Sistem maklumat di mana kemudahan penghantaran data dimiliki oleh satu syarikat dan digunakan hanya untuk keperluan syarikat ini biasanya dipanggil rangkaian skala perusahaan - rangkaian komputer korporat (CN). CS ialah rangkaian peribadi dalaman organisasi yang menggabungkan sumber pengkomputeran, komunikasi dan maklumat organisasi ini dan bertujuan untuk pemindahan data elektronik, yang boleh menjadi sebarang maklumat. Oleh itu, berdasarkan perkara di atas, kita boleh mengatakan bahawa dalam CS dasar khas telah ditakrifkan yang menerangkan perkakasan dan perisian, peraturan untuk mendapatkan pengguna sumber rangkaian, peraturan pengurusan rangkaian, kawalan penggunaan sumber dan pembangunan rangkaian selanjutnya. Rangkaian korporat ialah rangkaian organisasi individu.

Takrifan yang agak serupa boleh dirumuskan berdasarkan konsep rangkaian korporat yang diberikan dalam karya Olifer V.G. dan Olife N.D. “ Jaringan komputer: prinsip, teknologi, protokol”: mana-mana organisasi adalah satu set elemen berinteraksi (bahagian), setiap satunya boleh mempunyai strukturnya sendiri. Unsur-unsur saling berkaitan secara fungsional, i.e. mereka buat spesies individu bekerja dalam perniagaan tunggal proses, serta maklumat, pertukaran dokumen, faks, pesanan bertulis dan lisan, dsb. Di samping itu, unsur-unsur ini berinteraksi dengan sistem luaran, dan interaksi mereka juga boleh menjadi maklumat dan berfungsi. Dan keadaan ini berlaku untuk hampir semua organisasi, tidak kira apa jenis aktiviti yang mereka lakukan - untuk agensi kerajaan, bank, perusahaan perindustrian, firma komersial, dll.

Pandangan umum organisasi ini membolehkan kita merumuskan beberapa prinsip umum membina sistem maklumat korporat, i.e. sistem maklumat di seluruh organisasi.

Rangkaian korporat ialah sistem yang memastikan pemindahan maklumat antara pelbagai aplikasi digunakan dalam sistem perbadanan. Rangkaian korporat ialah sebarang rangkaian yang beroperasi melalui protokol TCP/IP dan menggunakan piawaian komunikasi Internet, serta aplikasi perkhidmatan yang menyediakan penghantaran data kepada pengguna rangkaian. Sebagai contoh, syarikat boleh membuat Pelayan web untuk penerbitan pengumuman, jadual pengeluaran dan dokumen rasmi lain. Akses pekerja dokumen yang diperlukan menggunakan pelayar web.

Pelayan korporat web rangkaian boleh menyediakan perkhidmatan kepada pengguna, perkhidmatan yang serupa Internet, contohnya bekerja dengan halaman hiperteks(mengandungi teks, hiperpautan, imej grafik dan rakaman bunyi), menyediakan sumber yang diperlukan atas permintaan Pelanggan web, serta akses kepada pangkalan data. Dalam panduan ini, semua perkhidmatan penerbitan dirujuk sebagai "Perkhidmatan Internet," tidak kira di mana ia digunakan (di Internet atau rangkaian korporat).

Rangkaian korporat, sebagai peraturan, diedarkan secara geografi, i.e. menyatukan pejabat, bahagian dan struktur lain yang terletak pada jarak yang agak jauh antara satu sama lain. Prinsip yang membina rangkaian korporat agak berbeza daripada prinsip yang digunakan semasa membuat rangkaian tempatan. Had ini adalah asas, dan apabila mereka bentuk rangkaian korporat, semua langkah perlu diambil untuk meminimumkan volum data yang dihantar. Jika tidak, rangkaian korporat tidak seharusnya mengenakan sekatan ke atas aplikasi dan cara mereka memproses maklumat yang dipindahkan ke atasnya. Ciri ciri Rangkaian sedemikian ialah ia mengandungi peralatan daripada pelbagai pengeluar dan generasi, serta perisian heterogen yang pada mulanya tidak berorientasikan pemprosesan data bersama.

Untuk menyambung pengguna jauh kepada rangkaian korporat, pilihan yang paling mudah dan berpatutan ialah menggunakan komunikasi telefon. Rangkaian ISDN boleh digunakan jika boleh. Untuk menyambungkan nod rangkaian dalam kebanyakan kes, ia digunakan rangkaian global penghantaran data. Walaupun terdapat kemungkinan untuk meletakkan talian khusus (contohnya, dalam bandar yang sama), penggunaan teknologi pensuisan paket memungkinkan untuk mengurangkan bilangan saluran komunikasi yang diperlukan dan, yang penting, memastikan keserasian sistem dengan rangkaian global sedia ada.

Menyambungkan rangkaian korporat anda ke Internet adalah wajar jika anda memerlukan akses kepada perkhidmatan yang berkaitan. Dalam banyak karya, terdapat pendapat mengenai menyambung ke Internet: Ia berbaloi menggunakan Internet sebagai medium penghantaran data hanya apabila kaedah lain tidak tersedia dan pertimbangan kewangan melebihi keperluan kebolehpercayaan dan keselamatan. Jika anda akan menggunakan Internet hanya sebagai sumber maklumat, lebih baik menggunakan teknologi dail atas permintaan, i.e. kaedah sambungan ini, apabila sambungan ke nod Internet diwujudkan hanya atas inisiatif anda dan untuk masa yang anda perlukan. Ini secara mendadak mengurangkan risiko kemasukan tanpa kebenaran ke dalam rangkaian anda dari luar.

Untuk memindahkan data dalam rangkaian korporat, anda juga harus menggunakan saluran maya rangkaian penukaran paket. Kelebihan utama pendekatan ini ialah serba boleh, fleksibiliti, keselamatan

Hasil daripada kajian struktur rangkaian maklumat(IP) dan konsep teknologi pemprosesan data sedang dibangunkan keselamatan maklumat IS. Konsep ini mencerminkan perkara utama berikut:

• 1) Organisasi rangkaian organisasi
• 2) ancaman sedia ada terhadap keselamatan maklumat, kemungkinan pelaksanaannya dan kerosakan yang dijangka daripada pelaksanaan ini;
• 3) organisasi penyimpanan maklumat dalam IS;
• 4) organisasi pemprosesan maklumat;
• 5) peraturan akses kakitangan kepada maklumat ini atau itu;
• 6) tanggungjawab kakitangan untuk memastikan keselamatan.

Membangunkan topik ini, berdasarkan konsep keselamatan maklumat IS yang diberikan di atas, skim keselamatan dicadangkan, yang strukturnya mesti memenuhi syarat berikut:

Perlindungan terhadap penembusan tanpa kebenaran ke dalam rangkaian korporat dan kemungkinan kebocoran maklumat melalui saluran komunikasi.

Persempadanan aliran maklumat antara segmen rangkaian.

Melindungi sumber rangkaian kritikal.

Perlindungan kriptografi sumber maklumat.

Untuk pertimbangan terperinci tentang syarat keselamatan di atas, adalah dinasihatkan untuk memberikan pendapat: untuk melindungi daripada penembusan yang tidak dibenarkan dan kebocoran maklumat, adalah dicadangkan untuk menggunakan tembok api atau tembok api. Malah, tembok api ialah pintu masuk yang melaksanakan fungsi melindungi rangkaian daripada capaian yang tidak dibenarkan dari luar (contohnya, dari rangkaian lain).

Terdapat tiga jenis tembok api:

Gerbang peringkat aplikasi Gerbang peringkat aplikasi sering dipanggil pelayan proksi - ia bertindak sebagai penyampai data untuk bilangan aplikasi pengguna yang terhad. Iaitu, jika gerbang tidak menyokong aplikasi tertentu, maka perkhidmatan yang sepadan tidak disediakan, dan data jenis yang sepadan tidak boleh melalui tembok api.

