Основи безпеки інформації в комп'ютерних мереж

{{{img}}}
Імя	Богдан
Прізвище	Сікач
По-батькові	Ярославович
Факультет	ФІС
Група	СН-41
Залікова книжка	ПК-07-026

Презентація доповіді на тему Основи безпеки інформації в комп'ютерних мереж є розміщеною в Репозиторії.

Мережна атака (Network Attacks) або віддалена атака (Remote Attacks) - атака на розподілену обчислювальну систему, що здійснюють програмні засоби каналами зв'язку. Така атака може бути здійснена на протоколи і мережні служби, а також на операційні системи та прикладні програми вузлів мережі.
Розподіл ресурсів та інформації у просторі робить можливими мережні атаки.
Базовими документами у сфері захисту розподілених систем стали технічно узгоджені документи ISO/IEC 7498-2 і Рекомендації ССІТТ (The International Telegraph and Telephone Consultative Committee) X.800 «Архітектура безпеки взаємодії відкритих систем для застосувань ССІТТ». Розглянемо більш докладно останній документ.

Типові вразливості розподілених систем

У документі «Інструкція із захисту базового рівня інформаційних технологій» (ІТ Baseline Protection Manual) як типові атаки, що можуть бути застосовані для нападу на розподілені системи та які слід моделювати під час випробувань стійкості до них систем, названо такі:

• угадування паролів, або атаки за словником;
• реєстрація та маніпуляції з мережним трафіком;
• імпорт фальшивих пакетів даних;
• експлуатація відомих уразливостей програмного забезпечення (мови макросів, помилки в ОС, служби віддаленого доступу тощо).

З-поміж типових віддалених атак виокремлюють такі:

• аналіз мережного трафіку;
• підміна довіреного об'єкта в розподіленій системі;
• упровадження в розподілену систему фальшивого об'єкта через нав'язування фальшивого маршруту;
• упровадження в розподілену систему фальшивого об'єкта шляхом використання недоліків алгоритмів віддаленого пошуку;
• відмова в обслуговуванні.

Сервіси безпеки

У рекомендаціях Х.800 увагу закцентовано на таких функціях (сервісах) безпеки:

• автентифікація;
• керування доступом;
• конфіденційність даних;
• цілісність даних;
• унеможливлення відмови від авторства.

Автентифікація

Цей сервіс забезпечує автентифікацію сторін, що спілкуються (Communicating peer Entity), і автентифікацію джерела даних.
Автентифікацію сторін здійснюють у момент встановлення з'єднання та іноді під час передавання даних з метою підтвердження автентичності сутностей з'єднання. Завдяки використанню цього сервісу можна бути впевненим, що суб'єкт не влаштує «маскарад» і не використає повторно попередній несанкціонований сеанс зв'язку. Застосовують різні схеми автентифікації, які забезпечують різний ступінь захисту.
Автентифікація джерела даних — це підтвердження автентичності джерела блоку даних. Сервіс, який реалізують засобами певного рівня моделі OSI та надають для сутностей вищого рівня, підтверджує автентичність сутності цього ж таки рівня. Слід зауважити, що сервіс не забезпечує захист від повторення або пошкодження даних.

Керування доступом

Цей сервіс забезпечує захист від несанкціонованого використання ресурсів, доступних через взаємодію відкритих систем. Керування доступом може застосовуватися до різних типів доступу до ресурсу (наприклад, використання комунікаційного ресурсу, читання, записування або видалення інформаційного ресурсу, виконання ресурсу оброблення).

Конфіденційність даних

Цей сервіс забезпечує захист даних від їх несанкціонованого розкриття. Розрізняють кілька сервісів конфіденційності даних:

• конфіденційність даних під час обміну зі встановленням з'єднання — цей сервіс захищає всю інформацію користувачів, окрім даних щодо запиту на встановлення з'єднання (це залежатиме від рівня моделі OSI);
• конфіденційність даних під час обміну без встановлення з'єднання — цей сервіс захищає всю інформацію користувачів;
• конфіденційність окремих полів даних — цей сервіс забезпечує захист інформації в окремих обраних полях даних у сеансі зі встановленням з'єднання або без нього;
• конфіденційність трафіку — цей сервіс забезпечує захист інформації, яку отримують під час здійснення аналізу трафіку.

Цілісність даних

Цей сервіс спрямований на протидію активним загрозам. Розрізняють такі сервіси цілісності даних:

• цілісність даних під час обміну зі встановленням з'єднання з відновленням — цей сервіс забезпечує цілісність усіх даних користувача шляхом виявлення будь-якої модифікації даних (додавання, видалення та повторення) і здійснює спробу відновити дані;
• цілісність даних під час обміну зі встановленням з'єднання без відновлення — так само, як і попередній сервіс, забезпечує цілісність усіх даних, але без спроби їхнього відновлення;
• цілісність окремих полів даних під час обміну зі встановленням з'єднання — цей сервіс забезпечує цілісність окремих обраних полів даних у сеансі зі встановленням з'єднання і визначає, чи не було ці поля модифіковано (додано, видалено та повторено);
• цілісність даних під час обміну без встановлення з'єднання — цей сервіс на відміну від попередніх у разі його реалізації на певному рівні моделі OSI забезпечує цілісність даних за запитом сутності вищого рівня; сервіс забезпечує цілісність окремого блоку даних, що передається без встановлення з'єднання, і може визначати, чи було блок даних модифіковано, крім того він може виявляти дані, що повторюються;
• цілісність окремих полів даних під час обміну без встановлення з'єднання — цей сервіс забезпечує цілісність окремих обраних полів в окремому блоці даних, що передається без встановлення з'єднання, і визначає, чи було модифіковано обрані поля.

