Сетевые операционные системы

Размещено на http://www.allbest.ru/

Возникновение и развитие проблемы информационной безопасности в вычислительных сетях

Еще в конце 80-х ? начале 90-х годов такого понятия и научного направления, как сетевая безопасность, по сути, не существовало. В те годы только зарождалось направление, связанное с компьютерной безопасностью вообще (особенно это относится к России), поэтому в научных исследованиях, посвященных анализу угроз безопасности ВС, не проводилось разделения между угрозами, специфичными для распределенных и локальных вычислительных систем. В одном исследовании, проделанном отечественными авторами, была предложена систематизация информационных разрушающих воздействий на ВС и рассмотрены их основные типы, в том числе описывались и классифицировались воздействия, присущие только распределенным ВС. Такой обобщенный подход к систематизации является правомочным, но, к сожалению, он не позволяет точно охарактеризовать и классифицировать воздействия, присущие именно РВС. Это связано с тем, что распределенные вычислительные системы обладают серьезными отличиями от локальных ВС. Поэтому в последующих научных работах применялся подход к систематизации угроз, когда из всего множества А угроз

ВС (А = {ai | i=1..N}

где аi ? i-я угроза ВС) рассматривалось подмножество угроз В, присущих только распределенным

ВС (В = {bi | i=1..М}

где bi ? i-я угроза РВС). Соответственно для данного множества угроз В предлагалась своя классификация. Однако и такой подход к систематизации не был лишен недостатков, так как все угрозы из множества

В в зависимости от объекта, подвергающегося воздействию, можно разделить на следующие два подмножества:

· удаленные атаки на инфраструктуру (под инфраструктурой сети мы будем понимать сложившуюся систему организации отношений между объектами сети и используемые в сети сервисные службы) и протоколы сети (множество В1);

· удаленные атаки на телекоммуникационные службы или серверы предоставления удаленного сервиса (множество В2).

Первые используют уязвимости в сетевых протоколах и в инфраструктуре сети, а вторые ? уязвимости в телекоммуникационных службах ("дыры", программные закладки, программные ошибки).

Проведенный анализ причин успеха реальных воздействий (из множества В1) на различные распределенные вычислительные системы позволил выделить основные причины, по которым возможна реализация данных угроз:

· использование широковещательной среды передачи (например, Ethernet);

· применение нестойких алгоритмов идентификации удаленных субъектов и объектов РВС;

· использование протоколов динамического изменения маршрутизации с нестойкими алгоритмами идентификации;

· применение алгоритмов удаленного поиска с использованием широковещательных и направленных поисковых запросов;

· возможность анонимного захвата одним субъектом РВС множества физических или логических каналов связи.

Иными словами, возможный успех атак из множества В1 обусловлен наличием в распределенной системе одной (или нескольких) из вышеназванных причин. Систематизация основных причин успеха угроз безопасности РВС позволила ввести понятие типовой угрозы безопасности РВС (из множества В1), инвариантной к типу РВС, и создать систематизацию типовых угроз безопасности РВС из множества В1.

Сетевые операционные системы. Архитектура и классификация

Сетевая операционная система составляет основу любой вычислительной сети. Каждый компьютер в сети в значительной степени автономен, поэтому под сетевой операционной системой в широком смысле понимается совокупность операционных систем отдельных компьютеров, взаимодействующих с целью обмена сообщениями и разделения ресурсов по единым правилам ? протоколам. В узком смысле сетевая ОС ? это операционная система отдельного компьютера, обеспечивающая ему возможность работать в сети.

В сетевой операционной системе отдельной машины можно выделить несколько частей:

· Средства управления локальными ресурсами компьютера;

· Средства предоставления собственных ресурсов и услуг в общее пользование;

· Средства запроса доступа к удаленным ресурсам и услугам и их использования;

· Коммуникационные средства ОС, с помощью которых происходит обмен сообщениями в сети.

В зависимости от того, как распределены функции между компьютерами сети, сетевые операционные системы, а, следовательно, и сети делятся на два класса: одноранговые и двухранговые. Последние чаще называют сетями с выделенными серверами.

Если компьютер предоставляет свои ресурсы другим пользователям сети, то он играет роль сервера. При этом компьютер, обращающийся к ресурсам другой машины, является клиентом. Как уже было сказано, компьютер, работающий в сети, может выполнять функции либо клиента, либо сервера, либо совмещать обе эти функции.

В одноранговых сетях все компьютеры равны в правах доступа к ресурсам друг друга. Каждый пользователь может по своему желанию объявить какой-либо ресурс своего компьютера разделяемым, после чего другие пользователи могут его использовать. В таких сетях на всех компьютерах устанавливается одна и та же ОС.

