Каталог Рефератов - Разработка предложения по защите информации от несанкционированного доступа в сетях ЭВМ объединения ВВС и ПВО

	Информационно-образоательный портал
	Рефераты, курсовые, дипломы, научные работы,



МЕНЮ\|

поиск

Разработка предложения по защите информации от несанкционированного доступа в сетях ЭВМ объединения ВВС и ПВО

сть возможность шифрования передаваемых по сети данных и установления обмена только зашифрованными данными. Так же следует заметить, что пароли не хранятся в текстовом виде. Они защищены процедурой хеширования. Но это не значит, что, не зная пароля в текстовом виде, невозможно проникнуть в систему. При сетевом подключении не обязательно знать текст пароля, достаточно хешированного пароля. Поэтому достаточно получить копию базы данных SAM, где хранятся пароли и извлечь из нее хешированный пароль;

Требование-6. Средства защиты от злоумышленных действий пользователей существуют только в современных версиях Windows XP. Они обладают встроенными межсетевыми экранами, которые позволяют закрыть на компьютере слабые места и производят фильтрацию входной и выходной информации;

Требование-7. Еще одним средством ОБИ в Windows является аудит. С его помощью можно отслеживать действия пользователей и ряд системных событий в сети.

Фиксируются следующие параметры, касающиеся действий, совершаемых пользователями: выполненное действие; имя пользователя, выполнившего действие; дата и время выполнения. Эта информация помогает выявить нарушителя и пресечь в дальнейшем противоправные действия. Регистрация выдачи документов на "твердую копию", а также некоторые другие требования к регистрации событий и механизм управления доступом к гостам в полном объеме в ОС семейства Windows (NT/2000/XP) не обеспечивается;

Требование-8. Возможность блокировки процесса или пользователя совершающего НСД не реализована.

ДОПОЛНИТЕЛЬНЫЕ ТРЕБОВАНИЯ:

Требование-9. Встроенные средства стирания остаточной информации отсутствуют. Информация из оперативной памяти стирается только при перезагрузке, а с жесткого диска вообще не стирается, что создает предпосылки для использования злоумышленником этой информации в своих целях. То есть невозможно встроенными средствами гарантированно удалять остаточную информацию;

Требование-10. У администратора есть возможность ограничения числа попыток входа в систему и ряда других показателей с целью пресечь возможность подбора пароля;

Требование-11. В ОС семейства Windows одновременно не реализованы мандатная и дискреционная модели доступа к информации. Не возможна в общем случае реализация централизованной схемы администрирования механизмов защиты или соответствующих формализованных требований; не в полном объеме реализуется дискреционная модель доступа (в частности, не могут разграничиваться права доступа для пользователя "Система");

Требование-12. Возможности операционных систем по эргономическим требованиям очень высоки, т.к ОС семейства Windows обладают удобным и информативным пользовательским интерфейсом;

Таким образом основными механизмами защиты, как уже был сказано, являются: идентификация, аутентификация, разграничение прав доступа и аудит. Явно выделяется возможность разграничений прав доступа к файловым объектам (для NTFS) - расширенные атрибуты доступа, устанавливаемые на различные иерархические объекты файловой системы (логические диски, каталоги, файлы). В полном объеме управлять доступом к разделяемым ресурсам возможно только при установленной на всей компьютерах ЛВС файловой системы NTFS. Иначе невозможно запретить запуск несанкционированной программы с удаленного компьютера, т.е. обеспечить замкнутость программной среды в этой части.

Существуют принципиальные недостатки защиты ОС семейства Windows, напрямую связанные с возможностью НСД к информации. В ОС Windows невозможна в общем случае реализация централизованной схемы администрирования механизмов защиты, т.к принята иная концепция реализации разграничительной политики доступа к ресурсам (для NTFS). В рамках этой концепции разграничения для файла приоритетнее, чем для каталога, а в общем случае - разграничения для включаемого файлового объекта приоритетнее, чем для включающего. Это приводит к тому, что пользователь (которому назначил права доступа "владелец") может обратиться к файлу вне зависимости от установленных администратором атрибутов доступа на каталог, в котором пользователь (владелец) создал файл. Данная проблема непосредственно связана с реализуемой в ОС Windows концепцией защиты информации. Можно отметить еще один недостаток - это невозможность разграничить доступ к устройствам ввода "на исполнение", что позволяет пользователю запускать любые программы с внешних носителей.

Что касается разделяемых сетевых ресурсов, то фильтрации подвергается только входящий доступ к разделяемому ресурсу, а запрос доступа на компьютере, с которого он осуществляется, фильтрации не подлежит. Это принципиально, т.к не могут подлежать фильтрации приложения, которыми пользователь осуществляет доступ к разделяемым ресурсам. Благодаря этому, очень распространенными являются атаки на протокол NETBIOS.

