Научная литература
booksshare.net -> Добавить материал -> Электротехника -> Мельников В.П. -> "Информационная безопасность и защита информации" -> 115

Информационная безопасность и защита информации - Мельников В.П.

Мельников В.П. Информационная безопасность и защита информации: Учебное пособие для вузов — М.: Академия, 2008. — 336 c.
ISBN 978-5-7695-4884-0
Скачать (прямая ссылка): infbezopas2008.djvu
Предыдущая << 1 .. 109 110 111 112 113 114 < 115 > 116 117 118 119 120 121 .. 143 >> Следующая

Существенно повышает эффективность контроля наличие регистрационного идентификатора пользователя (LUID). После прохождения пользователем процедур идентификации и аутентификации, т.е. непосредственного входа в систему, каждому процессу, создаваемому пользователем, присваивается регистрационный идентификатор пользователя. Данный идентификатор сохраняется несмотря на переходы от одного пользовательского бюджета к другому с помощью команд типа su. Каждая контрольная запись, генерируемая системой контроля, содержит для каждого процесса регистрационный идентификатор наряду с эффективным и реальным идентификаторами пользователя и группы. Таким образом, оказывается возможным учет действий пользователя.
Рассмотрим реализацию механизма контроля для ядра. Данный механизм генерирует контрольные записи исходя из деятельности пользовательских процессов с помощью системных вызовов ядра. Каждый системный вызов ядра содержит строку в таблице, где указывается его связь с вопросами защиты информации и какому типу события он соответствует. Кроме того, используется таблица кодов ошибок, позволяющая классифицировать системные вызовы на конкретные события, связанные с защитой информации.
Например, системный вызов open классифицируется как событие «Сделать объект доступным». Если пользователь выполняет системный вызов open для файла /unix и данный системный вызов завершается успешно, то генерируется контрольная запись об этом событии. Однако если системный вызов open заканчивается неудачно в силу того, что пользователь запросил в системном вызове доступ на запись файла /unix, не имея разрешения, то это действие классифицируется как событие «Отказ доступа» для дан-
270
ного пользователя и объекта /unix. Следовательно, системный вызов можно отобразить в несколько типов событий в зависимости от объекта, к которому осуществляется доступ, и (или) результата вызова.
Однако следует иметь в виду, что при включении всех событий контроля и активной работе пользователей объем записываемой информации может достигать нескольких мегабайт на одного пользователя в час.
При построении защиты процессов переработки информации на уровне сети существуют свои особенности. Во-первых, в силу возможности перехвата пакетов и передачи отдельными видами сервисов паролей в открытом виде существует необходимость дополнительной аутентификации пользователей. Во-вторых, возникает необходимость аутентификации удаленных машин. В-третьих, необходимы дополнительные средства контроля (auditing) за событиями, которые возникают при работе на сетевом уровне.
Необходимо констатировать, что на сетевом уровне Linux не обладает столь мощными стандартными средствами защиты, как на системном. Поэтому, учитывая условия неоднородности сетевого окружения как на физическом, так и на системном уровнях, для успешной защиты UNIX-систем при работе в сети, как правило, требуются дополнительные средства защиты.
Данный раздел посвящен описанию стандартных средств и методов, с помощью которых можно повысить безопасность UNIX-систем при работе в сети и реализации различных функций: использования протоколов TCP/IP, сетевой файловой системы NFS, FTP и т.д.
Основным недостатком семейства протоколов TCP/IP с точки зрения защиты информации является открытость информации, передаваемой по сети, т.е. сетевого графика.
Анализ сетевого графика достигается путем перехвата и анализа пакетов обмена на канальном уровне. Это позволяет, во-первых, проанализировать работу ОС по сети; во-вторых, производить несанкционированный доступ к информации, передаваемой по сети.
Например, анализ сетевого графика позволяет получить пароли пользователей при их работе с FTP или telnet. При этом telnet пересылает пароль по одному символу в пакете, a FTP — в одном пакете целый пароль.
Недостатки, связанные с перехватом паролей по сети при удаленном доступе, в настоящее время вполне успешно решаются. Почти все производители UNIX-систем переработали серверные (иногда и клиентские) программы удаленного доступа. Принцип доработки заключается в том, что на каждый сеанс связи устанавливается разовый пароль. Различных реализаций этой идеи в настоящий момент достаточно много.
271
Однако, закрыв или обезопасив тем или иным способом перехват паролей, единственной возможностью избавиться от перехвата всей остальной информации, передаваемой по сети, является шифрование трафика.
Приведем еще несколько известных недостатков в реализации защиты семейства протоколов TCP/IP.
Общеизвестно, что проблема назначения IP-адресов весьма серьезна. Если установить систему автоматического назначения IP-адресов, то появится большое количество сложностей при функционировании различных видов сервиса, связанных с ІР-адресом (например, NFS). Кроме того, упростятся попытки создания ложных серверов и рабочих станций. Если назначать IP-адреса вручную, что более предпочтительно при построении защищенных систем, то возможны ошибки администрирования. При этом, как показали исследования, готовых средств выявления машин с одинаковыми или неправильными IP-адресами не существует, а функционирование машин с одинаковыми IP-адресами в сети непредсказуемо. Особенно данный факт будет критичен при построении на платформе Linux средств фильтрации или шифрования сетевого графика (межсетевых экранов).
Предыдущая << 1 .. 109 110 111 112 113 114 < 115 > 116 117 118 119 120 121 .. 143 >> Следующая

Реклама

c1c0fc952cf0704ad12d6af2ad3bf47e03017fed

Есть, чем поделиться? Отправьте
материал
нам
Авторские права © 2009 BooksShare.
Все права защищены.
Rambler's Top100

c1c0fc952cf0704ad12d6af2ad3bf47e03017fed