Архитектура подсистемы безопасности операционной системы windows

К
защищенным версиям операционной системы
Windows
от­носятся Windows
NT/2000/XP
Professional.
В состав этих операци­онных систем
входит подсистема безопасности,
архитектура ко­торой представлена
на рис. 37.

Ядром
подсистемы безопасности является
локальная служба безопасности (Local
Security
Authority,
LSA),
размещающаяся в файле lsass.exe.
После загрузки операционной системы
автомати­чески запускается процесс
входа (winlogon.exe),
который остает­ся активным до
перезагрузки операционной системы или
выклю­чения питания компьютера, а его
аварийное завершение приво­дит к
аварийному завершению всей операционной
системы. Этим обеспечивается практическая
невозможность подмены процесса входа
при функционировании системы.

Рис.
37. Архитектура подсистемы безопасности
защищенных версий Windows.

После
нажатия пользователем комбинации клавиш
Ctrl+Alt+Delete
процесс входа обращается к провайдеру
аутентификации (динамически компонуемой
библиотеке функций, DLL)
для при­ема от пользователя его
логического имени (ID)
и аутентифицирующей информации (Р).
Стандартный провайдер аутентифика­ции
размещается в файле msgina.dll
и в качестве аутентифицирующей информации
использует пароли пользователей.
Возможно использование других провайдеров
аутентификации (например, считывающих
ключевую информацию со смарт-карт). В
этом слу­чае необходимо, чтобы интерфейс
к предоставляемым провайде­ром
аутентификации функциям соответствовал
определениям, содержащимся в файле
winwlx.h
(входит в состав любой системы
программирования на языке C++ для Windows).

Концепция
рабочего стола пользователя (desktop)
в защищен­ных версиях Windows
отличается от аналогичного понятия в
от­крытых версиях этой операционной
системы. Рабочий стол в за­щищенных
версиях Windows
представляет собой совокупность окон,
одновременно видимых на экране. Только
процессы, окна которых расположены на
одном рабочем столе, могут взаимодей­ствовать
между собой, используя средства
графического интер­фейса пользователя
Windows
(GUI).

Процесс
входа (winlogon),
получающий от пользователя имя и пароль,
выполняется на отдельном рабочем столе
(рабочем столе аутентификации). Никакой
другой процесс, в том числе и про­граммная
закладка, внедренная нарушителем для
перехвата паро­лей, не имеет доступа
к этому рабочему столу. Поэтому
приглаше­ние пользователю на вход в
систему, выводимое этой закладкой, может
располагаться только на рабочем столе
прикладных про­грамм, с которым связаны
все запущенные пользователем про­граммы.

Переключение
экрана компьютера с одного рабочего
стола на другой производится при нажатии
комбинации клавиш Ctrl+Alt+Delete.
В защищенных версиях Windows
эта комбинация обраба­тывается иначе
— сообщение о нажатии комбинации клавиш
Ctrl+Alt+Delete
посылается только процессу входа,
который оста­ется активным до
перезагрузки операционной системы или
вык­лючения питания. Для всех других
процессов (в частности, для всех прикладных
программ, запущенных пользователем)
нажатие этой комбинации клавиш совершенно
незаметно.

При
загрузке системы на экране компьютера
вначале отобра­жается рабочий стол
аутентификации. Однако пользователь
вво­дит имя и пароль не сразу, а только
после нажатия комбинации клавиш
Ctrl+Alt+Delete.
Когда пользователь завершает сеанс
ра­боты с системой, на экран также
выводится рабочий стол аутен­тификации,
и новый пользователь может ввести пароль
для вхо­да в систему только после
нажатия комбинации клавиш Ctrl+Alt+Delete.
Если в систему внедрена программная
закладка для перехвата паролей, то для
осуществления ею этого перехвата в
закладке не­обходимо обработать
нажатие пользователем комбинации клавиш
Ctrl+Alt+Delete.
В противном случае при нажатии
пользователем этой комбинации клавиш
произойдет переключение на рабочий
стол аутентификации, рабочий стол
прикладных программ станет неактивным
и закладка просто не сможет ничего
перехватить — сооб­щения о нажатии
пользователем клавиш будут приходить
на дру­гой рабочий стол. Однако для
всех прикладных программ факт на­жатия
пользователем комбинации клавиш
Ctrl+Alt+Delete
всегда ос­тается незамеченным. Поэтому
введенный пользователем пароль будет
воспринят не программной закладкой, а
процессом входа.

Конечно,
программная закладка может имитировать
не первое приглашение операционной
системы, когда пользователю пред­лагается
нажать комбинацию клавиш Ctrl+Alt+Delete
для начала работы, а то приглашение,
которое высвечивается после нажатия
пользователем этой комбинации клавиш.

Однако
в обычных условиях (при отсутствии
внедренной про­граммной закладки)
это второе приглашение автоматически
от­меняется через достаточно короткое
время (от 30 с до 1 мин, в зависимости от
версии Windows).
Если второе приглашение при­сутствует
на экране компьютера долгое время, то
этот факт дол­жен насторожить
пользователя. Кроме того, как показывает
опыт, пользователи, имеющие достаточный
опыт работы с защищен­ными версиями
Windows,
приобретают привычку начинать рабо­ту
с системой с нажатия комбинации клавиш
Ctrl+Alt+Delete
не­зависимо от того, что отображается
на экране.

Защита
рассматриваемых версий операционной
системы Windows
от программных закладок такого рода
может считаться весьма надежной.

Для
управления списками пользователей и
групп в КС, назна­чения им полномочий,
определения параметров политики
безо­пасности в операционных системах
Windows
2000/XP
админист­ратором используются функции
«Администрирование» и «Локаль­ная
политика безопасности» панели управления,
а в операцион­ной системе Windows
NT
для этого предназначалась системная
программа «Диспетчер пользователей»
(User
Manager).

На рис. 3.9 и 3.10
приведены примеры определения свойств
учетной записи пользователя, а также
свойств и состава группы пользователей.
Для учетной записи пользователя помимо
его ло­гического имени для входа в
систему и полного имени и (или) описания
задаются следующие характеристики:

• признак
необходимости смены пароля при следующем
входе в систему (устанавливается, как
правило, при создании учетной записи
администратором или задании для
пользователя нового пароля);

Рис
38. Определение
учетной записи пользователя

Рис.39.
Определение свойств и состава группы
пользователей

• признак
  запрещения смены пароля пользователем
  (может устанавливаться для обобщенных
  учетных записей, объединяющих нескольких
  пользователей с минимальными правами
  в системе, например студентов);

• признак
  неограниченности срока действия пароля
  (должен применяться в исключительных
  случаях, так как отрицательно влияет
  на безопасность информации в КС);

• признак отключения
  учетной записи (используется при
  необ­ходимости временно запретить
  пользователю возможность досту­па
  к КС);

• признак блокировки
  учетной записи (устанавливается
  авто­матически при превышении
  максимального числа неудачных попыток
  входа в систему и снимается администратором
  вручную или по истечении заданного
  периода времени).

У администратора
имеется возможность задания пользователю
нового пароля (с помощью соответствующей
команды контекст­ного меню учетной
записи пользователя), однако это право
сле­дует применять осторожно (только
в том случае, если пользова­тель забыл
свой пароль). Задание нового пароля
приведет, в част­ности, к невозможности
для пользователя работать с документа­ми
и папками, зашифрованными им средствами
шифрующей файловой системы.

В
защищенных версиях операционный системы
Windows
пре­допределены несколько
псевдопользователей, например «Систе­ма»
(SYSTEM)
или «Создатель-владелец» объекта КС
(CREATOR_
OWNER).
Автоматически создаются учетные записи
«Админист­ратор» (Administrator)
и «Гость» (Guest).
Для запрещения ано­нимного входа в
КС учетная запись «Гость» должна быть
отклю­чена. Для предотвращения угрозы
компрометации пароля встро­енной
учетной записи «Администратор», для
которой наруши­телю известны не только
логическое имя, но и относительный номер
RID,
эта учетная запись также должна быть
отключена после создания другой учетной
записи с полномочиями адми­нистратора
КС.

В
свойствах группы указываются ее имя,
описание и список входящих в ее состав
пользователей и других групп. К
предопреде­ленным группам относятся:
«Все» (Everyone,
включает пользова­телей и
псевдопользователей КС), «Интерактивные»
(Interactive),
«Входящие по сети» (Network),
«Удаленные» (DiaMJp),
«Входя­щие в первичную группу
создателя-владельца объекта КС»
(CREATORGROUP).
Автоматически создаются несколько
групп пользователей: «Пользователи»
(Users),
«Опытные пользователи» (Power
Users),
«Администраторы» (Administrators),
«Операторы резервного копирования»
(Backup
Operators).
На серверах КС вме­сто группы опытных
пользователей создаются автоматически
груп­пы администраторов учетных
записей (Account
Operators),
администраторов печати (Print
Operators)
и операторов сервера (Server
Operators).

Задание
по работе:

1. Установить
   пароль пользователя на загрузку
   операционной системы с помощью функции
   Set
   User
   Password
   программы BIOS
   Setup
   при выбранном для параметра Security
   Option
   значении System
   в окне настроек функции Advanced
   BIOS
   Features.

2. Отменить
   пароль пользователя
   на загрузку операционной системы с
   помощью функции Set
   User
   Password
   программы BIOS
   Setup
   при выбранном для параметра Security
   Option
   значении System
   в окне настроек функции Advanced
   BIOS
   Features.

3. Описать
   процедуру исключения
   из состава аппаратных средств компьютера
   на­копителей на гибких магнитных
   дисках: Диск 3,5 (А), Диск 3,5 (В).

4. Установить
   программу-заставку на терминал рабочей
   станции на период временного отсутствия
   пользователя (10 минут), защитив заставку
   паролем.

5. Определить
   версию (открытая/закрытая) операционной
   системы Windows
   вашей КС. Установить(изменить)
   пароль входа в систему Windows
   для вашей учетной записи. (функции
   «Пароли» или «Пользователи» панели
   управления Windows).

6. Отклю­чить (не
   удалять!) учетную запись «Гость».

7. Для учетной записи
   задайте права «Пользователи». Для
   учетной записи задайте права
   «Администраторы». Исследуйте возможности
   и права пользователя при изменении
   прав в системе.

Вопросы
для
самоконтроля

1. Какие
   версии операционной системы Windows
   отно­сятся к открытым операционной
   системы.

2. Какие
   версии операционной системы Windows
   отно­сятся к защищенным версиям
   операционной системы.

3. Перечислить
   возможности, достоинства, недостатки
   защиты информации от несанкционирован­ного
   доступа программой BIOS
   Setup.

4. Назовите
   назначение функции «Пароли» или
   «Пользователи» панели управления
   Windows
   в открытых версиях операционной системы
   Windows.

5. Назначение
   локальной службы безопасности (Local
   Security
   Authority,
   LSA).

6. Назовите
   назначение групп пользователей в
   защищенных версиях операционный системы
   Windows.

7. В каких случаях
   используется признак отключения учетной
   записи

8. Что такое
   идентификация?

9. Что такое
   аутентификация?

Практическая
работа
№2

ПОСТРОЕНИЕ
ПАРОЛЬНЫХ СИСТЕМ.
ПОСТРОЕНИЕ СИСТЕМ ЗАЩИТЫ ОТ УГРОЗЫ
НАРУШЕНИЯ КОНФИДИЦИАЛЬНОСТИ.

Цель:
Научиться
создавать системы защиты от угрозы
нарушения конфиденциальности. Изучить
подходы к построению парольных систем.
Изучить основы построения систем защиты
от угрозы нарушения конфиденциаль­ности.

Задачи:
Рассмотреть
принципы построения парольных систем.
Познакомиться
с параметрами
для количественной оценки стойкости
парольных систем. Научиться рассчитывать
минимальную длину пароля.