Операционная система UNIX ? многопользовательская, многозадачная операционная система, способная функционировать на различных аппаратных платформах. В микроядро ОС UNIX встроен модуль, выполняющий протокол управления передачей/межсетевой протокол (протокол TCP/IP).

Операционная система Linux ? сетевая операционная система, ядро которой разработано на базе операционной системы Unix. Linux распространяется с открытыми исходными кодами и применяется для создания серверов в вычислительных сетях и в Интернете.

Сетевая операционная система NetWare ? разработанная корпорацией Novell сетевая операционная система, которая использует одноранговую архитектуру или архитектуру клиент-сервер.

Сетевая операционная система Windows NT ? разработанная корпорацией Microsoft сетевая, многозадачная операционная система, поддерживающая архитектуру клиент-сервер. ОС Windows NT существует в виде двух продуктов:

· Windows NT Server, выполняющий функции сервера;

· Windows NT Workstation, реализующий задачи клиента.

Одноранговые вычислительные сети и сети на основе технологии «клиет-сервер»

В зависимости от того, как распределены функции между компьютерами сети, сетевые операционные системы, а, следовательно, и сети делятся на два класса: одноранговые и двухранговые. Последние чаще называют сетями с выделенными серверами.

В одноранговых сетях все компьютеры равны в правах доступа к ресурсам друг друга. Каждый пользователь может по своему желанию объявить какой-либо ресурс своего компьютера разделяемым, после чего другие пользователи могут его эксплуатировать. В таких сетях на всех компьютерах устанавливается одна и та же ОС, которая предоставляет всем компьютерам в сети потенциально равные возможности. Одноранговые сети могут быть построены, например, на базе ОС LANtastic, Personal Ware, Windows for Workgroup, Windows NT Workstation.

В одноранговых сетях также может возникнуть функциональная несимметричность: одни пользователи не желают разделять свои ресурсы с другими, и в таком случае их компьютеры выполняют роль клиента, за другими компьютерами администратор закрепил только функции по организации совместного использования ресурсов, а значит они являются серверами, в третьем случае, когда локальный пользователь не возражает против использования его ресурсов и сам не исключает возможности обращения к другим компьютерам, ОС, устанавливаемая на его компьютере, должна включать и серверную, и клиентскую части. В отличие от сетей с выделенными серверами, в одноранговых сетях отсутствует специализация ОС в зависимости от преобладающей функциональной направленности ? клиента или сервера. Все вариации реализуются средствами конфигурирования одного и того же варианта ОС.

Если выполнение каких-либо серверных функций является основным назначением компьютера (например, предоставление файлов в общее пользование всем остальным пользователям сети или организация совместного использования факса, или предоставление всем пользователям сети возможности запуска на данном компьютере своих приложений), то такой компьютер называется выделенным сервером. В зависимости от того, какой ресурс сервера является разделяемым, он называется файл-сервером, факс-сервером, принт-сервером, сервером приложений и т.д.

Очевидно, что на выделенных серверах желательно устанавливать ОС, специально оптимизированные для выполнения тех или иных серверных функций. Поэтому в сетях с выделенными серверами чаще всего используются сетевые операционные системы, в состав которых входит нескольких вариантов ОС, отличающихся возможностями серверных частей. Например, сетевая ОС Novell NetWare имеет серверный вариант, оптимизированный для работы в качестве файл-сервера, а также варианты оболочек для рабочих станций с различными локальными ОС, причем эти оболочки выполняют исключительно функции клиента. Другим примером ОС, ориентированной на построение сети с выделенным сервером, является операционная система Windows NT. В отличие от NetWare, оба варианта данной сетевой ОС ? Windows NT Server (для выделенного сервера) и Windows NT Workstation (для рабочей станции) ? могут поддерживать функции и клиента и сервера. Но серверный вариант Windows NT имеет больше возможностей для предоставления ресурсов своего компьютера другим пользователям сети, так как может выполнять более широкий набор функций, поддерживает большее количество одновременных соединений с клиентами, реализует централизованное управление сетью, имеет более развитые средства защиты.

Корпоративные вычислительные сети. Отличия от локальных вычислительных сетей

Корпоративная вычислительная сеть - это многомашинная система одного предприятия, состоящая из взаимодействующих ЛВС подразделений.

Корпоративные сети относятся к так называемым распределенным сетям, или MAN (Metropoliten Area Net). По своей идеологии и назначению они близки к ЛВС, но отдельные ПК такой сети могут быть размещены на удаленном расстоянии и связываться специальными каналами связи.

Распределенные сети используются, например, для связи центральных офисов или банков со своими филиалами (в том числе в других странах) и т.д. Распределенная сеть, в которой организована специальная коммуникационная система обмена сообщениями (электронная почта, факс, совместная работа над документами), в терминологии фирмы Micro Soft называется корпоративной.

