73. Що таке iptables? Основні можливості

Iptables - утиліта командного рядка, стандартний інтерфейс керування роботою міжмережевного екрану (брандмауеру) Netfilter для ядер Linux.

74. Що таке політика безпеки?

Політика інформаційної безпеки — набір законів, правил і практичних рекомендацій і практичного досвіду, що визначають управлінські і проектні рішення в області ЗИ. На основі ПІБ будується керування, захист і розподіл критичної інформації в системі. Вона повинна охоплювати всі особливості процесу обробки інформації, визначаючи поводження ІС у різних ситуаціях.

Політика безпеки визначається як сукупність документованих управлінських рішень, спрямованих на захист інформації й асоційованих з нею ресурсів.

При розробці і проведенні її в життя доцільно керуватися наступними засадами:

1. Стосовно до межмережевих екранів принцип неможливості минати захисні засоби означає, що всі інформаційні потоки в мережу, що захищається, і з її повинні проходити через екран. Не повинно бути "таємних" модемних чи входів тестових ліній, що йдуть в обхід екрана.

2. Надійність будь-якої оборони визначається самою слабкою ланкою. Часто самою слабкою ланкою виявляється не чи комп'ютер програма, а людина, і тоді проблема забезпечення інформаційної безпеки здобуває нетехнічний характер.

3. Принцип неприпустимості переходу у відкритий стан означає, що при будь-яких обставинах (у тому числі позаштатних), СЗІ або цілком виконує свої функції, або повинна цілком блокувати доступ.

4. Принцип мінімізації привілеїв наказує виділяти користувачам і адміністраторам тільки ті права доступу, що необхідні їм для виконання службових обов'язків.

5. Принцип поділу обов'язків припускає такий розподіл ролей і відповідальності, при якому одна людина не може порушити критично важливий для організації процес. Це особливо важливо, щоб запобігти зловмисні чи некваліфіковані дії системного адміністратора.

6. Принцип багаторівневого захисту наказує не покладатися на один захисний рубіж, яким би надійним він ні здавався. За засобами фізичного захисту повинні випливати програмно-технічні засоби, за ідентифікацією й аутентификацией - керування доступом і, як останній рубіж, - протоколювання й аудит. Ешелонована оборона здатна принаймні затримати зловмисника, а наявність такого рубежу, як протоколювання й аудит, істотно утрудняє непомітне виконання злочинних дій.

7. Принцип розмаїтості захисних засобів рекомендує організовувати різні за своїм характером оборонні рубежі, щоб від потенційного зловмисника було потрібно оволодіння різноманітними і, по можливості, несумісними між собою навичками подолання СЗІ.

8. Принцип простоти і керованості інформаційної системи в цілому і СЗІ особливо визначає можливість формального чи неформально доказу коректності реалізації механізмів захисту. Тільки в простій і керованій системі можна перевірити погодженість конфігурації різних компонентів і здійснити централізоване адміністрування.

9. Принцип загальної підтримки заходів безпеки - носить нетехнічний характер. Рекомендується із самого початку передбачити комплекс заходів, спрямований на забезпечення лояльності персоналу, на постійне навчання, теоретичне і, головне, практичне.

75. Як забезпечується безпека в мережах Wi-fi ?

Основні способи захисту бездротових мереж:

1) Фільтрація MAC-адрес. У цьому випадку адміністратор складає список MAC-адрес мережевих карт клієнтів. У разі декількох АР необхідно передбачити, щоб MAC-адреса клієнта існувала на усіх, щоб він міг безперешкодно переміщатися між ними. Проте, цей метод захисту дуже легко подолати, так що поодинці його використовувати не рекомендується.

2) ESSID – використання системи мережевих ідентифікаторів. При спробі клієнта підключитися до АР на нього передається семизначний алфавітно-цифровий код. Використовуючи мітку SSID, можна бути упевненим, що до мережі зможуть під'єднатися тільки клієнти, що знають його.

3) Firewall. Доступ до мережі повинен здійснюватися за допомогою IPSec, Secure Shell або VPN, брандмауер повинен бути налаштований на роботу саме з цими мережевими з'єднаннями.

4) AP треба налаштувати на фільтрацію MAC-адрес, крім того, фізично сам пристрій необхідно ізолювати від оточуючих. Рекомендується також конфігурувати точку тільки по telnet (мережевий протокол для реалізації текстового інтерфейсу по мережі), відключивши можливість конфігурації через браузер або SNMP (Simple Network Management Protocol – простий протокол керування мережею).

Методи обмеження доступу до бездротових мереж

Взагалі, методів обмеження доступу по суті є два – це відключення широкомовного розсилання ESSID (ідентифікатор точки доступу, а фактично – ім’я бездротової мережі) та фільтрація MAC-адрес.

У першому випадку AP не передає у відкриту свій ESSID. Для підключення до такої мережі потрібно знати її ESSID, у іншому випадку підключення неможливе.

У другому випадку можливі такі три варіанти конфігурації:

1. AP приймає з'єднання з всіма бездротовими пристроями, незалежно від їх MAC-адреси;

2. AP не приймає з'єднання з бездротовими пристроями, MAC-адреси яких задані у списку безпосередньо на самому пристрої. Усі інші пристрої можуть підключатися;

3. AP приймає з'єднання лише з тими пристроями, MAC-адреси яких задані у списку безпосередньо на самому пристрої. Усі інші пристрої не можуть підключатися

З точки зору безпеки рекомендується завжди використовувати 3 режим.

Методи аутентифікації у бездротових мережах

1) Open System Authentication. У даному випадку клієнт відсилає точці доступу запит з її ідентифікатором (MAC-адресою). AP перевіряє, чи проходить клієнт за списком MAC-адрес (якщо він включений), потім перевіряється відповідність WEP-ключів (якщо включено WEP-шифрування). Підтримується роумінг між точками доступу. Можливі режими шифрування: без шифрування, статичний WEP, CKIP (Cisco Key Integrity Protocol, рання версія протоколу TKIP).

2) Open System Authentication with EAP. Попередній варіант аутентифікації може використовуватися спільно з аутентифікацією через протоколи EAP на RADIUS сервері. Можливі режими шифрування: без шифрування, динамічний WEP, CKIP.

3) Shared System Authentication. У цьому випадку клієнт відсилає запит на з'єднання з точкою доступу. Потім AP відсилає клієнтові послідовність, яку він шифрує і відсилає назад. Якщо послідовність зашифрована вірно, то аутентифікація проходить успішно. Варто відмітити, що у даному варіанті захист слабкіший, ніж у випадку Open System. Можливі режими шифрування: без шифрування, динамічний WEP, CKIP.