встретиться имена файлов с исходными текстами CGI-процедур или
с иной конфиденциальной информацией. Такого рода"дополнительные возможности"
целесообразно отключать, поскольку лишнее знание (злоумышленника) умножает
печали (владельца сервера).
Методы, применяемые в открытых сетях для подтверждения и проверки
подлинностисубъектов, должны быть устойчивы к пассивному и активному
прослушиванию сети. Суть их сводится к следующему. • Субъект
демонстрирует знание секретного ключа, при этом ключ либо вообще не передаетсяпо
сети, либо передается в зашифрованном виде. • Субъект демонстрирует
обладание программным или аппаратным средством генерации одноразовых паролей или
средством, работающим врежиме "запрос-ответ". Нетрудно заметить, что перехват и
последующее воспроизведение одноразового пароля или ответа на запрос ничего не
даетзлоумышленнику. • Субъект демонстрирует подлинность своего
местоположения, при этом используется система навигационных
спутников. Одной из важнейших
задач является защита потоков корпоративных данных,передаваемых пооткрытым
сетям. Открытые каналы могут быть надежно защищенылишь одним методом -
криптографическим. Отметим, что так называемые выделенные линии не
обладают особыми преимуществами передлиниями общего пользования в плане
информационной безопасности. Выделенные линии хотя бы частично будут
располагаться в неконтролируемой зоне, где ихмогут повредить или осуществить к
ним несанкционированное подключение. Единственное реальное достоинство - это
гарантированная пропускная способностьвыделенных линий, а вовсе не какая-то
повышенная защищенность. Впрочем, современные оптоволоконные каналы способны
удовлетворить потребности многихабонентов, поэтому и указанное достоинство не
всегда облечено в реальную форму. Любопытно упомянуть, что в мирное
время 95% трафика Министерства обороны США передаетсячерез сети общего
пользования (в частности через Internet). В военное время эта доля должна
составлять"лишь" 70%. Можно предположить, что Пентагон - не самая бедная
организация. Американские военные полагаются на сети общего пользования потому,
чторазвивать собственную инфраструктуру в условиях быстрых технологических
изменений - занятие очень дорогое и бесперспективное, оправданное даже
длякритически важных национальных организаций только в исключительных
случаях. Представляется естественным возложить на межсетевой экран
задачу шифрования и дешифрованиякорпоративного трафика на пути во внешнюю сеть и
из нее. Чтобы такое шифрование/дешифрование сталовозможным, должно произойти
начальное распределение ключей. Современные криптографические технологии
предлагают для этого целый ряд методов. После того как межсетевые экраны
осуществили криптографическое закрытие корпоративных потоковданных,
территориальная разнесенность сегментов сети проявляется лишь в разной скорости
обмена с разными сегментами. В остальном вся сеть выглядит как единоецелое, а от
абонентов не требуется привлечение каких-либо дополнительных защитных
средств. Важнейшим
аспектом информационной безопасности является управляемость
системы.Управляемость - это и поддержание высокой доступности системы за счет
раннего выявления и ликвидации проблем, и возможность изменения аппаратной
ипрограммной конфигурации в соответствии с изменившимися условиями или
потребностями, и оповещение о попытках нарушения информационной
безопасностипрактически в реальном времени, и снижение числа ошибок
администрирования, и многое, многое другое. Наиболее остро проблема
управляемости встает на клиентских рабочих местах и на стыкеклиентской и
серверной частей информационной системы. Причина проста - клиентских мест
гораздо больше, чем серверных, они, как правило, разбросаны позначительно
большей площади, их используют люди с разной квалификацией и привычками.
Обслуживание и администрирование клиентских рабочих мест - занятиечрезвычайно
сложное, дорогое и чреватое ошибками. Технология Intranet за счет простоты и
однородности архитектурыпозволяет сделать стоимость администрирования
клиентского рабочего места практически нулевой. Важно и то, что замена и
повторный ввод в эксплуатациюклиентского компьютера могут быть осуществлены
очень быстро, поскольку это "клиенты без состояния", у них нет ничего, что
требовало бы длительноговосстановления или конфигурирования. На стыке
клиентской и серверной частей Intranet-системы находится Web-сервер.
Этопозволяет иметь единый механизм регистрации пользователей и наделения их
правами доступа с последующим централизованным администрированием.Взаимодействие
с многочисленными разнородными сервисами оказывается скрытым не только от
пользователей, но и в значительной степени от системного администратора.
