110. Сервисы безопасности: идентификация и аутентификация, разграничение доступа, протоколирование и аудит, экранирование.

Идентификация субъекта – это процедура распознавания субъекта по его идентификатору.

Аутентификация субъекта – проверка подлинности субъекта с данным идентификатором.

Способы аутентификации:

• Текстовый ввод логина и пароля.

• Аутентификация с помощью электронных сертификатов

• Аутентификация с помощью пластиковых карт

• Аутентификация с помощью биометрических устройств

Аутентификация на основе PIN-кодов. Основным методом аутентификации пользователей, имеющих пластиковые и смарт-карты, является ввод секретного числа, известного только пользователю и системе, куда осуществляется доступ. Это секретное число называют PIN-кодом. PIN-код должен содержать от 4-х до 12 буквенно-цифровых символов. PIN-коды делятся на статические и динамические (изменяемые):

• Статический PIN-код не может быть изменен пользователем на протяжении всего срока действия карты. Каждой карте должен соответствовать один и только один PIN-код.

• Динамический PIN-код можно изменить на специальном терминале, достаточно ввести новый PIN-код.

Аутентификация на основе пароля - один из способов аутентификации в компьютерной системе. Состоит во вводе вашего пользовательского идентификатора (логина) и пароля — некой конфиденциальной информации, знание которой обеспечивает владение определенным ресурсом. Получив введенный пользователем логин и пароль, компьютер сравнивает их со значением, которое хранится в специальной БД и, в случае совпадения, пропускает пользователя в систему.

Простая передача пароля. Пароль передаётся в открытом виде. В этом случае он может быть перехвачен при помощи простых средств отслеживания сетевого трафика. Просто сравнение пароля с БД.

Односторонняя хеш функция для проверки пароля. Пользователь вводит логин и пароль. В результате функции хеширования пароля получается дайджест (со штрихом). А в это время в БД напротив идентификатора (логина) пользователя хранится оригинальный дайджест пароля. Затем эти два дайджеста сравниваются. Если все ОК происходит авторизация, в противном случае происходит фиксация попытки НСД (заносится в журнал). Такой способ передачи пароля снижает риск получения пароля при помощи сниффера.

Авторизация субъекта – предоставление лицу возможностей в соответствие с положенными ему правами или проверка наличия прав при попытке выполнить какое-либо действие. В информационных технологиях посредством авторизации устанавливаются и реализуются права доступа к ресурсам и системам обработки данных.

СРД - Совокупность реализуемых правил разграничения доступа в средствах ВТ или АС.

Функции системы разграничения доступа

• реализация правил разграничения доступа субъектов и их процессов к данным;

• реализация ПРД субъектов и их процессов к устройствам создания твёрдых копий;

• изоляция программ процесса, выполняемого в интересах субъекта, от других субъектов;

• управление потоками данных с целью предотвращения записи данных на носители несоответствующего грифа;

• реализация правил обмена данными между субъектами для АС и СВТ, построенных по сетевым принципам.

СРД должна содержать 4 функциональных блока:

• идентификация и аутентификация субъектов доступа;

• диспетчер доступа;

• криптографическое преобразование информации при ее хранении и передачи;

• очистка памяти.

Функциональная схема диспетчера доступа

Запрос → (Блок управления БД, блок регистрации событий); Блок управления БД ↓ БД полномочий и характеристик доступа; Блок принятия решений – в него входят все блоки; Далее решение «допустить», «отказать», «НСД к И» → АИБ; Диспетчер доступа реализуется в виде А-П механизмов и обеспечивает разграничение доступа субъектов к объектам; Запрос на доступ поступает в блок управления БД, полномочий и характеристик доступа, а также в блок регистрации событий. Полномочия субъекта и характеристики объекта доступа анализируются в блоке принятия решений, который выдает сигнал разрешения выполнения запроса, либо сигнал отказа в доступе; Если число попыток получить доступ превысит определенную границу (обычно 3 раза), то блок принятия решения выдаст сигнал «НСД к И».

Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе. У каждого сервиса свой набор возможных событий, но в любом случае их можно разделить на внешние (вызванные действиями других сервисов), внутренние (вызванные действиями самого сервиса) и клиентские (вызванные действиями пользователей и администраторов).

Аудит – это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически (например, раз в день). Оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации называется активным.

Реализация протоколирования и аудита решает следующие задачи:

• беспечение подотчетности пользователей и администраторов;

• обеспечение возможности реконструкции последовательности событий;

• обнаружение попыток нарушений информационной безопасности;

• предоставление информации для выявления и анализа проблем.

При протоколировании необходимо следить за тем, чтобы, с одной стороны, достигались перечисленные выше цели, а, с другой, расход ресурсов оставался в пределах допустимого. Слишком обширное или подробное протоколирование не только снижает производительность сервисов, но и затрудняет аудит, то есть не увеличивает, а уменьшает информационную безопасность.

В "Оранжевой книге" предлагается вести протоколирование следующих событий:

• вход в систему (успешный или нет);

• выход из системы;

• обращение к удаленной системе;

• операции с файлами (открыть, закрыть, переименовать, удалить);

• смена привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т.п.).

При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию:

• дата и время события;

• уникальный идентификатор пользователя – инициатора действия;

• тип события;

• результат действия (успех или неудача);

• источник запроса (например, имя терминала);

• имена затронутых объектов (например, открываемых или удаляемых файлов);

• описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).

Экран (фаерволл, брэндмауер) - это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем.

Помимо функций разграничения доступа экраны осуществляют также протоколирование информационных обменов.

Экранирование позволяет поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, индуцированную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально сторонний злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более безопасным образом.

Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности.

Часто экран представлен в виде программного пакета, но также экраны бывают представлены и в аппаратном виде. Такие фаерволлы справляются со своими функциям куда лучше своих программных собратьев. Они могут обрабатывать намного больше информации (следственно на них тяжело вызвать ошибку отказа в обслуживании), а также имеют меньше уязвимостей и больше возможностей. Соответственно, они стоят гораздо дороже брэндмауэров, реализуемых на программном уровне.