12
определенная территория, имеющая ограждение, охранную сигнализацию,
контрольно-пропускной пункт.
Метод разграничения доступа на основании создания учетных записей
и назначения привилегий пользователям компьютерной сети позволяет
производить обмен в сети только авторизованным пользователям.
Привилегии назначаются по уровням пользователям и позволяют определить
группы пользователей, которым доступны только операции чтения данных
или модификации. Полный доступ к ресурсам к сети, как правило,
назначается администратору компьютерной сети [13, c.24].
Другими словами, процесс назначения привилегий для предоставления
доступа к компьютерной сети предусматривает создание определенной
группы пользователей с назначением идентификатора, определяющего права
доступа к компьютерной сети. Этот метод нейтрализует угрозы и имеет
высокую эффективность защиты от несанкционированных действий.
Метод идентификации предусматривает назначение для пользователя
уникального имени, а процесс аутентификации связан с проверкой
подлинности данных пользователя.
Целью метода идентификации и аутентификации является организация
доступа к компьютерной сети, и в случае положительных результатов
проверки предоставление доступа к информации. К объектам идентификации
и аутентификации относятся программное обеспечение, пользователи и
технические средства [17, c.40].
Защита информации с помощью методов шифрования предусматривает
преобразование информации, передаваемой в компьютерной сети с
применением специальных алгоритмов, позволяющих выполнять
шифрование и дешифрование информации.
Как правило, для шифрования данных в компьютерной сети
специалисты разрабатывают открытый или закрытый ключ, который
обеспечивает конфиденциальность передаваемой информации.
13
Многими специалистами для защиты данных в компьютерной сети
применяется метод контроля и мониторинга получения доступа к
информации. В основе этого метода находится регистрация событий,
которые происходят при обмене информацией по компьютерной сети.
Виды событий, которые подлежат учету и контролю в компьютерной
сети приведены на рисунке 4.
Рисунок 4 – Виды событий, которые подлежат учету и контролю в
компьютерной сети
Реализация функций контроля и регистрации на предприятиях
производится с использованием программно-аппаратных средств.
Полученные результаты заносятся в специальный журнал, который доступен
только администратору сети [20, c.60].
В случае возникновения инцидента по получения доступа в
компьютерную сеть злоумышленником защита информации в компьютерной
сети сопровождается проведением организационных мероприятий,
позволяющих исключить несанкционированный доступ. Для того чтобы
исключить возможные потери информации, производятся операции по ее
сохранению на отдельных носителях, созданию резервных копий на серверах
или в облачной среде.
Результаты идентификации и аутентификации при входе в систему
Попытки подбора пароля
Время и идентификатор авторизованного пользователя
Время обращения пользователей к документам
Попытки превышения полномочий пользователями
14
Контроль доступа к каналам передачи данных, сетевому оборудованию
в компьютерной сети предусматривает использование специального
оборудования, включающего в свой состав датчики вскрытия, которые
позволяют передавать сигналы на центральный сервер управления
компьютерной сетью [27, c.102].
В отношении вскрытия аппаратуры обеспечивается защита от угроз
приведенных на рисунке 5.
Рисунок 5 – Виды угроз, которые позволяет нейтрализовать специальная
аппаратура
Контроль защиты оборудования позволяет не только обеспечить
защиту данных от несанкционированного доступа, но и предотвратить
непреднамеренное уничтожение данных в случае возникновения сбоев.
Как правило, работа аппаратного обеспечения, которое установлено в
компьютерной сети, создает электромагнитное излучение и наводки в
соединительных линиях [32, c.78].
Как известно, в случае возникновения резонанса в компьютерной сети
увеличивается электромагнитное излучение. В этом случае для того чтобы
создать защиту от утечек, производится измерение опасных сигналов на
определенном расстоянии. Замеры производятся в нескольких сегментах
Изменения и разрушения принципиальной схемы
коммуникационного оборудования
Подключение посторонних устройств
Изменение алгоритма работы вычислительной системы
Загрузка посторонних программ и внесения компьютерных
вирусов в систему
15
компьютерной сети, а также на границах защищаемой зоны с применением
специальной аппаратуры. Также для обеспечения защиты применяются
специальные экраны, позволяющие обеспечить защиту от электромагнитного
излучения и фильтры.
