Проблема несанкционированного доступа
Несанкционированный доступ (НСД) к компьютерной системе может производится с целью:
- чтения и модификации электронных документов, которые обрабатываются в системе;
- осуществления перехвата различной ключевой информации, которая используется для защиты электронных документов;
- использования захваченной компьютерной системы в средства для захвата других компьютеров локальной сети;
- уничтожения хранящейся в компьютерной системе информации или выведения компьютера из строя путем внедрения вредоносного программного обеспечения.
Подобные действия злоумышленник может осуществить с помощью внедрения управляемого программного средства в компьютерную систему. Защита компьютерной системы от несанкционированного доступа является одной из основных проблем защиты информации. С этой целью большинство операционных систем и пакетов программ содержат встроенные подсистемы защиты от НСД (например, аутентификация пользователей при входе в операционную систему Windows). Очевидно, что серьезная защита от НСД не может быть ограничена лишь встроенными средствами операционных систем.
Статья: Защита от несанкционированного доступа к информации
Дополнением к стандартным средствам защиты являются специальные средства ограничения доступа, которые разделяют на 2 вида:
- Ограничение физического доступа.
- Защита от НСД доступа по сети.
Средства ограничения физического доступа
Аппаратные средства защиты информации от НСД, которые начинают свою работу до загрузки операционной системы, предоставляют наиболее надежное ограничение физического доступа к компьютерной системе. Такие средства защиты носят название электронных замков.
В отличие от программных средств контроля доступа, исказить алгоритм работы аппаратного средства защиты практически невозможно. Электронный замок контролирует доступ пользователей с помощью собственной доверенной программной среды, не подверженной внешним воздействиям.
Установку и настройку электронного замка обычно выполняет администратор – ответственное лицо по безопасности. При настройке выполняются следующие действия:
- Создается список пользователей, для которых разрешен доступ на защищаемый компьютер. Список хранится в энергонезависимой памяти электронного замка. Каждому пользователю выдается ключевой носитель (флэш-память, электронная таблетка, смарт-карта и т.д., в зависимости от типа используемого замка), который позволяет аутентифицировать пользователя при входе.
- Формируется список файлов, которые подвергаются особой защите до загрузки операционной системы. Контролю подвергаются особенно важные файлы операционной системы, среди которых:
- системные библиотеки операционной системы;
- исполняемые модули приложений;
- шаблоны текстовых документов и т. д.
При включении компьютера электронный замок получает управление от BIOS и выполняет все действия по контролю доступа на компьютер. При успешном выполнении всех проверок замок передает управление компьютеру для загрузки его операционной системы. Замок имеет свою операционную систему, которая находится в его энергонезависимой памяти (MS-DOS или другая не требовательная к ресурсам ОС), в которой выполняется аутентификация пользователей и проверка целостности файлов. В ней хранится информация о входах пользователей на компьютер и о попытках НСД, которая может быть просмотрена администратором.
Средства защиты от НСД по сети
Наиболее надежные методы защиты от НСД по компьютерным сетям – виртуальные частные сети (VPN – Virtual Private Network) и межсетевое экранирование.
Виртуальными частными сетями обеспечивается автоматическая защита целостности и конфиденциальности сообщений, которые передаются через сети общего пользования (например, Интернет).
VPN можно представить как совокупность сетей, на внешнем периметре которых установлены VPN-агенты.
VPN-агент– это программа (или программно-аппаратный комплекс), которая обеспечивает защиту передаваемой информации, выполняя следующие операции:
- Выделение информации из заголовка IP-пакета о его адресате. Используя полученную информацию, VPN-агент выбирает алгоритм защиты и криптографические ключи для защиты данного пакета.
- Добавление в IP-пакет электронной цифровой подписи (ЭЦП), имитоприставки или аналогичной контрольной суммы.
- Шифрование IP-пакета по выбранному алгоритму.
- Трансляция сетевых адресов.
- Отправка пакета VPN-агенту адресата.
Практически в обратной последовательности производится прием IP-пакета VPN-агентом. Основным правилом построения VPN является осуществление связи между защищенной локальной сетью и общедоступной сетью только через VPN-агенты.
Межсетевое экранирование
Межсетевой экран – программное или программно-аппаратное средство, которое обеспечивает защиту локальных сетей и отдельных компьютеров от НСД со стороны общедоступных сетей с помощью фильтрации двустороннего потока сообщений при обмене информацией.
Межсетевой экран, в отличие от VPN-агента, не выполняет шифрование пакетов и контроль их целостности, но выполняет дополнительные функции:
- антивирусное сканирование;
- контроль корректности пакетов;
- контроль корректности соединений;
- контент-контроль.
Межсетевые экраны, которые выполняют только фильтрацию пакетов, называются пакетными фильтрами.