Однако, чаще всего под термином корпоративная сеть понимается объединение нескольких ЛВС, расположенных в различных структурных подразделениях одной фирмы, которые могут быть построены на различных технических, программных и информационных принципах.

Построение корпоративной вычислительной сети обеспечивает:

· реализацию доступа специалистов различных подразделений крупных предприятий к общим корпоративным информационным ресурсам;

· единое централизованное управление, администрирование и техническое обслуживание информационно - коммуникационных ресурсов;

· организацию единой системы электронной почты и электронного документооборота;

· эффективную защиту корпоративных информационных ресурсов от несанкционированного доступа;

· взаимодействие корпоративной сети крупных предприятий с бизнес системами других организаций, вычислительными сетями государственных учреждений, финансово - кредитных органов и т.д., участвующих в информационном обмене на правах абонентов телекоммуникационной корпоративной системы;

· функциональную наращиваемость, обеспечивающую построение корпоративной вычислительной сети, как постоянно развивающейся и совершенствующейся, открытой для внедрения новых аппаратно - программных ресурсов, позволяющих развивать и совершенствовать состав и качество информационно - коммуникационных услуг без нарушения нормального функционирования сети.

Удаленный доступ к корпоративной сети

Организация удаленного доступа к корпоративным информационным ресурсам, как правило, связана с использованием виртуальных частных сетей (Virtual Private Network - VPN) на основе протоколов IPSec и SSL.При использовании IPSec VPN у пользователя складывается ощущение, что он находится у себя на работе: он работает с теми же сетевыми программами, что и у себя в офисе, а в случае SSL VPN ему требуется web-браузер, через который и предоставляется доступ к системам компании.

В первом случае, как правило, сотруднику необходимо воспользоваться своим корпоративным ноутбуком и сетью, которая позволяет обращаться к портам VPN-шлюза, а во втором - найти лишь устройство с выходом в Интернет. Обе технологии больше дополняют друг друга, чем конкурируют, и во многих компаниях используются совместно.

С точки зрения информационной безопасности, появление сервиса удаленного доступа (вне зависимости от используемой VPN-технологии) влечет за собой возникновение новых рисков, которые нужно минимизировать внедрением как технических, так и организационных мер.

Рассмотрим наиболее распространенный сценарий атаки на корпоративные ресурсы посредством удаленного доступа.

Взлом VPN-шлюза внешним злоумышленником Данный сценарий применим для IPSec VPN и SSL VPN, так как всегда есть «дверь» в виде специального устройства/сервера, через которое удаленные пользователи попадают в корпоративную сеть. При реализации подобного сценария атака будет проходить по следующим этапам:

1) идентификация цели. Злоумышленнику необходимо определить сетевой адрес VPN-шлюза, через который удаленные пользователи входят в сеть.

2) определение используемого VPN-решения. Обнаружив VPN-шлюз, злоумышленник постарается определить версию используемого программного обеспечения и запущенные сетевые сервисы;

3) подбор паролей. Первое, что сделает злоумышленник, - проверит наличие учетных записей с паролями по умолчанию;

4) поиск и эксплуатация уязвимостей. На данном этапе злоумышленник, зная версию используемого ПО, попытается найти известные уязвимости и использовать их для получения доступа.

Аутентификация и идентификация в корпоративных сетях. Принцип «единой точки входа»

Аутентификация пользователей, подключающихся к серверу удаленного доступа под управлением Windows Server 2003, выполняется по следующему сценарию:

1. Клиент удаленного доступа инициирует процесс подключения к серверу удаленного доступа (например, набирает его телефонный номер).

2. Происходит физическое соединение (например, двух модемов).

3. Сервер отправляет запрос клиенту с требованием предоставить информацию о полномочиях подключающегося пользователя.

4. Клиент отправляет ответ серверу, в который включает запрашиваемую информацию. В зависимости от используемого протокола аутентификации, ответ пересылается по сети либо в открытом, либо в зашифрованном виде.

5. Сервер проверяет информацию, содержащуюся в ответе, обращаясь к каталогу Active Directory. В случае автономного сервера удаленного доступа для проверки полномочий пользователя используется локальная база данных учетных записей сервера.

6. Если учетная запись существует и не заблокирована, сервер принимает решение об установлении соединения в соответствии с политикой удаленного доступа и свойствами учетной записи пользователя для клиента удаленного доступа.

7. Если разрешена функция ответного вызова, сервер вызывает клиента и продолжает переговоры о соединении.

