Файл: Программные и аппаратные средства ограничения доступа к ресурсам пользовательского компьютера и сетей.pdf

По этим причинам для защиты персональных папок и файлов лучше пользоваться специализированными утилитами. Данные решения позволят более надежно скрывать папки и файлы (они не будут видны при отключении флажка «Не показывать скрытые файлы и папки»), а также блокировать доступ к ним. Более того, некоторые из таких утилит также дают возможность шифровать данные, что обеспечит их защиту от других пользователей даже при загрузке Windows в безопасном режиме, загрузке в другой операционной системе либо на другом компьютере (если на него предварительно будет установлен жесткий диск с защищенной информацией). В качестве примеров мы рассмотрим программы Folder Lock. Эта программа обеспечивает самый высокий уровень защиты шифруемых данных.

Folder Lock 6.0.1

Разработчик: NewSoftware Professionals, Inc.

Сайт программы: http://www.newsoftwares.net/folderlock/

Размер дистрибутива: 2,78 Мбайт

Folder Lock — эффективное и надежное решение для зашиты персональных файлов, папок (рис. 3) и дисков путем установки на них пароля, сокрытия и шифрования (алгоритм AES с 256-битным ключом). Для большей безопасности в данном решении допускается применение блокирования и шифрования одновременно — защищенные таким способом файлы не отображаются в проводнике и в приложениях и полностью недоступны, так как получить доступ к ним без знания пароля нельзя даже в случае загрузки в DOS, в безопасном режиме Windows, с другой ОС или на другом компьютере. На случай, если пароль забыт, предусмотрена возможность получения доступа к данным по регистрационному ключу. Исходные данные, которые требуется защитить, могут находиться не только на жестком диске, но и на USB-носителях, картах памяти, дисках CD-RW, дискетах и ноутбуках.

Рис. 3. Работа с защищёнными папками в пакете Folder Lock.

2.3. Аппаратные средства ограничения доступа к сетевым ресурсам компьютерных систем.

К аппаратным или техническим направлениям защиты информации компьютерных систем (КС) от несанкционированного доступа (НСД) относятся:

• специализация устройств обработки информации;
• использование специализированных сетевых устройств;
• применение технических средств (ТС) разграничения доступа к компонентам КС;
• применение средств гарантированного удаления информации с физических носителей;
• применение средств защиты информации от утечки по каналам побочных электромагнитных излучений и наводок (ПЭМИН).

Специализация устройств обработки информации.

Данное направление заключается в выделении в рамках конкретной КС устройств (как правило, серверов) для выполнения ограниченного набора функций обработки и/или размещения определенных видов информационных ресурсов. Он позволяет:

• разделить саму информацию со средствами ее обработки;
• дополнительно разграничить использование различными группами пользователей подсистем КС с разной степенью важности и конфиденциальности;
• локализовать функцию вывода информации из КС;
• повысить общую надежность системы.

К специализированным ТС обработки информации относятся:

• серверы размещения информационных ресурсов (серверы баз данных, файл-серверы, web-серверы);
• серверы приложений (прокси-серверы, почтовые серверы, серверы защиты и т.д.);
• серверы резервирования данных (backup-серверы с набором устройств копирования данных);
• серверы печати (сетевой принтер, специализированный принт-сервер или выделенный ПК).

Использование специализированных сетевых устройств.

Данное направление заключается в создании защищенной технической инфраструктуры сети. Он позволяет на аппаратном уровне:

• сегментировать участки сети;
• управлять сетевым трафиком;
• регулировать процессы доступа в сеть;
• преобразовывать передаваемую информацию в защищенный вид.

К таким устройствам относятся управляемые коммутаторы, маршрутизаторы, серверы доступа, модемы, криптосистемы.

Коммутаторы (switch).

Используются на уровне локальных сетей (LAN). Основные защитные функции:

• возможность развертывания виртуальных локальных сетей (VLAN) на основе коммутации групп портов и перенаправления пакетов данных между компьютерами, входящими в состав VLAN;
• контроль доступа к портам, основанный на анализе MAC-адреса, защищающий коммутатор от доступа неавторизированных станций, с помощью которого можно задать ограничения на статические и динамические адреса, что обеспечит администраторам полный контроль над всем сетевым трафиком.

