Защита інформації комп'ютерних сетей

Защита інформації комп’ютерних сетей.

1. Міжмережеві экраны.

— Додаткові вимоги до межсетевым екранам першого класу защищенности.

— Додаткові вимоги до межсетевым екранам другого класу защищенности.

— Вимоги до межсетевым екранам п’ятого класу защищенности.

— Розробка політики межсетевого взаимодействия.

— Визначення схеми підключення межсетевого экрана.

— Налаштування параметрів функціонування брандмауэра.

2. Криптография.

1. Міжмережеві экраны.

Загальні требования.

Запропоновані вимоги до будь-якого засобу зашиті інформацією комп’ютерну мережу може бути розбитий ми такі категории:

— функціональні - рішення необхідної сукупності завдань зашиты;

— вимогами з надійності — здібності своєчасно, правильно і коректно виконувати всіх передбачених функції зашиты;

— вимогами з адаптируемости — здатність до цілеспрямованої адаптації за зміни структури, технологічних схем і умов функціонування комп’ютерної сети;

— эргономические — вимогами з зручності адміністрування, експлуатації і мінімізації перешкод пользователям;

— економічні — мінімізація фінансових і ресурсних затрат.

Міжмережеві екрани повинні задовольняти наступним групам більш детальних вимог. По цільовим якостям — забезпечувати безпеку защищаемой внутрішньої сіті й повний контроль над зовнішніми підключеннями і сеансами зв’язку. Міжмережевий екран повинен мати кошти авторизації доступу користувачів через зовнішні підключення. Типовою є ситуація, кагда частина персоналу організації повинна виїжджати, наприклад, у відрядження, й у процесі роботи їм потрібно доступом до деяким ресурсів внутрішньої комп’ютерну мережу організації. Брандмауэр повинен надійно розпізнавати таких користувачів і давати їм необхідні види доступа.

По керованості і гнучкості — мати потужними і гнучкими засобам самонаведення повного впровадження політики безпеки організації. Брандмауэр має забезпечити просту реконфігурацію системи за зміни структури мережі. Якщо в організації є кілька зовнішніх підключень, зокрема й у віддалених філіях, систему управління екранами повинен мати можливість централізовано забезпечувати їм проведення єдиної політики межсетевых взаимодействий.

За продуктивністю й прозорості — працювати досить ефективно і встигати обробляти весь вхідний і вихідний трафік за максимальної навантаженні. Це потрібно, щоб брандмауэр не міг перевантажити велику кількість викликів, що призвели б спричиняє порушення його роботи. Міжмережевий екран повинен працювати непомітно для користувачів локальної мережі і ускладнювати виконання ними легальних дій. Інакше користувачі намагатимуться будь-що обійти встановлені рівні защиты.

По самозащищенности — мати властивістю самозахисту від будь-яких несанкціонованих впливів. Оскільки міжмережевий екран є і ключем двері до конфіденційної комп’ютерної інформації у створенні, він має блокувати будь-яким спробам несанкціонованого зміни його параметрів настройки, і навіть включати розвинені кошти самоконтролю свого майна і сигналізації. Кошти сигналізації мають забезпечувати своєчасне повідомлення служби безпеки для виявлення любі* несанкціонованих дій, і навіть порушенні працездатності межсетевого экрана.

Нині загальновживаним підходом побудувати критеріїв оцінки коштів інформаційно-комп'ютерної безпеки є використання сукупності належним чином упорядкованих якісних вимог до підсистемам захисту, їхньої ефективності та ефективності реалізації. Такий підхід витриманий й у керівному документі Гостехкомиссии Росії, де встановлюється класифікація межсетевых екранів за рівнем захищеності від несанкціонованого доступу до інформації. Ця класифікація побудовано базі переліку показників захищеності і сукупності що описують їх требований.

Показники захищеності застосовуються до брандмауэрам визначення рівня захищеності, що вони забезпечують при межсетевом взаємодії. Конкретні переліки показників визначають класи межсетевых екранів по забезпечувана захищеності комп’ютерних мереж. Розподіл брандмауэров на відповідні класи за рівнями контролю межсетевых інформаційних потоків необхідна за цілях розробки і прийняття обгрунтованих й економічно виправданих заходів для досягненню необхідної ступеня захисту при межсетевых взаимодействиях.