2.3.2 UNIX - подобные ОС
2.3.2.1 ОС UNIX
Прежде всего, стоит отметить, что UNIX-подобные ОС значительно отличаются от ОС семейства Windows. Они распространяются свободно, имеют открытый код, что позволяет дорабатывать систему под себя. ОС позволяет разделять ресурсы компьютера с другими пользователями без уменьшения производительности благодаря использованию метода разделением времени.

В UNIX используется многозадачное окружение, которое позволяет выполнять более одного задания в одно и тоже время. Весь процесс работы с файлами, программами и системой в целом представляет собой работу в командной строке, для чего необходимо знать огромное количество команд и хорошо в них ориентироваться. Это большой минус для пользователей, привыкших к работе в Windows.

Причин уязвимости UNIX-система достаточно много и поэтому есть целесообразность рассмотреть основные из них, на которые приходится до 90% всех случаев вскрытия UNIX-хостов:

Наличие демонов;

Механизм SUID/SGID-процессов. (эти механизмы, являющиеся неотъемлемой частью идеологии UNIX, были и будут лакомым кусочком для хакеров, т.к в этом случае пользователь всегда взаимодействует с процессом, имеющим большие привилегии, чем у него самого, и поэтому любая ошибка или недоработка в нем автоматически ведет к возможности использования этих привилегий);

Излишнее доверие (в UNIX достаточно много служб, использующих доверие, и они могут быть обмануты тем или иным способом);

Человеческий фактор (наличия прав, никому не подконтрольного. Выходом является распределение прав суперпользователя среди несколькими администраторами).

Существует несколько причин, по которым оказываются уязвимы демоны и SUID/SGID-процессы:

возможность возникновения непредусмотренных ситуаций, связанных с ошибками или недоработками в программировании;

наличие скрытых путей взаимодействия с программой, называемых "люками" (оставленная разработчиком недокументированная возможность взаимодействия с системой либо возникшая вследствие ошибки или остатков отладочного кода);

возможность подмены субъектов и объектов различным образом.

ОБЯЗАТЕЛЬНЫЕ ТРЕБОВАНИЯ.

Требование-1. Данная ОС не сертифицирована для использования в военных организациях, но все больше приобретает популярность при построении ЛВС;

Требование-2,3. Поскольку ОС UNIX с самого своего зарождения задумывалась как многопользовательская операционная система, в ней всегда была актуальна проблема идентификации, аутентификации и авторизации доступа различных пользователей к файлам файловой системы, т.е. проверка подлинности пользователя, наделение его правами доступа и привилегиями. Поэтому данные требования в UNIX выполняются в полном объеме. Схема авторизации доступа, примененная в ОС UNIX очень проста, удобна и одновременно мощна.

Существует условная иерархия пользователей (уровни привилегий):

Суперпользователь - неограниченные права.

Обычный пользователь - права, ограниченные ему суперпользователем.

Специальный пользователь - права, ограниченные ему суперпользователем для работы с конкретным приложением.

Псевдопользователь - нет никаких прав, он вообще не идентифицируется системой.

Все пользователи по отношению к файлу делятся на три категории: владелец, член группы владельца и все остальные. Определены также три вида доступа к файлу: чтение, запись и выполнение. Привилегии доступа к каждому файлу определяются для каждой из трех категорий пользователей и для каждой из трех операций доступа. Каждый файл содержит код защиты, который присваивается файлу при его создании. Код защиты располагается в индексном дескрипторе файла и содержит десять символов, причем первый символ определяет тип файла, а последующие девять - право на доступ к нему. Три вида операций и три категории доступа дают в совокупности девять возможных вариантов разрешений или запретов на доступ к файлу. Первые три символа определяют возможности чтения, записи и выполнения на уровне владельца, следующие три - на уровне группы, в которую входит владелец, и последние три - на уровне остальных пользователей [16, 17].

Начальные значения прав доступа к файлу устанавливаются при его создании операционной системой и могут изменяться его владельцем или суперпользователем. Суперпользователь имеет неограниченные права (UID и GID у него равны специальному значению 0). Процесс, с которым связан нулевой идентификатор пользователя, считается привилегированным. Независимо от кода защиты файла привилегированный процесс имеет право доступа к файлу для чтения и записи. Если в коде защиты хотя бы одной категории пользователей (процессов) есть разрешение на выполнение файла, привилегированный процесс тоже имеет право выполнять этот файл.

Обычный пользователь, имеет права на доступ в рамках своего идентификатора (UID) и членства в группе (GID) (в UNIX каждый пользователь в текущий момент может быть членом только одной группы, он имеет только один UID и один GID).