Маршрутизаторы (router) и серверы доступа .

Применяются для объединения локальных сетей в структурированную корпоративную сеть (WAN) и подключения локальных сетей к Интернет. В дополнение к классической IP-маршрутизации управляемые устройства данного класса могут иметь встроенные дополнительные защитные средства:

• брандмауэр (firewall) с фильтрацией трафика по IP-адресам, IP-сервисам и номерам физических портов;
• транслятор сетевых адресов (NAT);
• средства аутентификации и учета работы пользователей;
• средства туннелирования (VLAN) и шифрования пакетов.

Модемы с функцией фильтрации и обратного вызова.

Представляют собой средство создания безопасного соединения удаленного пользователя с узлом корпоративной сети по коммутируемой линии связи. Встроенный в модем АОН определяет телефонный номер инициатора соединения, сверяет его со списком номеров, записанных в ПЗУ модема, и при наличии совпадения устанавливает соединение. При наличии функции обратного вызова (call back) модем автоматически перезванивает на номер инициатора связи и устанавливает соединение после его ответа.

К средствам защиты информации при ее передаче относятся:

• аппаратно-программные криптосистемы;
• устройства формирования специальных сигналов и пакетов.

Применение технических средств разграничения доступа к компонентам КС.

Средства ограничения возможности вскрытия компонентов КС и линий связи:

• создание физически защищенных линий связи (с использованием методов и средств затруднения доступа и подключения к линии, волоконнооптических);
• различные замки на корпуса устройств;
• сигнализация на вскрытие устройств.

Технические средства контроля доступа к компонентам КС.

Считывающие устройства .

К ним относятся: смарт-карты; электронные идентификаторы и электронные ключи.

Смарт-карты – пластиковые карты со встроенным чипом (микросхемой). Смарт-карты обеспечивают защищенные запись и хранение личной информации, состояния электронного кошелька, финансовых транзакций, паролей доступа и данных для аутентификации.

Виды смарт-карт:

• карты с магнитной полосой (хранение малых объемов данных, низкая безопасность);
• карты памяти (хранение средних объемов данных, средняя безопасность, нет криптопроцессора);
• микропроцессорные карты и криптокарты.

Электронные идентификаторы iButton (старое название Touch Memory).

iButton представляют собой микросхему и миниатюрную литиевую батарейку, размещенную в корпусе. Для считывания данных из приборов iButton используется контактное устройство Touch Probe, которое представляет собой механический узел, форма которого сделана такой, чтобы он точно сопрягался с круглым корпусом прибора. Малые размеры Touch Probe позволяют встраивать его непосредственно в контроллер, прикреплять на любую поверхность или использовать в виде отдельного устройства. Взаимодействие с прибором обеспечивается моментальным касанием с корпусом iButton.

Электронные ключи.

Альтернативой смарт-картам являются USB-токены (ключи), которые, в большинстве своем, используют те же самые процессоры, изготовляются в соответствии со стандартом, который разрабатывался для смарт-карт и очень близки к ним функционально. Для использования смарт-карт необходимо специальное считывающее устройство, стоящее несколько десятков или даже сотен долларов, то есть обходится дороже USB-интерфейса, которым снабжаются сейчас все современные компьютеры. Сами же смарт-карты дешевле USB-ключа. Поэтому в том случае, когда одно считывающее устройство предназначено для нескольких пользователей, смарт-карты могут быть более выгодны.

Биометрические системы контроля доступа.

Процедуры идентификации и аутентификации пользователя могут базироваться не только на секретной информации, которой обладает пользователь (пароль, секретный ключ, персональный идентификатор и т.п.). В последнее время все большее распространение получает биометрическая идентификация и аутентификация, основанная на уникальности физиологических параметров и характеристик человека, особенностей его поведения. Основные достоинства биометрических методов идентификации и аутентификации:

• высокая степень достоверности идентификации по биометрических признакам из-за их уникальности;
• неотделимость биометрических признаков от дееспособной личности;
• трудность фальсификации биометрических признаков.