Встановлюється п’ять класів межсетевых екранів за показниками захищеності. Найнижчий клас захищеності — п’ятий, застосовуваний для безпечного взаємодії автоматизованих систем класу 1Д із зовнішнього середовищем, четвертий — для 1 Г, третій — 1 В, другий — 1Б, найвищий — перший, застосовуваний для безпечного взаємодії автоматизованих систем класу 1А із зовнішнього середовищем. При включенні брандмауэра в автоматизовану систему (АС) певного класу захищеності, клас захищеності сукупної системи, отриманою з вихідної шляхом додавання в неї межсетевого екрана, ні знижуватися. Для АС класу ЗБ, 2Б повинні застосовуватися брандмауэры не нижче 5-го класу. Для АС класу ЗА, 2А в залежність від важливості оброблюваної інформації слід застосовувати брандмауэры наступних классов:

— при обробці інформації з «таємно «— не нижче 3-го класса;

— при обробці інформації з «цілком таємно «— не нижче 2- го класса;

— при обробці інформації з «особливої ваги ». — не нижче 1-го класса.

Пригадаємо, що згідно з керівним документом Гостехкомиссии Росії, встановлюється дев’ять класів захищеності АС від несанкціонованого доступу до інформації. Кожен клас характеризується певної мінімальної сукупністю вимог щодо захисту. Класи поділяються втричі групи, відмінні особливостями обробки інформацією АС. У межах кожної групи дотримується ієрархія вимог захисту залежно від цінності (конфіденційності) інформації та, отже, ієрархія класів захищеності АС. Клас, відповідний вищого рівня захищеності для цієї групи, позначається індексом NA, де N — номер групи від 1 до 3. Наступний клас позначається NБ тощо. д.

Третю групу включає АС, де працює один користувач, допущений до всієї необхідної інформації АС, розміщеної на носіях рівня конфіденційності. Ця група містить два класу ЗБ і ЗА. Друга група включає АС, у яких користувачі мають однакові права доступу (повноваження) до всієї необхідної інформації АС, оброблюваної і/або береженої на носіях різного рівня конфіденційності. Ця група містить два класу 2Б і 2А. Перша група включає многопользовательские АС, у яких одночасно обробляється і/або зберігається інформація різних рівнів конфіденційності і все користувачі заслуговують доступу до всієї інформації АС. Ця група містить п’ять класів 1Д, 1 Г. 1 В, 1Б і 1А.

Додаткові вимоги до межсетевым екранам першого класу защищенности.

Ідентифікація, а аутентификация. Додатково міжмережевий екран повинен забезпечувати ідентифікацію і аутентификацию усіх суб'єктів прикладного рівня. Адміністрування; ідентифікація і аутентификация. Міжмережевий екран має забезпечити ідентифікацію і аутентификацию адміністратора за його запитах на доступ. Міжмережевий екран зобов’язаний надавати змога ідентифікації і аутентифікації по биометрическим характеристикам чи спеціальним пристроям (жетонам, картам, електронним ключам) і паролю тимчасового дії. Міжмережевий екран повинен перешкоджати доступу неідентифікованого суб'єкта чи суб'єкта, справжність ідентифікації якого за аутентифікації не підтвердилася. При віддалених запитах на доступ адміністратора ідентифікація і аутентификация мають забезпечувати методами, стійкими до пасивному й активному перехоплення информации.

Адміністрування: простота використання. Багатокомпонентний міжмережевий екран має забезпечити можливість централізованого управління своїми компонентами, зокрема, конфигурирования фільтрів, перевірки взаємну узгодженість всіх фільтрів, аналізу реєстраційної інформації. Має бути передбачено графічний інтерфейс керувати межсетевым экраном.

Цілісність. Міжмережевий екран мусить мати засоби контролю над цілісністю своєї програмної й інформаційної частини по контрольним сумам атестованого алгоритму як у процесі завантаження, і динамічно. Тестування. У межсетевом екрані додатково повинна забезпечуватися можливість регламентного тестування процесу централізованого управління компонентами брандмауэра і графічного інтерфейсу для управління межсетевым екраном. Тестова документація. Повинна утримувати опис тестів та клінічних випробувань, яким піддавався міжмережевий екран, і результати тестирования.

Конструкторська (проектна) документація. Додатково документація повинна містити опис графічного інтерфейсу керувати межсетевым экраном.

Додаткові вимоги до межсетевым екранам другого класу защищенности.

Додаткові вимоги до межсетевым екранам другого класу захищеності Управління доступом. Міжмережевий екран додатково повинен обеспечивать:

— можливість приховування суб'єктів (об'єктів) і/або прикладних функцій защищаемой сети;

— можливість трансляції мережевих адресов.

Реєстрація. Додатково міжмережевий екран повинен обеспечивать:

— дистанційну сигналізацію спроб порушення правил фильтрации;

— реєстрацію й облік потрібних сервісів прикладного уровня;

— программируемую реакцію на події у межсетевом экране.

