Техническая защита информации в локальных и глобальных сетях


Современные методы обработки информации предполагают как совместную работу с ней, так и обмен информацией в локальных сетях организации и глобальных сетях, в том числе в сетях международного обмена. Техническая защита информации в локальных и глобальных сетях представляет собой принятие технических мер, направленных на борьбу с угрозами:

Основными методами защиты информации являются:

  1. Криптографическая защита информации.
  2. Межсетевое экранирование
  3. Защита от компьютерных вирусов.
  4. Управление доступом.
  5. Средства активного аудита сетей.
  6. Оперативная установка исправлений для прикладных, служебных программ и операционных систем.

Криптографические способы и средства защиты информации


Основными криптографическими способами защиты информации в сетях являются:


Шифрование с помощью защищённых протоколов


Область криптографической защиты информации попадает под действие регулирования ФСБ России. Нормативными документами ФСБ по криптозащите являются:

Согласно ГОСТ 28147-89, шифрование - это процесс зашифрования или расшифрования. Ключ шифрования - секретная информация, используемая криптографическим алгоритмом при шифровании/расшифровке сообщений, постановке и проверке цифровой подписи, вычислении кодов аутентичности. Криптографические ключи различаются согласно алгоритмам, в которых они используются.

  1. Симметричное шифрование: для зашифрования и расшифрования используется один и тот же ключ. С одной стороны, это обеспечивает более высокую конфиденциальность сообщений, с другой стороны, создаёт проблемы распространения ключей в системах с большим количеством пользователей.
  2. Считается, что к достоинствам симметричного шифрования относится простота его реализации и более высокая скорость работы. К недостаткам относится проблемы с обеспечением безопасности пароля, а также с безопасным методом его распространения и оповещением на случай компрометации пароля.

  3. Асимметричное шифрование: для зашифрования используется один ключ (открытый), а для расшифрования другой (закрытый, секретный). Данный вид шифрования также называют шифрованием с открытым ключом.

Закрытый ключ - ключ, известный только своему владельцу. Только сохранение пользователем в тайне своего закрытого ключа гарантирует невозможность подделки злоумышленником документа и цифровой подписи от имени заверяющего.

Открытый ключ - ключ, который может быть опубликован и используется для проверки подлинности подписанного документа, а также для предупреждения мошенничества со стороны заверяющего лица в виде отказа его от подписи документа. Открытый ключ подписи вычисляется, как значение некоторой функции от закрытого ключа, но знание открытого ключа не дает возможности определить закрытый ключ.

Асимметричное шифрование позволяет распространять ключ по сети, так как без второго ключа невозможно получить исходное сообщение. На этом принципе основан протокол SSL, который позволяет легко установить безопасное соединение с пользователями в силу того, что закрытый ключ (пароль) хранится только на стороне сервера.


Схема использования симметричного метода:



Асимметричный метод:



Cредство криптозащиты информации КриптоПро CSP


Рассмотрим средство криптозащиты информации КриптоПро CSP. Криптопровайдер КриптоПро CSP предназначен для:



Функции защиты информации КриптоПро CSP:

Термины, принятые в Криптопро CSP:


Аутентификация с использованием электронной подписи


Виды электронных подписей (статья 5 ФЗ №63 «Об электронной подписи»):

  1. Простая электронная подпись - посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.
  2. Неквалифицированная электронная подпись:
  3. 2.1. Получена в результате криптографического преобразования информации с использованием ключа электронной подписи;

    2.2. Позволяет определить лицо, подписавшее электронный документ;

    2.3. Позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;

    2.4. Создается с использованием средств электронной подписи.

  4. Квалифицированная электронная подпись кроме того должна иметь дополнительные признаки:
  5. 3.1. Ключ проверки электронной подписи указан в квалифицированном сертификате;

    3.2. Для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.

При использовании неквалифицированной электронной подписи сертификат ключа проверки электронной подписи может не создаваться.


Схема использования усиленной электронной подписи:



Здесь также есть пара из открытого и секретного ключа. От документа подсчитывается хеш-функция, посредством криптографических преобразований вычисляется сама электронная подпись. В отличие от асимметричного шифрования, подпись основана на закрытом ключе, а проверяется с помощью открытого ключа. Электронная подпись предоставляется вместе с исходным документом на проверку. По результатам проверки можно доказать, что документ с момента вычисления подписи не был изменен.