Процесс аутентификации предполагает проверку подлинности пользователя. Тем не менее, сам факт успешного прохождения процедуры аутентификации не означает, что пользователь автоматически получает доступ к корпоративной сети. После аутентификации удаленного пользователя и подключения клиента к корпоративной сети клиент удаленного доступа может обращаться только к тем сетевым ресурсам, для которых он имеет соответствующее разрешение. Клиенты удаленного доступа подчиняются общим принципам разграничения доступа Windows Server 2003 точно так же, как если бы они физически располагались в локальной сети. Другими словами, клиенты удаленного доступа не могут выполнять какие-либо действия, не имея достаточных на то полномочий, и не могут обращаться к ресурсам, для которых они не имеют соответствующих разрешений. Можно ограничить клиента удаленного доступа доступом только к общим ресурсам сервера удаленного доступа, а не к ресурсам всей сети, к которой подключен сервер удаленного доступа. Администратор может управлять тем, какая информация будет доступна клиентам удаленного доступа, и ограничивать доступ пользователей в случае нарушения защиты.

Принцип единой точки входа на примере web-приложения:

В современных web-приложениях принято использовать концепцию единой точки входа. Эта концепция сводится к тому, что все запросы к серверу приложения переадресовываются на один файл, который, исходя из параметров запроса, координирует дальнейшее поведение скрипта. Такой подход дает огромные преимущества, как на этапе создания, так и на этапе поддержки проекта, так как кардинально уменьшается избыточность кода, а для приложений, манипулирующих динамическим контентом, единая точка входа ? это единственное правильное решение.

Концепция единой точки входа в реализации сводится к тому, что необходимо указать web-серверу перенаправлять все поступающие к нему запросы к файлу, который будет нашей единственной точкой входа, пусть к примеру это будет файл index.php в корневой директории приложения. Для этих целей у web-сервера Apache есть директива RewriteRule, находящаяся в модуле mod_rewrite.

Безопасность служб и приложений корпоративной сети

КорпСеть - это инфраструктура организации, поддерживающая решение актуальных задач и обеспечивающая достижение ее целей (то есть выполнение миссии организации). Она объединяет в единое пространство информационные системы всех объектов предприятия.

Сетевые службы и неидеальны, они имеют ошибки и содержат уязвимости, которые, как правило, быстро исправляются разработчиками после обнаружения таковых. Для своевременного обнаружения уязвимостей необходимо использовать сканеры безопасности, которые позволяют проверить различные приложения в системе на предмет наличия «дыр», которыми могут воспользоваться злоумышленники. Также могут быть использованы низкоуровневые средства, такие как сканер портов, для выявления и анализа возможных приложений и протоколов, выполняющихся в системе.

Структурированные кабельные системы. Аспекты безопасности

Под структурированной кабельной системой (СКС) подразумевают специально спроектированную систему кабельной проводки внутри здания для организации коммуникационной сети масштаба предприятия, обеспечивающей передачу речи и данных.

Кабельные системы -- неотъемлемая часть всего комплекса средств, обеспечивающих деятельность любого предприятия. Поэтому и решение проблем безопасности неизбежно затрагивает процесс функционирования СКС. Здесь можно выделить два аспекта -- внутренней и внешней безопасности. В первом случае речь идет о защите СКС от влияния человеческого фактора, во втором -- о защите от несанкционированного доступа к информации, передаваемой по сети. Зачастую именно неквалифицированные или ошибочные действия персонала становятся причиной возникновения неполадок в кабельной системе, что может привести к сбою в сети и потере ее работоспособности. Как правило, подобное происходит в следующих случаях: 1.Неправильное ведение документации в процессе эксплуатации СКС. 2.Отсутствие документации изменений СКС. 3.Неправильные действия персонала при проведении коммутаций. 4.Неправильная организация кабельной проводки.

Коммуникационная комната с точки зрения доступа к информации одно из самых незащищенных мест СКС. В случае использования системы коммутационных шнуров для коммутации линий связи на коммутационных панелях злоумышленник может мгновенно изменить порядок соединений, либо подключить в разрыв устройство считывания/записи информации, т. е. легко разорвать соединение любого пользователя с сетью передачи данных и речи или перехватить и записать весь информационный обмен, оставаясь при этом незамеченным.

Управление и контроль над системой информационной безопасности предприятия

Под управлением системой ИБ понимается: управление политикой безопасности, конфигурацией объектов доступа, протоколирование, аудит, мониторинг. Главным средством контроля системы ИБ является аудит ИБ. Аудит - инструмент для получения оценки текущего уровня защищённости предприятия от угроз. Кроме того, результаты аудита являются основой для формирования стратегии развития системы обеспечения информационной безопасности организации. Однако, необходимо представлять, что аудит безопасности не является однократной процедурой, а должен проводиться на регулярной основе. Только в этом случае аудит будет приносить реальную отдачу и способствовать повышению уровня информационной безопасности компании. В общем случае аудит состоит из четырёх основных этапов, каждый из которых предусматривает выполнение определённого круга задач: 1.разраб регламента, 2.сбор данных, 3.анализ полученных данных, с целью оценки ур-я ЗИ, 4.разрабрекомендаций по повышению ур-ня защ.

