Локальные технологии защиты данных

 

Мы рассмотрели технологии защиты данных на путях транспортировки, но инфор­мацию нужно также защищать по месту хранения. В частности, в результате уста­новки непроверенных программ на компьютере может начать бесконтрольно дей­ствовать программа серверного типа. В некоторых случаях подобные «серверы» передают удаленному клиенту информацию, хранящуюся на компьютере, в некоторых случаях они ограничиваются передачей тех данных, которые вводятся с кла­виатуры, включая регистрационные имена пользователей и их пароли, а в некото­рых случаях полностью передают компьютер под управление удаленного терми­нала. Подобные программы называют средствами удаленного администрирования. Взяв под удаленное управление какой-либо компьютер в Сети, злоумышленник - начинает с него атаку на другую «жертву» и так далее. В результате создаются цепочки промежуточных компьютеров, владельцы которых не подозревают, что, действуя через них и от их имени, кто-то может совершать противозаконные дей­ствия. После совершения особо опасных операций злоумышленники разрывают цепочки и «зачищают» на использованных компьютерах протокольные файлы, хра­нящие данные о состоявшихся сеансах связи.

Угроза удаленного администрирования — одна из наиболее очевидных, но это далеко не единственная угроза в Сети. Существует много различных методов и средств для совершения противоправных действий в Интернете. Против одних есть активные средства защиты, против других — только пассивные. Существуют такие виды атак, как шторм запросов, против которых вообще вряд ли возможно найти окончательное техническое средство защиты, если прием и обработка запросов — это естественная функция компьютерной системы. В данном случае основной упор делается не на техническое, а на правовое обеспечение защиты. В большинстве стран мира есть положения уголовного законодательства, предусматривающие наказание за разработку, распространение и применение вредоносных программ­ных средств.

 

► Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, моди­фикации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами — наказываются лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от - двух до пяти месяцев.

Те же деяния, повлекшие по неосторожности тяжкие последствия, — наказываются лишением свободы на срок от трех до семи лет (Ст. 273 УК РФ).

 

Межсетевые защитные экраны (брандмауэры)

 

Самый надежный способ полностью обезопасить компьютер от возможных атак со стороны всемирной сети — физически отключить его от Интернета. По понят­ным причинам этот тривиальный вариант мы рассматривать не будем, но в данном случае для разрешения принципиального противоречия действуют так же, как и во многих других аналогичных ситуациях, — вводят посредника. Таким посредни­ком может быть другой компьютер или специальное программное средство, размещаемое между защищаемым компьютером (локальной сетью) и средой (локаль­ной, глобальной сетью, Интернетом). Подобные аппаратные или программные средства называют брандмауэрами (firewall). В технической отечественной лите­ратуре для них иногда используется термин защитный экран, или межсетевой экран (рис. 10.21).

 

Рис. 10.21. Схема защиты с помощью брандмауэра

Принцип действия брандмауэра. Принцип действия брандмауэра основан на том, что это средство контролирует состояние соединения на уровнях ниже приклад­ного (на уровне соединения, сетевом, транспортном) и, тем самым, способно уло­вить признаки работы несанкционированных средств, незаметно «врезавшихся» со своим виртуальным соединением в систему связи ниже прикладного уровня, подконтрольного пользователю. В частности, брандмауэр способен отследить дея­тельность средств удаленного администрирования. Одновременно брандмауэр может контролировать потоки данных (трафик) и осуществлять их фильтрацию. Настроив брандмауэр соответствующим образом, можно полностью или частично запретить доступ внешних клиентов к службам, находящимся в защищенной области, и, наоборот, запретить внутренним клиентам обращение к службам внешней сети.

Для пояснения сути работы брандмауэра рассмотрим упрощенный пример (рис. 10.22). Допустим, два руководителя предприятий обмениваются письмами. Написав письмо, руководитель передает его секретарю для печати, а секретарь пере­дает письмо курьеру для доставки. В этой системе связи только три уровня: при­кладной (руководитель), уровень представления (секретарь) и физический уровень (курьер).

 

Рис. 10.22. Трехуровневая модель связи — это упрощение по сравнению с семиуровневой моделью OSI, принятой для описания сетевых систем, но и она дает представление о роли и месте брандмауэра в системе обеспечения безопасности

 

Физическая связь существует только между курьерскими службами, однако руко­водители тоже полагают, что между ними есть связь. Она действительно есть, но она виртуальная (опосредованная). Кстати, секретари обоих руководителей тоже могут считать, что они имеют друг с другом виртуальное соединение.

Предположим, что секретари обоих начальников вступили в сговор и, перепеча­тывая их письма, обмениваются информацией между собой. Секретарь отправителя что-то дописывает карандашом в письме, а секретарь получателя стирает то, что было дописано.

Руководители занимают высшие уровни в системе связи и потому они не знают, что их канал используется несанкционированно. Однако об этом очень легко дога­даются курьеры, если им разрешить читать то, что они доставляют. Специальным образом подготовленный курьер может в данном случае дать сигнал руководителю о том, что им обнаружено незарегистрированное соединение. Именно этим и зани­маются брандмауэры.