Перечень
и характеристика оборудования:
для выполнения лабораторной работы
необходим компьютер конфигурации не
ниже чем Celeron-430/512Mb
RAM/80G HDD/DVD-RW.

Для
выполнения лабораторной работы необходимы
программные продукты операционная
система Windows,
программа MS
Word.

Литература:

Основная

1.
Малюк А. А. Информационная безопасность:
концептуальные и методологические
основы защиты информации. Учеб. Пособие
для вузов.- М.: Горячая линия — Телеком,
2005.

2.
Филин С.А. Информационная безопасность:
Учебное пособие. – М.: Издательство
“Альфа-Пресс”, 2006.

Дополнительная

1.
Кишик А.Н.
Современный
эффективный самоучитель работы на ПК:
Основной курс, ДиаСофт.,
2005.

Краткое изложение
основных теоретических и практических
приемов в работе.

Наиболее
распространенные методы аутентификации
основаны на применении мно­горазовых
или одноразовых паролей. Из-за своего
широкого распространения и простоты
реализации парольные схемы часто в
первую очередь становятся мишенью атак
зло­умышленников. Методы аутентификации
включают следующие разновидности
способов:

• по
  хранимой копии пароля или его свёртке
  (plaintext-equivalent);

• по
  некоторому проверочному значению
  (verifier-based);

• без
  непосредственной передачи информации
  о пароле проверяющей стороне
  (zero-knowledge);

• с
  использованием пароля для получения
  криптографического ключа (cryptographic).

В первую разновидность
способов входят системы аутентификации,
предполагаю­щие наличие у обеих сторон
копии пароля или его свертки. Для
организации таких систем требуется
создать и поддерживать базу данных,
содержащую пароли или сверки паролей
всех пользователей, их слабой стороной
является то, что получение злоумышленником
этой базы данных позволяет ему проходить
аутентификацию от имени любого
поль­зователя.

Способы, составляющие
вторую разновидность, обеспечивают
более высокую сте­пень безопасности
парольной системы, так как проверочные
значения, хотя они и зависят от паролей,
не могут быть непосредственно использованы
злоумышленником для аутен­тификации.

Наконец, аутентификация
без предоставления проверяющей стороне
какой бы то ни было информации о пароле
обеспечивает наибольшую степень защиты.
Этот способ га­рантирует безопасность
даже в том случае, если нарушена работа
проверяющей стороны (например, в программу
регистрации в системе внедрен «троянский
конь»).

Для более детального
рассмотрения принципов построения
парольных систем сфор­мулируем
несколько основных определений.

Идентификатор
пользователя (login)
—
некоторое уникальное количество
информации, по­зволяющее различать
индивидуальных пользователей парольной
системы (проводить их идентификацию).
Часто идентификатор также называют
именем пользователя или именем учетной
записи пользователя.

Пароль
пользователя (password)
— некоторое
секретное количество информации,
известное только пользователю и парольной
системе, которое может быть запомнено
пользователем и предъявлено для
прохождения процедуры аутентификации.
Одноразовый пароль дает возможность
пользователю однократно пройти
аутентификацию. Многоразовый пароль
может быть использован для проверки
подлинности повторно.

Учетная
запись пользователя — совокупность его
идентификатора и его пароля.

База
данных пользователей парольной
системы содержит учетные записи всех
поль­зователей данной парольной
системы.

Под
парольной
системой будем
понимать программно-аппаратный комплекс,
реали­зующий системы идентификации
и аутентификации пользователей АС на
основе однора­зовых или многоразовых
паролей. Как правило, такой комплекс
функционирует совмест­но с подсистемами
разграничения доступа и регистрации
событий. В отдельных случаях парольная
система может выполнять ряд дополнительных
функций, в частности генера­цию и
распределение кратковременных (сеансовых)
криптографических ключей.

Основными
компонентами парольной системы являются:

• интерфейс
  пользователя:

• интерфейс
  администратора;

• модуль сопряжения
  с другими подсистемами безопасности;

• база данных учетных
  записей.

Выбор паролей

При выборе паролей
пользователи компьютерной системы (КС)
должны руководствоваться двумя, по сути
взаимоисключающими, правилами — па­роли
должны трудно подбираться и легко
запоминаться (посколь­ку пароль ни
при каких условиях не должен нигде
записываться, так как в этом случае
необходимо будет дополнительно решать
задачу защиты носителя пароля).

Сложность
подбора пароля определяется, в первую
очередь, мощностью множества символов,
используемого при выборе па­роля (A),
и
минимально возможной длиной пароля
(k).
В
этом случае число различных паролей
может быть оценено снизу как S_р
= A
^k.

Например,
если множество символов пароля образуют
строчные латинские буквы, а минимальная
длина пароля равна 3, то S_р=
26³
= 17576 (что совсем немного для программного
подбо­ра).

Если
же множество символов пароля состоит
из строчных и прописных латинских букв,
а также из цифр и минимальная дли­на
пароля равна 6, то S_р=
62⁶
= 56800235584.

Сложность выбираемых
пользователями КС паролей должна
устанавливаться администратором при
реализации установленной для данной
системы политики безопасности. Другими
параметра­ми политики учетных записей
при использовании парольной аутен­тификации
должны быть:

• максимальный срок
  действия пароля (любой секрет не может
  сохраняться в тайне вечно);

• несовпадение
  пароля с логическим именем пользователя,
  под которым он зарегистрирован в КС;

• неповторяемость
паролей одного пользователя.

Требование
неповторяемости паролей может быть
реализовано двумя способами. Во-первых,
можно установить минимальный срок
действия пароля (в противном случае
пользователь, вынужден­ный после
истечения срока действия своего пароля
поменять его, сможет тут же сменить
пароль на старый). Во-вторых, можно вес­ти
список уже использовавшихся данным
пользователем паролей (максимальная
длина списка при этом может устанавливаться
администратором).

В
большинстве
систем пользователи имеют возможность
самостоятельно выбирать пароли или
получают их от системных администраторов.
При этом для уменьшения дест­руктивного
влияния человеческого фактора необходимо
реализовать ряд требований к выбору и
использованию паролей (табл. 8).

Таблица 8. Требования
к выбору и использованию паролей

Требование к выбору пароля	Получаемый эффект
Установление минимальной длины пароля	Усложняет задачу злоумышленника при попытке подсмотреть пароль или подобрать пароль методом «тотально­го опробования»
Использование в пароле раз личных групп символов	Усложняет задачу злоумышленника при попытке подобрать пароль методом «тотального опробования»
Требование к выбору пароля	Получаемый эффект
Проверка и отбраковка пароля по словарю	Усложняет задачу злоумышленника при попытке подобрать пароль по словарю
Установление максимального срока действия пароля	Усложняет задачу злоумышленника по подбору паролей методом тотального опробования, в том числе без непо­средственного обращения к системе защиты (режим off­line)
Установление минимального срока действия пароля	Препятствует попыткам пользователя заменить пароль на старый после его смены по предыдущему требованию
Ведение журнала истории па ролей	Обеспечивает дополнительную степень защиты по предыдущему требованию
Применение эвристического алгоритма, бракующего пароли на основании данных журнала истории	Усложняет задачу злоумышленника при попытке подобрать пароль по словарю или с использованием эвристического алгоритма
Ограничение числа попыток ввода пароля	Препятствует интерактивному подбору паролей злоумышленником
Поддержка режима принудительной смены пароля пользователя	Обеспечивает эффективность требования, ограничи­вающего максимальный срок действия пароля
Использование задержки при вводе неправильного пароля	Препятствует интерактивному подбору паролей злоумышленником
Запрет на выбор пароля самим пользователем и автоматическая генерация паролей	Исключает возможность подобрать пароль по словарю. Если алгоритм генерации паролей не известен злоумышленнику, последний может подбирать пароли только методом «тотального опробования»
Принудительная смена пароля при первой регистрации пользователя в системе	Защищает от неправомерных действий системного администратора, имеющего доступ к паролю в момент создания учетной записи

Параметры
для количественной оценки стойкости
парольных систем Sp
приведены в табл. 9.

Таблица 9. Параметры
количественной оценки стойкости
парольных систем

Параметр	Способ определения
Мощность алфавита паролей А	Могут варьироваться для обеспечения заданного значения Sp(Sp= A k)
Длина пароля k
Срок действия пароля (задает промежуток времени, по истечении которого пароль должен быть обязательно сменен) Т	Определяется исходя из заданной вероятности Р, или полагается заданным для дальнейшего определения S
Мощность пространства паролей Sp	Вычисляется на основе заданных значений Р (вероятности), Т или V (cкорости подбора паролей )
Скорость подбора паролей V: • Для интерактивного режима определяется как скорость обработки одной попытки регистрации проверяющей сто­роной • Для режима off-line (на основе свертки пароля) определяется как скорость вычисления значения свертки для одного пробного пароля	• Может быть искусственно увеличена для защиты от данной угрозы • Задается используемым алгоритмом вычисления свертки. Алгоритм, имеющий медленные реализации, повышает стойкость по отношению к данной угрозе
Вероятность подбора пароля в течение его срока действия (подбор продолжается не прерывно в течение всего срока действия пароля) Р	Выбирается заранее для дальнейшего определения Sp или Т

Пример решения
задания:

В
качестве иллюстрации рассмотрим задачу
определения минимальной мощности
пространства паролей (зависящей от
параметров А
и k)
в
соответствии с заданной вероят­ностью
подбора пароля в течение его срока
действия.

Задана
вероятность подбора пароля Р=10^-6
. Необходимо найти минимальную длину
пароля, которая обеспечит его стойкость
в течение одной недели непрерывных
попыток подобрать пароль.

Пусть
ско­рость интерактивного подбора
паролей V=10
паролей/мин. Тогда в течение недели
можно перебрать 10*60*24*7=100800 паролей.

Далее,
учитывая, что параметры S,
V,
Т и Р связаны
соотношением
P=V—T/S.
получаем
S=100*800/10-⁶=l,008*10¹¹=10¹¹

Полученному
значению S
соответствуют пары: А=26,
k=8
и A=36,
k=6.

Задание
по работе:

Для
заданной вероятности подбора пороля
Р, определить минимальную длину пароля,
которая обеспечит его стойкость в
течении T
дней непрерывных попыток подобрать
пароль.

Значение
Т и Р выбрать в соответствии со своим
вариантом. ( Т=номер студенческого
билета, Р=10^{–последняя
цифра студенческого билета}
)

Вопросы
для
самоконтроля

1. Что такое
   идентификация?

2. Что такое
   аутентификация?

3. Какие группы
   методов аутентификации различают?

4. Какие существуют
   подходы к построению парольных систем?

5. Что такое
   идентификатор пользователя?

6. Что такое пароль
   пользователя?

7. Для чего предназначена
   база данных пользователя?

8. Что такое парольная
   система?

9. Основные компоненты
   парольной системы?

Практическая
работа
№3

ОСОБЕННОСТИ
ПРИМЕНЕНИЯ КРИПТОГРАФИЧЕСКИЧ
МЕТОДОВ ЗАЩИТЫ ИНФОРМАЦИИ. (2 часа)

Цель:

Познакомиться
с криптографическими
методами защиты информации.

Задачи:
Рассмотреть
классификацию
методов криптографического преобразования
информации.
Научиться применять
методы
замены при шифровании информации.
Познакомиться с особенностями
реализации методов шифрования с
симметричными и несимметричными ключами.

Перечень
и характеристика оборудования:
для выполнения лабораторной работы
необходим компьютер конфигурации не
ниже чем Celeron-430/512Mb
RAM/80G HDD/DVD-RW.

Для
выполнения лабораторной работы необходимы
программные продукты операционная
система Windows,
программа MS
Word.

Литература:

Основная

1.
Малюк А. А. Информационная безопасность:
концептуальные и методологические
основы защиты информации. Учеб. Пособие
для вузов.- М.: Горячая линия — Телеком,
2005.