Необходимым средством для получения данных об уязвимостях АС являются сканеры безопасности - это программные или аппаратные средства, служащие для осуществления диагностики и мониторинга сетевых компьютеров, позволяющее сканировать сети, компьютеры и приложения на предмет обнаружения возможных проблем в системе безопасности, оценивать и устранять уязвимости. Сканеры позволяют проверить различные приложения в системе на предмет наличия «дыр», которыми могут воспользоваться злоумышленники. Также могут быть использованы низкоуровневые средства, такие как сканер портов, для выявления и анализа возможных приложений и протоколов, выполняющихся в системе.

Развитие городских вычислительных сетей. Проблема информационной безопасности городских вычислительных сетей

Городская вычислительная сеть -- объединяет компьютеры в пределах города, представляет собой сеть по размерам меньшую чем ГВС, но большую, чем ЛВС.

Они предназначены для связи локальных сетей в масштабах города и соединения локальных сетей с глобальными. Эти сети первоначально были разработаны для передачи данных, но сейчас они поддерживают и такие услуги, как видеоконференции и интегральную передачу голоса и текста. Они имеют широкий канал связи и используются не одной, а множеством организаций и частных пользователей. Обычно принадлежат провайдеру.

Одной из главных проблем в безопасности является неконтролируемый трафик, связанный с широким каналом связи, который может привести к DDOS атакам.

Другой проблемой являются атаки на канальный уровень; взломав сеть на канальном уровне, атакующий может перешагнуть через средства защиты на более высоких уровнях.

Атаки на канальный уровень: MAC-flooding (переполнение таблицы коммутатора), атаки на STP (отправка сообщений BPDU для изменения текущей топологии STP)

Защиту информации в ГорВС можно разделить на два уровня: защита оборудования оператора (Функции коммутаторов для обеспечения безопасности работы сети на канальном уровне - Port security -- функция коммутатора, позволяющая указать MAC-адреса хостов, которым разрешено передавать данные через порт; DHCP snooping -- защита от атаки с подменой DHCP-сервера в сети или атаки DHCP starvation, которая заставляет DHCP-сервер выдать все существующие на сервере адреса злоумышленнику) и защита клиента (использование протокола динамической конфигурации узла DHCP).

Беспроводные сети передачи данных. Безопасность в беспроводных сетях

Беспроводные сети передачи данных - это системы, позволяющие организовать передачу информации без использования кабельной проводки. В качестве среды передачи в таких сетях, обычно, выступают радиоволны.

Основными уязвимостями беспроводных сетей являются:

ѕ Неавторизованный доступ к беспроводной сети -- при отсутствии соответствующей защиты злоумышленнику, имеющему ноутбук с беспроводным адаптером, достаточно попасть в радиус действия АР для подключения к сети организации.

ѕ Прослушивание беспроводной сети (sniffing) -- при отсутствии шифрования, передаваемая с помощью радиосигналов информация может быть легко перехвачена.

Безопасность беспроводных сетей обеспечивается за счет шифрования передаваемых данных, а также за счет аутентификации клиента и контроля доступа к сети.

WEP -- алгоритм для обеспечения безопасности беспроводных сетей, использует алгоритм симметричного шифрования RC4. В настоящее время WEP не может рассматриваться как достаточная защита, в связи с имеющимся в нем ошибками, делающими его уязвимым для различных атак. Протокол шифрования WPA: Более стойкий чем WEP , хотя используется тот же алгоритм RC4. Более высокий уровень безопасности достигается за счет использования протоколов TKIP и MIC. Протокол WPA2 - В отличие от WPA, используется более стойкий алгоритм шифрования AES.

Аутентификация обеспечивается протоколом EAP, например в WPA2 с использованием пароля (PEAP-EAP-MSCHAPv2) или цифровых сертификатов (EAP-TLS).

Глобальные вычислительные сети. Сети международного обмена информацией

ГВС - это компьютерные сети, объединяющие локальные сети и отдельные компьютеры, удаленные друг от друга на большие расстояния. Самая известная и популярная глобальная сеть - это Интернет. Кроме того, к глобальным вычислительным сетям относятся: всемирная некоммерческая сеть FidoNet, CREN, EARNet, EUNet. Из-за большой протяженности каналов связи построение требует очень больших затрат, поэтому глобальные сети чаще всего создаются крупными телекоммуникационными компаниями для оказания платных услуг абонентам.ГВС - децентрализованная система основанная на крупных узлах (операторах связи), взаимодействие между которыми обеспечивается на основе протоколов динамической маршрутизации (OSPF).Трафик глобальных сетей ничем не контролируется, фильтруют уже пограничные маршрутизаторы. Основная проблема безопасности - это обеспечивание функционирования самой глобальной сети.