Задача обеспечения информационной безопасности в Intranet оказывается более
простой,чем в случае произвольных распределенных систем, построенных в
архитектуре клиент/сервер. Причина тому - однородность и простота архитектуры
Intranet.Если разработчики прикладных систем сумеют в полной мере
воспользоваться этим преимуществом, то на программно-техническом уровне им будет
достаточнонескольких недорогих и простых в освоении продуктов. Правда, к этому
необходимо присовокупить продуманную политику безопасности и целостный набор
мерпроцедурного
уровня. В процессе дипломного проектирования были
исследованы 15 пакетов абонентского программного обеспечения. В пакетах
абонентскогопрограммного обеспечения изучались их возможности в операционных
средах MS-DOS и MS-Windows, методы настройки, режимы работы, а также
простотафункционирования. По результатам исследований для каждого пакета
абонентского программного обеспечения были даны рекомендации о возможности
использованиятого или иного пакета в глобальной информационной сети работающей
набазе протоколов TCP\IP. Для сравнения пакетов абонентского программного
обеспечения между собой и выбора лучшего была написана программа
экспертноговыбора. Для операционной среды MS-DOS лучшим пакетом
абонентского программного обеспечения с точки зрения пользователя являетсяпакет
Minuet, разработанный университетом Миннесоты (США). Пакет Minuet обладает
полным спектром услуг сети Internet, а также отличным
пользовательскиминтерфейсом. Minuet прост в использовании, может работать как по
ЛВС так и по коммутируемым линиям и, самое главное, значительно дешевле своих
аналогов. Безсомнения пакет Minuet в настоящее время является лучшим абонентским
пакетом для ОС MS-DOS. Он может быть рекомендован практически всем категориям
абонентовсети. Для операционной среды MS-DOS лучшим пакетом абонентского
программного обеспечения с точки зрения специалиста является пакетKA9Q. Пакет
KA9Q распространяется вместе с исходными текстами и имеет в своем составе весь
спектр сетевых услуг, он может быть рекомендован специалистам сетив качестве
исходного материала при разработке нового пакета абонентского программного
обеспечения. Для операционной среды MS-Windows лучшим пакетом абонентского
прогрaммного обеспечения может быть признан пакет Chameleon,являющийся
разработкой фирмы NetManage (CША). Пакет Chameleon обладает полным набором услуг
сети Internet. Кроме этого Chameleon имеет в своем составеNFS-сервер, а также
может работать маршрутизатором сети. На сегодняшний день Chameleon может быть
признан лучшим пакетом для операционной среды MS Windows.Пакет Chameleon может
быть рекомендован тем абонентам сети, которым необходим пакет абонентского
программного обеспечения для MS-Windows. Он также может бытьрекомендован в
качестве маршрутизатора для связи небольшой ЛВС с сетью Лучшим почтовым
пакетом для операционной среды MS-DOS является безусловно пакет MAIL2,
разработанный фирмой PC-центр Техно (Россия).Пакет Mail2 обладает отличным
пользовательским интерфейсом, прост в настройке и недорог. Он может работать как
в ЛВС, так и по коммутируемым линиям. Он можетрекомендоваться всем категориям
пользователей сети. Лучшим почтовым пакетом для операционной среды MS-
Windows можно считать пакет DMail for Windows, разработанный фирмой Демос
(Россия).Пакет DMail может быть рекомендован к использованию тем абонентам,
которые нуждаются в электронной почте и привыкли работать в среде
Windows. Лучшим пакетом для наиболее полного использования информационных
ресурсов сети Internet является пакет Mosaic, разработанный NCSA(National Centre
of Supercomputing Applications) CША. Mosaic - наиболее мощный инструмент для
путешествия по сети Internet. С помощью Mosaic пользователи могутполучать доступ
к гипертекстовым библиотекам WWW, к обычным базам данных сети Internet и
системам поиска информации в них. В ходе дипломного пректирования для
пакетов Minuet, Mail2 и были разработаны инструкции по установке и эксплуатации
данных пакетовабонентского программного обеспечения. Пакеты Chameleon и Dmail
продаются вместе с полным комплектом фирменной документации, пакет
Mosaicраспространяется свободно вместе с довольно полной
документацией. -
архив. Система для определения местонахождения файлов в публичных архивах
сетиInternet. (Address Resolution Protocol) - протокол
определения адреса, преобразует адрескомпьютера в сети Internet в его физический
адрес. (Advanced Research Projects Agency) - бюро проектов
передовых исследованийминистерства обороны США. -
эксперементальная сеть, работавшая в семидесятые годы, на которой
проверялисьтеоретическая база и програмное обеспечение, положеные в основу
Internet. В настоящее время не существует. бит в секунду. Единица измерения пропускной способности линиисвязи.