Организационные методы включают в свой состав структурные
элементы для управления информационной системой. Для того чтобы
обеспечить безопасность, применяется комплекс приемов, классификация
которых имеет следующий вид [35, c.54]:
- организация охраны территории с применением средств
радиосигнализации, программных и аппаратных средств;
- периодическая профилактика помещений с использованием методов
нелинейной радиолокации;
- обеспечение защищенности компьютерной сети от прослушки с
использованием средств мобильной связи;
- обеспечение акустической безопасности помещений;
- применение криптографических средств защиты.
Также к защите информации в компьютерной сети относятся этические
методы, включающие различные нормы, применяемые в отношении
безопасности.
В большей степени эти нормы связаны с внедрением законодательных
методов. В состав системы защиты информации также входят методы
обеспечения доступа к компьютерной сети [1, c.78].
Методы конфиденциальности данных применяются в процессах
передачи информации, анализа трафика в компьютерной сети. В основе
работы методов шифрования находится криптографический механизм,
позволяющий обеспечивать конфиденциальность при передаче информации.
Методы аутентификации предусматривают подтверждение данных
пользователя. В основе механизма идентификации и аутентификации
пользователя, находится методы передачи конфиденциальных данных по
16
компьютерной сети. В случае односторонней или взаимной аутентификации,
производится проверка подлинности данных пользователя, с использованием
передатчика и приемника сообщений. Это позволяет предотвратить
соединение с логическим объектом, который создан злоумышленником.
Методы целостности данных, связанные с подтверждением
целостности информации, в процессе ее передачи и обеспечения защиты от
преднамеренных и случайных воздействий, связаны с изменением данных,
задержкой, уничтожением и модификацией сообщений [8, c.69].
Механизм обеспечения целостности связан с вводом в
информационное сообщение дополнительной информации. В защите
информации компьютерной сети также применяют методы обеспечения
целостности данных, связанные с созданием единого блока данных или
разбиение информации на отдельные блоки.
Методы защиты передачи данных обеспечивают защиту от
несанкционированного доступа, разрушения каналов связи, создания
задержек в передачи. Эти методы наиболее часто применяют при передаче
информации по виртуальным каналам или при использовании дейтаграмм.
В первом случае устраняются повторы, вставки и модификация
информации, а в случае применения режима дейтаграмм, метки времени
обеспечивают только ограниченную защиту целостности и предотвращают
переадресацию отдельных блоков [18, c.24].
В настоящее время для защиты от несанкционированного доступа свое
применение получили биометрические методы идентификации и
авторизации пользователей.
Среди биометрических методов следует выделить методы
распознавания речи, идентификации по радужной оболочке глаза, отпечатку
пальцев [16, c.93].
На следующем этапе выполним обзор средств для обеспечения защиты
информации в компьютерной сети.
17
1.3. Обзор средств защиты информации в сетях
Выполним сравнительный анализ наиболее популярных программных
средств защиты, которые применяются в компьютерных сетях.
Система «Дозор Джет» представляет собой программное обеспечение,
выполняющие анализ трафика в компьютерной сети, сообщений с
электронной почты, а также позволяет вести контроль атак и угроз.
В состав системы защиты «Дозор Джет» входят система мониторинга,
архивирования и администрирования данных, а также средства
интеллектуального анализа данных [19, c.26].
Система мониторинга выполняет функции анализа информации,
поступающей в компьютерную сеть, ее фильтрации и очистки от вирусного
программного обеспечения.
Основные компоненты программного средства защиты «Дозор Джет»
приведены на рисунке 6.
Рисунок 6 – Основные компоненты программного средства защиты «Дозор
Джет»
18
Как видно из рисунка 6, в систему «Дозор Джет» входит компьютерная
сеть, которая подключена к модулю реагирования на инциденты. В сою
очередь, модуль реагирования связан с модулями разбора и мониторинга,
выступающими подсистемами. Кроме системы мониторинга в систему
«Дозор Джет» входит система администрирования и система архивирования.
Для обеспечения защиты в компьютерной сети устанавливаются
межсетевые экраны, которые позволяют фильтровать информацию, а в
случае обнаружения угроз блокировать работу [23, c.45].
Для фильтрации данных в состав системы входит firewall, который
включает свой состав проактивный профиль защиты, различные
идентификаторы, а также систему для контроля сетевого трафика. Firewall
установлен между локальной сетью и сетью Интернет.
В состав firewall входят службы для выполнения фильтрации IP-
пакетов и анализа работы программных продуктов. Также в его состав входят
подсистемы, позволяющие выполнять контроль целостности, фильтрации
пакетов и восстановления данных.