2.
Филин С.А. Информационная безопасность:
Учебное пособие. – М.: Издательство
“Альфа-Пресс”, 2006.

Дополнительная

1.
Кишик А.Н.
Современный
эффективный самоучитель работы на ПК:
Основной курс, ДиаСофт.,
2005.

Краткое изложение
основных теоретических и практических
приемов в работе.

Под
криптографической
защитой информации понимается
такое преобразование исходной информации,
в результате кото­рого она становится
недоступной для ознакомления и
использо­вания лицами, не имеющими
на это полномочий

По виду воздействия
на исходную информацию методы
криптографического пре-о6разования
информации могут быть разделены на
четыре группы (рис. 14).

Рис.39.
Классификация методов криптографического
преобразования информации

Процесс
шифрования
заключается
в проведении обратимых математических,
логических, комбинаторных и других
преобразо­ваний исходной информации,
в результате которых зашифрованная
информация представляет собой хаотический
набор букв цифр, других символов и
двоичных кодов.

Исходными данными
для алгоритма шифрования служат
информация, подлежащая зашифрованию,
и ключ шифрования. Ключ содержит
управляющую информацию.

Стеганография
позволяет скрыть не только смысл
хранящейся или передаваемой информации
но и сам факт хранения или передачи
закрытой информации

Существует
несколько методов скрытой передачи
информа­ции. Одним из них является
простой метод скрытия файлов при работе
в операционной системе MS
DOS.
За текстовым открытым файлом записывается
скрытый двоичный файл, объем которого
много меньше текстового файла. В конце
текстового файла поме­щается метка
EOF
(комбинация клавиш Control
и Z).
При обраще­нии к этому текстовому
файлу стандартными средствами ОС
считывание прекращается по достижению
метки EOF
и скрытый файл остается недоступен.

Содержанием
процесса кодирования
информации
является замена смысловых конструкций
исходного информации (слов, предложений)
кодами. В качестве кодов могут
использоваться сочетания букв, цифр,
букв и цифр. При кодировании и обратном
преобразовании используются специальные
таблицы или словари. Кодирование
информации целесообразно применять в
системах с ограниченным набором смысловых
конструкций. Такой вид крип­тографического
преобразования применим, например, в
команд­ных линиях АСУ. Недостатками
кодирования конфиденциальной информации
является необходимость хранения и
распространения кодировочных таблиц,
которые необходимо часто менять,

Сжатие
информации
может быть отнесено к методам
крипто­графического преобразования
информации с определенными ого­ворками.
Целью сжатия является сокращение объема
информа­ции. В то же время сжатая
информация не может быть прочитана или
использована без обратного преобразования.
Учитывая дос­тупность средств сжатия
и обратного преобразования, эти методы
нельзя рассматривать как надежные
средства криптографического преобразования
информации.

Шифрование.

Основным
видом криптографического преобразования
ин­формации в КС является шифрование.
Под шифрованием
пони­мается
процесс преобразования открытой
информации в зашиф­рованную информацию
(шифртекст)
или
процесс обратного пре­образования
зашифрованной информации в открытую.
Процесс преобразования открытой
информации в закрытую получил название
зашифрование,
а
процесс преобразования закрытой
информации в открытую — расшифрование.

Методом
шифрования (шифром) называется
совокупность обратимых преобразований
открытой информации в закрытую информацию
в соответствии с алгоритмом шифрования.

Атака на шифр
(криптоанализ) — это процесс расшифрования
закрытой информации без знания ключа
и, возможно, при отсут­ствии сведений
об алгоритме шифрования.

Современные методы
шифрования должны отвечать следую­щим
требованиям:

♦ стойкость
шифра противостоять криптоанализу
(криптостойкость)
должна
быть такой, чтобы вскрытие его могло
быть осуществлено только путем решения
задачи полного перебора ключей;

• криптостойкость
  обеспечивается не секретностью алгоритма
  шифрования, а секретностью ключа;

• шифртекст не
  должен существенно превосходить по
  объему исходную информацию;

♦ ошибки, возникающие
при шифровании, не должны приводить к
искажениям и потерям информации;

• время шифрования
  не должно быть большим;

стоимость шифрования
должна быть согласована со стоимостью
закрываемой информации.

Методы шифрования
с симметричным ключом

Методы
замены.
Метод
прямой замены.
Сущность методов замены (подстановки)
заключается в заме­не символов исходной
информации, записанных в одном алфави­те,
символами из другого алфавита по
определенному правилу . Самым простым
является метод
прямой замены. Символам
s_0i
исходного алфавита А₀,
с помощью которых записывается ис­ходная
информация, однозначно ставятся в
соответствие символы s_li
шифрующего алфавита A_1.
В простейшем случае оба алфавита могут
состоять из одного и того же набора
символов. Например, оба алфавита могут
содержать буквы русского алфавита.

Задание
соответствия между символами обоих
алфавитов осуществляется с помощью
преобразования числовых эквивален­тов
символов исходного текста Т₀,
длиной — К символов, по опре­деленному
алгоритму.

Алгоритм
моноалфавитной замены может быть
представлен в виде последовательности
шагов.

Шаг
1. Формирование числового кортежа L_0h
путем замены каждого символа S_0iТ₀(
),
представленного в исходном ал­фавите
А₀
размера [
],
на число h_0i(s_0i),
соответствующее по­рядковому номеру
символа s_0i
в алфавите А₀.

Шаг
2. Формирование числового кортежа L_1h
путем замены каждого числа кортежа L_0h,
на соответствующее число h_1i
кортежа L_1h,
вычисляемое по формуле:

h_1i
= (k₁·h_0i(s_0i)+k₂)(mod
R),

где:
k₁
— десятичный коэффициент; к₂
— коэффициент сдвига. Вы­бранные
коэффициенты k₁,k₂
должны обеспечивать однозначное
соответствие чисел h_0i
и
h_1i,
а при получении h_1i
= 0 выполнить замену h_1i
= R.

Шаг
3. Получение шифртекста T₁
путем замены каждого числа h_1i(s_1i)
кортежа L_1h,
соответствующим
символом

алфавита шифрования А₁,
размера

.

Шаг
4. Полученный шифртекст разбивается на
блоки фиксированной длины b.
Если последний блок оказывается неполным,
то в конец блока помещаются специальные
символы-заполнители (например, символ
*).

Рис.40.
Классификация методов шифрования.

Пример1.
Исходными
данными для шифрования являются:

Т₀
= <МЕТОД_ШИФРОВАНИЯ>;

А₀
= <АБВГДЕЖЗИКЛМНОПРСТУФХЦЧШЩЪЫЬЭЮЯ_>;

А1 =
<ОРЩЬЯТЭ_ЖМЧХАВДЫФКСЕЗПИЦГНЛЪШБУЮ>;

R=32;
k₁=3;
k₂=15,
b=4.

Пошаговое
выполнение алгоритма приводит к получению
сле­дующих
результатов.

Шаг
1. L_0h
= <12,6,18,14,5,32,24,9,20,16,14,3,1,13,9,31>.

Шаг
2. L_lh
= <19,l,5,25,30,15,23,10,11,31,25,24,18,22,10,12>.

ШагЗ.Т₁
= <СОЯГБДИМЧУГЦКПМХ>.

Шаг4.Т₂
= <СОЯГ БДИМ ЧУГЦ КПМХ>.

При
расшифровании сначала устраняется
разбиение на блоки. Получается непрерывный
шифртекст T₁
длиной К символов. Рас­шифрование
осуществляется путем решения целочисленного
уравнения:

k₁h_0i+k₂=nR+h_1i,

При
известных целых величинах k₁,k₂,h
1_i
и R
величина h_0i
вы­числяется
методом перебора n.

Последовательное
применение этой процедуры ко всем
сим­волам шифртекста приводит к его
расшифрованию.

По
условиям приведенного примера может
быть построена таблица
замены, в которой взаимозаменяемые
символы распола­гаются в одном столбце
(табл. 1).

Таблица
1 Таблица
замены

Использование
таблицы замены значительно упрощает
процесс шифрования. При шифровании
символ исходного текста сравнивается
с символами строки s_0i
таблицы. Если произошло совпадение в
i-м
столбце, то символ исходного текста
заменяется символом из строки s_1i,
находящегося
в том же столбце i
таблицы.

Расшифрование
осуществляется аналогичным образом,
но вход
в таблицу производится по строке s_1i;.

Основным
недостатком метода прямой замены
является нали­чие одних и тех же
статистических характеристик исходного
и закрытого текста. Зная, на каком языке
написан исходный текст и частотную
характеристику употребления символов
алфавита это­го
языка, криптоаналитик путем статистической
обработки пере­хваченных
сообщений может установить соответствие
между символами обоих алфавитов.

Mетод
полиалфавитной
замены.

Существенно
более стойкими являются методы
полиалфавит­ной
замены. Такие методы основаны на
использовании несколь­ких
алфавитов для замены символов исходного
текста. Формально полиалфавитную замену
можно представить следующим образом.
При
N — алфавитной замене символ s_0i
из исходного алфавита А₀
заменяется
символом s₁₁
из алфавита А₁,
s₀₂
заменяется символом s₂₂
из алфавита А₂
и так далее. После замены s_0N
символом
s_nn
из
A_n

символ
s_0(n+1)
замещается
символом
s_1(n+1)

из алфавита A₁
и так далее.

Наибольшее
распространение получил алгоритм
полиалфа­витной
замены с использованием таблицы (матрицы)
Вижинера Тв,
которая представляет собой квадратную
матрицу [RxR],
где R
—
количество символов в используемом
алфавите. В первой строке располагаются
символы в алфавитном порядке. Начиная
со вто­рой
строки, символы записываются со сдвигом
влево на одну по­зицию.
Выталкиваемые символы заполняют
освобождающиеся позиции
справа (циклический сдвиг). Если
используется русский алфавит,
то матрица Вижинера имеет размерность
[32×32] (рис.
16).

Рис.41.
Матрица Вижинера

Шифрование
осуществляется с помощью ключа, состоящего
из
М неповторяющихся символов. Из полной
матрицы Вижинера выделяется матрица
шифрования Т_ш,
размерностью [(M+1),R].
Она
включает первую строку и строки, первые
элементы которых совпадают
с символами ключа. Если в качестве ключа
выбрано слово
<ЗОНД>, то матрица шифрования содержит
пять строк (рис.
17).

Рис.
42. Матрица
шифрования для ключа <ЗОНД>

Алгоритм
зашифрования с помощью таблицы Вижинера
пред­ставляет
собой следующую последовательность
шагов.

Шаг 1. Выбор ключа
К длиной М символов.

Шаг
2. Построение матрицы шифрования Т_Ш=(b_ij)
размерно­стью [(M+1),R]
для выбранного ключа К.

Шаг
3. Под каждым символом s_0r
исходного текста длиной I
символов размещается символ ключа k_m
(рис. 20). Ключ повторя­ется необходимое
число раз.

Шаг
4. Символы исходного текста последовательно
замеща­ются символами, выбираемыми
из Т_ш
по следующему правилу:

1. определяется
   символ k_m
   ключа К, соответствующий замещаемому
   символу s_0r;

2. находится
   строка i
   в Т_ш,
   для которой выполняется условие
   k_m=b_i1;

3. определяется
   столбец j,
   для которого выполняется условие:

s_0r=b_1j;

4) символ
s_0r
замещается символом bij.

Шаг 5. Полученная
зашифрованная последовательность
раз­бивается на блоки определенной
длины, например, по четыре символа.
Последний блок дополняется, при
необходимости, слу­жебными символами
до полного объема.

Расшифрование
осуществляется в следующей
последовательности:

Шаг
1. Под шифртекстом записывается
последовательность символов
ключа по аналогии с шагом 3 алгоритма
зашифрования.

