3. Обеспечить усиленную аутентификацию пользователей CУБД

Для усиленной аутентификации в СУБД Oracle должна быть использована одна из систем: SecurID, Kerberos или RADIUS, обеспечивающая

• 
  трехстороннюю аутентификацию пользователя, сервера СУБД и сервера аутентификации;
  
• 
  периодическую смену аутентификационной информации в процессе работы пользователя;
  
• 
  управление режимом доступа пользователя к серверу БД (время доступа);
  
• 
  криптографическую защиту соединения пользователя и сервера БД;
  
• 
  возможность использования смарт-карт для идентификации и аутентификации пользователей в БД.
  

Для реализации технологии усиленной аутентификации необходимо настроить сервер БД и клиентские части Oracle на использование технологии third-party authentication. Процесс установки сервиса усиленной аутентификации в Oracle подробно описан в “Oracle Advanced Networking Option Administrator’s Guide”. В качестве системы усиленной аутентификации в СУБД Oracle также можно использовать систему Kerberos, которая также поддерживается Oracle и имеет сходные с SecurID возможности по обеспечению усиленной аутентификации. 

4. Оптимизировать набор сервисов на серверах ОС HP-UX.

5. Контролировать целостность программных компонент и конфигурационных файлов СУБД:

• 
  файлы системных настроек СУБД;
  
• 
  все исполняемые файлы и библиотеки СУБД.
  

6. Обеспечить периодическое тестирование СУБД с помощью средств проверки безопасности на предмет обнаружение дыр в системе безопасности СУБД.

Для тестирования СУБД Oracle на предмет обнаружения уязвимостей в системе безопасности СУБД используется система Database Scanner от ISS, которая предназначена для поиска слабых мест в системе защиты СУБД и выработке рекомендации по их устранению

7. Обеспечить своевременную установку обновлений СУБД (patches)

Администратор СУБД должен своевременно получать информацию об имеющихся обновлениях СУБД в части обеспечения защиты и оперативно получать от поставщиков ОС "заплаты" к СУБД. Сведения об имеющихся в СУБД Oracle недостатках в области обеспечения защиты должны поступать к администратору СУБД от администратора информационной безопасности. 

---

3.4.3. Технические решения по защите от НСД компьютерных ресурсов на уровне АРМ пользователей ИС

АРМ ИС должны защищаться от несанкционированного доступа с помощью сертифицированной системы защиты информации (СЗИ) от НСД. Настройка системы защиты от НСД на каждом АРМ осуществляется индивидуально, с учетом решаемых на этом АРМ задач, при этом, независимо от используемой операционной системы на АРМ, у пользователя не должно быть возможности запускать собственные, не разрешенные явно администратором безопасности, задачи.

Управление доступом в АРМ пользователя базируется на стандартных механизмах идентификации, аутентификации и разграничения доступа предоставляемых:

• 
  BIOS ПЭВМ;
  
• 
  сертифицированным программно-аппаратным комплексом защиты от НСД;
  
• 
  ОС Windows;
  
• 
  Сетевой ОС Novell NetWare;
  
• 
  средствами Oracle SQL*NET + Advanced Networking Option;
  
• 
  СУБД Oracle;
  
• 
  Средствами усиленной аутентификации ACE Server (SecurID) или Kerberos;
  

Завершение работы пользователем АРМ должно сопровождаться освобождением всех занимаемых им разделяемых ресурсов (Logout).

В минимальной конфигурации СЗИ от НСД, устанавливаемые на АРМ пользователей, должны обеспечивать:

• 
  идентификацию и аутентификацию пользователей, предоставление доступа к ресурсам компьютера только по предъявлению личного аппаратного идентификатора (Touch-memory, E-Token или Smart-карты) и дополнительным вводом пароля с клавиатуры;
  
• 
  контроль целостности программных средств СЗИ от НСД до входа пользователя в операционную систему;
  
• 
  ограничение доступа к локальным каталогам и файлам рабочей станции, обеспечивающее защиту от модификации системного и прикладного программного обеспечения АРМ;
  
• 
  регистрацию попыток входа в систему и попыток доступа к важнейшим объектам локальной файловой системы компьютера;
  
• 
  блокировку работы пользователей в случае нарушения ограничений, наложенных СЗИ от НСД.
  

Кроме того, настройка СЗИ от НСД должна запрещать пользователю выполнение следующих действий согласно приведенной таблице 3.1.

Таблица 3.1 – Запрет на действия пользователя АРМ

Наименование запрета	Пояснения
Запрет загрузки с внешних носителей	Пользователю запрещается осуществлять загрузку компьютера с системной дискеты или с загрузочного CD ROM диска
Запрет работы при нарушении целостности	При обнаружении факта нарушения целостности контролируемых файлов доступ пользователя к компьютеру блокируется.
Запрет работы при изъятии аппаратной поддержки	При обнаружении факта изъятия устройства аппаратной поддержки из компьютера доступ пользователя к компьютеру блокируется. При попытке пользователя войти в систему на экран будет выведено предупреждающее сообщение, и загрузка компьютера будет прервана
Запрет работы при изменении конфигурации	При обнаружении факта изменения конфигурации компьютера, доступ пользователя к компьютеру блокируется. При попытке пользователя войти в систему на экран выводится предупреждающее сообщение, и загрузка компьютера прерывается.
Запрет доступа к портам	Пользователю запрещается обмен информацией через коммуникационные порты компьютера.
Запрет на редактирование системного реестра	Пользователю запрещается изменять параметры системного реестра.
Запрет изменения настроек сети	Пользователю запрещено изменение параметров работы сетевой карточки, сетевых протоколов и других настроек «сетевого окружения» в операционной системе
Запрет изменения параметров безопасности	Пользователю запрещен доступ к изменению политик безопасности.
Запрет выполнения функций, не определенных технологическим процессом	Пользователю запрещено выполнять программное обеспечение, не используемое в  технологическом процессе

---

Настройка СЗИ от НСД должна обеспечивать:

• 
  создание изолированной программной среды для каждого пользователя (обеспечивающей возможность запуска только заданного набора программ и/или процессов). Создание изолированной программной среды на АРМ пользователя предполагает настройку СЗИ от НСД в режиме, обеспечивающем запуск только технологического программного обеспечения и запрет выполнения программ, не предусмотренных технологическим процессом;
  
• 
  контроль целостности файлов системного и прикладного программного обеспечения, размещаемых локально;
  
• 
  разграничение доступа к локальным каталогам и файлам ЭВМ, защиту от модификации системного и прикладного программного обеспечения ЭВМ.
  