Penapisan penghala. Penapis penghala. Lebih tepat lagi, ia adalah penghala yang fungsi tambahannya termasuk penghala penapisan paket. Digunakan pada rangkaian bertukar paket dalam mod datagram. Iaitu, dalam teknologi untuk menghantar maklumat pada rangkaian komunikasi di mana satah isyarat (penubuhan awal sambungan antara UI dan UE) tidak hadir (contohnya, IP V 4). Dalam kes ini, keputusan untuk menghantar paket data masuk melalui rangkaian adalah berdasarkan nilai medan pengepalanya lapisan pengangkutan. Oleh itu, tembok api jenis ini biasanya dilaksanakan sebagai senarai peraturan yang digunakan pada nilai medan pengepala lapisan pengangkutan.

Tukar pintu masuk lapisan. Gerbang tahap pensuisan - perlindungan dilaksanakan dalam satah kawalan (pada tahap isyarat) dengan membenarkan atau melarang sambungan tertentu.

Tempat istimewa diberikan kepada perlindungan kriptografi sumber maklumat dalam rangkaian korporat. Memandangkan penyulitan adalah salah satu cara yang paling boleh dipercayai untuk melindungi data daripada capaian yang tidak dibenarkan. Ciri khas penggunaan alat kriptografi ialah peraturan perundangan yang ketat. Pada masa ini, dalam rangkaian korporat ia dipasang hanya di stesen kerja di mana maklumat yang mempunyai tahap kepentingan yang sangat tinggi disimpan.

Jadi, mengikut klasifikasi cara perlindungan kriptografi sumber maklumat dalam rangkaian korporat, mereka dibahagikan kepada:

Sistem kriptografi kunci tunggal sering dipanggil sistem kriptografi tradisional, simetri atau kunci tunggal. Pengguna mencipta mesej terbuka yang unsur-unsurnya ialah aksara abjad terhingga. Kunci penyulitan dijana untuk menyulitkan mesej terbuka. Mesej yang disulitkan dijana menggunakan algoritma penyulitan

Model di atas menyediakan bahawa kunci penyulitan dijana di tempat yang sama dengan mesej itu sendiri. Walau bagaimanapun, penyelesaian lain untuk mencipta kunci adalah mungkin - kunci penyulitan dicipta oleh pihak ketiga (pusat pengedaran kunci), yang dipercayai oleh kedua-dua pengguna. Dalam kes ini, pihak ketiga bertanggungjawab untuk menghantar kunci kepada kedua-dua pengguna. Secara umumnya, keputusan ini bercanggah dengan intipati kriptografi - memastikan kerahsiaan maklumat yang dihantar pengguna.

Sistem kripto kunci tunggal menggunakan prinsip penggantian (penggantian), pilih atur (transposisi), dan komposisi. Penggantian menggantikan aksara individu dalam mesej terbuka dengan aksara lain. Penyulitan menggunakan prinsip pilih atur melibatkan perubahan susunan aksara dalam mesej yang jelas. Untuk meningkatkan kebolehpercayaan penyulitan, mesej yang disulitkan yang diterima menggunakan sifir tertentu boleh disulitkan semula menggunakan sifir yang berbeza. Mereka mengatakan bahawa dalam kes ini pendekatan komposisi digunakan. Oleh itu, sistem kriptografi simetri(dengan satu kunci) boleh dikelaskan kepada sistem yang menggunakan sifir penggantian, pilih atur dan komposisi.

Sistem kriptografi kunci awam. Ini hanya berlaku jika pengguna menggunakan kekunci KO dan KZ yang berbeza semasa menyulitkan dan menyahsulit. Sistem kriptografi ini dipanggil asimetrik, kunci dua atau kunci awam.

Penerima mesej (pengguna 2) menjana pasangan kunci yang berkaitan:

KO ialah kunci awam yang tersedia secara umum dan dengan itu tersedia kepada penghantar mesej (pengguna 1);

KS ialah kunci peribadi rahsia yang kekal hanya diketahui oleh penerima mesej (pengguna 1).

Pengguna 1, yang mempunyai kunci penyulitan KO, menggunakan algoritma penyulitan tertentu untuk menjana teks sifir.

Pengguna 2, yang memiliki kunci rahsia Kс, mempunyai peluang untuk melakukan tindakan yang bertentangan.

Dalam kes ini, pengguna 1 menyediakan mesej kepada pengguna 2 dan, sebelum menghantar, menyulitkan mesej ini menggunakan kunci peribadi KS. Pengguna 2 boleh menyahsulit mesej ini menggunakan kunci awam KO. Memandangkan mesej itu disulitkan dengan kunci peribadi pengirim, ia boleh bertindak sebagai tandatangan digital. Di samping itu, dalam kes ini adalah mustahil untuk menukar mesej tanpa akses kepada kunci peribadi pengguna 1, jadi mesej itu juga menyelesaikan masalah mengenal pasti pengirim dan integriti data.

Akhir sekali, saya ingin mengatakan bahawa dengan memasang langkah-langkah keselamatan kriptografi, adalah mungkin untuk melindungi tempat kerja pekerja organisasi yang secara langsung bekerja dengan maklumat yang sangat penting untuk kewujudan organisasi ini daripada akses yang tidak dibenarkan.

Dalam usaha untuk memastikan daya maju sesebuah syarikat, pasukan keselamatan memberi tumpuan kepada perlindungan perimeter rangkaian– perkhidmatan boleh didapati daripada Internet. Imej penyerang gelap yang bersedia untuk menyerang perkhidmatan terbitan syarikat dari mana-mana sahaja di dunia amat menakutkan pemilik perniagaan. Tetapi betapa adilnya ini, memandangkan itu yang paling maklumat yang berharga tidak terletak pada perimeter organisasi, tetapi dalam kedalamannya rangkaian korporat? Bagaimana untuk menilai perkadaran keselamatan infrastruktur terhadap serangan luaran dan dalaman?

"Kapal di pelabuhan adalah selamat, tetapi bukan untuk itu kapal dibina"

Perasaan selamat adalah menipu

Dalam konteks pemformatan total dan globalisasi, perniagaan meletakkan permintaan baharu pada rangkaian korporat; fleksibiliti dan kebebasan menjadi keutamaan. sumber korporat berhubung dengan pengguna akhirnya: pekerja dan rakan kongsi. Atas sebab ini, rangkaian perusahaan hari ini sangat jauh daripada konsep pengasingan tradisional (walaupun pada hakikatnya ia pada asalnya dicirikan sedemikian).

Bayangkan pejabat: dinding melindungi daripada dunia luar, sekatan dan dinding membahagikan jumlah kawasan kepada zon khusus yang lebih kecil: dapur, perpustakaan, bilik perkhidmatan, tempat kerja, dll. Peralihan dari zon ke zon berlaku di tempat tertentu - di pintu, dan, jika perlu, dikawal di sana dengan cara tambahan: kamera video, sistem kawalan akses, pengawal tersenyum... Memasuki bilik seperti itu, kami berasa selamat, ada perasaan percaya dan muhibah. Walau bagaimanapun, adalah wajar untuk menyedari bahawa perasaan ini hanya kesan psikologi berdasarkan "teater keselamatan", apabila tujuan aktiviti itu dinyatakan untuk meningkatkan keselamatan, tetapi sebenarnya hanya pendapat yang dibentuk tentang kewujudannya. Lagipun, jika penyerang benar-benar ingin melakukan sesuatu, maka berada di pejabat tidak akan menjadi kesukaran yang tidak dapat diatasi, dan mungkin juga sebaliknya, akan ada peluang tambahan.