Шаг
2. Последовательно выбираются символы
s_1r
из шифртекста и соответствующие символы
ключа k_m.
В матрице Т_ш
определяется строка i,
для которой выполняется условие k_m=b_i1.
В строке i
определяется элемент b_ij=s_lr.
В расшифрованный текст на позицию r
помещается символ b_1j.

Шаг 3. Расшифрованный
текст записывается без разделения на
блоки. Убираются служебные символы.

Пример2.

Требуется с помощью
ключа К=<ЗОНД> зашифровать ис­ходный
текст Т=<БЕЗОБЛАЧНОЕ_НЕБО>. Механизмы
зашиф­рования и расшифрования
представлены на рис. 18.

Рис.43.
Пример шифрования с помощью матрицы
Вижинера

Замечание.
Таким образом, шифрование включает
следующую последовательность действий:

1. Под каждой буквой
   шифруемого текста записывается буква
   ключа, причем ключ повторяется требуемое
   число раз.

2. Каждая буква
   шифруемого текста заменяется на букву,
   расположенную на пересече­нии столбца,
   начинающегося с буквы текста, и строки,
   начинающейся с буквы ключа, находящейся
   под буквой текста.

Так
под буквой Б
шифруемого текста оказалась буква З
ключа. На пересечении, столбца
на­чинавшегося с Б,
и строки, начинающейся с З,
находится буква И.
Буква И
будет первой буквой шифрованного текста.

Криптостойкость
методов полиалфавитной замены значитель­но
выше методов простой замены, так как
одни и те же символы исходной
последовательности могут заменяться
разными симво­лами. Однако стойкость
шифра к статистическим методам
крип­тоанализа зависит от длины ключа.

Для
повышения криптостойкости может
использоваться мо­дифицированная
матрица шифрования. Она представляет
собой матрицу размерности [11,R],
где R
— число символов алфавита. В первой
строке располагаются символы в алфавитном
порядке. Ос­тальные 10 строк нумеруются
от 0 до 9. В этих строках символы
располагаются случайным образом.

В
качестве ключей используются, например,
непериодические бесконечные числа ,

и другие. Очередной n-й
символ исходного текста заменяется
соответствующим символом из строки
матрицы шифрования, номер которой
совпадает с n-й
цифрой
бесконечного числа.

Задание
по работе 1.
Используя исходные данные примера1 и в
соответствии со своим вариантом (таб.2.)
зашифровать текст, используя метод
прямой замены:

Таблица 2.

вариант	0	1	2	3	4
Задание для шифрования	Юстас Алексу	пользователь системы	компьютерная система	защита информации	вход в систему
вариант	5	6	7	8	9
Задание для шифрования	администратор системы	подбор пароля	срок действия пароля	взлом системы	генератор паролей

Задание
по работе 2.
Используя метод полиалфавит­ной
замены,
матрицу Вижинера для ключа, и в
соответствии со своим вариантом (таб.3.)
зашифровать текст:

Таблица 3.

Вариант/ключ	0/зонд	1/ключ	2/олдж	3/зонд	4/ключ
Задание для шифрования	история государства Российского	информационная безопасность	Большая книга рецептов	новые информационные технологии	Многомерная медицина
Вариант/ключ	5/олдж	6/зонд	7/ключ	8/олдж	9/зонд
Задание для шифрования	атлас автодорог России	Курс информатики	наука изреченного слова	клад Да Винчи	Cелестинский путеводитель

Вопросы
для
самоконтроля

1. Дайте
   определение криптографической
   защиты информации.

2. Приведите
   классификацию методов криптографического
   преобразования информации и поясните
   сущность методов.

3. Назовите
   и охарактеризуйте методы
   замены.

Практическая
работа
№4

ИССЛЕДОВАНИЕ
КОРРЕКТНОСТИ СИСТЕМ ЗАЩИТЫ, МЕТОДОЛОГИЯ
ОБСЛЕДОВАНИЯ И ПРОЕКТИРОВАНИЯ ЗАЩИТЫ.

Цель
работы:
Познакомиться с методами исследования
корректности систем защиты, требованиями
к средствам вычислительной техники,
требованиями к корректности реализации
механизмов защиты.

Перечень
и характеристика оборудования:
для выполнения лабораторной работы
необходим компьютер конфигурации не
ниже чем Celeron-430/512Mb
RAM/80G HDD/DVD-RW.

Для
выполнения лабораторной работы необходимы
программные продукты операционная
система Windows,
программа MS
Word.

Литература:

Основная

1.
Малюк А. А. Информационная безопасность:
концептуальные и методологические
основы защиты информации. Учеб. Пособие
для вузов.- М.: Горячая линия — Телеком,
2005.

2.
Филин С.А. Информационная безопасность:
Учебное пособие. – М.: Издательство
“Альфа-Пресс”, 2006.

Дополнительная

1.
Кишик А.Н.
Современный
эффективный самоучитель работы на ПК:
Основной курс, ДиаСофт.,
2005.

Краткое изложение
основных теоретических и практических
приемов в работе.

На сегодняшний
день системы защиты информации,
представленные на рынке, сильно
различаются, как по набору механизмов
защиты, так и по подходам к реализации
(реализованным возможностям) отдельных
механизмов. Это вводит в заблуждение
потребителя, не имеющего профессиональной
подготовки в данной области знаний,
т.к. формально для него подобные системы
равноценны – выполняют требования
одних и тех же документов. Естественно,
что подобное возможно либо при недостаточно
жесткой (либо недостаточно корректной)
формализации требований, либо при
неоднозначном трактовании формализованных
требований разработчиками средств
защиты информации. Мы попытаемся
разобраться в данном вопросе — выявим
причины возможного неоднозначного
трактования формализованных требований
и соответствующим образом попытаемся
их уточнить.

Методологическая
основа формализации требований к
средствам защиты информации

Прежде, чем
приступить к нашему исследованию,
определимся с тем, что же является
признаком защищенности вычислительной
системы, как следствие, что должно быть
положено в основу формализации требований
к средствам защиты. Для этого определим
основные термины, которые часто
используются на практике, и будут
использованы нами далее в материале:
“уязвимость”, “угроза” и “атака”.
Под уязвимостью системы защиты нами
понимается такое ее свойство (архитектурный,
либо иной недостаток), которое может
быть использовано злоумышленником для
осуществления несанкционированного
доступа (НСД) к информации. Другими
словами, уязвимость – это «канал» НСД
к защищаемой информации. При этом любая
уязвимость системы защиты несет в себе
угрозу осуществления злоумышленником
НСД к информации, посредством реализации
атаки (либо атак, которые в общем случае
могут принципиально различаться) на
уязвимость в системе защиты.

Таким образом,
именно уязвимость системы защиты – это
признак системы, а наличие (отсутствие)
уязвимостей является характеристикой
защищенности системы.

Проиллюстрируем
сказанное примером. В ОС Windows
в общем случае не представляется
возможным запретить возможность
модификации системного диска и системных
областей реестра ОС пользователю System,
с правами которого могут запускаться
приложения (например, клиент-серверные).
Это архитектурная уязвимость
соответствующего механизма защиты ОС
(не для всех пользователей корректно
разграничиваются права доступа к
ресурсам), которая несет в себе угрозу
возможного получения полного управления
над защищаемым компьютером злоумышленником
при несанкционированном получении им
прав пользователя System
(что составляет «канал» НСД к информационным
ресурсам). Эта уязвимость породила целую
группу атак на расширение привилегий,
к которым могут быть отнесены атаки на
переполнение буферов приложений
(запущенных с правами System),
атаки на сервисы олицетворения и др. На
первый взгляд, все эти атаки основаны
на использовании ошибок программирования
приложений, однако, ошибка приложения,
не несущего в себе функций защиты, не
должна приводить к преодолению защиты
механизма ОС – это уязвимость (в данном
случае, архитектурный недостаток) именно
соответствующего механизма ОС.

Таким образом,
именно уязвимость системы защиты – это
признак системы, а наличие (отсутствие)
уязвимостей является характеристикой
защищенности системы. Следовательно,
именно обеспечение отсутствия уязвимостей
защиты должно быть положено в основу
формализации требований к средствам
защиты информации.

Поскольку причиной
уязвимости защиты (существования
«канала» НСД) может являться либо
некорректность реализации механизма
защиты, либо недостаточность набора
механизмов защиты для условий использования
защищаемого объекта информатизации,
методологической основой формализации
требований к средствам защиты информации
следует считать определение требований
к корректности реализации механизмов
защиты и требований к достаточности
(полноте набора) механизмов защиты для
условий использования защищаемого
объекта информатизации.

На практике
используются два основополагающих
нормативных документа — это требования
к средствам вычислительной техники
(требования к корректности реализации
механизмов защиты, используемые при
сертификации средств защиты информации),
и требования к автоматизированным
системам (требования к достаточности
(полноте набора) механизмов защиты для
условий использования защищаемого
объекта информатизации, используемые
при аттестации защищенных автоматизированных
систем обработки информации).

Подходы к оценке
эффективности КСЗИ

Эффективность
КСЗИ оценивается как на этапе разработки,
так и в процессе эксплуатации. В оценке
эффективности КСЗИ, в зависимости от
используемых показателей и способов
их получения, можно выделить три подхода:

• классический;

• официальный;

• экспериментальный.

Классический
подход

Под классическим
подходом к оценке эффективности
понимается использование критериев
эффективности, полученных с по­мощью
показателей эффективности. Значения
показателей эффективности получаются
путем моделирования или вычисляются
по характеристикам реальной КС. Такой
подход используется при разработке и
модернизации КСЗИ. Однако возможности
класси­ческих методов комплексного
оценивания эффективности приме­нительно
к КСЗИ ограничены в силу ряда причин.
Высокая сте­пень неопределенности
исходных данных, сложность формализа­ции
процессов функционирования, отсутствие
общепризнанных методик расчета
показателей эффективности и выбора
критериев оптимальности создают
значительные трудности для применения
классических методов оценки эффективности.

Официальный
подход

Большую практическую
значимость имеет подход к определению
эффективности КСЗИ, который условно
можно назвать официальным. Политика
безопасности информационных технологий
проводится государством и должна
опираться на нормативные акты. В этих
документах необходимо определить
требования к защищенности информации
различных категорий конфиденциальности
и важности.

Требования могут
задаваться перечнем механизмов защиты
информации, которые необходимо иметь
в КС, чтобы она соот­ветствовала
определенному классу защиты. Используя
такие документы, можно оценить
эффективность КСЗИ. В этом случае
критерием эффективности КСЗИ является
ее класс защищенности. Несомненным
достоинством таких классификаторов
(стандартов) является простота
использования. Основным недостатком
официального подхода к определению
эффективности систем за­щиты является
то, что не определяется эффективность
конкретно­го механизма защиты, а
констатируется лишь факт его наличия
или отсутствия. Этот недостаток в
какой-то мере компенсируется заданием
в некоторых документах достаточно
подробных требо­ваний к этим механизмам
защиты.

Во
всех развитых странах разработаны свои
стандарты защи­щенности компьютерных
систем критического применения. Так, в
министерстве обороны США используется
стандарт TCSEC
(Department
of
Defence
Trusted
Computer
System
Evaluation
Criteria),
который известен как Оранжевая книга.

Согласно
Оранжевой книге для оценки информационных
сис­тем рассматривается четыре группы
безопасности: А, В, С, D.
В некоторых случаях группы безопасности
делятся дополнительно на классы
безопасности.

Группа А
(гарантированная или проверяемая защита)
обеспе­чивает гарантированный уровень
безопасности. Методы защиты, реализованные
в системе, могут быть проверены формальными
методами. В этой группе имеется только
один класс — А1.

Группа В (полномочная
или полная защита) представляет полную
защиту КС. В этой группе выделены классы
безопасности В1,В2иВЗ.

Класс В1 (защита
через грифы или метки) обеспечивается
ис­пользованием в КС грифов секретности,
определяющих доступ пользователей к
частям системы.