Процедура формирования и проверки усиленной электронной подписи:

Для формирования цифровой подписи отправитель, прежде всего, вычисляет значение хэш-функции подписываемого документа. Хэш-функция служит для сжатия исходного подписываемого текста в дайджест - относительно короткое число, состоящее из фиксированного небольшого числа битов и характеризующее весь текст в целом. Далее отправитель шифрует дайджест своим секретным ключом. Получаемая при этом пара чисел представляет собой цифровую подпись для данного документа. Сообщение вместе с цифровой подписью отправляется в адрес получателя.

При проверке ЭЦП абонент - получатель сообщения - расшифровывает принятый дайджест открытым ключом отправителя. Кроме того, получатель сам вычисляет с помощью хэш-функции дайджест принятого сообщения и сравнивает его с расшифрованным. Если эти два дайджеста совпадают, то цифровая подпись является подлинной. В противном случае либо подпись подделана, либо изменено содержание сообщения.

Принципиальным моментом в системе ЭЦП является невозможность подделки ЭЦП пользователя без знания его секретного ключа подписывания. Поэтому необходимо защитить секретный ключ подписывания от несанкционированного доступа. Секретный ключ ЭЦП, аналогично ключу симметричного шифрования, рекомендуется хранить на персональном ключевом носителе в защищенном виде.

Электронная цифровая подпись представляет собой уникальное число, зависящее от подписываемого документа и секретного ключа абонента. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.

Помещаемая в подписываемый файл (или в отдельный файл электронной подписи) структура ЭЦП обычно содержит дополнительную информацию, однозначно идентифицирующую автора подписанного документа. Эта информация добавляется к документу до вычисления ЭЦП, что обеспечивает и ее целостность.


Защищённый почтовый клиент DiPostCA


Программа DiPostCA содержит криптографическую систему, обеспечивающую:

Для участия в обмене конфиденциальной информацией каждый участник обмена должен иметь, во-первых, свой закрытый ключ и свой сертификат ключа и, во-вторых, - сертификаты ключей всех остальных участников обмена. Кроме того, каждый из участников обмена должен иметь сертификаты и списки отозванных сертификатов всех необходимых удостоверяющих центров.

Закрытый ключ (и необходимая для его использования информация) размещается на ключевом носителе в т.н. «контейнере» («контейнере закрытого ключа») – файл с расширением .pvt.

Для генерации закрытых ключей требуется программа Модуль генерации ключей, разработанная ООО «ФАКТОР-ТС», которая также создаёт запрос на сертификат ключа проверки подписи – файл с расширением .p10.

Запрос на сертификат отправляется в УЦ, который выдаёт сертификат.

Сертификат ключа имеет следующую структуру:

Сертификаты и списки отозванных сертификатов:

  1. Сертификаты пользователей - как правило, находятся в файлах с расширением cer. Файл с расширением cer может содержать только один сертификат.
  2. Сертификаты удостоверяющих центров - как правило, находятся в файлах, имена которых имеют расширение p7b. В этот же файл УЦ, как правило, помещает списки отозванных сертификатов. Файл с расширением p7b может содержать как один, так и несколько сертификатов.
  3. Кроме того, списки отозванных сертификатов могут находиться в файлах с расширением crl.

Настройка криптосистемы DiPostCA заключается в следующем:

  1. Генерация контейнера закрытого ключа на носитель и запроса на сертификат открытого ключа.
  2. Отправка запроса на сертификат в УЦ.
  3. Выдача из УЦ сертификата открытого ключа.
  4. Настройка криптосистемы DiPostCA: инициализация контейнера закрытого ключа с носителя.
  5. Настройка криптосистемы DiPostCA: установка сертификата открытого ключа.

Межсетевое экранирование


Межсетевой экран (МЭ) – это программное или программно-аппаратное средство, которое разграничивает информационные потоки на границе защищаемой системы, осуществляет управление доступом, фильтрацию сетевых пакетов и трансляцию сетевых адресов для скрытия структуры информационной системы.