Perkara yang sama berlaku dalam rangkaian korporat. Dalam keadaan yang mungkin berada di dalam rangkaian korporat, pendekatan klasik untuk memastikan keselamatan tidak mencukupi. Hakikatnya ialah kaedah perlindungan adalah berdasarkan model ancaman dalaman dan bertujuan untuk menentang pekerja yang mungkin secara tidak sengaja atau sengaja, tetapi tanpa kelayakan yang sepatutnya, melanggar dasar keselamatan. Tetapi bagaimana jika terdapat penggodam yang mahir di dalamnya? Kos untuk mengatasi perimeter rangkaian organisasi di pasaran bawah tanah mempunyai harga yang hampir tetap untuk setiap organisasi dan secara purata tidak melebihi $500. Sebagai contoh, senarai harga berikut ditunjukkan dalam pasaran gelap Dell untuk perkhidmatan penggodaman pada April 2016:

Akibatnya, anda boleh membeli penggodaman korporat peti mel, akaun yang kemungkinan besar akan sesuai untuk semua perkhidmatan korporat syarikat yang lain disebabkan oleh prinsip keizinan Single Sign-on yang meluas. Atau beli yang tidak dapat dikesan untuk antivirus virus polimorfik dan menggunakan e-mel pancingan data untuk menjangkiti pengguna yang tidak berhati-hati, dengan itu mengawal komputer di dalam rangkaian korporat. Untuk perimeter rangkaian yang dilindungi dengan baik, kelemahan kesedaran manusia digunakan, contohnya, dengan membeli dokumen pengenalan baru dan mendapatkan data tentang kerja dan kehidupan peribadi pekerja organisasi melalui perintah pengintipan siber, seseorang boleh menggunakan kejuruteraan sosial dan mendapatkan maklumat sulit.

Pengalaman kami dalam menjalankan ujian penembusan menunjukkan bahawa perimeter luaran ditembusi dalam 83% kes, dan dalam 54% ini tidak memerlukan latihan yang berkelayakan tinggi. Pada masa yang sama, mengikut statistik, kira-kira setiap pekerja kelima syarikat bersedia untuk menjual kelayakan mereka secara sedar, termasuk daripada akses jauh, dengan itu sangat memudahkan penembusan perimeter rangkaian. Di bawah keadaan sedemikian, penyerang dalaman dan luaran menjadi tidak dapat dibezakan, yang mencipta cabaran baru keselamatan rangkaian korporat.

Mengambil data kritikal dan tidak melindunginya

Dalam rangkaian korporat, log masuk ke semua sistem dikawal dan tersedia hanya kepada pengguna yang telah disahkan. Tetapi pemeriksaan ini ternyata menjadi "teater keselamatan" biasa yang disebut sebelum ini, memandangkan keadaan sebenar kelihatan sangat suram, dan ini disahkan oleh statistik tentang kelemahan sistem maklumat korporat. Berikut adalah beberapa kelemahan utama rangkaian korporat.

• Kata laluan kamus

Anehnya, penggunaan kata laluan yang lemah adalah tipikal bukan sahaja untuk kakitangan syarikat biasa, tetapi juga untuk pentadbir IT sendiri. Sebagai contoh, selalunya perkhidmatan dan peralatan mengekalkan kata laluan lalai yang ditetapkan oleh pengilang, atau gabungan asas yang sama digunakan untuk semua peranti. Sebagai contoh, salah satu gabungan yang paling popular ialah akaun pentadbir dengan pentadbir kata laluan atau kata laluan. Juga popular kata laluan pendek, yang terdiri daripada huruf kecil Abjad Latin, dan kata laluan berangka mudah seperti 123456. Oleh itu, anda boleh dengan pantas memaksa kata laluan, mencari gabungan yang betul dan mendapat akses kepada sumber korporat.

• Menyimpan maklumat kritikal dalam rangkaian dalam bentuk yang jelas

Mari bayangkan situasi: penyerang mendapat akses kepada rangkaian dalaman, mungkin terdapat dua senario di sini. Dalam kes pertama, maklumat disimpan dalam bentuk terbuka, dan syarikat itu serta-merta menanggung risiko yang serius. Dalam kes lain, data pada rangkaian disulitkan, kunci disimpan di tempat lain - dan syarikat mempunyai peluang dan masa untuk menentang penyerang dan menyimpan dokumen penting daripada kecurian.

• Penggunaan versi ketinggalan zaman sistem pengendalian dan komponennya

Setiap kali kemas kini dikeluarkan, kertas putih dikeluarkan pada masa yang sama yang memperincikan isu dan pepijat yang telah dibetulkan dalam kemas kini. versi baru. Jika masalah berkaitan keselamatan telah ditemui, maka penyerang mula aktif menyiasat topik ini, cari ralat yang berkaitan dan atas dasar ini membangunkan alat penggodaman.

Sehingga 50% syarikat sama ada tidak mengemas kini perisian mereka atau melakukannya terlalu lewat. Pada awal 2016, Hospital Royal Melbourne mengalami masalah komputer yang tidak berfungsi Kawalan Windows XP. Setelah pada mulanya mendarat di komputer jabatan patologi, virus itu dengan cepat merebak ke seluruh rangkaian, menyekat untuk beberapa waktu kerja automatik seluruh hospital.

• Menggunakan aplikasi perniagaan yang dibangunkan sendiri tanpa kawalan keselamatan

Tugas utama pembangunan kita sendiri ialah prestasi berfungsi. Aplikasi sedemikian mempunyai ambang keselamatan yang rendah dan sering dikeluarkan dalam keadaan kekurangan sumber dan sokongan yang sewajarnya daripada pengilang. Produk sebenarnya berfungsi, melaksanakan tugas, tetapi pada masa yang sama ia sangat mudah untuk digodam dan mendapatkan akses kepada data yang diperlukan.

• Kurang berkesan perlindungan antivirus dan cara perlindungan lain

Adalah dipercayai bahawa apa yang tersembunyi dari mata luar dilindungi, iaitu rangkaian dalaman, seolah-olah, selamat. Pengawal keselamatan memantau dengan teliti perimeter luaran, dan jika ia dikawal dengan baik, maka penggodam tidak akan masuk ke dalam perimeter dalaman. Tetapi sebenarnya, dalam 88% kes, syarikat tidak melaksanakan proses pengesanan kelemahan, tiada sistem pencegahan pencerobohan dan tiada penyimpanan terpusat bagi acara keselamatan. Jika digabungkan, ini tidak menjamin keselamatan rangkaian korporat dengan berkesan.

Pada masa yang sama, maklumat yang disimpan dalam rangkaian korporat mempunyai tahap kepentingan yang tinggi untuk operasi perusahaan: pangkalan data pelanggan dalam sistem dan pengebilan CRM, penunjuk perniagaan kritikal dalam ERP, komunikasi perniagaan dalam mel, aliran dokumen yang terkandung dalam portal dan sumber fail, dsb. P.

Sempadan antara rangkaian korporat dan awam telah menjadi sangat kabur sehingga menjadi sangat sukar dan mahal untuk mengawal sepenuhnya keselamatannya. Lagipun, mereka hampir tidak pernah menggunakan tindakan balas terhadap kecurian atau perdagangan akaun, kecuaian pentadbir rangkaian, ancaman yang dilaksanakan melalui kejuruteraan sosial, dsb. Yang memaksa penyerang menggunakan tepat teknik ini untuk mengatasi perlindungan luaran dan lebih dekat dengan infrastruktur yang terdedah dengan lebih berharga maklumat.

Penyelesaiannya mungkin konsep keselamatan maklumat, di mana keselamatan dalaman dan rangkaian luaran disediakan berdasarkan model ancaman bersatu, dan dengan kebarangkalian perubahan satu jenis penyerang kepada yang lain.

Penyerang lawan pertahanan - siapa yang akan menang?

Keselamatan maklumat sebagai sebuah negeri hanya mungkin dalam kes Joe yang sukar difahami - kerana ketidakbergunaannya. Konfrontasi antara penyerang dan pembela berlaku pada pesawat yang pada asasnya berbeza. Penyerang mendapat manfaat daripada melanggar kerahsiaan, ketersediaan atau integriti maklumat, dan lebih cekap dan berkesan kerja mereka, lebih banyak mereka boleh mendapat manfaat. Pembela tidak mendapat manfaat daripada proses keselamatan sama sekali; sebarang langkah adalah pelaburan yang tidak boleh dikembalikan. Itulah sebabnya pengurusan keselamatan berasaskan risiko telah menjadi meluas, di mana perhatian pembela tertumpu pada risiko yang paling mahal (dari sudut pandangan penilaian kerosakan) dengan kos terendah untuk melindunginya. Risiko dengan kos perlindungan yang lebih tinggi daripada sumber yang dilindungi diterima atau diinsuranskan secara sedar. Matlamat pendekatan ini adalah untuk meningkatkan kos mengatasi titik keselamatan terlemah organisasi sebanyak mungkin, jadi perkhidmatan kritikal mesti dilindungi dengan baik tidak kira di mana sumber itu berada - di dalam rangkaian atau pada perimeter rangkaian.