Адміністрування: ідентифікація і аутентификация. Міжмережевий екран повинен надавати можливість йдучи ідентифікації і аутентифікації по ідентифікатору (коду) і паролю тимчасового дії. Брандмауэр повинен перешкоджати доступу ^ідентифіковану суб'єкта чи суб'єкта, справжність ідентифікації якою при аутентифікації не підтвердилася. При віддалених запитах на доступ адміністратора ідентифікація і аутентификация мають забезпечувати методами, стійкими до пассив-нону і активному перехоплення информации.

Цілісність. Міжмережевий екран мусить мати засоби контролю над цілісністю своєї програмної й інформаційної частини по контрольним сумам як у процесі завантаження, і динамічно. відновлення. Міжмережевий екран має передбачати процедуру відновлення після збоїв і заперечень устаткування, які повинні гарантувати оперативне відновлення властивостей брандмауэра. Тестування. У межсетевом екрані повинна забезпечуватися можливість регламентного тестирования:

— реалізації правил фильтрации;

— процесу регистрации;

— процесу ідентифікації і аутентифікації запросов;

— процесу ідентифікації і аутентифікації администратора;

— процесу реєстрації дій администратора;

— процесу контролю над цілісністю програмної й інформаційної частини межсетевого экрана;

— процедури восстановления.

Тестова документація. Повинна утримувати опис тестів та клінічних випробувань яким піддавався міжмережевий екран, і вивести результати тестирования.

Вимоги до межсетевым екранам п’ятого класу защищенности.

Управління доступом. Міжмережевий екран має забезпечити фільтрацію на мережному рівні. Рішення в фільтрації може прийматися кожному за мережного пакета незалежно з урахуванням, по крайнього заходу, мережевих адрес відправника і одержувача чи основі інших еквівалентних атрибутов,.

Адміністрування: ідентифікація і аутентификация. Міжмережевий екран має забезпечити ідентифікацію і аутентификацию адміністратора за його локальних запитах на доступ. Брандмауэр повинен надавати можливість для ідентифікації і аутентифікації по ідентифікатору (коду) і паролю условно-постоянного действия.

Адміністрування: реєстрація. Міжмережевий екран має забезпечити реєстрацію входа/выхода адміністратора до системи (із системи), і навіть події завантаження і ініціалізації системи та її програмного зупинки. Реєстрація виходу із системи не проводиться в моменти апаратурного відключення брандмауэра. У параметрах реєстрації повинні указываться:

— дата, час і код реєстрованого события;

— результат спроби здійснення реєстрованого події — успішна чи неуспешная;

— ідентифікатор адміністратора МЕ, пред’явлений під час спроби здійснення реєстрованого события.

Цілісність. Міжмережевий екран мусить мати засоби контролю над цілісністю своєї програмної й інформаційної частини. Відновлення. Міжмережевий екран має передбачати процедуру відновлення після збоїв і заперечень устаткування, які повинні гарантувати відновлення властивостей МЕ. Тестування. У межсетевом екрані повинна забезпечуватися можливість регламентного тестирования:

— реалізації правил фильтрации;

— процесу ідентифікації і аутентифікації администратора;

— процесу реєстрації дій администратора;

— процесу контролю над цілісністю програмної й інформаційної частини межсетевого экрана;

— процедури восстановления.

Керівництво адміністратора межсетевого екрана. Документ повинен содержать:

— опис контрольованих функцій брандмауэра;

— посібник з їх настроюванні і конфигурированию межсетевого экрана;

— опис старту брандмауэра і процедур перевірки вмотивованості старта;

— посібник з процедурі восстановления.

Тестова документація. Повинна утримувати опис тестів та клінічних випробувань, яким піддавався міжмережевий екран, й одержують результати тестування. Конструкторська (проектна) документація. Повинна содержать:

— загальну схему межсетевого экрана;

— загальне опис засад роботи брандмауэра;

— опис правил фильтрации;

— опис засобів і процесу ідентифікації і аутентификации;

— опис засобів і процесу регистрации;

— опис засобів і процесу контролю над цілісністю програмної і інформаційної частини межсетевого экрана;

— опис процедури відновлення властивостей брандмауэра.

Розробка політики межсетевого взаимодействия.

Політика межсетевого взаємодії є частиною політики безпеки у створенні, що визначає вимоги до гарантування безпеки інформаційного обміну з зовнішнім світом. Дані вимоги обов’язково мають відображати два аспекта:

— політику доступу до мережним сервисам;

— політику роботи межсетевого экрана.