Унеможливлений відмови від авторства

Сервіс забезпечує такі можливості (кожну окремо або обидві разом):

• унеможливлення відмови від авторства з підтвердженням справжності джерела даних — цей сервіс захищає одержувача даних від будь-якої спроби відправника відмовитися від факту відправлення ним даних чи справжності їхнього вмісту;
• унеможливлення відмови від авторства з підтвердженням про отримання — цей сервіс сповіщає відправнику даних про їх отримання, що не дає одержувачу відмовитися від факту отримання даних або викривити їх.

Специфічні механізми безпеки

Реалізувати сервіси безпеки можна, впровадивши на певному рівні моделі OSI такі механізми:

• шифрування;
• цифровий підпис;
• керування доступом;
• контроль цілісності даних;
• автентифікаційний обмін;
• заповнення трафіку;
• керування маршрутом;
• нотаризація.

Шифрування

Цей механізм, який захищає окремі дані або потік даних (шифрування трафіку), може бути використаний іншими механізмами або може замінити деякі з них.
Застосовують симетричні й асиметричні алгоритми шифрування. Використання алгоритму шифрування майже завжди передбачає впровадження механізму керування ключами.

Цифровий підпис

Механізм цифрового підпису складається із двох процедур:

• підписання блоку даних;
• перевірки підписаного блоку даних.

Процедура підписування блоку даних полягає у шифруванні блоку даних або обчисленні криптографічної контрольної суми з використанням приватної (унікальної та конфіденційної) інформації користувача, що здійснює підпис.
Для перевірки підписаного блоку даних використовують процедури та інформацію, що є загальнодоступними, але з яких неможливо здобути приватну інформацію про того, хто підписує. Ця процедура, фактично, дає змогу перевірити, чи справді цифровий підпис було зроблено з використанням приватної інформації того, хто підписав блок даних.

Керування доступом

Ці механізми використовують ідентифікацію сутності або деяку інформацію про сутність (як належність до певної відомої множини сутностей), а також посвідчення, надане сутністю для визначення і встановлення її прав доступу. Якщо сутність намагається здійснити неавторизований (несанкціонований) доступ (використати неавторизований ресурс або недозволений метод доступу до авторизованого ресурсу), функція керування доступом перешкодить цьому і, можливо, згенерує повідомлення про інцидент (для ініціювання протидії або з метою аудита).
Механізми керування доступом можуть використовувати один чи кілька із зазначених нижче видів та джерел інформації:

• бази даних керування доступом, в яких зберігаються права доступу сутностей; ці бази підтримуються централізовано або на кінцевих системах; права доступу зберігаються у вигляді списків керування доступом або матриці ієрархічної чи розподіленої структури (використання бази даних керування доступом передбачає, що сутності перед цим було автентифіковано);
• інформація автентифікації, володіння якою і надання якої є доказом авторизації (наприклад, паролі);
• посвідчення, володіння якими і подання яких є доказом дозволу доступу до сутності або ресурсу, вказаних у посвідченні;
• мітки безпеки, асоційовані із сутностями (суб'єктами та об'єктами доступу), які використовують для надання або заборони доступу, як правило, на основі політики безпеки;
• момент часу, коли було здійснено спробу доступу;
• маршрут спроби доступу;
• тривалість спроби доступу.

Механізми керування доступом можуть бути задіяні на будь-якій із сторін, що здійснюють зв'язок, а також у проміжній точці. Механізми, задіяні у точці, яка ініціює доступ, і у проміжних точках, мають перевіряти, чи відправник авторизований для зв'язку з одержувачем та (або) для використання комунікаційних ресурсів. Якщо зв'язок було здійснено без встановлення з'єднання, вимоги механізму, реалізованого у кінцевій точці, мають бути відомими у точці, що ініціює доступ, апріорі.

Контроль цілісності даних

Є два аспекти цілісності:

• цілісність окремого блоку даних або поля інформації;
• цілісність потоку блоків даних або полів інформації.

Для забезпечення цих двох видів сервісу цілісності у загальному випадку можуть бути задіяні різні механізми, але контроль цілісності потоку без контролю окремих блоків даних (полів) не є практичним.
Контроль цілісності окремого блоку даних (поля) здійснюють як на стороні, що передає дані, так і на стороні, що їх приймає. На стороні, що передає, до блоку даних додається інформація, яка є функцією від цих даних (циклічна або криптографічна контрольна сума, яка також може бути зашифрованою). На стороні, що приймає, генерується аналогічна контрольна сума, яка в подальшому порівнюється з отриманою. Зауважте, цей механізм не здатний захистити від повторення блоків даних.
Перевірка цілісності потоку блоків даних (тобто захист від втрати даних, їх перевпорядкування, дублювання, вставляння та модифікації) вимагає додаткового впровадження порядкових номерів, часових штампів або криптографічного зв'язування (коли результат шифрування чергового блоку залежить від попереднього). Під час здійснення зв'язку без встановлення з'єднання використання часових штампів надає обмежений захист від дублювання блоків даних.