сервер аутентификация идентификация

Основные протоколы глобальных вычислительных сетей

Основными используемыми протоколами являются IP, TCP, UDP, Ethernet, ARP

Протокол IP (сетевой уровень) используется для негарантированной доставки данных, разделяемых на так называемые пакеты от одного узла сети к другому. Это означает, что не даётся гарантий надёжной доставки пакета до адресата. пакеты могут прийти не в том порядке, продублироваться), оказаться повреждёнными или не прибыть вовсе.

UDP это транспортный протокол для передачи данных в сетях IP без установления соединения. В отличие от TCP, UDP не подтверждает доставку данных, не заботится о корректном порядке доставки и не делает повторов. Зато отсутствие соединения, дополнительного трафика и возможность широковещательных рассылок делают его удобным для применений, где малы потери, в массовых рассылках локальной подсети, в медиапротоколах и т.п.

TCP -- это транспортный механизм, предоставляющий поток данных, с предварительной установкой соединения, за счёт этого дающий уверенность в достоверности получаемых данных, осуществляет повторный запрос данных в случае потери данных и устраняет дублирование при получении двух копий одного пакета. В отличие от UDP гарантирует целостность передаваемых данных и уведомление отправителя о результатах передачи.

Ethernet -- пакетная технология передачи данных преимущественно локальных компьютерных сетей.Стандарты Ethernet определяют проводные соединения и электрические сигналы на физическом уровне, формат кадров и протоколы управления доступом к среде -- на канальном уровне модели OSI. Ethernet в основном описывается стандартами IEEE группы 802.3. Ethernet стал самой распространённой технологией ЛВС в середине 90-х годов прошлого века, вытеснив такие устаревшие технологии, как Arcnet, FDDI и Token ring.

ARP использующийся в компьютерных сетях протокол низкого уровня, предназначенный для определения адреса канального уровня по известному адресу сетевого уровня.

Безопасность основных протоколов IPv4 и IPv6

Протокол IP используется для негарантированной доставки данных, разделяемых на так называемые пакеты от одного узла сети к другому. Это означает, что на уровне этого протокола (третий уровень сетевой модели OSI) не даётся гарантий надёжной доставки пакета до адресата. В частности, пакеты могут прийти не в том порядке, в котором были отправлены, оказаться повреждёнными или не прибыть вовсе. Гарантию безошибочной доставки пакетов дают протоколы более высокого уровня (транспортного уровня) сетевой модели OSI -- например, TCP -- которые используют IP в качестве транспорта.

В современной сети Интернет используется IP четвёртой версии, также известный как IPv4. В протоколе IP этой версии каждому узлу сети ставится в соответствие IP-адрес длиной 4 октета (4 байта). При этом компьютеры в подсетях объединяются общими начальными битами адреса. Количество этих бит, общее для данной подсети, называется маской подсети

в IPv4 отсутствуют некоторые механизмы, необходимые по современным меркам. Это механизмы информационной безопасности и средства поддержки классов обслуживания. Отсутствуют методы шифрования данных, которые сейчас на практике очень пригождаются. А такие средства должны быть реализованы именно на сетевом уровне, чтобы не напрягать этим приложения. Обеспечить поддержку классов обслуживания должны опять же маршрутизаторы, связывающие системы, чтобы эта задача не вылезала на уровень приложения, что приведёт опять же к усложнению и нестабильности работы.,

IPSec (сокращение от IP Security) -- набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов.

Протокол IPSEC. Специфика реализации в транспортном режиме

IPSec (сокращение от IP Security) -- набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет. В основном, применяется для организации vpn-соединений.

Режим транспорта

Режим транспорта применяется для связи между сторонами подключения (например, для связи клиента и сервера) и является режимом по умолчанию для IPSec. В режиме транспорта зашифровываются только полезные данные IP. Режим транспорта обеспечивает защиту полезных данных IP с помощью заголовков AH или ESP. Типичными полезными данными IP являются TCP-сегменты (содержащие заголовок TCP и данные TCP-сегмента), сообщение UDP (содержащее заголовок UDP и данные сообщения UDP) и сообщение ICMP (содержащее заголовок ICMP и данные сообщения ICMP).

Режим транспорта AH

AH (Authentication Header -- заголовок проверки подлинности) обеспечивает проверку подлинности, целостность и защиту от повторов для всего пакета (заголовка IP и полезных данных). Конфиденциальность при этом не обеспечивается, то есть данные не шифруются. Данные доступны для чтения, но защищены от изменения. Для подписания пакетов AH использует алгоритмы хеширования с ключами.