Пропускная способность линии связи определяется количеством информации,
передаваемой по линии за единицу времени. (Domain Name System) -
доменная система имен. распределенная система баз данных дляперевода имен
компьютеров в сети Internet в их IP-адреса. - тип
локальной сети. Хороша разнообразием типов проводов для
соединений,обеспечивающих пропускные способности от 2 до 10 миллионов bps(2-10
Mbps). Довольно часто компьютеры, использующие протоколы TCP/IP, через
Ethernetподсоединяются к Internet. (File Transfer Protocol) -
протокол передачи файлов, протокол, определяющий правилапересылки файлов с
одного компьютера на другой. (Frequently Asked Qustions) -
часто задаваемые вопросы. Раздел публичныхархивов сети Internet в котором
хранится информация для начинающих пользователей сетевой
инфраструктуры. - интерактивная оболочка для поиска,
присоединения и использования ресурсов ивозможностей Internet. Интерфейс с
пользователем осуществлен через систему меню. (Hypertext
Markup Language)- язык для написания гипертекстовых документов.Основная
особенность - наличие гипертекстовых связей между документами находящимися в
различных архивах сети; благодаря этим связям можнонепосредственно во время
просмотра одного документа переходить к другим документам. - технология сетевого
взаимодействия между компьютерами разных типов. (Internet
Protocol) - протокол межсетевого взаимодействия, самый важный из протоколовсети
Internet, обеспечивает маршрутизацию пакетов в сети. - одна из прикладных программ сети Internet.
Дает возможность доступа к серверуЛВС NetWare с которым нет непосредственной
связи по ЛВС, а имеется лишь связь по сети Internet. - сетевая печать. Показывает файлы стоящие в очереди на
печать. - сетевая операционная система, разработанная
фирмой Novell; позволяет строитьЛВС основанную на принципе взаимодействия
клиент-сервер. Взаимодействие между сервером и клиентом в ЛВС NetWare
производится на основе собственных протоколов(IPX), тем не менее протоколы
TCP/IP также поддерживаются. (Network File System) -
распределенная файловая система. Предоставляет возможностьиспользования файловой
системы удаленного компьютера в качестве дополнительного НЖМД.
(Net News Transfer Protocol) - протокол передачи сетевых новостей.
Обеспечиваетполучение сетевых новостей и электронных досок объявлений сети и
возможность помещения информации на доски объявлений сети. (Post Office Protocol)
- протокол почтовый оффис . Используется для обменапочтой между
хостом и абонентами. Особенность протокола - обмен почтовыми сообщениями по
запросу от абонента. (Point to Point Protocol) - протокол
канального уровня позволяющий использовать длявыхода в Internet обычные модемные
линии. Относительно новый протокол, является аналогом SLIP. (Requests For
Comments) - запросы комментариев. Раздел публичных архивов сетиInternet в
котором хранится информация о всех стандартных протоколах сети
Internet. (Remote Shell) - удаленный доступ.
Аналог Telnet, но работает только в том случае, еслина удаленном компьютере
стоит ОС UNIX. (Serial Line Internet Protocol) - протокол
канального уровня позволяющий использоватьдля выхода в Internet обычные модемные
линии. (Simple Mail Transfer Protocol) - простой протокол
передачи почты. Основннаяособенность протокола SMTP - обмен почтовыми
сообщениями происходит не по запросу одного из хостов, а через определенное
время (каждые 20 - 30 минут).Почта между хостами в Internet передается на основе
протокола SMTP. - одна из прикладных программ сети Internet.
Дает возможность открытия разговора с пользователем удаленной ЭВМ.