Требования к межсетевым экранам определены приказом ФСТЭК России от 9 февраля 2016 г. №9 (зарегистрирован Минюстом России 25 марта 2016 г., регистрационный №41564 для служебного пользования). В целях разъяснения позиции ФСТЭК России в связи с утверждением Требований к межсетевым экранам было выпущено Информационное сообщение по вопросам разработки, производства, поставки и применения межсетевых экранов, сертифицированных ФСТЭК России по требованиям безопасности информации от 24 марта 2017 г. №240/24/1382.

В требованиях выделены пять типов межсетевых экранов:

Информационным сообщением от 12 сентября 2016 г. №240/24/4278 доведены спецификация профилей защиты межсетевых экранов для каждого типа межсетевого экрана и класса защиты межсетевого экрана:

Классы межсетевых экранов по защищённости от НСД:


Тип межсетевого экрана Класс защиты
6 5 4 3 2 1
Межсетевой экран типа «А» ИТ.МЭ. А6.ПЗ ИТ.МЭ. А5.ПЗ ИТ.МЭ. А4.ПЗ ИТ.МЭ. А3.ПЗ ИТ.МЭ. А2.ПЗ ИТ.МЭ. А1.ПЗ
Межсетевой экран типа «Б» ИТ.МЭ. Б6.ПЗ ИТ.МЭ. Б5.ПЗ ИТ.МЭ. Б4.ПЗ ИТ.МЭ. Б3.ПЗ ИТ.МЭ. Б2.ПЗ ИТ.МЭ. Б1.ПЗ
Межсетевой экран типа «В» ИТ.МЭ. В6.ПЗ ИТ.МЭ. В5.ПЗ ИТ.МЭ. В4.ПЗ ИТ.МЭ. В3.ПЗ ИТ.МЭ. В2.ПЗ ИТ.МЭ. В1.ПЗ
Межсетевой экран типа «Г» ИТ.МЭ. Г6.ПЗ ИТ.МЭ. Г5.ПЗ ИТ.МЭ. Г4.ПЗ - - -
Межсетевой экран типа «Д» ИТ.МЭ. Д6.ПЗ ИТ.МЭ. Д5.ПЗ ИТ.МЭ. Д4.ПЗ - - -

Идентификаторы профилей защиты приводятся в формате ИТ.МЭ.«тип»«класс».ПЗ, где обозначение тип может принимать значение от А до Г (тип межсетевого экрана), а обозначение класс может принимать значения от 1 до 6, соответствующие классу защиты межсетевого экрана.

Подробее о межсетевом экранировании изложено в материале «Установка и настройка средств защиты информации в ЛВС при межсетевом взаимодействии».


Защита от компьютерных вирусов


Вредоносная программа - программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на информацию или ресурсы автоматизированной информационной системы.

Вредоносное программное обеспечение - любое программное обеспечение, предназначенное для получения несанкционированного доступа к вычислительным ресурсам самой ЭВМ или к информации, хранимой на ЭВМ, с целью:

Классификация вредоносных программ от Лаборатории Касперского:


Требования к средствам антивирусной защиты


Требования к средствам антивирусной защиты утверждены приказом ФСТЭК России от 20 марта 2012 г. N28 (зарегистрирован Минюстом России 3 мая 2012 г., рег. N24045) и вступают в действие с 1 августа 2012 г.

Требования включают общие требования к средствам антивирусной защиты и требования к функциям безопасности средств антивирусной защиты.

Для дифференциации требований к функциям безопасности средств антивирусной защиты установлено шесть классов защиты средств антивирусной защиты. Самый низкий класс – шестой, самый высокий – первый.

Также выделяются следующие типы средств антивирусной защиты:

Средства антивирусной защиты, соответствующие 6 классу защиты, применяются в информационных системах персональных данных (ИСПДн) 4 уровня защищенности и государственных информационных системах (ГИС) 4 класса.

Средства антивирусной защиты, соответствующие 5 классу защиты, применяются в ИСПДн 4 уровня защищенности и ГИС 3 класса.