Класс В2
(структурированная защита) достигается
разделени­ем информации на защищенные
и незащищенные блоки и контро­лем
доступа к ним пользователей.

Класс ВЗ (области
или домены безопасности) предусматривает
разделение КС на подсистемы с различным
уровнем безопасности и контролем доступа
к ним пользователей.

Группа С (избирательная
защита) представляет избирательную
защиту подсистем с контролем доступа
к ним пользователей. В этой группе
выделены классы безопасности С1 и С2.

Класс С1 (избирательная
защита информации) предусматрива­ет
разделение в КС пользователей и данных.
Этот класс обеспечи­вает самый низкий
уровень защиты КС.

Класс С2 (защита
через управляемый или контролируемый
доступ) обеспечивается раздельным
доступом пользователей к данным.

Группу
D
(минимальной безопасности) составляют
КС, прове­ренные на безопасность, но
которые не могут быть отнесены к классам
А, В или С.

Организация
защиты информации в вычислительных
сетях министерства обороны США
осуществляется в соответствии с
требованиями руководства «The
Trusted
Network
Interpretation
of
Department
of
Defense
Trusted
Computer
System
Evaluation
Guide­lines».
Этот документ получил название Красная
книга (как и пре­дыдущий — по цвету
обложки).

Подобные стандарты
защищенности КС приняты и в других
развитых странах. Так, в 1991 году Франция,
Германия, Нидер­ланды и Великобритания
приняли согласованные «Европейские
критерии», в которых рассмотрено 7
классов безопасности от ЕО до Еб.

В Российской
Федерации аналогичный стандарт разработан
в 1992 году Государственной технической
комиссией (ГТК) при Президенте РФ. Этим
стандартом является руководящий
доку­мент ГТК «Концепция защиты
средств вычислительной техники и
автоматизированных систем от НСД к
информации».

Устанавливается
семь классов защищенности средств
вычис­лительной техники (СВТ) от НСД
к информации (табл. 12). Самый низкий класс
— седьмой, самый высокий — первый.

Классы подразделяются
на четыре группы, отличающиеся
ка­чественным уровнем защиты:

• первая группа
  содержит только один седьмой класс;

• вторая группа
  характеризуется дискреционной защитой
  и содержит шестой и пятый классы;

• третья группа
  характеризуется мандатной защитой и
  со­держит четвертый, третий и второй
  классы;

• четвертая группа
  характеризуется верифицированной
  за­щитой и содержит только первый
  класс.

Таблица
12.
Показатели
защищенности по классам СВТ

Наименование показателя	Класс защищенности
6	5	4	3	2	1
1. Дискреционный принцип контроля досупа	+	+	+	=	+	=
2. Мандатный принцип контроля доступа	—	—	+	=	=	=
3. Очистка памяти	—	+	+	+	=	=
4. Изоляция модулей	—	—	+	=	+	=
5. Маркировка документов	—	—	+	=	=	=
6. Защита ввода и вывода на отчуждаемый физический носитель информации	—	—	+	=	=	=
7. Сопоставление пользователя с устройством	—	—	+	=	=	=
8. Идентификация и аутентификация	+	=	+	=	=	=
9. Гарантия проектирования	—	+	+	+	+	+
10. Регистрация	—	+	+	+	=	=
11. Взаимодействие пользователя с КСЗ	—	—	—	+	=	=
12. Надежное восстановлени	—	—	—	+	=	=
13. Целостность КСЗ	—	+	+	+	=	=
14. Контроль модификации	—	—	—	—	+	=
15. Контроль дистрибуции	—	—	—	—	+	=
16. Гарантии архитектуры	—	—	—	—	—	+
17. Тестирование	+	+	+	+	+	=
18. Руководство пользователя	+	=	=	=	=	=
19. Руководство по КСЗ	+	+	=	+	+	=
20. Текстовая документация	+	+	+	+	+	=
21. Конструкторская (проектная) доку­ментация	+	+	+	+	+	+

Обозначения: «-»
— нет требований к данному классу; «+» —
новые или дополнительные требования;
«=» — требования совпадают с требо­ваниями
к СВТ предыдущего класса; КСЗ — комплекс
средств защиты.

Седьмой класс
присваивают СВТ, к которым предъявлялись
требования по защите от НСД к информации,
но при оценке за­щищенность СВТ
оказалась ниже уровня требований шестого
класса.

Кроме требований
к защищенности отдельных элементов
СВТ, в Руководящем документе приведены
требования к защи­щенности
автоматизированных систем (АС). В отличие
от СВТ автоматизированные системы
являются функционально ори­ентированными.
При создании АС учитываются особенности
пользовательской информации, технология
обработки, хранения и передачи информации,
конкретные модели угроз.

Устанавливается
девять классов защищенности АС от НСД
к информации. Классы подразделяются на
три группы, отличаю­щиеся особенностями
обработки информации в АС. Третья груп­па
классифицирует АС, с которыми работает
один пользователь, допущенный ко всей
информации АС, размещенной на носителях
одного уровня конфиденциальности.
Группа содержит два клас­са- ЗБ и ЗА.
Во вторую группу сведены АС, пользователи
кото­рых имеют одинаковые права
доступа ко всей информации АС. Группа
содержит два класса — 2Б и 2А. Первую
группу составля­ют многопользовательские
АС, в которых пользователи имеют разные
права доступа к информации. Группа
включает пять клас­сов-1Д,1Г, 1В. 1Б, 1А.

Требования ко всем
девяти классам защищенности АС сведе­ны
в табл. 13.

Таблица
13. Требования к защищенности
автоматизированных систем

Подсистемы и требования	Классы
ЗБ	ЗА	2Б	2А	1Д	1Г	1В	1Б	1А
1. Подсистема управления досту­пом 1.1. Идентификация, проверка подлинности и контроль доступа субъектов в систему	+	+	+	+	+	+	+	+	+
к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним уст­ройствам ЭВМ				+		+	+	+	+
к программам				+		+	+	+	+
к томам, каталогам, файлам, запи­сям, полям записей				+		+	+	+	+
1.2. Управление потоками инфор­мации				+			+	+	+
2. Подсистема регистрации и учета 2.1. Регистрация и учет: вхо­да/выхода субъектов доступа в/из системы (узла сети)			+	+	+	+	+	+	+
выдачи печатных (графических) выходных документов				+		+	+	+	+
запуска/завершения программ и процессов (заданий, задач)				+		+	+	+	+
доступа программ субъектов к за­щищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи				+		+	+	+	+
доступа программ субъектов, дос­тупа к терминалам, ЭВМ, узлам се­ти ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей				+		+	+	+	+
изменения полномочий субъектов доступа							+	+	+
создаваемых защищаемых объектов доступа				+			+	+	+
2.2. Учет носителей информации			+	+	+	+	+	+	+
2.3. Очистка (обнуление, обезли­чивание) освобождаемых областей оперативной памяти ЭВМ и внеш­них накопителей				+		+	+	+	+
2.4. Сигнализация попыток нару­шения защиты							+	+	+
3. Криптографическая подсистема 3.1. Шифрование конфиденци­альной информации				+				+	+
3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах									+
3.3. Использование аттестованных (сертифицированных) криптогра­фических средств				+				+	+
4. Подсистема обеспечения целост­ности 4.1. Обеспечение целостности программных средств и обра­батываемой информации			+	+	+	+	+	+	+
4.2. Физическая охрана средств вычислительной техники и носите­лей информации			+	+	+	+	+	+	+
4.3. Наличие администратора (службы) защиты информации в АС				+			+	+	+
4.4. Периодическое тестирование СЗИ НСД			+	+	+	+	+	+	+
4.5. Наличие средств восстанов­ления СЗИ НСД			+	+	+	+	+	+	+
4.6.Использование сертифициро­ванных средств защиты				+			+	+	+

Обозначения: «+»
— есть требования к данному классу; СЗИ
НСД — система зашиты информации от
несанкционированного доступа.

Для примера
целесообразно рассмотреть подробно
требования к одному из представительных
классов защищенности, а именно — к классу
1В.

В подсистеме
управления доступом автоматизированной
сис­темы должны осуществляться:

♦ идентификация
и проверка подлинности субъектов доступа
при входе в систему по идентификатору
(коду) и паролю условно-постоянного
действия длиной не менее шести
буквенно-цифровых символов;

• идентификация
  терминалов, ЭВМ, узлов сети ЭВМ, каналов
  связи, внешних устройств ЭВМ по логическим
  именам и/или адресам;

• идентификация
  программ, томов, каталогов, файлов,
  записей, полей записей по именам;

• контроль доступа
  субъектов к защищаемым ресурсам в
  соответствии с матрицей доступа;

• управление потоками
  информации с помощью меток
  конфиденциальности. При этом уровень
  конфиденциальности накопителей должен
  быть не ниже уровня конфиденциальности
  записываемой на него информации.

Подсистема
регистрации и учета должна обеспечивать:

• регистрацию
  входа/выхода субъектов доступа в
  систему/из системы, либо регистрацию
  загрузки и инициализации операционной
  системы и ее программного останова;

• регистрацию выдачи
  печатных (графических) документов на
  «твердую» копию;

• регистрацию
  запуска/завершения программ и «процессов
  (заданий, задач), предназначенных для
  обработки защищаемых файлов;

• регистрацию
  попыток доступа программных средств
  к следующим дополнительным защищаемым
  объектам доступа: терминалам, ЭВМ,
  узлам сети ЭВМ, линиям (каналам) связи,
  внешним устройствам ЭВМ, программам,
  томам, каталогам, файлам, записям, полям
  записей;

• регистрацию
  изменений полномочий субъектов доступа
  и статуса объектов доступа;

• автоматический
  учет создаваемых защищаемых файлов с
  помощью их дополнительной маркировки,
  используемой в подсистеме управления
  доступом. Маркировка должна отражать
  уровень конфиденциальности объекта;

• учет всех защищаемых
  носителей информации с помощью их любой
  маркировки;

• очистку (обнуление,
  обезличивание) освобождаемых областей
  оперативной памяти ЭВМ и внешних
  накопителей. Очистка осуществляется
  путем записи последовательности 1 и 0
  в любую освобождаемую область памяти,
  использованную для хранения защищаемой
  информации;

♦ сигнализацию
попыток нарушения защиты.

Подсистема
обеспечения целостности предусматривает:

♦ обеспечение
целостности программных средств СЗИ
НСД, а также неизменность программной
среды. Целостность СЗИ НСД проверяется
при загрузке системы по контрольным
суммам компонент СЗИ, а целостность
программной среды обеспечивается
использованием трансляторов с языков
высокого уровня и отсут­ствием средств
модификации объектного кода программ
при об­работке и (или) хранении
защищаемой информации;

• охрану СВТ
  (устройств и носителей информации), что
  предполагает охрану территории и
  здания, где размещается АС, с помощью
  технических средств и специального
  персонала, строгий пропускной режим,
  специальное оборудование помещений
  АС;

• наличие администратора
  (службы) защиты информации, ответственного
  за ведение, нормальное функционирование
  и контроль работы СЗИ НСД. Администратор
  должен иметь свой терминал и необходимые
  средства оперативного контроля и
  воздействия на безопасность АС;

• периодическое
  тестирование всех функций СЗИ НСД с
  помощью специальных программ не реже
  одного раза в год;

• наличие средств
  восстановления СЗИ НСД (ведение двух
  копий программных средств СЗИ НСД и их
  периодическое обновление и контроль
  работоспособности);

• использование
  сертифицированных средств защиты.

Представленный
перечень является тем минимумом
требова­ний, которым необходимо
следовать, чтобы обеспечить
конфи­денциальность защищаемой
информации.