Pendekatan berasaskan risiko hanyalah ukuran yang perlu yang membolehkan konsep keselamatan maklumat wujud dalam dunia sebenar. Malah, ia meletakkan pertahanan dalam kedudukan yang sukar: mereka bermain permainan mereka sebagai hitam, hanya bertindak balas terhadap ancaman sebenar yang muncul.

Kivshenko Alexey, 1880

Artikel ini mengandungi gambaran keseluruhan lima pilihan untuk menyelesaikan masalah mengatur akses kepada perkhidmatan rangkaian korporat daripada Internet. Semakan itu menyediakan analisis pilihan untuk keselamatan dan kebolehlaksanaan, yang akan membantu kedua-dua pakar baru dan lebih berpengalaman memahami intipati isu, menyegarkan dan mensistemkan pengetahuan mereka. Bahan dalam artikel boleh digunakan untuk mewajarkan keputusan reka bentuk anda.

Apabila mempertimbangkan pilihan, mari kita ambil sebagai contoh rangkaian yang ingin anda terbitkan:

1. Pelayan mel korporat (Web-mail).
2. Korporat pelayan terminal(RDP).
3. Perkhidmatan extranet untuk rakan niaga (Web-API).

Pilihan 1: Rangkaian rata

Dalam pilihan ini, semua nod rangkaian korporat terkandung dalam satu rangkaian yang sama kepada semua ("Rangkaian Dalaman"), di mana komunikasi antara mereka tidak terhad. Rangkaian disambungkan ke Internet melalui penghala sempadan/firewall (selepas ini dirujuk sebagai IFW).

Hos mengakses Internet melalui NAT, dan akses kepada perkhidmatan daripada Internet melalui penghantaran Port.

Kebaikan pilihan:

1. Keperluan fungsi minimum IFW(boleh dilakukan pada hampir mana-mana penghala, malah penghala rumah).
2. Keperluan pengetahuan minimum untuk pakar yang melaksanakan pilihan.

Kelemahan pilihan:

1. Tahap keselamatan minimum. Sekiranya berlaku penggodaman di mana Penceroboh mendapat kawalan ke atas salah satu pelayan yang diterbitkan di Internet, semua nod lain dan saluran komunikasi rangkaian korporat menjadi tersedia untuknya untuk serangan selanjutnya.

Analogi dengan kehidupan sebenar
Rangkaian sedemikian boleh dibandingkan dengan syarikat di mana kakitangan dan pelanggan berada dalam satu bilik bersama (ruang terbuka)


hrmaximum.ru

Pilihan 2. DMZ

Untuk menghapuskan kelemahan yang dinyatakan sebelum ini, nod rangkaian yang boleh diakses dari Internet diletakkan dalam segmen yang ditetapkan khas - zon demilitarized (DMZ). DMZ disusun menggunakan tembok api yang memisahkannya daripada Internet ( IFW) dan daripada rangkaian dalaman ( DFW).


Dalam kes ini, peraturan penapisan firewall kelihatan seperti ini:

1. Dari rangkaian dalaman anda boleh memulakan sambungan ke DMZ dan ke WAN (Rangkaian Kawasan Luas).
2. Dari DMZ anda boleh memulakan sambungan ke WAN.
3. Dari WAN anda boleh memulakan sambungan ke DMZ.
4. Memulakan sambungan dari WAN dan DMZ ke rangkaian dalaman adalah dilarang.

Kelebihan pilihan:

1. Meningkatkan keselamatan rangkaian terhadap penggodaman perkhidmatan individu. Walaupun jika salah satu pelayan digodam, Penceroboh tidak akan dapat mengakses sumber yang terletak pada rangkaian dalaman (contohnya, pencetak rangkaian, sistem pengawasan video, dsb.).

Kelemahan pilihan:

1. Memindahkan pelayan ke DMZ itu sendiri tidak meningkatkan keselamatan mereka.
2. Firewall tambahan diperlukan untuk memisahkan DMZ daripada rangkaian dalaman.

Analogi dengan kehidupan sebenar
Versi seni bina rangkaian ini adalah serupa dengan organisasi kerja dan kawasan pelanggan dalam syarikat, di mana pelanggan hanya boleh berada di kawasan pelanggan, dan kakitangan boleh berada di kawasan pelanggan dan kerja. Segmen DMZ adalah tepat analog zon pelanggan.


autobam.ru

Pilihan 3. Membahagikan perkhidmatan kepada Front-End dan Back-End

Seperti yang dinyatakan sebelum ini, meletakkan pelayan dalam DMZ sama sekali tidak meningkatkan keselamatan perkhidmatan itu sendiri. Salah satu pilihan untuk membetulkan keadaan ialah membahagikan kefungsian perkhidmatan kepada dua bahagian: Front-End dan Back-End. Selain itu, setiap bahagian terletak pada pelayan yang berasingan, di antaranya ia diatur rangkaian. Pelayan Front-End, yang melaksanakan fungsi interaksi dengan pelanggan yang terletak di Internet, diletakkan dalam DMZ, dan pelayan Back-End, yang melaksanakan fungsi yang tinggal, ditinggalkan pada rangkaian dalaman. Untuk interaksi antara mereka pada DFW cipta peraturan yang membenarkan permulaan sambungan dari Front-End ke Back-End.

Sebagai contoh, pertimbangkan perkhidmatan e-mel korporat yang menyediakan perkhidmatan kepada pelanggan dari dalam rangkaian dan dari Internet. Pelanggan dari dalam menggunakan POP3/SMTP, dan pelanggan dari Internet bekerja melalui antara muka Web. Biasanya, pada peringkat pelaksanaan, syarikat memilih kaedah paling mudah untuk menggunakan perkhidmatan dan meletakkan semua komponennya pada satu pelayan. Kemudian, apabila keperluan untuk memastikan keselamatan maklumat direalisasikan, fungsi perkhidmatan dibahagikan kepada beberapa bahagian, dan bahagian yang bertanggungjawab untuk memberi perkhidmatan kepada pelanggan dari Internet (Front-End) dipindahkan ke pelayan berasingan, yang berinteraksi melalui rangkaian dengan pelayan yang melaksanakan fungsi selebihnya (Back-End). Dalam kes ini, Front-End diletakkan di DMZ, dan Back-End kekal dalam segmen dalaman. Untuk komunikasi antara Front-End dan Back-End dihidupkan DFW buat peraturan yang membenarkan permulaan sambungan dari Front-End ke Back-End.

Kelebihan pilihan:

1. Secara umum, serangan yang ditujukan terhadap perkhidmatan yang dilindungi boleh "tersandung" pada Front-End, yang akan meneutralkan atau mengurangkan kemungkinan kerosakan dengan ketara. Sebagai contoh, serangan seperti TCP SYN Flood atau bacaan http perlahan yang bertujuan untuk perkhidmatan akan membawa kepada fakta bahawa pelayan Front-End mungkin menjadi tidak tersedia, manakala Back-End akan terus berfungsi seperti biasa dan melayani pengguna.
2. Secara umum, pelayan Back-End mungkin tidak mempunyai akses kepada Internet, yang, jika ia digodam (contohnya, dengan menjalankan kod hasad setempat), akan menyukarkan untuk mengurusnya dari jauh dari Internet.
3. Front-End sangat sesuai untuk mengehoskan tembok api peringkat aplikasi (contohnya, tembok api aplikasi Web) atau sistem pencegahan pencerobohan (IPS, contohnya snort).