Політика доступу до мережним сервісів визначає правила надання і навіть використання всіх можливих сервісів защищаемой комп’ютерну мережу. Відповідно, у рамках даної політики повинні прагнути бути задано всі сервіси, надані через мережевий екран, і допустимі адресу; клієнтів для кожного сервісу. З іншого боку, мають бути зазначені правша для користувачів, описують, що й які користувачі яким сервісом на якому комп’ютері можуть скористатися. Окремо визначають правила аутентифікації користувачів і комп’ютерів, і навіть умови роботи користувачів поза локальної мережі организации.

Політика роботи межсетевого екрана задає базовий принцип управління межсетевым взаємодією, призначений основою функционирований брандмауэра. Можливо обраний одне із дві такі принципов:

— заборонено усе, що року разрешено;

— дозволено усе, що року запрещено.

Залежно від вибору, рішення може з’явитися як і користь безпеки на шкоду зручності використання мережевих сервісів, і навпаки У першому випадку міжмережевий екран може бути сконфигурирован таким чином, щоб блокувати будь-які року дозволені міжмережеві взаємодії. З огляду на, що така підхід дає змогу адекватно реалізувати принцип мінімізації привілеїв, він, з погляду безпеки, є найкращим. Тут адміністратор зможе через забудькуватість залишити дозволеними будь-які повноваження, оскільки за вмовчанням вони заборонені. Доступні зайві сервіси можна використовувати на шкоду безпеки, що особливо притаманно закритого і найскладнішого програмного забезпечення, у якому можуть бути різні помилки і некоректності. Принцип «заборонено усе, що року дозволено », по суті є визнанням факту, що незнання може заподіяти вред.

При виборі принципу «дозволено усе, що року заборонено «міжмережевий екран налаштовується в такий спосіб, щоб блокувати лише явно заборонені міжмережеві взаємодії. І тут підвищується зручність використання мережевих сервісів із боку користувачів, але знижуєте безпеку межсетевого взаємодії. Адміністратор може і все дії, заборонених користувачам. Він має працювати режимі реагування, передбачаючи і забороняючи ті міжмережеві взаємодії, які негативно впливає на безпеку сети.

Визначення схеми підключення межсетевого экрана.

Для підключення межсетевых екранів можна використовувати різні схеми, які залежить від умов функціонування, і навіть кількості мережевих інтерфейсів брандмауэра.

Брандмауэры з однією мережним інтерфейсом недостатньо ефективні і з погляду безпеки, і з позицій зручності конфигурирования. Вони фізично не розмежовують внутрішню й зовнішню мережі, відповідно не можуть забезпечити надійний захист межсетевых взаємодій. Налаштування таких межсетевых екранів, і навіть що з ними маршрутизаторів є досить складне завдання, єна вирішення якої перевищує вартість заміни брандмауэра з однією мережним інтерфейсом на брандмауэр з двома чи трьома мережними інтерфейсами. Тому розглянемо лише схеми підключення межсетевых екранів з цими двома й трьома мережними інтерфейсами. При цьому защищаемую локальну мережу розглядатимемо її як сукупність закритій тюрмі та відкритої подсетей. Тут під відкритої підмережею розуміється подсеть, доступом до яку з боку потенційно ворожої зовнішньої мережі можна повністю чи частково відкритий. Відкрито подсеть можуть, наприклад, входити загальнодоступні WWW-. FTPі SMTP-серверы, і навіть термінальний сервер з модемним пулом.

Серед безлічі можливих схем підключення брандмауэров типовими є следующие:

— схема єдиної захисту локальної сети;

— схема з защищаемой закритій тюрмі та не защищаемой відкритої подсетями;

— схема з роздільної зашитої закритій тюрмі та відкритої подсетей.

Схема єдиної зашиті локальної мережі є найпростішим рішенням, у якому брандмауэр повністю екранує локальну мережу від потенційно ворожої зовнішньої мережі. Між маршрутизатором і брандмауэром є лише одне шлях, яким йде весь трафік. Зазвичай маршрутизатор налаштовується в такий спосіб, що брандмауэр єдина видимої зовні машиною. Відкриті сервери, що входять до локальну мережу, також будуть захищені межсетевым екраном. Проте об'єднання серверів, доступних з зовнішньої мережі, разом з іншими ресурсами защищаемой локальної мережі істотно знижує безпеку межсетевых взаємодій. Тому цю схему підключення брандмауэра можна використовувати лише за відсутність локальної мережі відкритих серверів чи коли наявні відкриті сервери робляться доступними із зовнішнього мережі лише обмеженої кількості користувачів, яких можна доверять.