Специальные пользователи обычно имеют зарезервированные имена (например, guest, bin, uucp, anonymous, и. т.д.) и номера UID и GID (например, они всегда меньшие 100). Специальный пользователь имеет еще меньшие права, чем обычный, им обычно нельзя зайти в систему нормальным образом.

Условно к категории пользователей можно отнести человека, удаленно подключившегося к машине и взаимодействующего с одной из программ сервера. Они обычно стартуют при загрузке машины, чаще всего от имени суперпользователя и всегда активны как процессы. Это позволяет пользователю в любой момент времени удаленно подключаться к ним, но при этом он не имеет никаких прав на чтение/запись информации на компьютере, он вообще не идентифицируется системой UNIX. Однако может исполнять некоторые команды-запросы к тому домену, к которому он подключен.

Последний тип пользователя является, чуть ли не самым важным для рассмотрения, т.к, не обладая никакими правами (от него не требуется аутентификация), он взаимодействует с программами, которые практически всегда имеют полномочия суперпользователя. Почти любой пользователь интернета всегда имеет привилегии уровня 3 на любом компьютере, а также, если поддерживается соответствующий сервис, привилегии уровня 2.

UNIX обладает собственной файловой системой, которая поддерживает логическую организацию файла в виде последовательности байтов. По функциональному назначению различаются обычные файлы, каталоги и специальные файлы, содержащие соответственно системную и пользовательскую информацию, служебную информацию файловой системы, и специальную информацию. В каталог могут входить обычные, специальные файлы и каталоги более низкого уровня, специальный файл используется для унификации механизма доступа к файлам и внешним устройствам.

В UNIX для файла существует три типа имени: краткое, полное и относительное. Файловая система имеет иерархическую структуру, в которой уровни создаются за счет каталогов, содержащих информацию о файлах более низкого уровня. Каталог самого верхнего уровня называется корневым, имеет имя root и располагается на системном диске, остальные файлы могут содержаться на разных дисках, но все они иерархически связаны. Иерархическая структура удобна для безопасной многопользовательской работы: каждый пользователь локализуется в своем каталоге или поддереве каталогов, и вместе с тем все файлы в системе логически связаны. Элементами файловой системы являются также все устройства, подключаемые к защищаемому компьютеру (монтируемые к файловой системе). Поэтому разграничение доступа к ним осуществляется через файловою систему.

Вся необходимая операционной системе информация о файле, кроме его символьного имени, хранится в специальной системной таблице, называемой индексным дескриптором файла. Она содержит данные о типе файла, расположении на диске, размере в байтах, дате создания, последней модификации, обращению к файлу, привилегиях доступа и некоторую другую информацию. Индексные дескрипторы пронумерованы, хранятся в специальной области файловой системы и их номера является уникальными именами файлов.

А все дисковое пространство файловой системы UNIX делится на четыре области: (рис.3)

загрузочный блок, в котором хранится загрузчик операционной системы;

суперблок - содержит самую общую информацию о файловой системе: размер файловой системы, размер области индексных дескрипторов, число индексных дескрипторов, список свободных блоков и список свободных индексных дескрипторов, и другую административную информацию;

область индексных дескрипторов, порядок расположения индексных дескрипторов в которой соответствует их номерам;

область данных, в которой расположены обычные файлы и файлы-каталоги

Рис.3. Расположение файловой системы на диске

Доступ к файлу осуществляется путем последовательного просмотра всей цепочки каталогов, входящих в полное имя файла, и соответствующих им индексных дескрипторов. Отсюда и значительный минус файловой системы. Получив права на доступ к одному файлу, злоумышленник автоматически получает права прочитать все по пути всей цепочки каталогов. Однако доступ к любому файлу производится через его дескриптор (положительное целое число).

В UNIX для каждого процесса существует таблица всех портов, к которым он имеет доступ. Эта таблица хранится в ядре и пользователь не может получить к ней доступ. Процесс ссылается на порты, указывая номер их позиции в этой таблице, например, 1, 2 и так далее. Входы же таблицы содержат указатели на порты, определяют разрешенные над ними действия, и называются мандатами. Каждый процесс имеет только один список прав доступа. Права определяются по отношению к трем возможным операциям: получить, послать и послать один раз.

Страницы: 1, 2, 3, 4, 5, 6, 7, 8, 9

© 2003-2013
Рефераты бесплатно, курсовые, рефераты биология, большая бибилиотека рефератов, дипломы, научные работы, рефераты право, рефераты, рефераты скачать, рефераты литература, курсовые работы, реферат, доклады, рефераты медицина, рефераты на тему, сочинения, реферат бесплатно, рефераты авиация, рефераты психология, рефераты математика, рефераты кулинария, рефераты логистика, рефераты анатомия, рефераты маркетинг, рефераты релиния, рефераты социология, рефераты менеджемент.