Kelemahan pilihan:

1. Untuk komunikasi antara Front-End dan Back-End dihidupkan DFW peraturan dicipta yang membenarkan permulaan sambungan dari DMZ ke rangkaian dalaman, yang mewujudkan ancaman yang berkaitan dengan penggunaan peraturan ini daripada nod lain dalam DMZ (contohnya, dengan melaksanakan serangan penipuan IP, keracunan ARP, dsb.)
2. Tidak semua perkhidmatan boleh dibahagikan kepada Front-End dan Back-End.
3. Syarikat mesti melaksanakan proses perniagaan untuk mengemas kini peraturan tembok api.
4. Syarikat mesti melaksanakan mekanisme untuk melindungi daripada serangan daripada Penceroboh yang telah mendapat akses kepada pelayan di DMZ.

Nota

1. Dalam kehidupan sebenar, walaupun tanpa membahagikan pelayan kepada Front-End dan Back-End, pelayan dari DMZ selalunya perlu mengakses pelayan yang terletak pada rangkaian dalaman, jadi kelemahan ini pilihan ini juga akan sah untuk pilihan yang dipertimbangkan sebelumnya.
2. Jika kami menganggap perlindungan aplikasi yang berjalan melalui antara muka Web, maka walaupun pelayan tidak menyokong pengasingan fungsi ke Front-End dan Back-End, penggunaan pelayan proksi terbalik http (contohnya, nginx) sebagai Front-End akan meminimumkan risiko yang berkaitan dengan serangan untuk penafian perkhidmatan. Contohnya, serangan banjir SYN boleh menjadikan proksi terbalik http tidak tersedia semasa Back-End terus berfungsi.

Analogi dengan kehidupan sebenar
Pilihan ini pada asasnya serupa dengan organisasi kerja, di mana pembantu - setiausaha - digunakan untuk pekerja yang sangat sarat. Kemudian Back-End akan menjadi analog pekerja yang sibuk, dan Front-End akan menjadi analog setiausaha.


mln.kz

Pilihan 4: Selamatkan DMZ

DMZ adalah sebahagian daripada rangkaian yang boleh diakses daripada Internet, dan, akibatnya, tertakluk kepada risiko maksimum kompromi hos. Reka bentuk DMZ dan pendekatan yang digunakan di dalamnya harus memberikan kemandirian maksimum dalam keadaan di mana Penceroboh telah menguasai salah satu nod dalam DMZ. Serangan yang mungkin, mari kita pertimbangkan serangan yang hampir semua sistem maklumat yang beroperasi dengan tetapan lalai terdedah:

Perlindungan terhadap serangan DHCP

Walaupun fakta bahawa DHCP bertujuan untuk mengautomasikan konfigurasi alamat IP untuk stesen kerja, di sesetengah syarikat terdapat kes apabila alamat IP untuk pelayan dikeluarkan melalui DHCP, tetapi ini adalah amalan yang agak buruk. Oleh itu, untuk melindungi daripada Rogue DHCP Server, kebuluran DHCP disyorkan kegagalan sepenuhnya daripada DHCP kepada DMZ.

Perlindungan terhadap serangan banjir MAC

Untuk melindungi daripada banjir MAC, konfigurasikan port suis untuk mengehadkan keamatan maksimum lalu lintas siaran(kerana serangan ini biasanya menjana trafik siaran). Serangan menggunakan alamat rangkaian tertentu (unicast) akan disekat Penapisan MAC, yang kita tengok tadi.

Perlindungan terhadap serangan banjir UDP

Pertahanan daripada jenis ini serangan dijalankan sama seperti perlindungan terhadap banjir MAC, kecuali penapisan dijalankan pada tahap IP (L3).

Perlindungan terhadap serangan banjir TCP SYN

Untuk melindungi daripada serangan ini, pilihan berikut adalah mungkin:

1. Perlindungan pada nod rangkaian menggunakan teknologi Kuki TCP SYN.
2. Perlindungan peringkat firewall (tertakluk kepada subnet DMZ) dengan mengehadkan keamatan trafik yang mengandungi permintaan TCP SYN.

Perlindungan terhadap serangan terhadap perkhidmatan rangkaian dan aplikasi Web

Tiada penyelesaian universal untuk masalah ini, tetapi amalan yang telah ditetapkan adalah untuk melaksanakan proses pengurusan kelemahan perisian (pengenalpastian, pemasangan patch, dll., sebagai contoh), serta penggunaan sistem pengesanan dan pencegahan pencerobohan (IDS/IPS).

Perlindungan terhadap serangan pintasan pengesahan

Bagi kes sebelum ini penyelesaian sejagat tiada masalah seperti itu.
Biasanya, dalam kes sejumlah besar percubaan kebenaran yang tidak berjaya, akaun disekat untuk mengelakkan meneka data pengesahan (contohnya, kata laluan). Tetapi pendekatan ini agak kontroversial, dan inilah sebabnya.
Pertama, Penceroboh boleh menjalankan pemilihan maklumat pengesahan dengan intensiti yang tidak membawa kepada penyekatan akaun (terdapat kes apabila kata laluan dipilih selama beberapa bulan dengan selang antara percubaan beberapa puluh minit).
Kedua, ciri ini boleh digunakan untuk penafian serangan perkhidmatan, di mana penyerang akan dengan sengaja melakukan sejumlah besar percubaan kebenaran untuk menyekat akaun.
Pilihan yang paling berkesan terhadap serangan kelas ini ialah penggunaan sistem IDS/IPS, yang, apabila mengesan percubaan meneka kata laluan, tidak akan menyekat akaun, tetapi sumber dari mana tekaan ini berlaku (contohnya, menyekat alamat IP penceroboh).

Senarai akhir langkah perlindungan untuk pilihan ini:

1. DMZ dibahagikan kepada subnet IP dengan subnet berasingan untuk setiap nod.
2. Alamat IP diberikan secara manual oleh pentadbir. DHCP tidak digunakan.
3. hidup antara muka rangkaian, yang mana nod DMZ disambungkan, penapisan MAC dan IP, sekatan pada keamatan trafik siaran dan trafik yang mengandungi permintaan TCP SYN diaktifkan.
4. Rundingan automatik jenis port dilumpuhkan pada suis dan penggunaan VLAN asli adalah dilarang.
5. Kuki TCP SYN dikonfigurasikan pada nod DMZ dan pelayan rangkaian dalaman yang mana nod ini disambungkan.
6. Pengurusan kelemahan perisian dilaksanakan untuk nod DMZ (dan sebaik-baiknya seluruh rangkaian).
7. Sistem pengesanan dan pencegahan pencerobohan IDS/IPS sedang dilaksanakan dalam segmen DMZ.

Kelebihan pilihan:

1. Tahap keselamatan yang tinggi.

Kelemahan pilihan:

1. Peningkatan keperluan untuk kefungsian peralatan.
2. Kos buruh untuk pelaksanaan dan sokongan.

Analogi dengan kehidupan sebenar
Jika sebelum ini kami membandingkan DMZ dengan kawasan pelanggan yang dilengkapi dengan sofa dan ottoman, maka DMZ yang selamat akan lebih seperti daftar tunai berperisai.


valmax.com.ua

Pilihan 5. Sambung belakang

Langkah perlindungan yang dipertimbangkan dalam versi sebelumnya adalah berdasarkan fakta bahawa terdapat peranti pada rangkaian (suis / penghala / tembok api) yang mampu melaksanakannya. Tetapi dalam amalan, sebagai contoh, apabila menggunakan infrastruktur maya (suis maya selalunya sangat peluang terhad), peranti serupa mungkin tiada.

Di bawah syarat ini, banyak serangan yang dibincangkan sebelum ini tersedia kepada Pelanggar, yang paling berbahaya ialah:

• serangan yang membolehkan anda memintas dan mengubah suai trafik (Keracunan ARP, limpahan jadual CAM + rampasan sesi TCP, dsb.);
• serangan yang berkaitan dengan eksploitasi kelemahan dalam pelayan rangkaian dalaman yang mana sambungan boleh dimulakan dari DMZ (yang mungkin dengan memintas peraturan penapisan DFW disebabkan oleh IP dan MAC spoofing).