За наявності складі локальної мережі загальнодоступних відкритих серверів їх доцільно винести як відкриту подсеть до межсетевого екрана. Цей спосіб володіє більш як високої захищеністю закритій його частині локальної мережі, але забезпечує знижену безпеку відкритих серверів, розташованих до межсетевого екрана. Деякі брандмауэры дозволяють розмістити ці сервери у собі. Але така рішення перестав бути найкращим з погляду завантаження комп’ютера та безпеки самого брандмауэра. Виходячи із зазначеного, можна дійти невтішного висновку, що схему підключення брандмауэра з защищаемой закритою підмережею і защищаемой защищаемой відкритої підмережею доцільно використовувати лише за невисоких вимогах за безпеку до відкритої подсети.

У разі, коли до гарантування безпеки відкритих серверів пред’являються підвищені вимоги, необхідно використовувати схему з роздільної захистом закритій тюрмі та відкритої подсетей. Така схема то, можливо побудовано основі одного брандмауэра із трьома мережними інтерфейсами чи основі двох брандмауэров з цими двома мережними інтерфейсами. У обох випадках доступом до відкритими і закритою подсетям локальної мережі можлива лише через міжмережевий екран. У цьому доступом до відкрито мережі Демшевського не дозволяє здійснити доступом до закритою подсети.

З двох схем велику ступінь безпеки межсетевых в: дій забезпечує схема з цими двома брандмауэрами, кожен із кс утворює окремий ешелон захисту закритою подсети. Що Захищається відкрита подсеть тут виступає як экранирующей подсети. Зазвичай экранирующая подсеть конфигурируется в такий спосіб, щоб o6ecпечить доступом до комп’ютерів подсети що з потенційно ворожої зовнішньої мережі, що з закритою подсети локальної мережі. Проте прямий обмін інформаційними пакетами між зовнішньої мережею і закритою підмережею невозможен.

При атаці системи з экранирующей підмережею мусять бути подоланими, по крайнього заходу, дві незалежні лінії зашиті, що дуже складним завданням. Кошти моніторингу стану межсетевых екранів практично неминуче знайдуть таку спробу, і адміністратор системи своєчасно зробить необхідне для запобігання несанкціонованого доступа.

Слід звернути увагу, робота віддалених користувачів, подключаемых через комутовані лінії зв’язку, також має контролюватися відповідно до політикою безпеки, яку проводять у організації. Типове що завдання — установка серверу віддаленого доступу 1терминального серверу), який має необхідних функціональними можливостями, наприклад, термінального серверу Annex компанії Bay Networks. Термінальний сервер є системою з кількома асинхронними портами і одного інтерфейсом локальної мережі. Обмін інформацією між асинхронними портами і локальної мережею відбувається лише після відповідної аутентифікації зовнішнього пользователя.

Підключення термінального серверу має здійснюватися в такий спосіб, що його робота виконувалася лише крізь міжмережевий ек Це дозволить досягти необхідного ступеня безпеки під час роботи віддалених користувачів з інформаційними ресурсами організації. Таке підключення можливо, якщо термінальний сервер включити у складі or-крытой подсети при використанні схем підключення брандмауэра з роздільної захистом відкритими і закритою подсетей (рис- 2.20 і 2.21).

Програмне забезпечення термінального серверу має надавати можливості адміністрування і місцевого контролю сеансів зв’язку через коммутируемы; канали. Модулі управління сучасних термінальних серверів мають досить просунуті можливості забезпечення безпеки самого серверу і розмежування доступу клієнтів, виконуючи такі функции:

— використання локального пароля на доступом до послідовному порт на віддалений доступ за протоколом РРР, і навіть для доступу до адміністративної консоли;

— використання запиту на аутентификацию з якоюсь машини локальної сети;

— використання зовнішніх коштів аутентификации;

— установку списку контролю доступу на порти термінального сервера;

— протоколювання сеансів зв’язку через термінальний сервер.

Налаштування параметрів функціонування брандмауэра.

Міжмережевий екран є програмно-апаратний комплекс зашиті, що з комп’ютера, і навіть функціонуючих у ньому ОС (ОС) і спеціального програмного забезпечення. Слід відзначити, що цього спеціального програмне забезпечення часто також називають брандмауэром.

Комп’ютер брандмауэра має бути досить потужним робота як фізично захищеною, наприклад, перебувати у спеціально відведеному і охоронюваному приміщенні. З іншого боку, він має мати засоби захисту від завантаження ОС з несанкціонованого носителя.

Операційна система брандмауэра також має задовольняти ряду требований:

— мати кошти розмежування доступу до ресурсів системы;

— блокувати доступом до комп’ютерним ресурсів оминаючи наданого програмного интерфейса;

— забороняти привілейований доступом до своїм ресурсів з локальної сети;

— утримувати кошти мониторинга/аудита будь-яких адміністративних действий.

