Информационная безопасность и защита информации - Мельников В.П.
ISBN 978-5-7695-4884-0
Скачать (прямая ссылка):
287
При проектировании защитных механизмов для локального сегмента КС представляется возможным двигаться по двум практически независимым направлениям: использовать локальные механизмы защиты (возможно, каким-либо образом скорректированные по отношению к описанной специфике угрозы) и синтезировать специализированные механизмы для защиты преимущественно от внешних угроз. Именно такого подхода предлагается придерживаться, выделяя методы проектирования локальных механизмов защиты, устойчивых к воздействию извне, и подход сетевой защиты, ориентированный на работу с интегральным потоком информации от внешней сети (внешнего сегмента КС).
Подход обшей защиты локального сегмента характеризуется перенесением ответственности за защиту в локальном сегменте КС на уровень сетевого взаимодействия и реализуется технологией межсетевого экранирования (брандмауэр). Межсетевое экранирование — основной подход, предлагаемый в зарубежных системах, сопряженных с Интернет. При этом анализируется поток информации сетевого уровня (Network), который обладает уникальной информацией, характеризующей отправителя и получателя пакета (адресом). Работа межсетевого экрана сводится к анализу последовательности пакетов (фильтрации) по некоторым априорно заданным критериям (при этом необходимо обратить внимание на необходимость двунаправленной фильтрации — для входящих и для исходящих пакетов). Ранее рассматривались эти вопросы более подробно.
Описанные технические решения межсетевых экранов практически не поддаются осмыслению с точки зрения надежностных характеристик защиты, т.е. не удается сделать ни детерминированных, ни вероятностных выводов о качестве фильтра. В связи с этим далее вводится ряд уточняющих определений, описывающих процесс фильтрации с учетом логического уровня представления объектов, и доказывается ряд утверждений относительно гарантий работы экрана в рамках введенных понятий.
Известны два основных подхода к процедуре фильтрации: пакетная фильтрация, или трансляция адресов (анализируется и (или) преобразуется адресная часть пакетов); фильтры прикладного уровня (ФПУ) (в зарубежной литературе — proxy service или application proxy). ФПУ анализирует содержательную часть пакетов исходя из особенностей работы прикладных телекоммуникационных программ (приложений), которые порождают поток пакетов (обычно ФПУ ориентирован на распространенные приложения типа FTP или Telnet). Для конкретной программы принципиально возможно по последовательности пакетов установить, к какому объекту обращается то или иное приложение (субъект). Однако в общем случае проблема установления факта доступа к объекту высокого уровня по информации низкого уровня иерархии для
288
произвольного порождающего поток субъекта является практически неразрешимой. При этом ФПУ, будучи с точки зрения надежности фильтрации более надежным методом, тем не менее проигрывают в совместимости с приложениями (в смысле необеспечения корректной работы всех используемых в КС типов телекоммуникационных субъектов).
Предлагается рассматривать ситуацию, при которой на рабочих местах корпоративной ЛВС уже установлены средства защиты. Общепринятое исполнение программно-технических средств защиты предполагает реализацию политики безопасности с полным проецированием прав пользователя на права любого субъекта локального сегмента (т. е. если пользователю разрешен запуск какой-либо программы (произошла активизация субъекта), то порожденный процесс обращается к объектам с правами инициировавшего его пользователя). Нужно учесть, что политика безопасности при использовании локальных механизмов защиты нуждается в некоторой конструктивной коррекции.
Дадим определения локального и внешнего сегмента КС.
Определение 1. Локальный сегмент (ЛС) КС — подмножество субъектов и объектов КС, выделяемое по одному из следующих критериев:
• критерий группирования в одно множество всех субъектов с возможностью непосредственного управления субъектами (если такая возможность присутствует в субъекте);
• критерий локализации некоторого подмножества объектов и субъектов в рамках некоторой технической компоненты КС;
• критерий присвоения объектам и субъектам ЛС КС некоторой информации, однозначно характеризующей субъект или объект (которая, как правило, называется адресом или сетевым адресом ЛС КС).
Определение 2. Внешний сегмент КС — дополнение множества субъектов и объектов локального сегмента до всего множества объектов КС.
Очевидно, что во внешнем сегменте могут быть выделены несколько локальных сегментов. Будем полагать, что рассматривается один произвольно выделенный ЛС КС.
Непосредственное управление (рассматриваемое как один из критериев выделения ЛС КС) подразумевает возможность изменения состояния субъекта непосредственно через органы управления конкретной ЭВМ.
На практике, как правило, локальный сегмент включает в себя одну ЭВМ либо сегмент ЛВС.
Удаленным субъектом будем называть субъект, принадлежащий множеству субъектов внешнего сегмента КС. Очевидно, что множества субъектов локального и внешнего сегмента КС не пересекаются.