29. Технические решения по реализации подсистемы аутентификации и идентификации

Ответ:

Идентификация и аутентификация

Для того чтобы политики разграничения доступа могли связать пользователей системы с их представлением в вычислительной системе, необходимо наличие некоторого механизма, позволяющего определить соответствие пользователей и их представлений. Данный механизм называется идентификация/ аутентификация.

Под идентификацией понимается присвоение субъектом и объектом доступа идентификатора и сравнения предъявленного с перечнем присвоенных идентификаторов. Идентификация состоит из процедур, позволяющих внешним по отношению к некоторой вычислительной системы агентам уведомлять систему об их личности. При этом разделяются понятие уведомления системы и гарантии того, что это уведомление корректно. В результате идентификацию объединяют со вторым понятием аутентификацией, которое гарантирует корректность идентификационной последовательности.

Под аутентификацией понимается проверка принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности. Под информацией аутентификации понимается информация, используемая для установления подлинности запрашиваемой личности.

Методы обычно включают:

1. метод проверки правильности данных, дающий доказательство или выражающий доверие факту, что личность, о которой сообщалось - допустима;

2. функции добавления новых идентификаторов в систему с обеспечением соответствующей информации аутентификации, а так же удаление устаревшей и соответствующей им информации аутентификации из системы;

---

3. функции генерации, изменения и просмотра авторизированными пользователями информации аутентификации;

4. функции проверки целостности и предотвращения неавторизированного использования информации аутентификации;

5. функции ограничения количества попыток ввода для некорректной информации аутентификации.

Выделяются три метода аутентификации:

1) аутентификация, основанная на обладании предметом (карточкой, ключом...);

2) аутентификация, основанная на воплощенных характеристиках;

3) аутентификация, основанная на знаниях.

Биометрическая аутентификация основана на аутентификации в распознавании некоторой характеристики являющейся неотъемлемой частью агента: голос, отпечатки пальцев, сетчатая оболочка глаза. Этот метод относится к биометрическим системам.

Парольная аутентификация - это аутентификация, основанная на знаниях. Под паролем понимается конфиденциальная информация, обычно состоящая из строки символов.

В парольной аутентификации предъявляют ряд требований как к администраторам и пользователям, так и к механизму аутентификации.

Требования к администратору:

1) требование к администратору системы (инициализация парольной системы). Многие системы поставляются с встроенными учетными записями, администратор должен заменить все встроенные в систему учетные записи;

2) администратор должен сгенерировать пароли всех новых учетных записей и проинформировать об этом пользователей;

3) пользователь может забыть пароль, или администратор может обнаружить, что пароль скомпрометирован, для решения подобных проблем администратор должен иметь возможность изменения пароля любого пользователя даже не зная забытого пароля;

4) не в один из моментов функционирования системы два пользователя не могут иметь два одинаковых идентификатора или знать для них пароль;

5) администратор отвечает за своевременное удаление учетных записей из системы.

Требования к пользователям системы:

1) пользователи несут ответственность за тайну пароля и докладывают администратору обо всех нарушениях безопасности, т.е. помогают администратору обнаружить нарушения;

2) пароли должны меняться периодически и пользователи должны помнить пароли;

Требования к механизму аутентификации:

---

1) при внутреннем хранении паролей база данных паролей должна быть защищена, а пароли должны быть зашифрованы. При проверке паролей их не расшифровывают, а сравнивают как зашифрованное значение кэш-функции;

2) система не должна отображать пароли, вводимые пользователями;

3) количество попыток неуспешного входа в систему должно быть ограничено;

4) система должна регистрировать использование и смену пароля, при этом сами пароли не регистрируются;

5) при входе в систему с некоторой учетной записью пользователь должен быть оповещен о времени последнего входа в систему с этой учетной записью, месте последнего входа и результате последнего входа с этой учетной записью. В этом же документе должна быть приведена оценка пароля со следующими параметрами:

L - максимальное время жизни пароля, M - длина пароля, А - количество символов в пароле, Р - вероятность того, что пароль может быть подобран за время его жизни, R - количество возможных попыток подбора в единицу времени, S - количество паролей, которое может создать генератор,

S=Am

G- количество попыток подбора, то вероятность того, что пароль может быть подобран за

L S=G/P = LЧR/P, M=logA(LЧR/P); P=10-6, Pкр=10-20.

30. Построение системы управления информационной безопасностью

Ответ:

---

Смотрите также файлы

• Внешняя политика Это деятельность на международной арене, регулирующая взаимоотношения с другими государствами и народами.docx

• Жасспірімдерді нашаорлыа атынасы сауалнамасы.docx

• Программа среднего профессионального образования 39. 02. 01 Социальная работа (базовая подготовка).rtf

• азастан республикасы білім жне ылым министрлігі м.Уезов атындаы ОТстік азастан университеті филология факультеті.docx

• Методические приемы обучения решению задач в начальной школе.pptx