Совокупность ограничений, накладываемых на сотрудников предприятия в резуль­тате настройки брандмауэра, определяется политикой предприятия в области обес­печения режима сетевой безопасности. За реализацию этой политик отвечает упол­номоченное лицо, обычно — системный администратор.

С работой простейшего программного средства, выполняющего функции бранд­мауэра, программой ATGuard (www.atguard.com), читатель может познакомиться в практическом занятии данной главы. Программа работает в фоновом режиме и занимается проверкой состояния коммуникационных портов. В случае обнаруже­ния попыток использовать тот или иной порт она сообщает о них пользователю, Если коммуникация осуществляется с его ведома, он может разрешить создание ТСР-соединения. В противном случае выдается запрет и предпринимаются меры по идентификации процесса, породившего запрос. Возможно, что запрос пришел снаружи (злоумышленник ищет контакт со средством удаленного администриро­вания путем сканирования коммуникационных портов), а может быть, и изнутри (средство удаленного администрирования уже скрытно работает на компьютере и пытается выйти в Сеть).

 

Прокси-серверы

Прокси-серверы — это программные средства, тоже выполняющие посредничес­кую функцию, но в отличие от брандмауэров это скорее не инспекторы, а диспет­черы. Первоначально прокси-серверы предназначались не для защиты компьютера или локальной сети, а для оптимизации их работы в World Wide Web.

1. Пользователь компьютера адресует запрос в Интернет на поставку определен­ного Web-ресурса, но этот запрос отправляется не в Сеть, а прокси-серверу.

2. Прокси-сервер от своего имени адресует запрос в Интернет на поставку этого Web-ресурса и получает отклик от удаленного сервера.

3. Полученный ресурс прокси-сервер передает на рабочую станцию пользователя.

При этом у пользователя появляются следующие преимущества:

· удаленный сервер не знает точно, от кого поступил запрос: с его точки зрения, он поступил от прокси-сервера (функция анонимизации);

· Web-страницы, проходящие через прокси-сервер, запоминаются на нем (кэшируются), и если какой-то другой пользователь локальной сети хочет обратиться к Web-ресурсу, который недавно принимал его коллега, то он получит его не от удаленного сервера, а от прокси-сервера, что произойдет гораздо быстрее (функция ускорения загрузки);

· элементы Web-страниц, проходящих через прокси-сервер, могут анализиро­ваться и фильтроваться, то есть ненужная информация, например рекламная, может отсеиваться (функция фильтрации);

· за долгое время работы на прокси-сервере накапливаются данные о соответ­ствии доменных имен серверов Интернета и их IP- адресов, благодаря чему при повторном обращении к тем же Web-ресурсам уже не надо искать их IР-адреса в сравнительно медленной иерархической структуре системы DNS (функция ускорения подключения).

Несмотря на то что основное назначение прокси-сервера вроде бы не связано с защитой данных, тем не менее, он таковую защиту обеспечивает. Во-первых, про­кси-сервер может быть настроен администрацией предприятия так, чтобы ограни­чить доступ сотрудников узким кругом Web-ресурсов, необходимых им для испол­нения порученных заданий. Во-вторых, прокси-сервер, как посредник, способен контролировать информационное содержание проходящих через него данных. Он может блокировать файлы и архивы, содержащие компьютерные вирусы, а также сведения, недопустимые по этическим, политическим или религиозным соображе­ниям. И, наконец, прокси-сервер позволяет скрыть внутреннюю структуру и архи­тектуру защищаемой сети от анализа извне. Это очень важный момент, поскольку удаленным атакам на информационные системы, как правило, предшествует предварительное исследование их программного и аппаратного обеспечения. Знание версий программ, обеспечивающих работу локальной сети, позволяет злоумыш­ленникам выявлять их уязвимости и эксплуатировать их с помощью специальных программ — так называемых эксплоитов. Сокрытие сетевой архитектуры от внеш­него наблюдателя — это одно из первичных средств защиты от применения средств информационных атак.

С работой простейшего программного средства, выполняющего функции прокси-сервера, программой interMute, читатель может познакомиться в практическом заня­тии данной главы. Программа работает в фоновом режиме и занимается проверкой содержания поступающих Web-ресурсов. В частности, она позволяет блокировать поступление на компьютер маркеров cookie и анализирует элементы оформления Web-страниц.

 

⇐ Предыдущая25262728293031323334Следующая ⇒

Поделиться:

Популярное:

1. I. Какое из данных утверждений выражает основную идею текста?
2. IDEF1X - методология моделирования данных, основанная на семантике, т.е. на трактовке данных в контексте их взаимосвязи с другими данными.
3. II. Особенности технологии баз и банков данных.
4. II. СПОСОБЫ И ПРИЗНАКИ ИЗМЕНЕНИЯ МАРКИРОВОЧНЫХ ДАННЫХ
5. III. Назначение криптографических методов защиты информации.
6. III. Организация защиты судна от ПДСС, пиратства и морского терроризма.
7. OLAP-технология и многомерные модели данных
8. V. Порядок защиты выпускной квалификационной работы
9. V. Составьте и запишите предложения из данных слов.
10. VII. Проблема личности как таковой. Развитие защиты так называемых прав личности и ее конкретных особенностей
11. VII.2. Процедура публичной защиты дипломной работы
12. Автоматическое заполнение данных