При этом на экране одновременно печатается вводимый текст и ответ удаленного
пользователя. - удаленный доступ. Дает возможность абоненту
работать на любой ЭВМ сети Internetкак на своей собственной. TCP (Transmission Control Protocol) - протокол
котроля передачи информации в сети.TCP - протокол транспортного уровня, один из
основных протоколов сети Internet. Отвечает за установление и поддержание
виртуального канала (т.е. логическогосоединения), а также за безошибочную
передачу информации по каналу. (User Datagram Protocol) -
протокол транспортного уровня, в отличие от протокола TCPне обеспечивает
безошибочной передачи пакета. - многозадачная операционная
система, основная операционная среда в сетиInternet. Имеет различные реализации:
Unix-BSD, Unix-Ware, Unix-Interactive. - протокол копирования
информации с одного Unix-хоста на другой. UUCP - не входитв состав протоколов
TCP/IP, но тем не менее все-еще широко используется в сети Internet. На основе
протокола UUCP - построены многие системы обмена почтой, досих пор используемые
в сети. (Very Easy Rodent-Oriented Netwide Index to
Computer Archives) - система поискаинформации в публичных архивах сети Internet
по ключевым словам. (Wide Area Information Servers) - мощная
система поиска информации в базах данныхсети Internet по ключевым
словам. (World Wide Web) - всемирная паутина. Система
распределенных баз данных, обладающихгипертекстовыми связями между
документами. - сетевая версия толкового словаря английского
языка. - загружаемая в
оперативную память программа, управляющая обменом данными междуприкладными
процессами и внешними устройствами. - документ, имеющий
связи с другими документами через систему выделенных слов(ссылок). Гипертекст
соединяет различные документы на основе заранее заданного набора слов. Например,
когда в тексте встречается новое слово или понятие,система, работающая с
гипертекстом, дает возможность перейти к другому документу, в котором это слово
или понятие рассматривается более подробно. (router) - компьютер сети,
занимающийся маршрутизацией пакетов в сети, то естьвыбором кратчайшего маршрута
следования пакетов по сети. - устройство проебразующее
цифровые сигналы в аналоговую форму и обратно.Используется для передачи
информации между компьютерами по аналоговым линиям связи. - совокупность
правил и соглашений, регламентирующих формат и процедуру междудвумя или
несколькими независимыми устройствами или процессами. Стандартные протоколы
позволяют связыватся между собой компьютерам разных типов, работающимв разных
операционных системах. - логическая или физическая часть
системы, которая может быть выделенапользователю или
процессу. - программа для сетевого компьютера, позволяющая
предоставить услуги одногокомпьютера другому компьютеру. Обслуживаемые
компьютеры сообщаются с сервер-программой при помощи пользовательской программы
(клиент-программы).Kомпьютер в сети, предоставляющий свои услуги другим, то есть
выполняющий определенные функции по запросам других.
компьютер в сети, выполняющий основные сетевые функции (обслуживание
сети,передача сообщений и т.п.). - сетевая рабочая машина;
главная ЭВМ. Сетевой компьютер, который помимо сетевыхфункций (обслуживание
сети, передача сообщений) выполняет пользовательские задания (программы,
расчеты, вычисления). - станция связи с внешней или другой
сетью. Может обеспечивать связьнесовместимых сетей, а также взаимодействие
несовместимых приложений в рамках одной сети. Браун С. "Мозаика" и "Всемирная
паутина" для доступа к Internet: Пер. c англ. -М.: Мир: Малип: СК Пресс, 1996. -
167c. Гайкович В., Першин А. Безопасность электронных
банковских систем. - М.: Единая Европа , 1994. - 264 c.
5. Колесников О.Э.
Интернет для делового человека. - M.: МЦФ. Издат. фирма "Яуза",1996. - 281
c. Крол Эд. Все об Internet: Руководство и каталог /
Пер. c англ. С.М. Тимачева. -Киев: BNV, 1995. 591 c.
Левин В.К. Защита информации в информационно-вычислительных cистемах и сетях
//Программирование. - 1994. - N5. - C. 5-16. Нольден
М. Ваш первый выход в Internet: Для начинающих пльзователей Internet иширокого
круга пользователей PC / Гл. ред. Е.В. Кондукова; Пер с нем. К.А. Шиндер. -
Спб.: ИКС, 1996. - 238 с. Об информации, информатизации и защите информации:
Федеральный Закон // Российская газета. - 1995. - 22 февраля. -
C.4. Фролов А.В., Фролов Г.В. Глобальные сети
компьютеров. Практическоевведение в Internet, E-mail, FTP, WWW, и HTML,
программирование для Windiws Sockets. - Диалог - МИФИ, 1996. - 283
c. Хоникат Д. Internet Windows 95: Руководство
пользователя / Пер. с англ. В.Неклюдова. - М.: БИНОМ, 1996. - 334
с. Cheswick W.R., Bellovin S.M. Firewalls and Internet
Security: Repelling the Wily Hacker. - Addison-Wesley, 1994. - 275 c.
An Introduction to Computer Security: The NIST
Handbook. Draft. - NationalInstitute of Standards and Technology, Technology
Administration, U.S. Department of Commerce, 1994. - 310
c.
| |