Ciri penting seterusnya, yang kami tidak pertimbangkan sebelum ini, tetapi yang tidak berhenti menjadi kurang penting, ialah stesen kerja automatik (AWS) pengguna juga boleh menjadi sumber (contohnya, apabila dijangkiti virus atau Trojan) kesan berbahaya pada pelayan.

Oleh itu, kita berhadapan dengan tugas untuk melindungi pelayan rangkaian dalaman daripada serangan oleh Penceroboh kedua-dua dari DMZ dan dari rangkaian dalaman (jangkitan stesen kerja dengan Trojan boleh ditafsirkan sebagai tindakan Penceroboh dari rangkaian dalaman ).

Pendekatan yang dicadangkan di bawah bertujuan untuk mengurangkan bilangan saluran yang melaluinya Penceroboh boleh menyerang pelayan, dan terdapat sekurang-kurangnya dua saluran sedemikian. Yang pertama ialah peraturan mengenai DFW, membenarkan akses kepada pelayan rangkaian dalaman daripada DMZ (walaupun terhad oleh alamat IP), dan yang kedua dibuka pada pelayan port rangkaian, yang mana permintaan sambungan dijangkakan.

tutup saluran yang ditentukan adalah mungkin jika pelayan rangkaian dalaman itu sendiri membina sambungan ke pelayan dalam DMZ dan melakukan ini menggunakan protokol rangkaian selamat secara kriptografi. Kemudian tidak akan ada pelabuhan terbuka, tiada peraturan DFW.

Tetapi masalahnya ialah perkhidmatan pelayan biasa tidak tahu bagaimana untuk bekerja dengan cara ini, dan untuk melaksanakan pendekatan ini adalah perlu untuk menggunakan terowong rangkaian, dilaksanakan, sebagai contoh, dengan menggunakan SSH atau VPN, dan dalam terowong membenarkan sambungan dari pelayan dalam DMZ ke pelayan rangkaian dalaman.

Skim umum Operasi pilihan ini kelihatan seperti ini:

1. Pelayan SSH/VPN dipasang pada pelayan dalam DMZ, dan klien SSH/VPN dipasang pada pelayan dalam rangkaian dalaman.
2. Pelayan rangkaian dalaman memulakan pembinaan terowong rangkaian ke pelayan dalam DMZ. Terowong dibina dengan pengesahan bersama klien dan pelayan.
3. Pelayan dari DMZ, dalam terowong yang dibina, memulakan sambungan ke pelayan dalam rangkaian dalaman, yang melaluinya data yang dilindungi dihantar.
4. Firewall tempatan dikonfigurasikan pada pelayan rangkaian dalaman untuk menapis trafik yang melalui terowong.

Menggunakan pilihan ini dalam amalan telah menunjukkan bahawa ia adalah mudah untuk membina terowong rangkaian menggunakan OpenVPN, kerana ia mempunyai sifat penting berikut:

• Merentas platform. Anda boleh mengatur komunikasi pada pelayan dengan sistem pengendalian yang berbeza.
• Kemungkinan membina terowong dengan pengesahan bersama klien dan pelayan.
• Kemungkinan menggunakan kriptografi yang diperakui.

Pada pandangan pertama ia mungkin kelihatan begitu skim ini tidak semestinya rumit dan kerana anda masih perlu memasang tembok api tempatan pada pelayan rangkaian dalaman, lebih mudah untuk membuat pelayan dari DMZ, seperti biasa, menyambung ke pelayan rangkaian dalaman, tetapi lakukan melalui sambungan yang disulitkan. Sesungguhnya, pilihan ini akan menyelesaikan banyak masalah, tetapi ia tidak akan dapat memberikan perkara utama - perlindungan terhadap serangan terhadap kelemahan pelayan rangkaian dalaman yang dilakukan dengan memintas firewall menggunakan IP dan MAC spoofing.

Kelebihan pilihan:

1. Pengurangan seni bina bilangan vektor serangan pada pelayan rangkaian dalaman yang dilindungi.
2. Memastikan keselamatan sekiranya tiada penapisan trafik rangkaian.
3. Melindungi data yang dihantar melalui rangkaian daripada tontonan dan pengubahsuaian tanpa kebenaran.
4. Keupayaan untuk meningkatkan tahap keselamatan perkhidmatan secara selektif.
5. Keupayaan untuk melaksanakan sistem perlindungan dua litar, di mana litar pertama disediakan menggunakan firewall, dan yang kedua disusun berdasarkan pilihan ini.

Kelemahan pilihan:

1. Pelaksanaan dan penyelenggaraan pilihan perlindungan ini memerlukan kos buruh tambahan.
2. Tidak serasi dengan sistem rangkaian pengesanan dan pencegahan pencerobohan (IDS/IPS).
3. Beban pengkomputeran tambahan pada pelayan.

Analogi dengan kehidupan sebenar
Maksud utama pilihan ini ialah orang yang dipercayai menjalin hubungan dengan orang yang tidak dipercayai, yang serupa dengan situasi apabila, apabila mengeluarkan pinjaman, Bank sendiri memanggil semula bakal peminjam untuk menyemak data. Tambah tag

Pengenalpastian/pengesahan (IA) pengendali mesti dilakukan dalam perkakasan sebelum peringkat but OS. Pangkalan data IA mesti disimpan dalam memori sistem keselamatan maklumat (IPS) yang tidak menentu, disusun sedemikian rupa sehingga akses kepadanya melalui PC adalah mustahil, i.e. Memori tidak meruap mesti terletak di luar ruang alamat PC.

Pengenalpastian/pengesahan pengguna jauh, seperti dalam kes sebelumnya, memerlukan pelaksanaan perkakasan. Pengesahan mungkin cara yang berbeza, termasuk tandatangan digital elektronik (EDS). Keperluan "pengesahan yang diperkukuh" menjadi wajib, i.e. secara berkala mengulangi prosedur semasa operasi pada selang masa yang cukup kecil supaya jika perlindungan diatasi, penyerang tidak boleh menyebabkan kerosakan yang ketara.

2. Perlindungan cara teknikal daripada NSD

Alat perlindungan komputer terhadap capaian yang tidak dibenarkan boleh dibahagikan kepada kunci elektronik (EL) dan modul but dipercayai perkakasan (TMZ). Perbezaan utama mereka ialah cara kawalan integriti dilaksanakan. Kunci elektronik melaksanakan prosedur I/A pengguna dalam perkakasan, gunakan perisian luaran untuk melaksanakan prosedur kawalan integriti. ASMD melaksanakan dalam perkakasan kedua-dua fungsi keselamatan elektronik dan fungsi pemantauan integriti dan fungsi pentadbiran.

Memantau integriti komposisi teknikal PC dan LAN. Memantau integriti komposisi teknikal PC mesti dilakukan oleh pengawal SZI sebelum memuatkan OS. Pada masa yang sama, semua sumber yang boleh (berpotensi) dikongsi harus dikawal, termasuk CPU, sistem BIOS, cakera liut, cakera keras dan CD-ROM.

Integriti komposisi teknikal LAN mesti dipastikan dengan prosedur untuk pengesahan rangkaian yang dipertingkatkan. Prosedur mesti dilakukan pada peringkat menyambungkan PC yang disahkan ke rangkaian dan kemudian pada selang masa yang telah ditetapkan oleh pentadbir keselamatan.

Memantau integriti OS, i.e. pemantauan integriti kawasan sistem dan fail OS mesti dilakukan oleh pengawal sebelum memuatkan OS untuk memastikan data sebenar dibaca. Memandangkan pelbagai sistem pengendalian boleh digunakan dalam pengurusan dokumen elektronik, perisian yang dibina ke dalam pengawal mesti menyediakan sokongan untuk sistem fail yang paling popular.

Pemantauan integriti aplikasi perisian(PPO) dan data boleh dilakukan sama ada dengan perkakasan atau komponen perisian SZI.

3. Mengehadkan akses kepada dokumen, PC dan sumber rangkaian

Sistem pengendalian moden semakin mengandungi alat kawalan capaian terbina dalam. Biasanya, alat ini menggunakan ciri sistem fail (FS) tertentu dan berdasarkan atribut yang dikaitkan dengan salah satu lapisan API sistem pengendalian. Dalam kes ini, dua masalah berikut tidak dapat dielakkan timbul.