Стандарт
требований TCSEC
соответствует информационным системам
с применением ЭВМ общего пользования
(main
frame)
и мини ЭВМ. Для персональных ЭВМ (ПЭВМ)
и локальных сетей ПЭВМ требования
безопасности должны быть несколько
иными. Такие
требования
изложены
в
стандарте
The Trusted Network Interpretation of Department of Defence Trusted
Computer System Evaluation Guidelines, получившем
название
Красная
книга.
Неофициальные
названия стандартов США Оранжевая книга
и Красная книга связаны с соответствующим
цветом обложек этих документов.

Экспериментальный
подход

Под экспериментальным
подходом понимается организация процесса
определения эффективности существующих
КСЗИ путем попыток преодоления защитных
механизмов системы специа­листами,
выступающими в роли злоумышленников.
Такие иссле­дования проводятся
следующим образом. В качестве условного
злоумышленника выбирается один или
несколько специалистов в области
информационной борьбы наивысшей
квалификации. Со­ставляется план
проведения эксперимента. В нем определяются
очередность и материально-техническое
обеспечение проведения экспериментов
по определению слабых звеньев в системе
защиты. При этом могут моделироваться
действия злоумышленников, соответствующие
различным моделям поведения нарушителей:
от неквалифицированного злоумышленника,
не имеющего офици­ального статуса в
исследуемой КС, до высококвалифицированно­го
сотрудника службы безопасности.

Служба безопасности
до момента преодоления защиты
«зло­умышленниками» должна ввести в
КСЗИ новые механизмы защиты (изменить
старые), чтобы избежать «взлома» системы
защиты.

Такой подход к
оценке эффективности позволяет получать
объективные данные о возможностях
существующих КСЗИ, но требует высокой
квалификации исполнителей и больших
матери­альных и временных затрат. Для
проведения экспериментов необ­ходимо
иметь самое современное оборудование
(средства инженерно-технической разведки,
аппаратно-программные и испыта­тельные
комплексы (стенды) и т. п.)

Исследование
корректности систем защиты — аудит
информационной безопасности позволяет
объективно оценить соответ­ствие
исследуемой защиты корпоративной
системы компании предъявляемым к ней
требованиям информационной безопасности,
а также оценить эффективность вло­жений
в корпоративную систему защиты.

Для кого предназначен:

• Для компаний,
  создавшей собственную подсистему
  обеспечения безопасности информации
  в ИС для оценки степени выполнения
  требования к ней, сформированных на
  этапе проектирования

• Для компаний,
  желающих периодически проверять текущее
  состояние информационной безопасности
  ИС

Что дает: возможность
объективно оценить и проверить
соответствие исследуемой защиты
корпоративной системы компании
предъявляемым к ней требованиям
информационной безопасности, а также
оценить эффективность вложений в
кор­поративную систему защиты.

Область
действия:
безопасность
ИС на следующих уровнях безопасности:

• нормативно-методологический

• организационный

• технологический

• технический

Методы
достижения:
комплексная
проверка всех основных уровней обеспечения
информационной безопасности компании:
нормативно-методологического,
организационного, технологического,
технического:

1. Анализ информационных
   рисков

2. Анализ систем
   защиты по внешним сетям

3. Анализ системы
   контроля информации, передаваемой по
   телефонным соединениям и электронной
   почте

4. Определение
   возможных каналов утечки конфиденциальной
   информации и

т.д.

Перечень
предоставляемой отчетности:

• Отчет о состоянии
  информационной безопасности

• Отчет об эффективности
  вложений в информационную безопасность

• Рекомендации по
  концепции политики безопасности

• Рекомендации по
  плану информационной защиты

Задание по работе:

Рассмотреть
подробно требования к одному из
представительных классов защищенности,
(класс защищенности согласовать с
преподавателем).

Контрольные
вопросы:

1. Перечислите
   подходы
   к оценке эффективности КСЗИ.

2. В
   чем суть экспериментального
   подхода к оценке эффективности КСЗИ.

3. В
   чем суть официального
   подхода к
   оценке эффективности КСЗИ.

4. Назовите

   требования к защи­щенности
   автоматизированных систем (АС).

5. Назовите стандарт
   Российской Федерации, регламентирующий
   вопросы организации защиты информации
   в вычислительных сетях.

6. Назовите классы
   защищенности средств вычис­лительной
   техники (СВТ) от НСД к информации.

7. Перечислите
   основные наименования показателей
   защищенности СВТ.

САМОСТОЯТЕЛЬНАЯ
РАБОТА

ИМИТАЦИОННЫЕ ИГРЫ
И СИТУАЦИИ

1. Проанализируйте
проблемы предотвращения преступлений
в сфере высоких технологий и разработайте
основные направления предотвращения
преступлений в сфере высоких технологий
на предприятии (в организации, учреждении).

1. Проанализируйте
   особенности защиты процесса передачи
   данных от возможности его блокирования
   вследствие информационных воздействий
   хакера на информационную сферу сети
   передачи данных общего пользования и
   разработайте программу защиты сети
   передачи данных организации.

2. Проанализируйте
   основные положения защиты конфиденциальной
   информации в сетях и системах и
   разработайте Замысел защиты
   конфиденциальной информации в сетях
   и системах предприятия (организации,
   учреждения).

ВОПРОСЫ
для самостоятельного дополнительного
изучения:

Понятие опасность
и виды источников опасности.

1. Что такое опасность?
   Дать определение понятию «опасность»,

2. Назовите виды
   источников опасности по природе их
   происхождения.

3. Дать определение
понятию «источники опасности
естественно-природного происхождения».

1. Дать определение
   понятию «источники опасности техногенного
   происхождения».

2. Дать определение
   понятию «источники опасности социального
   происхождения».

3. Источники и
   объекты опасности.

4. Основы моделирования
   опасностей и угроз. Зачем это нужно?

Угрозы и риск и
система мер по их предотвращению.

1. Дать определение
   понятию «угроза». В чем заключается
   отличие угрозы от опасности?

2. Дать определение
   понятиям внешние и внутренние угрозы.

1. Дать определение
   понятию «риск». Каковы виды рисков?

1. Назвать
   естественно-природные внешние и
   внутренние угрозы и меры по их
   предотвращению.

1. Назвать техногенные
   внешние и внутренние угрозы и меры по
   их предотвращению.

2. Назвать социальные
   внешние и внутренние угрозы и меры по
   их предотвращению.

3. Классификация
   угроз.

4. Что представляет
   собой модель опасности (угрозы).

Безопасность и
виды безопасности.

16. Дать определение
понятию «безопасность». Назвать виды
безопасности.

1. Этапы возникновения
   и развития термина «безопасность».
   Охарактеризуйте историю возникновения
   термина «безопасность».

2. Что является
   основным понятием в области безопасности?

3. Дать определение
   понятию «концепция безопасности».

4. Назвать субъекты
   и объекты безопасности.

5. Все или не все
   интересы Российского государства
   защищает действующий ныне закон «О
   безопасности»?

6. Расскажите о
   декомпозиции понятия «безопасность».

7. В чем состоят
   предпосылки безопасности?

8. Направление
   безопасности. Общие характеристики.

9. Почему необходимы
   общие основы теории безопасности?

10. Объясните состав
    и содержание модели направления
    безопасности.

11. Какая отрасль
    науки должна взять на себя миссию
    формирования общей теории безопасности?

12. Причины и факторы,
    обостряющие необходимость разработки
    общей теории безопасности.

13. Роль и место
    человека в проблеме безопасности.

30. Что представляет
собой научное направление — секьюритология?

Информация и
информационная безопасность.

1. Дайте характеристику
   информациологии, эниологии.

2. Назовите основные
   виды информационных угроз.

Безопасность
предпринимательства.

1. Цели и задачи
   системы безопасности предпринимательства.

1. Принципы организации
   и функционирования системы безопасности.

1. Направления
   обеспечения безопасности.

1. Объекты и субъекты
   угроз предпринимательству. Дайте
   краткую характеристику.

1. Источники угроз
   предпринимательству.

Экономическая
безопасность предпринимательства.

1. Источники угроз
   экономической безопасности организации.

2. Основные типы и
   характеристики негативных воздействий
   на экономическую безопасность
   организации.

3. Цели экономической
   безопасности организации.

4. Обеспечение
   экономической безопасности организации.

5. Методы обеспечения
   экономической безопасности организации.

6. Критерии и
   показатели экономической безопасности
   организации.

7. Совокупный
   критерий экономической безопасности.

8. Частные
   функциональные критерии экономической
   безопасности.

9. Методы оценки
   экономической безопасности организации.

10. Основные направления
    обеспечения экономической безопасности
    организации.

11. Функциональные
    составляющие экономической безопасности
    организации.

12. Критерии оценки
    и способы обеспечения технико-технологической
    безопасности организации.

1. Критерии оценки
   и способы обеспечения интеллектуальной
   безопасности организации.

2. Перечислите
   экономические факторы обеспечения
   безопасности.

3. Перечислите
   «болевые точки» безопасности бизнеса,
   которые эффективно могут решить только
   собственные СБ.

4. Перечислите меры
   по предупреждению нарушений в сфере
   безопасности.

5. Перечислите
   задачи службы безопасности по
   предупреждению нарушений в сфере
   безопасности.

6. Перечислите
   проблемы социального и политического
   характера, которые необходимо решить
   для обеспечения безопасности.

Организация
защиты информации.

1. Что относят к
   основной цели для терроризма нового
   поколения?

2. В чем заключается
   сущность и содержание правовой охраны
   программ и баз данных?

3. Что понимают под
   системой защиты информации?

4. Сформулируйте
   особенности практики защиты информации

60. Критерии оценки
и способы обеспечения информационном
безопасности организации.

1. Что предусматривает
   информационное противоборство?

2. Какие элементы
   инфраструктуры являются наиболее
   уязвимыми?

3. Сформулируйте
   определение информационного оружия.

4. Какие факторы
   обусловливают возможность применения
   информационного оружия против России?

5. Какие
   нормативно-правовые документы относятся
   к области обеспечения информационной
   безопасности?

1. Перечислите
   причины мошенничества в информационных
   сетях.

2. Дайте определения
   терминам «Коммерческая тайна» и
   «Конфиденциальная информация», порядок
   отнесения сведений к «Коммерческой
   тайне»?

3. Каковы основные
   требования по защите информации?

Организация
защиты электронной коммерции.

1. Что относят, с
   точки зрения совершения компьютерных
   преступлений, к числу наиболее уязвимых
   вычислительных сетей и (или) организационных
   (функциональных) структур?

2. Как определяют
   элементы, которые должны использоваться
   как критерии при выборе безопасного
   программного обеспечения (ПО)?

1. Перечислите
   основные требования к защите информации
   в информационных телекоммуникационных
   системах.

2. Перечислите
   основные организационно-технические
   мероприятия по защите информации в
   информации в информационных
   телекоммуникационных системах.

3. Поясните сущность
   варианта структуры организационно-технических
   мероприятий информационного характера
   для гипотетической информации в
   информационных телекоммуникационных
   системах.

4. Как можно достичь
   высокой надежности в информационной
   среде?

5. Проанализируйте
   структуру типовой корпоративной сети
   и качественно оцените степень защищенности
   телекоммуникационных устройств.

6. Сформулируйте
   определение политики защиты информации.

7. Перечислите
   составные части политики защиты
   информации.

8. Сформулируйте
   требования к защите информации с
   вероятностной точки зрения.

9. Опишите типовые
   программно-технические средства защиты
   информации.

1. Какие преследуются
   цели при принятии мер для обеспечения
   физической целостности информации в
   информационной сети?

2. Перечислите
   мероприятия, предпринимаемые с целью
   предотвращения несанкционированного
   получения информации.

3. Сформулируйте
   особенности практики защиты информации
   в информационной сети.

1. Каким путем
   осуществляется программное и электронное
   воздействие на информационные ресурсы?

2. Каким образом
   осуществляется защита от программного
   и электронного воздействия?

3. В чем заключаются
   основные правила компьютерной
   безопасности?

