kiev-security.org.ua-Защита информационных систем.Средства защиты локальных сетей

ПОСТАНОВКА ПРОБЛЕМЫ... Современные популярные и доступные широкому кругу украинских пользовалетей персональные компьютеры, в действительности не обеспечивают безопасность информации, поскольку любой, кто имеет доступ к компьютеру может изменять, читать или копировать данные. Изначально ПК были созданы для решения бытовых и оффисных задач и не предназначались для обработки секретной или конфедециальной информации. Проблема заключается в том, что подробно описанная в литературе архитектура используемых платформ, открытая и хорошо документированные MS-DOS и другие опреционные системы не позволяют системными методами вводить ограничения на пользование ресурсами компьютера (оперативной памятью, дисками, принтерами и так далее), как это делается при использовании мэйнфреймов. Локальные сети содержат ценную для посторонних информацию, которую свыгодой для себя могут использовать даже ваши собственные сотрудники. Поэтому нет никаких резонов наивно оставлять ваши локальные сети без присмотра и в то же время есть масса причин, чтобы защитить их. Хотя большинство пользователей ПК и локальных сетей не пытаются преодолеть защиту, администратор не должен полагаться на их хорошее поведение. В конце концов, возможно, уже в самое ближайшее время локальные сети Украины потребуют серьезной защиты информации, обрабатываемой в них. В течение многих лет само выражение "защита локальных сетей" во многом выглядело лишенным смысла. Это давало повод администраторам мэйнфреймов, знакомым с закрытым миром вычислений на базе хост-систем, критиковать локальные сети за недостаточную защиту. Следует признать, что в качестве базового уровня в Украине применяются персональные компьютеры (ПК) и созданные на их основе локальные и распределенные вычислительные сети, причем в силу мнимой экономии денежных средств, по этому пути идут как коммерческие , так и государственные организации. В результате для достижения своих целей приходится тратить неоправданно большие средства на организацию защиты ценной и важной информации, обрабатываемой с помощью дешевой техники. В такой ситуации, когда пользователи имеют доступ к нескольким серверам, базам данных и даже обладают правами удаленной регистрации, защита настолько усложняется, что ее создание становится не по карману даже "крутым" фирмам. ВАРИАНТ РЕШЕНИЯ ПРОБЛЕМЫ... Как считает администратор по продуктам защиты сетевого подразделения компании IBM Вийя Ахайя (Vijay Ahuja), будущее систем защиты - это централизованное управление и единственные "точки выхода" для пользователей. Сервер санкционирования или единый сервер паролей содержит не только БД паролей, но также ограничения прав и дступа. В таких централизованных системах администратор может управлять доступом и проверкой полномочий из одного пункта. Таким образом единственный способ обеспечить безопасность компъютерных сетей - это заставить все средства защиты работать как единое целое. Программа позволит сотрудникам, отвечающим за защиту информации, сосредоточить все средства на одной рабочей станции, которую можно будет предоставлять для доступа под жестким контролем. Программа включает общий набор средств для защиты распределенных ресурсов и одновременно позволяет работать с прежней системой. Надо отметить , что программы подобного типа разрабатываются ведущими фирмами. Например программа NetSP фирмы IBM продается с 25 января 1995 года. Цена лицензии на 50 пользователей составляет 7008 долл. при единовременной покупке, а месячной лицензии - 292 долл. Как уже упоминалось выше, в подавляющем большинстве случаев в качестве абонентских ЭВМ в Украине используются персональные компьютеры. В качестве базовой операционной системы как правило используется DOS, что связано с ее простотой и большим количеством прикладных программ, работающих под ее управлением. Однако указанная операционная система не позволяет решить вопрос контроля доступа и, в 0;1 - 2 - частности, вопрос надежной идентификации пользователя, что связано с использованием незащищенного режима работы ЭВМ, непозволяющего контролировать работу не только прикладных программ, но и самой операционной системы. Этим объясняется практически полная незащищенность файловой системы. Появившиеся в последнее время новые операционные системы, такие как OS/2 и Windows NT, также не позволяют полностью решитьуказанные проблемы, что по-видимому обьясняется тем, что за рубежом не разрабатываются серьезные программные комплексы для персональных компьютеров. Поэтому, хотя новые системы и работаютв защищенном режиме, однако в них отсутствуют полноценные средства разделения реурсов ЭВМ и, в частности, дискового пространства. Последнее является одной из причин того, что вирусы, заражающие DOS, почти также легко заражают и новые операционные системы, а следовательно не решается вопрос сохранности данных. К тому же структура этих систем и их файловых систем общеизвестны и не могут изменяться без их радикальной переделки. В то же время создание специализированных операционных систем также не целесообразно, так как потребуется длительное время на их разработку и тестирование. Кроме того в этом случае сложно обеспечить работоспосбность прикладных программ, разработанных для существующих операционных систем и, как следствие, совместимость с зарубежными информационными системами. Для решения данной проблемы предлагается разработать специальную системную оболочку, обеспечивающую работоспособность существующих операционных систем и полностью реализующую все аппаратные средства защиты IBM-совместных персональных компьютеров, что позволит надежно контролировать использование аппаратных ресурсов компьютера (диски, сетевые карты, модемы и т.д.). Ввиду того, что указанная оболочка не является операционной системой и контролирует только аппаратные ресурсы ЭВМ, ее можно разработать и оттестировать в приемлемые сроки. Таким образом предлагается создание специального программного комплекса обеспечивающего защиту данных в сети при едином сценарии регистрации посредством идентификации пользователей и управления доступом к коллективно используемым приложениям. Пользователям будет обеспечен доступ к различным приложениям при единственной процедуре регистрации. Ответственные за защиту системы сотрудники получат средства идентификации пользователей и их прав доступа к распределенным приложениям. Предлагаемое средство сможет решить проблемы защиты данных, возникающие при построении локальных сетей предприятий. Итак, позвольте подвести некоторые итоги: 1. Украина находится на пути к цивилизованным рыночным отношениям; 2. Информация превращается в товар, который, как правило, бесплатно раздавать не принято; 3. По мере роста ценности различного рода данных, возрастают убытки от их потери или несанкционированного использования; 4. В процессе коммерческой деятельности имеет место проблема защиты Ваших конфедециальных сведений; 5. Задачу защиты коммерческой тайны необходимо решать постепенно, начиная с сегодняшнего дня. 6. Основную тяжесть по решению этих проблем должно взять на себя государство; 7. Коммерческим структурам и особенно банкам есть смысл активно участвовать в решении проблем защиты информации с учетом своих интересов; 8. Организаторские функции по проведению такой работы целесообразно доверить ГС ТЗИ; 9. Уже сегодня имеется целый ряд конкретных предложений по решению проблем защиты информации в локальных и глобальных сетях ЭВМ.

119. Средства защиты локальных сетей