Mengikat kepada ciri sistem fail. Sistem pengendalian moden, sebagai peraturan, tidak menggunakan satu, tetapi beberapa sistem fail - kedua-dua baru dan ketinggalan zaman. Biasanya, pada FS baharu, kawalan akses yang terbina dalam OS berfungsi, tetapi pada FS lama, ia mungkin tidak berfungsi, kerana ia menggunakan perbezaan ketara dalam FS baharu.

Keadaan ini biasanya tidak dinyatakan secara langsung dalam sijil, yang boleh mengelirukan pengguna. Ia adalah untuk tujuan memastikan keserasian bahawa sistem fail lama disertakan dalam OS baharu dalam kes ini.

Mengikat kepada API sistem pengendalian. Sebagai peraturan, sistem pengendalian berubah dengan cepat sekarang - sekali setiap setengah tahun. Ada kemungkinan bahawa mereka akan berubah lebih kerap. Jika atribut kawalan capaian mencerminkan komposisi API, maka tukar ke versi moden OS perlu membuat semula tetapan sistem keselamatan, melatih semula kakitangan, dsb.

Oleh itu, seseorang boleh merumuskan keperluan am- subsistem kawalan capaian mesti ditumpangkan pada sistem pengendalian dan dengan itu bebas daripada sistem fail. Sudah tentu, komposisi atribut mestilah mencukupi untuk tujuan menerangkan dasar keselamatan, dan huraian tidak boleh dijalankan dalam terma API OS, tetapi dari segi di mana pentadbir keselamatan sistem terbiasa bekerja.

4.Perlindungan dokumen elektronik

Perlindungan pertukaran elektronik maklumat termasuk dua kelas tugas:

Memastikan kesetaraan dokumen semasa kitaran hayatnya dengan standard dokumen elektronik asal;

Memastikan kesetaraan teknologi elektronik gunaan dengan teknologi rujukan.

Tujuan sebarang perlindungan adalah untuk memastikan kestabilan sifat tertentu objek yang dilindungi di semua titik dalam kitaran hayat. Keselamatan objek direalisasikan dengan membandingkan piawai (objek pada titik awal ruang dan masa) dan hasilnya (objek pada saat pemerhatian). Sebagai contoh, jika pada titik pemerhatian (menerima dokumen elektronik) hanya terdapat maklumat kontekstual yang sangat terhad mengenai standard (kandungan dokumen elektronik asal), tetapi terdapat maklumat penuh mengenai keputusan (dokumen yang diperhatikan), ini bermakna bahawa dokumen elektronik mesti termasuk atribut yang memperakui pematuhan dengan keperluan teknikal dan teknologi, iaitu, kebolehubahan mesej pada semua peringkat pengeluaran dan pengangkutan dokumen. Salah satu pilihan atribut boleh menjadi kod pengesahan keselamatan (SCA).

Melindungi dokumen semasa pembuatannya. Apabila membuat dokumen, ia mesti dihasilkan oleh perkakasan kod keselamatan pengesahan. Merakam salinan dokumen elektronik pada media luaran sebelum pembangunan ZKA harus dikecualikan. Jika dokumen elektronik dijana oleh pengendali, maka ZKA mesti dipautkan kepada pengendali. Jika EL dijana oleh komponen perisian AS, maka ZKA mesti dijana berkaitan dengan komponen perisian ini.

Melindungi dokumen semasa penghantaran. Perlindungan dokumen apabila dihantar melalui saluran komunikasi luaran (terbuka) mesti dijalankan berdasarkan penggunaan cara kriptografi yang diperakui, termasuk penggunaan tandatangan digital(EDS) untuk setiap dokumen yang dihantar. Pilihan lain juga mungkin - timbunan dokumen ditandatangani menggunakan tandatangan digital elektronik, dan setiap dokumen individu diperakui oleh analog lain tandatangan tulisan tangan (HSA), sebagai contoh, ZKA.

Perlindungan dokumen semasa pemprosesan, penyimpanan dan pelaksanaannya. Pada peringkat ini, perlindungan dokumen dijalankan menggunakan dua kawalan keselamatan - input dan output untuk setiap peringkat. Dalam kes ini, ZKA mesti dijana dalam perkakasan dengan ZKA dikaitkan dengan prosedur pemprosesan (peringkat teknologi maklumat). Untuk dokumen yang diterima (dengan ZKA dan tandatangan digital), ZKA kedua dijana dan hanya kemudian tandatangan digital dikeluarkan.

Melindungi dokumen apabila mengaksesnya daripada persekitaran luaran. Melindungi dokumen apabila mengaksesnya daripada persekitaran luaran termasuk dua mekanisme yang telah diterangkan - pengenalpastian/pengesahan pengguna jauh dan sekatan akses kepada dokumen, sumber PC dan rangkaian.

5. Perlindungan data dalam saluran komunikasi

Secara tradisinya, untuk melindungi data dalam saluran komunikasi, penyulitan saluran digunakan dan bukan sahaja data, tetapi juga isyarat kawalan dihantar.

6. Perlindungan teknologi maklumat

Walaupun terdapat persamaan tertentu, mekanisme untuk melindungi data elektronik itu sendiri sebagai objek (nombor, data) dan melindungi data digital sebagai proses (fungsi, persekitaran pengkomputeran) adalah berbeza secara radikal. Apabila melindungi teknologi maklumat, berbeza dengan melindungi data elektronik, ciri-ciri teknologi standard yang diperlukan diketahui dengan pasti, tetapi terdapat maklumat terhad tentang pemenuhan keperluan ini oleh teknologi yang sebenarnya digunakan, i.e. hasil. Satu-satunya objek yang boleh membawa maklumat tentang teknologi sebenar (sebagai urutan operasi) ialah ED itu sendiri, atau lebih tepatnya atribut yang disertakan di dalamnya. Seperti sebelum ini, salah satu jenis atribut ini boleh menjadi ZKA. Kesetaraan teknologi boleh diwujudkan dengan lebih tepat, lebih banyak bilangan operasi berfungsi yang dikaitkan dengan mesej melalui PCA. Mekanisme ini tidak berbeza daripada yang digunakan untuk melindungi data elektronik. Selain itu, kita boleh mengandaikan bahawa kehadiran ZKA tertentu mencirikan kehadiran dalam proses teknologi operasi sepadan, dan nilai ZKA mencirikan integriti mesej pada di fasa ini proses teknologi.

7. Kawalan akses kepada aliran data

Untuk tujuan menyekat akses kepada aliran data, penghala yang menggunakan langkah keselamatan kriptografi biasanya digunakan. Dalam kes sebegini Perhatian istimewa diberikan sistem kunci dan keselamatan storan kunci. Keperluan akses untuk mengehadkan strim berbeza daripada yang mengehadkan akses kepada fail dan direktori. Di sini hanya mekanisme paling mudah yang mungkin - akses dibenarkan atau dinafikan.

Pemenuhan keperluan yang disenaraikan memastikan tahap keselamatan yang mencukupi untuk dokumen elektronik sebagai jenis mesej terpenting yang diproses dalam sistem maklumat.

Pada masa ini dibangunkan sebagai cara teknikal keselamatan maklumat modul perkakasan But Trusted (ATB), yang memastikan bahawa OS dimuatkan tanpa mengira jenisnya untuk pengguna yang disahkan oleh mekanisme keselamatan. Hasil pembangunan sistem perlindungan maklumat NSD "Accord" (dibangunkan oleh OKB SAPR) dihasilkan secara besar-besaran dan hari ini merupakan cara paling terkenal untuk melindungi komputer daripada akses tanpa kebenaran di Rusia. Spesifik digunakan semasa pembangunan kawasan permohonan, dicerminkan dalam keluarga perkakasan untuk keselamatan maklumat dalam pengurusan dokumen elektronik, yang menggunakan kod pengesahan (AC) pada pelbagai peringkat. Mari lihat contoh penggunaan perkakasan.

