ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 14.11.2024
Просмотров: 31
Скачиваний: 1
Тема 4.1 Разграничение доступа к информации в информационных системах Разграничение доступа
Система разграничения доступа SWR-PDM предоставляет эффективные средства для управления доступом к информационным ресурсам хранилища. Эта система имеет объектную архитектуру и способна независимо управлять доступом к каждому объекту (документу или изделию). SWR-PDM позволяет большому количеству пользователей с разными полномочиями хранить и обрабатывать документы в едином хранилище независимо от остальных пользователей, предоставляя или запрещая доступ к данным со стороны других пользователей. Наряду с этим SWR-PDM позволяет одновременно хранить документы различного уровня секретности: документы общего доступа, секретные документы, совершенно секретные документы и т.д. Список уровней доступа настраивается администратором защиты.
Система разграничения доступа реализованатак, что при повседневной работе пользователи не должны замечать, что любое обращение к любому объекту проходит проверку на соответствие установленным правам доступа. Списки прав доступа можно задавать на каждый документ отдельно. При создании документа автоматически задается такой доступ на него, чтобы создатель имел все права.Система разграничения доступа предназначенадля реализации определенных администратором защиты правил на выполнение операций пользователями над объектами хранилища. Для этого все сущности информационной системы SWR-PDM разделены на две категории: субъекты и объекты. Субъекты являются активными сущностями, а объекты — пассивными. Субъекты выполняют операции над объектами, а ядро системы разграничения доступа на основании установленных в системе правил принимает решение о разрешении или отклонении запроса на доступ.
В SWR-PDM управление доступом не является полностью централизованным, сосредоточенным в руках только администратора — каждый пользователь (конструктор, руководитель проекта, технолог, работник архива и т.д.) может сам управлять доступом к объектам (документам или изделиям), которыми он владеет.
В SWR-PDM реализованы два принципа контроля доступа: дискреционный и мандатный. Решение о санкционированности операции над документом принимается только при одновременном разрешении его по обоим принципам.
Дискреционный принцип контроля доступа (наиболее часто встречающийся в информационных системах) позволяет для любого из объектов системы определить права каждого пользователя и групп пользователей на выполнение операций над объектом. Недостаток данного принципа состоит в том, что при активном допуске новых сотрудников к работе с системой, а также при изменении должности, звания и других статусов сотрудника необходимо всякий раз пересматривать его права доступа к каждому их объектов системы.
Мандатный принцип контроля доступа основан на том, что каждому объекту (документу или изделию) присваивается гриф секретности из упорядоченного списка уровней безопасности, а каждый субъект (пользователь) имеет уровень допуска из этого списка. По умолчанию в SWR-PDM используются следующие уровни: открытые данные, для служебного пользования, конфиденциально, секретно и совершенно секретно (перечень может быть настроен индивидуально для каждого предприятия). Операция будет разрешена, если уровень допуска пользователя не ниже грифа секретности документа.
Допуск присваивается не только пользователям, но и их группам. При проверках вычисляется эффективный допуск — максимальное значение из допуска пользователя и всех групп, в которые он входит.
Мандатный принцип позволяет одновременно, путем простого изменения допуска соответствующего пользователя или группы контролировать доступ пользователя или группы к большому количеству объектов.
Анализаторы протоколов
В настоящее время технология построения компьютерных сетей Ethernet стала самым распространенным решением. Сети Ethernet завоевали огромную популярность благодаря хорошей пропускной способности, простоте установки и приемлемой стоимости сетевого оборудования. Однако технология Ethernet не лишена существенных недостатков. Основной из них — передаваемая информация не защищена. Компьютеры, подключенные к сети Ethernet, оказываются в состоянии перехватывать информацию, адресованную своим соседям. Основной причиной тому является принятый в сетях Ethernet так называемый широковещательный механизм обмена сообщениями.
Локальное широковещание
В сети типа Ethernet подключенные к ней компьютеры, как правило, совместно используют один и тот же кабель, который служит средой для пересылки сообщений между ними. Если в комнате одновременно громко говорят несколько людей, разобрать что-либо из сказанного ими будет очень трудно. Когда по сети начинают "общаться" сразу несколько компьютеров, выделить из их "цифрового гвалта" полезную информацию и понять, кому именно она предназначена, практически невозможно. В отличие от человека, компьютер не может поднять руку и попросить тишины, поэтому для решения данной проблемы требуются иные, более сложные действия.
Компьютер сети Ethernet, желающий передать какое-либо сообщение по общему каналу, должен удостовериться, что этот канал в данный момент свободен. В начале передачи компьютер прослушивает несущую частоту сигнала, определяя, не произошло ли искажения сигнала в результате возникновения коллизий с другими компьютерами, которые ведут передачу одновременно с ним. При наличии коллизии компьютер прерывает передачу и "замолкает". По истечении некоторого случайного периода времени он пытается повторить передачу.