Режим транспорта ESP

ESP (Encapsulating Security Payload) обеспечивает конфиденциальность полезных данных IP (в дополнение к проверке подлинности, целостности и защите от повторов). ESP в режиме транспорта не подписывает весь пакет. Обеспечивается защита только полезных данных IP, но не заголовка IP. ESP может использоваться отдельно или в сочетании с AH.

Протокол IPSEC. Специфика реализации в туннельном режиме

IPSec (сокращение от IP Security) -- набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет. В основном, применяется для организации vpn-соединений.

Туннельный режим

При использовании туннельного режима IPSec зашифровывает заголовок IP и полезные данные, тогда как в режиме транспорта зашифровываются только полезные данные IP. Туннельный режим обеспечивает защиту всего пакета IP, рассматривая его как полезные данные AH или ESP. При использовании туннельного режима весь пакет IP инкапсулируется в заголовок AH или ESP и в дополнительный заголовок IP. IP-адреса внешнего заголовка IP указывают конечные точки туннеля, а IP-адреса инкапсулированного заголовка IP указывают исходную точку и точку назначения пакета.

Туннельный режим IPSEC полезен для защиты трафика между различными сетями в случае, когда трафик проходит через промежуточную сеть, не имеющую доверительных отношений. Однако туннельный режим используется главным образом для обеспечения взаимодействия со шлюзами или конечными системами, которые не поддерживают туннелирование L2TP/IPSec или PPTP. Используются следующие конфигурации туннельного режима:

· шлюз -- шлюз;

· сервер -- шлюз;

· сервер -- сервер.

Туннельный режим AH

Как показано на следующей иллюстрации, туннельный режим AH инкапсулирует пакет IP в заголовки AH и IP и подписывает весь пакет для проверки целостности и подлинности.

Туннельный режим ESP

Как показано на следующей иллюстрации, туннельный режим ESP инкапсулирует пакет IP в заголовки ESP и IP и в трейлер проверки подлинности ESP.



Протокол SSL

SSL (англ. Secure Sockets Layer -- уровень защищённых сокетов) -- криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером. SSL изначально разработан компанией Netscape Communications. Впоследствии на основании протокола SSL 3.0 был разработан и принят стандарт RFC, получивший имя TLS.

Протокол обеспечивает конфиденциальность обмена данными между клиентом и сервером, использующими TCP/IP, причём для шифрования используется асимметричный алгоритм с открытым ключом. При шифровании с открытым ключом используются два ключа, причем любой из них может использоваться для шифрования сообщения. Тем самым, если используется один ключ для шифрования, то соответственно для расшифровки нужно использовать другой ключ. В такой ситуации можно получать защищённые сообщения, публикуя открытый ключ, и храня в тайне секретный ключ.

Протокол SSL состоит из двух подпротоколов: протокол SSL записи и рукопожатия. Протокол SSL записи определяет формат, используемый для передачи данных. Протокол SSL включает рукопожатие с использованием протокола SSL записи для обмена сериями сообщений между сервером и клиентом во время установления первого соединения. Для работы SSL требуется, чтобы на сервере имелся SSL-сертификат.

SSL предоставляет канал, имеющий 3 основных свойства:

§ Аутентификация. Сервер всегда аутентифицируется, в то время как клиент аутентифицируется в зависимости от алгоритма.

§ Целостность. Обмен сообщениями включает в себя проверку целостности.

§ Частность канала. Шифрование используется после установления соединения и используется для всех последующих сообщений.

Значительное использование протокола SSL привело к формированию протокола HTTPS (Hypertext Transfer Protocol Secure), поддерживающего шифрование. Данные, которые передаются по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивая защиту этих данных. Такой способ защиты широко используется в мире Веб для приложений, в которых важна безопасность соединения, например в платёжных системах. HTTPS поддерживается всеми браузерами. В отличие от HTTP, для HTTPS по умолчанию используется TCP-порт 443.

Изначально виртуальные частные сети (VPN) на основе SSL разрабатывались как дополнительная и альтернативная технология удалённого доступа на основе IPsec VPN. Однако, такие факторы, как достаточная надёжность и дешевизна сделали эту технологию привлекательной для организации VPN. Также SSL получил широкое применение в электронной почте.

Безопасность протоколов управления и диагностики

SNMP (англ. Simple Network Management Protocol -- простой протокол управления сетями) -- это протокол управления сетями связи на основе архитектуры UDP. Устройства, которые обычно поддерживают SNMP это роутеры, свитчи, серверы, рабочие станции, принтеры, модемы и т.д. SNMP является компонентом стека протоколов TCP/IP, как это определено Инженерным советом Интернет (Internet Engineering Task Force, IETF) Он состоит из набора стандартов сетевого управления, включая протокол передачи данных прикладного уровня, схему базы данных и набораобъектов.