1. Dalam daftar tunai (CCM), CA digunakan sebagai cara untuk mengesahkan cek sebagai salah satu jenis dokumen elektronik. Setiap daftar tunai mesti dilengkapi dengan unit memori fiskal (FP) pintar, yang, sebagai tambahan kepada fungsi pengumpulan data hasil jualan, melaksanakan beberapa fungsi:

Menyediakan perlindungan untuk perisian daftar tunai dan data daripada capaian yang tidak dibenarkan;

Menjana kod pengesahan untuk kedua-dua daftar tunai dan setiap cek;

Menyokong antara muka standard untuk interaksi dengan modul pemeriksa cukai;

Menyediakan pengumpulan data fiskal untuk diserahkan kepada pejabat cukai serentak dengan kunci kira-kira.

Blok FP yang dibangunkan "Accord-FP" dibuat berdasarkan sistem keselamatan maklumat Accord. Ia dicirikan ciri-ciri berikut:

Fungsi sistem keselamatan maklumat NSD disepadukan dengan fungsi FP;

Blok FP juga termasuk daftar PFC yang tidak menentu;

Prosedur modul pemeriksa cukai juga disepadukan sebagai bahagian penting blok Accord-FP.

2. Dalam sistem untuk memantau integriti dan mengesahkan kebolehpercayaan dokumen elektronik (SKTSPD) dalam sistem automatik di peringkat persekutuan atau wilayah, perbezaan asas adalah keupayaan untuk melindungi setiap dokumen individu. Sistem ini membenarkan kawalan tanpa meningkatkan trafik dengan ketara. Asas untuk mencipta sistem sedemikian ialah pengawal Accord-S B/KA - pemproses bersama keselamatan berprestasi tinggi yang melaksanakan fungsi menjana/mengesahkan kod pengesahan.

Pusat maklumat dan pengkomputeran serantau (RICC) memastikan pengurusan aktiviti SCCPD secara keseluruhan, berinteraksi dengan semua stesen kerja automatik kapal angkasa - stesen kerja automatik pengendali yang mengambil bahagian yang dilengkapi dengan sistem perisian dan perkakasan "Accord-SB/KA" ( A-SB/KA) dan perisian SKTSPD. RIVC harus termasuk dua stesen kerja automatik - AWP-K untuk membuat kunci, AWP-R untuk menyediakan penyebaran data pengesahan.

3. Penggunaan kod pengesahan dalam subsistem perlindungan maklumat teknologi data elektronik. Asas untuk pelaksanaan keselamatan maklumat perkakasan boleh menjadi "Accord SB" dan "Accord AMDZ" (dari segi cara perlindungan terhadap akses yang tidak dibenarkan). Kod pengesahan digunakan untuk melindungi teknologi. Kod pengesahan untuk dokumen elektronik dalam subsistem keselamatan maklumat teknologi dijana dan disahkan pada pelayan kod pengesahan (ACA) menggunakan jadual utama (jadual kebolehpercayaan) yang disimpan dalam memori dalaman pemproses bersama Accord-SB yang dipasang dalam BPR. Jadual kebolehpercayaan, ditutup pada kunci penghantaran, dihantar ke SKA dan dimuatkan ke dalam ingatan dalaman coprocessors, di mana pendedahan mereka berlaku. Kunci penghantaran dijana dan didaftarkan pada pekerja automatik khusus letak ARM-K dan dimuatkan ke dalam pemproses bersama pada peringkat awal dalam proses pemperibadiannya.

Pengalaman aplikasi praktikal berskala besar bagi lebih daripada 100,000 modul keselamatan perkakasan jenis Accord dalam sistem komputer pelbagai organisasi di Rusia dan negara jiran menunjukkan bahawa tumpuan pada penyelesaian perisian dan perkakasan telah dipilih dengan betul, kerana ia mempunyai peluang besar untuk melanjutkan pembangunan dan penambahbaikan.

kesimpulan

Memandang rendah masalah yang berkaitan dengan keselamatan maklumat boleh membawa kepada kerosakan yang besar.

Pertumbuhan jenayah komputer memaksa kita mengambil berat tentang keselamatan maklumat.

Penggunaan dalam amalan Rusia jenis perisian dan perkakasan besar-besaran yang sama (contohnya, komputer peribadi yang serasi dengan IBM; sistem pengendalian - Window, Unix, MS DOS, Netware, dll.) mewujudkan, pada tahap tertentu, syarat untuk penyerang.

Strategi untuk membina sistem keselamatan maklumat hendaklah berdasarkan penyelesaian yang komprehensif, pada penyepaduan teknologi maklumat dan sistem keselamatan, pada penggunaan teknik dan alatan termaju, dan pada teknologi keselamatan maklumat jenis industri sejagat.

Soalan untuk mengawal diri

1. Namakan jenis ancaman terhadap maklumat, berikan definisi ancaman.

2. Apakah kaedah untuk melindungi maklumat yang wujud?

3. Huraikan kawalan capaian sebagai satu cara untuk melindungi maklumat. Apakah peranan dan kepentingannya?

4. Apakah tujuan kaedah kriptografi untuk melindungi maklumat? Senaraikan mereka.

5. Berikan konsep pengesahan dan tandatangan digital. Apakah intipati mereka?

6. Bincangkan masalah keselamatan maklumat dalam rangkaian dan kemungkinan untuk menyelesaikannya.

7. Mendedahkan ciri strategi perlindungan maklumat menggunakan pendekatan yang sistematik, penyelesaian bersepadu dan prinsip integrasi dalam teknologi maklumat.

8. Senaraikan peringkat-peringkat mewujudkan sistem keselamatan maklumat.

9. Apakah aktiviti yang perlu untuk pelaksanaan perlindungan teknikal teknologi pengurusan dokumen elektronik?

10. Apakah intipati pendekatan pendaraban?

11. Apakah prosedur yang mesti dipatuhi untuk melindungi sistem pengurusan dokumen elektronik?

12. Apakah fungsi yang dilakukan oleh tembok api?

Ujian untuk Ch. 5

Isikan konsep dan frasa yang hilang.

1. Peristiwa atau tindakan yang boleh membawa kepada penggunaan tanpa kebenaran, rasuah atau pemusnahan maklumat dipanggil...

2. Antara ancaman kepada keselamatan maklumat, dua jenis harus dibezakan: ...

3. Jenis-jenis ancaman balas yang disenaraikan kepada keselamatan maklumat: halangan, kawalan capaian, penyulitan, peraturan, paksaan dan dorongan berkaitan dengan... memastikan keselamatan maklumat.

4. Kaedah berikut untuk menangani ancaman keselamatan: fizikal, perkakasan, perisian, organisasi, perundangan, moral dan etika, fizikal berkaitan dengan... memastikan keselamatan maklumat.

5. Kaedah kriptografi perlindungan maklumat adalah berdasarkan...

6. Memberikan penetapan unik kepada pengguna untuk mengesahkan pematuhan mereka dipanggil...

7. Mengesahkan pengguna untuk mengesahkan pematuhan mereka dipanggil...

8. Ancaman terbesar kepada rangkaian korporat adalah berkaitan dengan:

a) dengan kepelbagaian sumber dan teknologi maklumat;

b) dengan perisian dan perkakasan;

c) dengan kegagalan peralatan. Pilih jawapan yang betul.

9. Tahap rasional keselamatan maklumat dalam rangkaian korporat dipilih terutamanya berdasarkan pertimbangan berikut:

a) spesifikasi kaedah perlindungan;

b) kebolehlaksanaan ekonomi;

c) strategi pertahanan.

10. Program pemastautin yang berada secara kekal dalam memori komputer dan mengawal operasi yang berkaitan dengan menukar maklumat pada cakera magnetik, dipanggil:

a) pengesan;

c) penjaga;

d) juruaudit.

11. Produk antivirus bertujuan:

a) untuk menguji sistem;

b) untuk melindungi program daripada virus;

c) untuk menyemak program untuk kehadiran virus dan rawatannya;

d) untuk memantau sistem.