Если компьютер, подключенный к сети Ethernet, ничего не передает сам, он, тем не менее, продолжает "слушать" все сообщения, передаваемые по сети другими компьютерами. Заметив в заголовке поступившей порции данных свой сетевой адрес, компьютер копирует эти данные в свою локальную память.
Если компьютер, подключенный к сети Ethernet, ничего не передает сам, он, тем не менее, продолжает "слушать" все сообщения, передаваемые по сети другими компьютерами. Заметив в заголовке поступившей порции данных свой сетевой адрес, компьютер копирует эти данные в свою локальную память.
Существуют два основных способа объединения компьютеров в сеть Ethernet. В первом случае компьютеры соединяются при помощи коаксиального кабеля. Этот кабель черной змейкой вьется от компьютера к компьютеру, соединяясь с сетевыми адаптерами Т-образным разъемом. Такая топология на языке профессионалов называется сетью Ethernet IOBase2. Однако ее еще можно назвать сетью, в которой "все слышат всех". Любой компьютер, подключенный к сети, способен перехватывать данные, посылаемые по этой сети другим компьютером.
Во втором случае каждый компьютер соединен кабелем типа витая пара с отдельным портом центрального коммутирующего устройства — концентратора или с коммутатора. В таких сетях, которые называются сетями Ethernet IOBaseT, компьютеры поделены на группы, именуемые доменами коллизий. Домены коллизий определяются портами концентратора пли коммутатора. замкнутыми на общую шину. В результате коллизии возникают не между всеми компьютерами сети, а по отдельности — между теми из них, которые входят в один и тот же домен коллизий, что повышает пропускную способность всей сети.
В последнее время в крупных сетях стали появляться коммутаторы нот но типа, которые не используют широковещание и не замыкают группы порки; между собой. Вместо этого все передаваемые по сети данные буферизуются в памяти и отправляются по мере возможности. Однако подобных сетей пока довольно мало — не более 10% от общего числа сетей типа Ethernet.
Таким образом, принятый в подавляющем большинстве Ethernet-сетей алгоритм передачи данных требует от каждого компьютера, подключенного к сети, непрерывного "прослушивания" всего без исключения сетевого трафика. Предложенные алгоритмы доступа, при использовании которых компьютеры отключались бы от сети на время передачи "чужих" сообщений, так и остались нереализованными из-за их чрезмерной сложности и малой эффективности.
Защита от анализаторов протоколов
Надо сразу оговориться, что в советах относительно того, как защищаться от анализатора протоколов, нуждаются только те, кто желает дать отпор компьютерным взломщикам, использующим анализаторы протоколов для организации атак на компьютерные системы, подключенные к сети. В руках сетевого администратора анализатор протоколов является весьма полезным инструментом, помогающим находить и устранять неисправности, избавляться от узких мест, снижающих пропускную способность сети, и обнаруживать проникновение в нее компьютерных взломщиков.
Посоветовать можно следующее:
Обзаведитесь сетевым адаптером, который принципиально не может функционировать в беспорядочном режиме. Такие адаптеры в природе существуют. Одни адаптеры не поддерживают беспорядочный режим на аппаратном уровне (их меньшинство), а остальные просто снабжаются драйвером, не допускающим работу в беспорядочном режиме, хотя режим и реализован в них аппаратно. Чтобы отыскать адаптер, не поддерживающий беспорядочный режим, достаточно связаться со службой технической поддержки любой компании, торгующей анализаторами протоколов, и выяснить, с какими адаптерами их программные пакеты не работают.
Учитывая, что спецификация РС99, подготовленная по инициативе корпораций Microsoft и Intel, требует безусловного наличия в сетевой карте беспорядочного режима, приобретите современный сетевой интеллектуальный коммутатор, который буферизует каждое отправляемое по сети сообщение в памяти и отправляет его по мере возможности точно по адресу. В результате надобность в "прослушивании" сетевым адаптером всего трафика для того, чтобы выбирать из него сообщения, адресатом которых является данный компьютер, отпадает.
Не допускайте несанкционированной установки анализаторов протоколов на компьютеры сети. Для этого следует применять средства из арсенала, который повсеместно используется для борьбы с программными закладками и, в частности, — с троянскими программами.
Шифруйте весь трафик сети. Имеется широкий спектр программных пакетов, которые позволяют делать это достаточно эффективно и надежно.
Возможность шифрования почтовых паролей предоставляется надстройкой над почтовым протоколом POP (Post Office Protocol) — протоколом АРОР (Authentication POP). При работе с АРОР по сети каждый раз передается новая зашифрованная комбинация, которая не позволяет злоумышленнику извлечь какую-либо практическую пользу из информации, перехваченной с помощью анализатора протоколов. Проблема только в том, что не все почтовые серверы и клиенты поддерживают АРОР.