ТЕСТЫ
ДЛЯ ПОДГОТОВКИ К ЗАЧЕТУ

Основные функции подсистемы защиты ОС

Подсистема защиты ОС выполняет следующие основные функции.

1. Идентификация и аутентификация. Ни один пользователь не может начать работу с ОС, не идентифицировав себя и не предоставив системе аутентифицирующую информацию, подтверждающую, что пользователь действительно является тем, кем он себя заявляет.

2. Разграничение доступа. Каждый пользователь системы имеет доступ только к тем объектам ОС, к которым ему предоставлен доступ в соответствии с текущей политикой безопасности.

3. Аудит. ОС регистрирует в специальном журнале события, потенциально опасные для поддержания безопасности системы.

4. Управление политикой безопасности. Политика безопасности должна постоянно поддерживаться в адекватном состоянии, т. е. должна гибко реагировать на изменения условий функционирования ОС. Управление политикой безопасности осуществляется администраторами системы с использованием соответствующих средств, встроенных в ОС.

5. Криптографические функции. Защита информации немыслима без использования криптографических средств защиты. Шифрование используется в ОС при хранении и передаче по каналам связи паролей пользователей и некоторых других данных, критичных для безопасности системы.

6. Сетевые функции. Современные ОС, как правило, работают не изолированно, а в составе локальных и/или глобальных компьютерных сетей. ОС компьютеров, входящих в одну сеть, взаимодействуют между собой для решения различных задач, в том числе и задач, имеющих прямое отношение к защите информации.

Подсистема защиты обычно не представляет собой единый программный модуль. Как правило, каждая из перечисленных функций подсистемы защиты решается одним или несколькими программными модулями. Некоторые функции встраиваются непосредственно в ядро ОС. Между различными модулями подсистемы защиты должен существовать четко определенный йнтерфейс, используемый при взаимодействии модулей для решения общих задач.

В таких ОС, как Windows ХР, подсистема защиты четко выделяется в общей архитектуре ОС, в других, как UNIX, защитные функции распределены практически по всем элементам ОС. Однако любая ОС, удовлетворяющая стандарту защищенности, должна содержать подсистему защиты, выполняющую все вышеперечисленные функции. Обычно подсистема зашиты ОС допускает расширение дополнительными программными модулями.

Идентификация, аутентификация и авторизация субъектов доступа

В защищенной ОС любой пользователь (субъект доступа), перед тем как начать работу с системой, должен пройти идентификацию, аутентификацию и авторизацию. Субъектом доступа (или просто субъектом) называют любую сущность, способную инициировать выполнение операций над элементами ОС. В частности, пользователи являются субъектами доступа.

Идентификация субъекта доступа заключается в том, что субъект сообщает ОС идентифицирующую информацию о себе (имя, учетный номер и т. д.) и таким образом идентифицирует себя.

Для того чтобы установить, что пользователь именно тот, за кого себя выдает, в информационных системах предусмотрена процедура аутентификации, задача которой — предотвращение доступа к системе нежелательных лиц.

Аутентификация субъекта доступа заключается в том, что субъект предоставляет ОС помимо идентифицирующей информации еще и аутентифицирующую информацию,подтверждающую, что он действительно является тем субъектом доступа, к которому относится идентифицирующая информация.

Авторизация субъекта доступа происходит после успешной идентификации и аутентификации. При авторизации субъекта ОС выполняет действия, необходимые для того, чтобы субъект мог начать работу в системе. Например, авторизация пользователя в операционной системе UNIX включает в себя порождение процесса, являющегося операционной оболочкой, с которой в дальнейшем будет работать пользователь. В ОС Windows NT авторизация пользователя включает в себя создание маркера доступа пользователя, создание рабочего стола и запуск на нем от имени авторизуемого пользователя процесса Userinit, инициализирующего индивидуальную программную среду пользователя. Авторизация субъекта не относится напрямую к подсистеме зашиты ОС. В процессе авторизации решаются технические задачи, связанные с организацией начала работы в системе уже идентифицированного и аутентифицированного субъекта доступа.

С точки зрения обеспечения безопасности ОС процедуры идентификации и аутентификации являются весьма ответственными. Действительно, если злоумышленник сумел войти в систему от имени другого пользователя, он легко получает доступ ко всем объектам ОС, к которым имеет доступ этот пользователь. Если при этом подсистема аудита генерирует сообщения о событиях, потенциально опасных для безопасности ОС, то в журнал аудита записывается не имя злоумышленника, а имя пользователя, от имени которого злоумышленник работает в системе.

Разграничение доступа к объектам ОС

Основными понятиями процесса разграничения доступа к объектам ОС являются объект доступа, метод доступа к объекту и субъект доступа.

Объектом доступа (или просто объектом) называют любой элемент ОС, доступ к которому пользователей и других субъектов доступа может быть произвольно ограничен. Возможность доступа к объектам ОС определяется не только архитектурой ОС, но и текущей политикой безопасности. Под объектами доступа понимают как ресурсы оборудования (процессор, сегменты памяти, принтер, диски и ленты), так и программные ресурсы (файлы, программы, семафоры), т. е. все то, доступ к чему контролируется. Каждый объект имеет уникальное имя, отличающее его от других объектов в системе, и каждый из них может быть доступен через хорошо определенные и значимые операции.

Методом доступа к объекту называется операция, определенная для объекта. Тип операции зависит от объектов. Например, процессор может только выполнять команды, сегменты памяти могут быть записаны и прочитаны, считыватель магнитных карт может только читать, а для файлов могут быть определены методы доступа «чтение», «запись» и «добавление» (дописывание информации в конец файла).

Субъектом доступа называют любую сущность, способную инициировать выполнение операций над объектами (обращаться к объектам по некоторым методам доступа). Обычно полагают, что множество субъектов доступа и множество объектов доступа не пересекаются. Иногда к субъектам доступа относят процессы, выполняющиеся в системе. Однако логичнее считать субъектом доступа именно пользователя, от имени которого выполняется процесс. Естественно, под субъектом доступа подразумевают не физического пользователя, работающего с компьютером, а «логического» пользователя, от имени которого выполняются процессы ОС.

Таким образом, объект доступа — это то, к чему осуществляется доступ, субъект доступа — это тот, кто осуществляет доступ, и метод доступа — это то, как осуществляется доступ.

Для объекта доступа может быть определен владелец — субъект, которому принадлежит данный объект и который несет ответственность за конфиденциальность содержащейся в объекте информации, а также за целостность и доступность объекта.

Обычно владельцем объекта автоматически назначается субъект, создавший данный объект, в дальнейшем владелец объекта может быть изменен с использованием соответствующего метода доступа к объекту. На владельца, как правило, возлагается ответственность за корректное ограничение прав доступа к данному объекту других субъектов.

Правом доступа к объекту называют право на выполнение доступа к объекту по некоторому методу или группе методов. Например, если пользователь имеет возможность читать файл, говорят, что он имеет право на чтение этого файла. Говорят, что субъект имеет некоторую привилегию, если он имеет право на доступ по некоторому методу или группе методов ко всем объектам ОС, поддерживающим данный метод доступа.

Разграничением доступа субъектов к объектам является совокупность правил, определяющая для каждой тройки субъект—объект—метод, разрешен ли доступ данного субъекта к данному объекту по данному методу. При избирательном разграничении доступа возможность доступа определена однозначно для каждой тройки субъект—объект—метод, при полномочном разграничении доступа ситуация несколько сложнее.

Субъекта доступа называют суперпользователем, если он имеет возможность игнорировать правила разграничения доступа к объектам.

Правила разграничения доступа, действующие в ОС, устанавливаются администраторами системы при определении текущей политики безопасности. За соблюдением этих правил субъектами доступа следит монитор ссылок — часть подсистемы защиты ОС.

Правила разграничения доступа должны удовлетворять следующим требованиям:

1. Соответствовать аналогичным правилам, принятым в организации, в которой установлена ОС. Иными словами, если согласно правилам организации доступ пользователя к некоторой информации считается несанкционированным, этот доступ должен быть ему запрещен.

2. Не должны допускать разрушающие воздействия субъектов доступа на ОС, выражающиеся в несанкционированном изменении, удалении или другом воздействии на объекты, жизненно важные для нормальной работы ОС.

3. Любой объект доступа должен иметь владельца. Недопустимо присутствие ничейных объектов — объектов, не имеющих владельца.

4. Не допускать присутствия недоступных объектов — объектов, к которым не может обратиться ни один субъект доступа ни по одному методу доступа.

5. Не допускать утечки конфиденциальной информации.

Существуют две основные модели разграничения доступа:
• избирательное (дискреционное) разграничение доступа;
• полномочное (мандатное) разграничение доступа.

При избирательном разграничении доступа определенные операции над конкретным ресурсом запрещаются или разрешаются субъектам или группам субъектов. Большинство ОС реализуют именно избирательное разграничение доступа (discretionary access control).

Полномочное разграничение доступа заключается в том, что все объекты могут иметь уровни секретности, а все субъекты делятся на группы, образующие иерархию в соответствии с уровнем допуска к информации. Иногда эту модель называют моделью многоуровневой безопасности, предназначенной для хранения секретов.

Избирательное разграничение доступа

Система правил избирательного разграничения доступа формулируется следующим образом.

1. Для любого объекта ОС существует владелец.
2. Владелец объекта может произвольно ограничивать доступ других субъектов к данному объекту.
3. Для каждой тройки субъект—объект—метод возможность доступа определена однозначно.
4. Существует хотя бы один привилегированный пользователь (администратор), имеющий возможность обратиться к любому объекту по любому методу доступа.

Привилегированный пользователь не может игнорировать разграничение доступа к объектам. Например, в Windows NT администратор для обращения к чужому объекту (принадлежащему другому субъекту) должен сначала объявить себя владельцем этого объекта, использовав привилегию администратора объявлять себя владельцем любого объекта, затем дать себе необходимые права и только после этого может обратиться к объекту. Последнее требование введено для реализации механизма удаления потенциально недоступных объектов.

При создании объекта его владельцем назначается субъект, создавший данный объект. В дальнейшем субъект, обладающий необходимыми правами, может назначить объекту нового владельца. При этом субъект, изменяющий владельца объекта, может назначить новым владельцем объекта только себя. Такое ограничение вводится для того, чтобы владелец объекта не мог отдать «владение» объектом другому субъекту и тем самым снять с себя ответственность за некорректные действия с объектом.

Для определения прав доступа субъектов к объектам при избирательном разграничении доступа используются такие понятия, как матрица доступа и домен безопасности.

С концептуальной точки зрения текущее состояние прав доступа при избирательном разграничении доступа описывается матрицей, в строках которой перечислены субъекты доступа, в столбцах — объекты доступа, а в ячейках — операции, которые субъект может выполнить над объектом.

Домен безопасности (protection domain) определяет набор объектов и типов операций, которые могут производиться над каждым объектом ОС.

Возможность выполнять операции над объектом есть право доступа, каждое из которых есть упорядоченная пара <object-name, rights-set>. Таким образом, домен есть набор прав доступа. Например, если домен D имеет право доступа <file F, (read, write)>, это означает, что процесс, выполняемый в домене D, может читать или писать в файл F, но не может выполнять других операций над этим объектом (рис. 8.1).

Объект / Домен	F1	F2	F3	Printer
D1	read		execute
D2		read
D3				print
D4	read write		read write

Рис. 8.1. Специфицирование прав доступа к ресурсам

Связь конкретных субъектов, функционирующих в ОС, может быть организована следующим образом:
• каждый пользователь может быть доменом. В этом случае набор объектов, к которым может быть организован доступ, зависит от идентификации пользователя;
• каждый процесс может быть доменом. В этом случае набор доступных объектов определяется идентификацией процесса;
• каждая процедура может быть доменом. В этом случае набор доступных объектов соответствует локальным переменным, определенным внутри процедуры. Заметим, что, когда процедура выполнена, происходит смена домена.