Автентифікаційний обмін

Механізми автентифікаційного обміну впроваджуються на певному рівні моделі OSI для підтвердження автентичності сутності. Якщо механізм не підтверджує автентичність сутності, з'єднання забороняється або закривається вже встановлене з'єднання, при цьому може бути згенероване повідомлення про інцидент (для ініціювання протидії або з метою аудита). Автентифікаційний обмін здійснюють у кілька способів:

• використовуючи автентифікаційну інформацію (на кшталт паролів), яку надає відправник і перевіряє одержувач;
• із застосуванням криптографічних методів;
• демонструючи характеристики або можливості сутності.

Щоб уникнути повторення даних, криптографічні методи іноді використову¬ють разом із процедурами «рукостискання» (Handshaking) — обміну з квитируванням, підтвердження зв'язку.
Методи автентифікаційного обміну інколи (залежно від обставин) використовують разом із:

• часовими штампами і синхронізацією годинників;
• двох- і трьохетапними процедурами «рукостискання» (відповідно для одно-та двохсторонньої автентифікації);
• сервісами унеможливлення відмови від авторства, що досягається викори¬станням механізмів цифрового підпису та (або) нотаризації.

Заповнення трафіку

Механізми заповнення трафіку застосовують для забезпечення захисту від аналізування трафіку. Ці механізми ефективні лише в поєднанні із засобами забезпечення конфіденційності.

Керування маршрутом

аршрути можна обирати динамічно або статично таким чином, щоб використовувати лише фізично безпечні підмережі, вузли комутації та канали. Кінцеві системи у разі виявлення неодноразових атак на маршруті мають можливість звернутися до провайдера мережних послуг для встановлення з'єднання за іншим маршрутом.
Передавання даних, що мають мітки безпеки, через певні підмережі, вузли комутації та канали може бути заборонено політикою безпеки. Ініціатор з'єднання, або відправник даних, які передаються без встановлення з'єднання, має можливість обмежити маршрут таким чином, щоб оминути певні підмережі, вузли комутації та канали.

Нотаризація

За допомогою механізму нотаризації завіряються характеристики даних, що передаються між двома (або більше) сутностями (їх цілісність, джерело, час передавання і пункт призначення). Достовірність таких даних стверджує третя сторона, якій довіряють сутності, що взаємодіють, і яка володіє достатньою для цього інформацію. Кожна сутність, що взаємодіє із застосуванням механізму нотаризації, використовує цифровий підпис, шифрування і контроль цілісності.

Універсальні механізми безпеки

Рекомендації Х.800 визначають універсальні механізми безпеки. До них належать:

• довірена функціональність;
• мітки безпеки;
• детектування подій;
• аудит безпеки;
• відновлення безпеки.

Довірена функціональність

Будь-яка функціональність, що безпосередньо забезпечує механізми безпеки або надає доступ до таких механізмів, має бути довіреною.
Процедури, які застосовуються для підтвердження того, що апаратні та (або) програмні компоненти справді заслуговують на довіру, знаходяться поза межами Рекомендацій Х.800.

Мітки безпеки

Ресурси, що містять дані, можуть мати асоційовані з ними мітки безпеки. Найчастіше за допомогою таких міток визначають рівень чутливості даних до порушення їхньої безпеки (наприклад, їх конфіденційність).

Детектування подій

Детектування подій, що впливають на безпеку, полягає у виявленні порушень безпеки, а іноді й в реєстрації подій, на кшталт успішного входження в систему і доступу до об'єктів. Детектування різних подій, що впливають на безпеку, може супроводжуватися:

• локальним інформуванням про подію;
• віддаленим інформуванням про подію;
• реєстрацією події у журналі;
• дією з відновлення.

Аудит безпеки

Аудит безпеки — це незалежний огляд і аналіз системних записів і дій, який здійснюють з метою перевірки адекватності керування системою та її відповідності встановленій політиці та процедурам, а також задля оцінювання завданих пошкоджень і надання рекомендацій щодо змінень у керуванні, політиці та процедурах. Аудит безпеки вимагає занесення відповідної інформації до певного протоколу. Реєстрація та запис інформації належить до механізмів безпеки, а аналіз і генерування звітів — до функцій керування безпекою.

Відновлення безпеки

Цей механізм обробляє запити від механізму оброблення подій і виконує дії з відновлення безпеки відповідно до встановлених правил. Відновлення може відбуватися:

• миттєво (миттєве відключення чи розрив з'єднання);
• тимчасово (тимчасове блокування деякої сутності);
• у тривалий термін (занесення сутності у "чорний список" або змінення ключової інформації).