Наведених вимогам задовольняють різні різновиду ОС UNIX, і навіть Microsoft Windows NT. Після установки на комп’ютер брандмауэра обраної ОС, її конфигурирования, і навіть інсталяції спеціального програмного забезпечення можна братися до настроюванні параметрів функціонування всього межсетевого екрана. Цей процес відбувається включає такі этапы:

— вироблення правил роботи межсетевого екрана відповідно до розробленої політикою межсетевого взаємодії і опис правив у інтерфейсі брандмауэра;

— перевірку заданих правил на непротиворечивость;

— перевірку відповідності параметрів настройки брандмауэра розробленої політиці межсетевого взаимодействия.

Формована першому етапі база правил роботи межсетевого екрана є формалізоване відбиток розробленої політикою межсетевого взаємодії. Компонентами правил є захищені об'єкти, користувачі і сервисы.

До захищуваних об'єктів можуть входити звичайні комп’ютери з однією мережним інтерфейсом, шлюзи (комп'ютери з кількома мережними інтерфейсами), маршрутизатори, мережі, сфері управління. Захищені об'єкти можуть об'єднуватись у групи. Кожен об'єкт має набір атрибутів, як-от мережевий адресу, маска подсети тощо. п. Частина атрибутів слід поставити вручну, інші беруться автоматично з інформаційних баз, наприклад NIS/NIS+, SNMP M1B, DNS. Слід звернути увагу до необхідність повний опис об'єктів, оскільки переконатися у коректності заданих правил екранізування можна тільки тоді, коли визначено мережні інтерфейси шлюзів і маршрутизаторів. Таку інформацію можна отримати роботу автоматично від SNMP-агентов.

При описі правил роботи межсетевого екрана користувачі наділяються вхідними іменами та об'єднують у групи. Для користувачів вказуються допустимі вихідні і цільові мережні адреси, діапазон дат і часу роботи, і навіть схеми і Порядок аутентификации.

Визначення набору використовуваних сервісів виконується з урахуванням вбудованої в дистрибутив брандмауэра бази даних, має значний набір TCP/IP сервісів. Нестандартні сервіси можуть задаватися вручну з допомогою спеціальних атрибутів. Перш ніж вказувати сервіс при завданні жид, необхідно визначити її властивості. Сучасні брандмауэры містять попередньо підготовлені визначення всіх стандартних TCP/IP-сервисов, розбитих чотирма категорії — TCP, UDP, RPC, ICMP.

Сервіси TCP є повністю контрольованими сервісами, оскільки надаються й закони використовують з урахуванням легко діагностованих віртуальних соединений.

Сервіси UDP традиційно важкі для фільтрації, оскільки фаза встановлення віртуального сполуки відсутня, як і контекст діалогу між клієнтом і сервером. Брандмауэр може сам обраховувати цей контекст, відстежуючи все UDP-пакеты, які перетинають міжмережевий екран обох напрямах, і асоціюючи запити з відповідями ними. У результат виходить аналог віртуального сполуки для дейтаграммного протоколу, а всі спроби нелегального встановленні подібного сполуки, як і дейтаграммы, такі поза встановлених сполук, обробляють™ в відповідність до встановленої політикою межсетевого взаимодействия.

RPC-сервисы складні для фільтрації через змінних номерів використовуваних портів. Брандмауэры відстежують RPC-трафик, вишукуючи запити до функції PORTMAPPER і отримуючи з відповідей виділені номери портов.

Протокол ICMP використовується самим IP-протоколом до відправки контрольних повідомлень, інформацію про помилках, і навіть для тестування цілісності мережі. Для ICMP протоколу немає концепція портів. У ньому використовують числа від 0 до 255 для вказівки типу сервісу, які разом: адресами і беруться до контролі межсетевого взаимодействия.

Коли база правил сформована, вона перевіряється на несуперечність. Це дуже важлива річ, особливо розвинених, багатокомпонентних мережевих конфігурацій зі складною політикою межсетевого взаємодії. Без такої можливості адміністрування межсетевого екрана неминуче призвело б до численним помилок і творення слабкостей. Перевірка сформованих правил на несуперечність виконується автоматично. Виявлені неоднозначності мають бути усунуті шляхом редагування суперечливих правил. Після визначення правив і усунення помилок від адміністратора можуть знадобитися додаткові дії з компіляції та встановлення фільтрів і посередників. Більшість брандмауэров після формування бази правил виконують процес остаточної настройки автоматически.

Перевірка відповідності параметрів настройки брандмауэра розробленої політиці межсетевого взаємодії може виконуватися з урахуванням аналізу протоколів роботи межсетевого екрана. Однак найбільша результативність такої перевірки буде досягнуто під час використання спеціалізованих систем аналізу захищеності мережі. Найяскравішим представником таких систем є пакет програм Internet Scanner SAFEsuite компанії Internet Security Systems.