Для обработки данных работы системы «Дозор Джет» администратор
может использовать графический интерфейс, который представлен в виде
программного обеспечения, написанного на языке программирования Java.
Это создает возможности настройки фильтра сетевых пакетов, запуска и
остановки сервера, выполнения настроек сетевого оборудования.
Для шифрования межсетевых потоков в компьютерной сети свое
распространение получила система «Тропа-Джет», которая обеспечивает
комплексную защиту компьютерной сети, позволяет выполнять ее
мониторинг и обнаруживать шпионские программы [28, c.49].
В состав системы «Тропа-Джет» входят модули, позволяющее
генерировать отчеты о текущем состоянии защиты информации в
компьютерной сети, проверять оптимальность уровня безопасности
информации.
19
Структура системы защиты данных «Тропа-Джет» приведена на
рисунке 7.
Рисунок 7 – Структура системы защиты данных «Тропа-Джет»
Для обеспечения данных пользователю предоставляется
идентификатор, который включает криптографические методы защиты и
позволяет анализировать действия определенного пользователя.
Система защиты «Тропа-Джет» способствует повышению уровня
защиты информации и своевременно выявляет злоумышленников, которые
желают получить несанкционированный доступ к компьютерной сети [34,
c.85].
Среди программных средств защиты, также следует выделить систему
«Web-Sense Data Security Suite», которая ведет постоянный контроль данных
в компьютерной сети. В этой системе применяется биометрическая
технология отпечатков пальцев, интеллектуальные технологии, основанные
на проверке правил работы в компьютерной сети.
20
С использованием системы «Web-Sense Data Security Suite»
обеспечивается защита от утечек информации в программном обеспечении
компьютерной сети.
Кроме перечисленных средств защиты компьютерной сети, в состав
комплексной системы входят системы защиты, которые позволяют
обеспечить защиту не только компьютерной сети, но и контролировать
работу оборудования, установленного в различных помещениях. Такие
системы относятся к инженерно-техническим средствам обеспечения защиты
и получили свое название систем управления и контроля доступа.
С помощью системы контроля и управления доступом можно получить
информацию по событиям, которые передаются с помощью контроллера.
Серверная часть выполняет функции управления доступом и
подключена к считывателям бесконтактных карточек, датчикам,
исполнительным механизмам и турникету.
Система контроля и управления доступом представлена в виде набора
аппаратных и программных средств, позволяющих ограничивать доступ в
помещения, здания, зоны и территории [25, c.40].
В состав системы контроля и управления доступом входят
преграждающие устройства, считыватели, идентификаторы доступа,
исполнительные устройства, средства управления аппаратными и
программными средствами.
В настоящее время на рынке представлено пять различных типов
конструкций исполнительных устройств с комбинированным
электромеханическим замком, моторным приводом, электромагнитной
защелкой, моторным замком или моторным замком с блокировкой засовов.
В состав системы контроля и управления доступом входят различные
виды идентификаторов.
В зависимости от типа контакта со считывателем выделяют:
- контактные ключи, которые представлены в виде кодовых карточек;
21
- псевдобесконтактные ключи, представленные магнитными ключами и
картами, дактилоскопические датчиками, кодовыми панелями;
- бесконтактные ключи, включающие радиобрелки и бесконтактные
карточки.
В настоящее время свое развитие получили биометрические системы
контроля и управления доступом. В их состав входят биометрические
средства идентификации личности.
Статические средства биометрической идентификации позволяют
проводить идентификацию по физиологическим характеристикам человека и
реализуют методы идентификации по отпечаткам пальцев, геометрии руки,
лица, радужной оболочки глаза или сетчатки глаза [21, c.42].
Недостатком таких средств биометрической идентификации является
возможность подделки при получении доступа к базе данных с отпечатками.
Динамические средства биометрической идентификации основаны на
поведенческих характеристиках, то есть характерных подсознательных
движениях или воспроизведении звука. В этом случае в биометрических
средствах идентификации применяются образ подписи, динамика подписи,
голос, клавиатурный почерк.
При этом следует отметить, что динамические биометрические
средства идентификации личности не являются самыми надежными,
поскольку злоумышленник также может к ним получить доступ через базу
данных.
Также свое распространение получили биометрические средства
идентификации по клавиатурному почерку пользователя, основанные на
фиксированной парольной фразе. К основным параметрам идентификации
можно отнести характеристики продолжительности нажатия на клавиатуре
клавиш.
Биометрические средства идентификации по фиксированной фразе
основаны на анализе характеристик клавиатурного почерка во время входа в