Модель безопасности, специфицированная выше (см. рис. 8.1), имеет вид матрицы и называется матрицей доступа. Столбцы этой матрицы представляют собой объекты, строки — субъекты. В каждой ячейке матрицы хранится совокупность прав доступа, предоставленных данному субъекту на данный объект.

Поскольку реальная матрица доступа очень велика (типичный объем для современной ОС составляет несколько десятков мегабайтов), матрицу доступа никогда не хранят в системе в явном виде. В общем случае эта матрица будет разреженной, т. е. большинство ее клеток будут пустыми. Матрицу доступа можно разложить по столбцам, в результате чего получаются списки прав доступа ACL (access control list). В результате разложения матрицы по строкам получаются мандаты возможностей (capability list, или capability tickets).

Список прав доступа ACL. Каждая колонка в матрице может быть реализована как список доступа для одного объекта. Очевидно, что пустые клетки могут не учитываться. В результате для каждого объекта имеем список упорядоченных пар <domain, rights-set>, который определяет все домены с непустыми наборами прав для данного объекта.

Элементами списка прав доступа ACL могут быть процессы, пользователи или группы пользователей. При реализации широко применяется предоставление доступа по умолчанию для пользователей, права которых не указаны. Например, в ОС Unix все субъекты-пользователи разделены на три группы (владелец, группа и остальные), и для членов каждой группы контролируются операции чтения, записи и исполнения (rwx). В итоге имеем ACL — 9-битный код, который является атрибутом разнообразных объектов Unix.

Мандаты возможностей. Как отмечалось выше, если матрицу доступа хранить по строкам, т. е. если каждый субъект хранит список объектов и для каждого объекта — список допустимых операций, то такой способ хранения называется «мандаты возможностей» или «перечни возможностей» (capability list). Каждый пользователь обладает несколькими мандатами и может иметь право передавать их другим. Мандаты могут быть рассеяны по системе и вследствие этого представлять большую угрозу для безопасности, чем списки контроля доступа. Их хранение должно быть тщательно продумано.

Избирательное разграничение доступа — наиболее распространенный способ разграничения доступа. Это обусловлено сравнительной простотой его реализации и необременительностью правил такого разграничения доступа для пользователей. Главное достоинство избирательного разграничения доступа — гибкость; основные недостатки — рассредоточенность управления и сложность централизованного контроля.

Вместе с тем, защищенность ОС, подсистема защиты которой реализует только избирательное разграничение доступа, в некоторых случаях может оказаться недостаточной. В частности, в США запрещено хранить информацию, содержащую государственную тайну, в компьютерных системах, поддерживающих только избирательное разграничение доступа.

Расширением модели избирательного разграничения доступа является изолированная (или замкнутая) программная среда.

При использовании изолированной программной среды права субъекта на доступ к объекту определяются не только правами и привилегиями субъекта, но и процессом, с помощью которого субъект обращается к объекту. Можно, например, разрешить обращаться к файлам с расширением .doc только программам Word, Word Viewer и WPview.

Изолированная программная среда существенно повышает защищенность операционной системы от разрушающих программных воздействий, включая программные закладки и компьютерные вирусы. Кроме того, при использовании данной модели повышается защищенность целостности данных, хранящихся в системе.

Полномочное разграничение доступа с контролем информационных потоков

Полномочное, или мандатное, разграничение доступа (mandatory access control) обычно применяется в совокупности с избирательным разграничением доступа. Рассмотрим именно такой случай. Правила разграничения доступа в данной модели формулируются следующим образом.

1. Для любого объекта ОС существует владелец.

2. Владелец объекта может произвольно ограничивать доступ других субъектов к данному объекту.

3. Для каждой четверки субъект—объект—метод—процесс возможность доступа определена однозначно в каждый момент времени. При изменении состояния процесса со временем возможность предоставления доступа также может измениться. Вместе с тем, в каждый момент времени возможность доступа определена однозначно. Поскольку права процесса на доступ к объекту меняются с течением времени, они должны проверяться не только при открытии объекта, но и перед выполнением над объектом таких операций, как чтение и запись.

4. Существует хотя бы один привилегированный пользователь (администратор), имеющий возможность удалить любой объект.

5. В множестве объектов выделяется множество объектов полномочного разграничения доступа. Каждый объект полномочного разграничения доступа имеет гриф секретности. Чем выше числовое значение грифа секретности, тем секретнее объект. Нулевое значение грифа секретности означает, что объект несекретен. Если объект не является объектом полномочного разграничения доступа или если объект несекретен, администратор может обратиться к нему по любому методу, как и в предыдущей модели разграничения доступа.

6. Каждый субъект доступа имеет уровень допуска. Чем выше числовое значение уровня допуска, тем больший допуск имеет субъект. Нулевое значение уровня допуска означает, что субъект не имеет допуска. Обычно ненулевое значение допуска назначается только субъектам-пользователям и не назначается субъектам, от имени которых выполняются системные процессы.

7. Доступ субъекта к объекту должен быть запрещен независимо от состояния матрицы доступа, если:
• объект является объектом полномочного разграничения доступа;
• гриф секретности объекта строго выше уровня допуска субъекта, обращающегося к нему;
• субъект открывает объект в режиме, допускающем чтение информации.
Это правило называют правилом NRU (Not Read Up — не читать выше).

8. Каждый процесс ОС имеет уровень конфиденциальности, равный максимуму из грифов секретности объектов, открытых процессом на протяжении своего существования. Уровень конфиденциальности фактически представляет собой гриф секретности информации, хранящейся в оперативной памяти процесса.

9. Доступ субъекта к объекту должен быть запрещен независимо от состояния матрицы доступа, если:
• объект является объектом полномочного разграничения доступа;
• гриф секретности объекта строго ниже уровня конфиденциальности процесса, обращающегося к нему;
• субъект собирается записывать в объект информацию,
Это правило предотвращает утечку секретной информации; его называют правилом NWD (Not Write Down — не записывать ниже).

10. Понизить гриф секретности объекта полномочного разграничения доступа может только субъект, который:
• имеет доступ к объекту согласно правилу 7;
• обладает специальной привилегией, позволяющей ему понижать грифы секретности объектов.

При использовании данной модели разграничения доступа существенно страдает производительность ОС, поскольку права доступа к объекту должны проверяться не только при открытии объекта, но и при каждой операции чтение/запись. Кроме того, эта модель создает пользователям определенные неудобства: если уровень конфиденциальности процесса строго выше нуля, то вся информация в памяти процесса фактически является секретной и не может быть записана в несекретный объект.

Если процесс одновременно работает с двумя объектами, только один из которых является секретным, то он не может записывать информацию из памяти во второй объект. Эта проблема решается посредством использования специального программного интерфейса API для работы с памятью. Области памяти, выделяемые процессам, могут быть описаны как объекты полномочного разграничения доступа, после чего им могут назначаться грифы секретности.

При чтении секретного файла процесс должен считать содержимое такого файла в секретную область памяти, используя для этого функции ОС, гарантирующие невозможность утечки информации. Для работы с секретной областью памяти процесс также должен использовать специальные функции. Поскольку утечка информации из секретных областей памяти в память процесса невозможна, считывание процессом секретной информации в секретные области памяти не отражается на уровне конфиденциальности процесса. Если же процесс считывает секретную информацию в область памяти, не описанную как объект полномочного разграничения доступа, повышается уровень конфиденциальности процесса.

Из вышеизложенного следует, что пользователи ОС, реализующих данную модель разграничения доступа, вынуждены использовать ПО, разработанное с учетом этой модели. В противном случае они будут испытывать серьезные проблемы в процессе работы с объектами ОС, имеющими ненулевой гриф секретности.

Каждая из рассмотренных моделей разграничения доступа имеет свои достоинства и недостатки.

В большинстве ситуаций применение избирательного разграничения доступа наиболее эффективно. Изолированную программную среду целесообразно использовать в случаях, когда важно обеспечить целостность программ и данных ОС. Полномочное разграничение доступа с контролем информационных потоков следует применять в тех случаях, когда для организации чрезвычайно важно обеспечение защищенности системы от несанкционированной утечки информации. В остальных ситуациях применение этой модели нецелесообразно из-за резкого ухудшения эксплуатационных качеств ОС.

Аудит

Процедура аудита применительно к ОС заключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представлять опасность для ОС. Пользователи системы, обладающие правом чтения журнала аудита, называются аудиторами.

Необходимость включения в защищенную ОС функций аудита обусловлена следующими обстоятельствами:

• обнаружение попыток вторжения является важнейшей задачей системы защиты, поскольку ее решение позволяет минимизировать ущерб от взлома и собирать информацию о методах вторжения;

• подсистема защиты ОС может не отличить случайные ошибки пользователей от злонамеренных действий. Администратор, просматривая журнал аудита, сможет установить, что произошло при вводе пользователем неправильного пароля — ошибка легального пользователя или атака злоумышленника. Если пользователь пытался угадать пароль 20—30 раз, то это явная попытка подбора пароля;

• администраторы ОС должны иметь возможность получать информацию не только о текущем состоянии системы, но и о том, как ОС функционировала в недавнем прошлом. Такую возможность обеспечивает журнал аудита;

• если администратор ОС обнаружил, что против системы проведена успешная атака, ему важно выяснить, когда была начата атака и каким образом она осуществлялась. Журнал аудита может содержать всю необходимую информацию.

К числу событий, которые могут представлять опасность для ОС, обычно относят следующие:

• вход или выход из системы;

• операции с файлами (открыть, закрыть, переименовать, удалить);

• обращение к удаленной системе;

• смену привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т. п.).

Если фиксировать в журнале аудита все события, объем регистрационной информации будет расти слишком быстро, что затруднит ее эффективный анализ. Необходимо предусмотреть выборочное протоколирование как в отношении пользователей, так и в отношении событий.

Требования к аудиту. Подсистема аудита ОС должна удовлетворять следующим требованиям.

1. Добавлять записи в журнал аудита может только ОС. Если предоставить это право какому-то физическому пользователю, этот пользователь получит возможность компрометировать других пользователей, добавляя в журнал аудита соответствующие записи.

2. Редактировать или удалять отдельные записи в журнале аудита не может ни один субъект доступа, в том числе и сама ОС.

3. Просматривать журнал аудита могут только пользователи, обладающие соответствующей привилегией.

4. Очищать журнал аудита могут только пользователи-аудиторы. После очистки журнала в него автоматически вносится запись о том, что журнал аудита был очищен, с указанием времени очистки журнала и имени пользователя, очистившего журнал. ОС должна поддерживать возможность сохранения журнала аудита перед очисткой в другом файле.

5. При переполнении журнала аудита ОС аварийно завершает работу («зависает»). После перезагрузки работать с системой могут только аудиторы. ОС переходит к обычному режиму работы только после очистки журнала аудита.

Для ограничения доступа к журналу аудита должны применяться специальные средства защиты.

Политика аудита — это совокупность правил, определяющих, какие события должны регистрироваться в журнале аудита. Для обеспечения надежной защиты ОС в журнале аудита должны обязательно регистрироваться следующие события:
• попытки входа/выхода пользователей из системы;
• попытки изменения списка пользователей;
• попытки изменения политики безопасности, в том числе и политики аудита.

Окончательный выбор событий, которые должны регистрироваться в журнале аудита, возлагается на аудиторов. При выборе оптимальной политики аудита следует учитывать ожидаемую скорость заполнения журнала аудита. Политика аудита должна оперативно реагировать на изменения в конфигурации ОС, в характере хранимой и обрабатываемой информации и особенно на выявленные попытки атаки ОС.

В некоторых ОС подсистема аудита помимо записи информации о зарегистрированных событиях в специальный журнал предусматривает возможность интерактивного оповещения аудиторов об этих событиях.

Эта статья была опубликована Пятница, 11 сентября, 2009 at 14:17 в рубрике Обеспечение безопасности операционных систем.
Вы можете следить за ответами через RSS 2.0 feed.