Яка Входить у складі даного пакета підсистема FireWall Scanner забезпечує пошук слабких місць у конфігурації межсетевых екранів телевізорів і надає рекомендації з їхньої корекції. Пошук слабких місць складає основі перевірки реакції межсетевых екранів різні типи спроб порушення безпеки. У цьому виконується сканування всіх мережевих сервісів, доступом до яких здійснюються через міжмережевий екран. Для постійного полдержания високого рівня безпеки мережі FireWall Scanner рекомендується зробити частиною установки межсетевого экрана.

При їх настроюванні межсетевого екрана слід, що як будь-яке інше засіб, вона може захистити від некомпетентності адміністраторів і користувачів. Несанкціоновані проникнення захищені мережі можуть статися, наприклад, через вибору легко вгадуваного пароля. Экранирующая система має не захищає також від нападу по не контрольованим нею різноманітних каналах зв’язку. Якщо між потенційно ворожої зовнішньої мережею і защищаемой внутрішньої мережею є неконтрольований канал, то брандмауэр зможе захистити від атаки нього. Це саме можна сказати і до телефонним каналам передачі. Якщо модем дозволяє підключитися всередину защищаемой мережі оминаючи межсетевого екрана, то захист буде зруйнована. Тут варто згадати основний принцип захисту — система безпечна настільки, наскільки безпечно її саму незахищене ланка. Тому необхідно, щоб экранирующая система контролювала все канали передачі інформації між внутрішньої і до зовнішньої сетью.

2. Криптография.

Проблема захисту шляхом її перетворення, виключає її прочитання стороння особа хвилювала людський розум з давнини. Історія криптографії - ровесниця історії людського мови. Понад те, спочатку писемність як така була криптографічного системою, позаяк у древніх суспільствах нею володіли лише обрані. Священні книжки Давнього Єгипту, Стародавньої Індії тому примеры.

З значним поширенням писемності криптографія стала формуватися як самостійна наука. Перші криптосистемы зустрічаються вже на початку нашої ери. Так, Цезар у своїй листуванні використовував вже зібрано понад менш систематичний шифр, який одержав його имя.

Бурхливий розвиток писав криптографічні системи отримали роки першою і другий світових війн. Починаючи з повоєнного часу й по сьогодення поява обчислювальних коштів прискорило розробку й вдосконалення криптографічних методов.

Писав Криптографічні засоби захисту інформацією автоматизованих системах можна застосовувати як захисту, оброблюваної в ЕОМ чи що зберігається у різних типів ЗУ, так закриття інформації, переданої між різними елементами системи з лініях зв’язку. Криптографічне перетворення як засіб попередження несационированного доступу до інформації має багатовікову історію. У час розроблено велику колличество різних методів шифрування, створено теоретичні і практичні основи їхньої застосування. Які кількість цих методів то, можливо успішно використано й у закриття інформації. Під шифруванням у цьому едаваемых повідомлень, зберігання інформації (документів, баз даних) на носіях в зашифрованому виде.

Чому проблема використання криптографічних методів у інформаційних системах (ІВ) стала зараз особливо актуальна?

З одного боку, розширилося використання комп’ютерних мереж, в частковості глобальної Інтернету, якими передаються більше об'ємів інформації державного, військового, комерційного та приватного характеру, не допускає можливість доступу до неї сторонніх лиц.

З іншого боку, поява нових потужних комп’ютерів, технологій мережевих і нейронних обчислень прискорило дискредитацію криптографічних систем не так давно вважалися мало раскрываемыми.

Проблемою захисту шляхом її перетворення займається криптология (kryptos — таємний, logos — наука). Криптология поділяється на два напрями — криптографію і криптоанализ. Цілі цих напрямів прямо противоположны.

Криптографія займається пошуком і дослідженням математичних методів перетворення информации.

Сфера інтересів криптоанализа — дослідження можливості расшифровывания інформації не повідомляючи ключей.

Сучасна криптографія включає у собі чотири великих раздела:

1. Симетричні криптосистемы.

2. Криптосистемы з відкритою ключом.

3. Системи електронної подписи.

4. Управління ключами.

основні напрями використання криптографічних методів — передача конфіденційної комп’ютерної інформації каналами телефонного зв’язку (наприклад, електронна пошта), встановлення дійсності переданих повідомлень, зберігання інформації (документов, баз даних) на носіях в зашифрованому виде.