Средства антивирусной защиты, соответствующие 4 классу защиты, применяются в ИСПДн 1 и 2 уровня защищенности и ГИС 1 и 2 класса.

Средства антивирусной защиты, соответствующие 3, 2 и 1 классам защиты, применяются в информационных системах, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну.

Например, популярное антивирусное средство Kaspersky Security 10 имеет:

Вредоносное воздействие на информационную систему (ИС) - любые действия, которые могут привести к нарушению конфиденциальности, целостности или доступности информации в информационной системе.

Согласно ГОСТ Р ИСО/МЭК27033-1-2011: "Информационная технология. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 1. Обзор и концепции" вредоносное программное средство (malware) – это вредоносное программное средство, специально разработанное для повреждения или разрушения системы посредством нарушения ее конфиденциальности, целостности и (или) доступности.

К самым тяжелым последствиям приводят действия вирусов-шифровальщиков, когда файлы на компьютере жертвы шифруются. Расшифровать их невозможно! Чаще других шифрованию подвергаются файлы Microsoft Office, документы PDF, файлы картинок и фото. Не менее опасен перехват управления компьютером, когда злоумышленник получает полный контроль над компьютером жертвы.

Схема заражения в обоих случаях одинакова:



Последствием работы вредоносного воздействия также является непреднамеренная установка программного обеспечения: браузеров, агентов и т.д.

К нарушениям безопасности информации в ИС приводят не только традиционные вирусные угрозы, но и применение якобы безопасных программ: удалённое администрирование, автоматическое переключение раскладки клавиатуры и ведение дневника и т.д.

За создание, использование и распространение вредоносных программ действующим законодательством предусмотрена уголовная ответственность:

Статья 273.
Создание, использование и распространение вредоносных компьютерных программ:

Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации.


Управление доступом


В целях управления доступом необходимо различать понятия идентификации, аутентификации и авторизации.

Идентификация - это передача субъекта (пользователя или процесса) системе своего имени (идентификатора).

Аутентификация – это проверка подлинности переданного имени.

Авторизация – после идентификации и аутентификации назначение субъекту прав и полномочий.

Рассмотрим способы и средства ограничения полномочий и разрешений на примере системы управления базами данных Microsoft SQL Server.


Механизмы защиты от преднамеренных угроз Microsoft SQL Server включает в себя:


Проверка подлинности в SQL Server


SQL Server поддерживает два режима проверки подлинности: режим проверки подлинности Windows и режим смешанной проверки подлинности. Режим проверки подлинности Windows является режимом по умолчанию. Поскольку модель безопасности SQL Server тесно интегрирована с Windows, часто ее называют встроенной функцией безопасности. Определенным учетным записям пользователей и групп Windows разрешается входить в SQL Server. Пользователи Windows, прошедшие проверку подлинности, не должны предъявлять дополнительные учетные данные.

Режим смешанной аутентификации поддерживает проверку подлинности как средствами Windows, так и средствами SQL Server. Пары имен пользователей и паролей ведутся в SQL Server.

Рекомендуется по возможности использовать проверку подлинности Windows. При проверке подлинности Windows используется ряд зашифрованных сообщений для проверки подлинности пользователей в SQL Server. А при использовании имен входа SQL Server имена входа и пароли SQL Server передаются по сети, что делает их менее защищенными.


Проверка подлинности Windows:



Проверка подлинности SQL Server:



Роли сервера и роли базы данных в SQL Server


Во всех версиях SQL Server используется безопасность на основе ролей, что позволяет назначать разрешения роли группе пользователей, а не отдельным пользователям. Предопределенные роли сервера имеют предопределенный набор разрешений на уровне сервера. Они предназначены для использования в администрировании SQL Server, и разрешения, назначенные им, не могут быть изменены. Предопределенным ролям сервера могут назначаться имена входа без наличия учетной записи пользователя в базе данных.



Предопределенная роль сервера sysadmin включает в себя все остальные роли и имеет неограниченную область действия. В эту роль следует включать только доверенных участников. Члены роли sysadmin обладают безотзывными правами администратора применительно ко всем базам данных и ресурсам сервера.



