Інформаційна безпека в Intranet

У Web-серверах об'єктами доступу виступають універсальні локатори ресурсів (URL - Uniform (Universal) Resource Locator). За цими локаторами можуть стояти різні сутності - HTML-файли, CGI-процедури і т.п.

Як правило, суб'єкти доступу ідентифікуються по IP-адресах і/чи іменам комп'ютерів і областей керування. Крім того, може використовуватися парольна аутентифікації чи користувачів більш складні схеми, засновані на криптографічних технологіях.

У більшості Web-серверів права розмежовуються з точністю до каталогів (директорій) із застосуванням довільного керування доступом. Можуть надаватися права на читання HTML-файлів, виконання CGI-процедур і т.д.

Для раннього виявлення спроб нелегального проникнення в Web-сервер важливий регулярний аналіз реєстраційної інформації.

Зрозуміло, захист системи, на якій функціонує Web-сервер, повинна випливати універсальним рекомендаціям, головної з який є максимальне спрощення. Усі непотрібні сервіси, файли, пристрої повинні бути вилучені. Число користувачів, що мають прямий доступ до сервера, повинне бути зведене до мінімуму, а їхні привілеї - упорядковані у відповідності зі службовими обов'язками.

Ще один загальний принцип полягає в тому, щоб мінімізувати обсяг інформації про сервер, що можуть одержати користувачі. Багато серверів у випадку звертання по імені каталогу і відсутності файлу index.HTML у ньому, видають HTML-варіант змісту каталогу. У цьому змісті можуть зустрітися імена файлів з вихідними текстами чи CGI-процедур з іншою конфіденційною інформацією. Такого роду “додаткові можливості” доцільно відключати, оскільки зайве знання (зловмисника) множить суму (власника сервера).

АУТЕНТИФіКАЦіЯ У ВІДКРИТИХ МЕРЕЖАХ

Методи, застосовувані у відкритих мережах для підтвердження і перевірки дійсності суб'єктів, повинні бути стійкі до пасивного й активного прослуховування мережі. Суть їх зводиться до наступного.

• Суб'єкт демонструє знання секретного ключа, при цьому ключ або взагалі не передається по мережі, або передається в зашифрованому виді.

• Суб'єкт демонструє володіння програмним чи апаратним засобом генерації одноразових чи паролів засобом, що працює в режимі “запит-відповідь”. Неважко помітити, що перехоплення і наступне відтворення одноразового чи пароля відповіді на запит нічого не дає зловмиснику.

• Суб'єкт демонструє дійсність свого місця розташування, при цьому використовується система навігаційних супутників.

ВІРТУАЛЬНІ ПРИВАТНІ МЕРЕЖІОднієї з найважливіших задач є захист потоків корпоративних даних, переданих по відкритих мережах. Відкриті канали можуть бути надійно захищенні одним методом - криптографічним.

Відзначимо, що так називані виділені лінії не мають особливі переваги перед лініями загального користування в плані інформаційної безпеки. Виділені лінії хоча б частково будуть розташовуватися в неконтрольованій зоні, де їх можуть чи зашкодити здійснити до них несанкціоноване підключення. Єдине реальне достоїнство - це гарантована пропускна здатність виділених ліній, а зовсім не якась підвищена захищеність. Утім, сучасні оптоволоконні канали здатні задовольнити потреби багатьох абонентів, тому і зазначене достоїнство не завжди убране в реальну форму.

Цікаво згадати, що в мирний час 95% трафіка Міністерства оборони США передається через мережі загального користування (зокрема через Internet). У воєнний час ця частка повинна складати “лише” 70%. Можна припустити, що Пентагон - не сама бідна організація. Американські військові покладаються на мережі загального користування тому, що розвивати власну інфраструктуру в умовах швидких технологічних змін - заняття дуже дороге і безперспективне, виправдане навіть для критично важливих національних організацій тільки у виняткових випадках.

Представляється природним покласти на міжмережевий екран задачу шифрування і дешифрування корпоративного трафіка на шляху в зовнішню мережу і з її. Щоб таке шифрування/дешифрування стало можливим, повинне відбутися початковий розподіл ключів. Сучасні криптографічні технології пропонують для цього цілий ряд методів.