В качестве биометрических признаков, которые могут быть использованы для идентификации потенциального пользователя, используются:

• узор радужной оболочки и сетчатки глаз;
• отпечатки пальцев;
• геометрическая форма руки;
• форма и размеры лица;
• особенности голоса;
• биомеханические характеристики рукописной подписи;
• биомеханические характеристики "клавиатурного почерка".

Первоначально биометрические признаки пользователя регистрируются системой как его контрольный "образ". Этот образ хранится в электронной форме и используется для сравнения с предъявляемыми признаками каждого, кто выдает себя за пользователя.

Применение средств гарантированного удаления информации с физических носителей.

Метод основан на физических свойствах магнитных носителей информации и применяется в полном объеме для быстрого и эффективного удаления с них информации, не составляющей государственную тайну.

Применение средств защиты информации от утечки по каналам побочных электромагнитных излучений и наводок (ПЭМИН).

Метод заключается в локализации паразитных излучений и наводок от средств обработки информации или в создании помех, препятствующих перехвату паразитных информативных сигналов. На практике применяются пассивные и активные методы и средства ЗИ от ПЭМИН.

К пассивным относятся:

• инженерно-конструкторские методы;
• экранирование устройств и кабелей;
• установка фильтров на сигнальные и силовые цепи;
• заземление устройств.

К активным средствам относятся:

• средства обнаружения и измерения ПЭМИН;
• генераторы шума;
• устройства гальванической развязки цепей (медиа-конверторы), как правило, представляющие собой преобразователи “Ethernet-оптоволокно- Ethernet”.

2.4. Программные средства ограничения доступа к сетевым ресурсам компьютерных систем.

Имеются два пути защиты от несанкционированного доступа к компьютерным системам (КС):

• создание специализированных КС;
• оснащение универсальных КС дополнительными средствами защиты.

Система защиты программных средств от копирования и исследования включает:

• методы, затрудняющие считывание скопированной информации (основываются на придании особенностей процессу записи информации, которые не позволяют считывать полученную копию на других накопителях, не входящих в защищаемую КС т.е. создание совместимости накопителей только внутри объекта);
• методы, препятствующие использованию скопированной информации (имеет целью затруднить использование полученных копированием данных - данные и программы могут быть защищены, если они хранятся на ВЗУ в преобразованном криптографическими методами виде. Программы могут также защищаться от несанкционированного исполнения и тиражирования, а также от исследования).

Наиболее действенным (после криптографического преобразования) методом противодействия несанкционированному выполнению скопированных программ является использование блока контроля среды размещения программы.

Блок контроля среды размещения программ является дополнительной частью программ. Он создается при инсталляции (установке) программ. В него включаются характеристики среды, в которой размещается программа, а также средства получения и сравнения характеристик.

Для защиты программ от изучения необходимо иметь средства противодействия как дизассемблированию (т.е. получению из программы на машинном языке программы на языке Ассемблер), так и трассировке (выполнение программы на ЭВМ с использованием специальных средств, позволяющих выполнить программу в пошаговом режиме, получать доступ к регистрам, областям памяти, производить остановку программы по определенным адресам и т.п.).

Методы противодействия дизассемблированию:

• шифрование;
• архивация;
• использование самогенерирующих кодов;
• «обман» дизассемблера.

Для противодействия трассировке программы в ее состав вводятся механизмы:

• изменения среды функционирования (запрет или переопределение прерываний (если это возможно), изменение режимов работы, состояния управляющих регистров, триггеров и др.;
• модификации кодов программы (изменяющиеся коды программ, например, в процедурах, приводят к каждому выполнению процедуры по различным ветвям алгоритма);
• «случайные» переходы (выполняются за счет вычисления адресов переходов. Исходные данные для этого – характеристики среды функционирования, контрольные суммы процедур (модифицируемых) и т.п. Включение таких механизмов в текст программ значительно усложняет изучение алгоритмов программ путем их трассировки).