Рассмотрим, как учитываются в SNMP основные элементы информационной безопасности:

§ Конфиденциальность

§ Целостность

§ Доступность

§ Контролируемость

Требования и угрозы безопасности

Угрозами безопасности, против которых должна предоставлять защиту любая модель безопасности SNMP, являются:

§ Первичные угрозы

§ Модификация информации

§ Маскарад

§ Вторичные угрозы

§ Модификация потока сообщений

§ Разглашение

Безопасность протоколов маршрутизации

Протокол маршрутизации -- сетевой протокол, используемый маршрутизаторами для определения возможных маршрутов следования данных в составной компьютерной сети. Применение протокола маршрутизации позволяет избежать ручного ввода всех допустимых маршрутов, что, в свою очередь, снижает количество ошибок, обеспечивает согласованность действий всех маршрутизаторов в сети и облегчает труд администраторов.

Протоколы маршрутизации делятся на два вида в зависимости от сферы применения:

§ Междоменной маршрутизации; (EGP;BGP;)

§ Внутридоменной маршрутизации. (RIP; OSPF;)

BGP (англ. Border Gateway Protocol, протокол граничного шлюза) -- основной протокол динамической маршрутизации в Интернете.

BGP, в отличие от других протоколов динамической маршрутизации, предназначен для обмена информацией о маршрутах не между отдельными маршрутизаторами, а между целыми автономными системами, и поэтому, помимо информации о маршрутах в сети, переносит также информацию о маршрутах на автономные системы. Протокол IGRP (англ. Interior Gateway Routing Protocol) -- протокол маршрутизации, разработанный фирмой Cisco, для своих многопротокольных маршрутизаторов в середине 80-х годов для маршрутизации в пределах автономной системы (AS), имеющей сложную топологию и разные характеристики полосы пропускания и задержки. IGRP является протоколом внутренних роутеров (IGP) с вектором расстояния.

RIP (сетевой протокол) . Протокол маршрутной информации (англ. Routing Information Protocol) -- один из самых простых протоколов маршрутизации. Применяется в небольших компьютерных сетях, позволяет маршрутизаторам динамически обновлять маршрутную информацию (направление и дальность в хопах), получая ее от соседних маршрутизаторов.

Аутентификация

При включенной аутентификации производится обработка только тех сообщений, которые содержат правильный аутентификационный код. Это используется для повышения безопасности передачи RIP пакетов. Есть возможность шифровать аутентификационный код с помощью MD5.

OSPF (англ. Open Shortest Path First) -- протокол динамической маршрутизации, основанный на технологии отслеживания состояния канала (link-state technology) и использующий для нахождения кратчайшего пути Алгоритм Дейкстры (Dijkstra's algorithm).

Считается, что благодаря использованию алгоритма Дейкстры специфического критерия качества распределения входного потока информации, он абсолютно не защищает IP-сеть от перегрузок, что требует реализации дополнительных методов по снижению вероятности перегрузки. Например, предлагается использовать в критерии распределения остаточную пропускную способностьканала.[1]

В то же время, к положительным качествам протокола можно отнести относительную простоту практической реализации алгоритма.



Безопасность службы доменных имен Интернета

DNS (англ. Domain Name System -- система доменных имён) -- компьютернаяраспределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись).

Распределённая база данных DNS поддерживается с помощью иерархии DNS-серверов, взаимодействующих по определённому протоколу.

Основой DNS является представление об иерархической структуре доменного имени изонах. Каждый сервер, отвечающий за имя, может делегировать ответственность за дальнейшую часть домена другому серверу (с административной точки зрения -- другой организации или человеку), что позволяет возложить ответственность за актуальность информации на серверы различных организаций (людей), отвечающих только за «свою» часть доменного имени. Начиная с 2010 года, в систему DNS внедряются средства проверки целостности передаваемых данных, называемые DNS Security Extensions (DNSSEC). Передаваемые данные не шифруются, но их достоверность проверяется криптографическими способами.

Корректное функционирование DNS является критически важным для сети предприятия, подсоединенной к Интернету, и для Интернета в целом. Действительно, если злоумышленнику удастся сделать так, чтобы атакуемый хост получил из DNS сфальсифицированную информацию, то хост будет отправлять данные на подложный IP-адрес. В лучшем случае результатом будет отказ в обслуживании, в худшем -- злоумышленник получит возможность перехвата трафика со всеми вытекающими последствиями. Например, злоумышленник подменил данные об IP-адресе WWW-сайта банка www.goodbank.com на адрес подконтрольного злоумышленнику хоста и создал на этом хосте веб-страницу, имитирующую сайт банка.

Размещено на Allbest.ru