Писав Криптографічні засоби захисту інформацією автоматизованих системах можна застосовувати як захисту, оброблюваної в ЕОМ чи що зберігається у різних типів ЗУ, так закриття інформації, переданої між різними елементами системи з лініях зв’язку. Криптографічне перетворення як засіб попередження несационированного доступу до інформації має багатовікову історію. У час розроблено велику колличество різних методів шифрування, створено теоретичні і практичні основи їхньої застосування. Які кількість цих методів то, можливо успішно використано й у закриття информации.

Отже, криптографія дає можливість перетворити інформацію таким чином, що її прочитання (відновлення) можливе лише за знанні ключа.

Як інформації, підлягає шифруванню і дешифрованию, будуть розглядатися тексти, побудовані на деякому алфавіті. Під цими термінами розуміється следующее.

Алфавіт — кінцеве безліч що використовуються кодування інформації знаков.

Текст — упорядкований набір з елементів алфавита.

Для прикладу алфавітів, які у сучасних ІВ можна привести такі: алфавіт Z33 — 32 літери російського алфавіту і прогалину; алфавіт Z256 — символи, що входять до стандартні коди ASCII і КОИ-8; бінарний алфавіт — Z2 = {0,1}; восьмеричний алфавіт чи шестнадцатеричный алфавит;

Шифрування — преосвітній процес: вихідний текст, що має також назва відкритого тексту, замінюється шифрованим текстом.

Дешифрування — зворотний шифруванню процес. За підсумками ключа шифрований текст перетворюється на исходный.

Рис. 1. Процедура шифрування файлов.

Ключ — інформація, необхідна для безперешкодного шифрування і дешифрування текстов.

Криптографічна система є сімейство T перетворень відкритого тексту. Члени цього сімейства індексуються, чи позначаються символом k; параметр k є ключем. Простір ключів K — це набір можливих значень ключа. Зазвичай ключ є послідовний ряд літер алфавита.

Криптосистемы поділяються на симетричні і з відкритою ключом.

У симетричних криптосистемах й у шифрування, й у дешифрування використовується і той ж ключ.

У системах з відкритою ключем використовуються два ключа — відкритий і закритий, які математично пов’язані один з одним. Інформація шифрується з допомогою відкритого ключа, що доступний всім бажаючим, а розшифровується з допомогою закритого ключа, відомого лише одержувачу сообщения.

Терміни розподіл ключів і управління ключами ставляться до процесам системи обробки інформації, змістом якого є впорядкування і розподіл ключів між пользователями.

Електронної (цифровий) підписом називається присоединяемое до тексту його криптографічне перетворення, що дозволяє і при отриманні тексту іншим користувачем перевірити авторство та істинність сообщения.

Криптостойкостью називається характеристика шифру, що його стійкість до дешифрованию не повідомляючи ключа (тобто. криптоанализу). Є кілька показників криптостойкости, серед яких: кількість всіх можливих ключів; середнє час, необхідне криптоанализа.

Перетворення Tk визначається відповідним алгоритмом і значенням параметра k. Ефективність шифрування з метою захисту інформації залежить від збереження таємниці ключа і криптостойкости шифра.

Процес криптографічного закриття даних може здійснюватися як програмно, і апаратно. Апаратна реалізація відрізняється істотно більшої вартістю, проте їй властиві й переваги: висока продуктивність, простота, захищеність тощо. Програмна реалізація практичніша, допускає відому гнучкість в использовании.

Для сучасних криптографічних систем захисту сформульовані такі узвичаєні вимоги: зашифроване повідомлення має піддаватися читання лише за наявності ключа; кількість операцій, необхідні визначення використаного ключа шифрування за фрагментом шифрованого повідомлення й відповідного йому відкритого тексту, має не менше числа можливих ключів; кількість операцій, необхідні расшифровывания інформації шляхом перебору різноманітних ключів повинен мати сувору нижню оцінку й виходити за межі можливостей сучасних комп’ютерів (з урахуванням можливості використання мережевих обчислень); знання алгоритму шифрування на повинен проводити надійність захисту; незначне зміна ключа має спричинить суттєвого зміни виду зашифрованого повідомлення навіть за використанні однієї й тієї ж ключа; структурні елементи алгоритму шифрування повинні прагнути бути незмінними; додаткові біти, запроваджувані в повідомлення процесі шифрування, повинен цілком і надійно приховані в шифрованому тексті; довжина шифрованого тексту мусить бути рівної довжині вихідного тексту; повинно бути і легко встановлюваних залежністю між ключами, послідовно які у процесі шифрування; будь-який ключ з багатьох можливих має забезпечити надійний захист інформації; алгоритм повинен допускати як програмну, і апаратну реалізацію, у своїй зміна довжини ключа на повинен провадити до якісному погіршення алгоритму шифрування. ———————————- шифрований текст.

вихідний текст.

Криптографічна система.

КЛЮЧ.