Предопределенные роли базы данных имеют предопределенный набор разрешений, разработанных для упрощения управления группами разрешений. Члены роли db_owner могут выполнять все действия по настройке конфигурации и обслуживанию базы данных.



Владение и разделение пользовательских схем в SQL Server


Основным принципом безопасности SQL Server является то, что владельцы объектов имеют неотзываемые разрешения на их администрирование. Нельзя удалять права доступа у владельцев объектов. Также нельзя удалять пользователей из базы данных, если они владеют в ней объектами.

Отделение пользователей от схем обеспечивает дополнительную гибкость в управлении разрешениями объектов базы данных. Схема представляет собой именованный контейнер для объектов базы данных, позволяющий группировать объекты по отдельным пространствам имен.

Владельцем схемы может быть любой участник базы данных, при этом одному участнику может принадлежать несколько схем. К схеме можно применить правила безопасности, которые наследуются всеми объектами схемы. После установки разрешений доступа для схемы они автоматически применяются по мере добавления к схеме новых объектов. Пользователь может назначить новую схему, а несколько пользователей базы данных могут совместно использовать одну одну схему.

SQL Server поставляется с десятью предварительно определенными схемами, имеющими одинаковое имя со встроенными пользователями и ролями базы данных. Они существуют главным образом ради обратной совместимости. Схемы, имеющие одинаковые имена с предопределенными ролями базы данных, можно удалить, если они не нужны.



Проверка прав доступа и разрешений в SQL Server


После создания объектов базы данных необходимо явно предоставить разрешения, чтобы сделать их доступными для пользователей. Каждый защищаемый объект имеет разрешения, которые могут быть предоставлены участнику с помощью инструкций разрешения.

При предоставлении прав доступа следует следовать принципу минимальных прав доступа пользователей. Такой подход гарантирует, что пользователи будут регистрироваться с помощью ограниченных учетных записей пользователя. Если разрешения предоставляются ролям, а не пользователям, то администрирование средств безопасности упрощается. Наборы разрешений, назначенные ролям, становятся унаследованными всеми членами роли. Проще добавлять или удалять пользователей из состава членов роли, чем повторно создавать отдельные наборы разрешений для каждого пользователя.

SQL Server гарантирует, что только участники, которым были предоставлены разрешения, могут получить доступ к объектам.


Шифрование SQL Server


SQL Server поддерживает следующие механизмы шифрования:

SQL Server шифрует данные, используя иерархическую структуру средств шифрования и управления ключами. На каждом уровне данные низшего уровня шифруются на основе комбинации сертификатов, асимметричных ключей и симметричных ключей. Асимметричные и симметричные ключи можно хранить вне модуля расширенного управления ключами SQL Server .

Для лучшей производительности данные следует шифровать с помощью симметричных ключей, а не с помощью сертификатов и асимметричных ключей. Главные ключи базы данных защищены главным ключом службы. Главный ключ службы создается при установке SQL Server и шифруется API-интерфейсом защиты данных Windows (DPAPI).

Модуль расширенного управления ключами хранит симметричные или асимметричные ключи вне SQL Server.

Прозрачное шифрование данных (TDE) должно использовать симметричный ключ, который называется ключом шифрования базы данных, защищенный сертификатом, который, в свою очередь защищается главным ключом базы данных master или асимметричным ключом, хранящимся в модуле расширенного управления ключами.

Главный ключ службы и все главные ключи базы данных являются симметричными ключами.


Резервное копирование и восстановление баз данных SQL Server


В дополнение к локальному хранилищу для хранения резервных копий SQL Server поддерживает резервное копирование и восстановление из службы хранилища больших двоичных объектов Windows Azure.

Работа по резервному копированию состоит из нескольких этапов:


Средства активного аудита сетей.


Активный аудит дополняет идентификацию/аутентификацию и разграничение доступа, и направлен на выявление подозрительной (злоумышленной и/или аномальной) активности с целью оперативного принятия ответных мер. Назначение активного аудита — обнаруживать и реагировать. Обнаружению подлежит подозрительная активность компонентов сети - от пользователей (внутренних и внешних) до программных систем и аппаратных устройств. Подозрительную активность можно подразделить на злоумышленную и аномальную (нетипичную).

Примерами средств активного аудита являются: