Захист інформації в Інтернет

Internet - глобальна комп'ютерна мережа, що охоплює увесь світ. Сьогодні Internet має близько 15 мільйонів абонентів у більш ніж 150 країнах світу. Щомісяця розмір мережі збільшується на 7-10%. Internet утворить як би ядро, що забезпечує зв'язок різних інформаційних мереж, що належать різним установам в усьому світі, одна з іншої.

Якщо раніше мережа використовувалася винятково як середовище передачі файлів і повідомлень електронної пошти, то сьогодні зважуються більш складні задачі розподіленого доступу до ресурсів. Біля двох років тому були створені оболонки, що підтримують функції сіткового пошуку й доступу до розподілених інформаційних ресурсів, електронних архівів.

Internet, що служила колись винятково дослідницьким і навчальним групам, чиї інтереси простиралися аж до доступу до суперкомп'ютерів, стає усе більш популярною у діловому світі.

Компаній спокушають швидкість, дешевий глобальний зв'язок, зручність для проведення спільних робіт, доступні програми, унікальна база даних мережі Internet. Вони розглядають глобальну мережу як доповнення до своїх власних локальних мереж.

Фактично Internet складається з безлічі локальних і глобальних мереж, що належать різним компаніям і підприємствам, зв'язаних між собою різними лініями зв'язку. Internet можна уявити собі у вигляді мозаїки складеної з невеликих мереж різної величини, що активно взаємодіють одна з іншою, пересилаючи файли, повідомлення і т.п.

При низької вартості послуг (часто це тільки фіксована щомісячна плата за використовування лінії телефону) користувачі можуть одержати доступ до комерційних і некомерційних інформаційних служб США, Канади, Австралії і багатьох європейських країн. В архівах вільного доступу мережі Internet можна знайти інформацію практично по всіх сферах людської діяльності, починаючи з нових наукових відкриттів до прогнозу погоди на завтра.

Крім того Internet надає унікальні можливості дешевого, надійного і конфіденційного глобального зв'язку по усьому світі. Це виявляється дуже зручним для фірм, що мають по усьому світі свої філії, транснаціональних корпорацій і структур керування. Звичайно, використання інфраструктури Internet для міжнародного зв'язку обходиться значно дешевше прямого комп'ютерного зв'язку через супутниковий канал чи через телефон.

Електронна пошта - найпоширеніша послуга мережі Internet. В даний час свій адрес по електронній пошті мають приблизно 20 мільйонів чоловік. Посилка листа по електронній пошті обходиться значно дешевше посилки звичайного листа. Крім того повідомлення, послане по електронній пошті дійде до адресата за кілька годин, у той час як звичайний лист може добиратися до адресата кілька днів, а то і тижнів.

В даний час Internet перебуває у період підйому, багато в чому завдяки активній підтримці з боку урядів європейських країн і США. Щорічно в США виділяється близько 1-2 мільйонів доларів на створення нової мережної інфраструктури. Дослідження в області мережних комунікацій фінансуються також урядами Великобританії, Швеції, Фінляндії, Німеччини.

Однак, державне фінансування - лише невелика частина засобів, що надходять, тому що усе більш помітною стає "коммерціалізація" мережі (80-90% засобів надходить із приватного сектора).

РОЗДІЛ 1

Загальна характеристика мережі Internet

1.1 Історія мережі Internet

У 1961 році Defence Advanced Research Agensy (DARPA) за завданням міністерства оборони США приступило до проекту по створенню експериментальної мережі передачі пакетів. Ця мережа, названа ARPANET, призначалася спочатку для вивчення методів забезпечення надійного зв'язку між комп'ютерами різних типів. Багато методів передачі даних через модеми були розроблені в ARPANET. Тоді ж були розроблені і протоколи передачі даних у мережі - TCP/IP. TCP/IP - це безліч комунікаційних протоколів, що визначають, як комп'ютери різних типів можуть спілкуватися між собою.

Експеримент із ARPANET був настільки успішний, що багато організацій захотіли увійти в неї, з метою використання її для щоденної передачі даних. І в 1975 році ARPANET перетворилася з експериментальної мережі в робочу мережу. Відповідальність за адміністрування мережі взяло на себе Defence Communication Agency (DCA), у даний час назване Defence Information Systems Agency (DISA). Але розвиток ARPANET на цьому не зупинився; протоколи TCP/IP продовжували розвиватися й удосконалюватися.

У 1983 році вийшов перший стандарт для протоколів TCP/IP, що ввійшов у Military Standarts (MIL STD), тобто у військові стандарти, і усі, хто працював у мережі, зобов'язані були перейти до цих нових протоколів. Для полегшення цього переходу DARPA звернулася з пропозицією до керівників фірми Berkley Software Design - упровадити протоколи TCP/IP у Berkeley(BSD) UNIX. З цього і почався союз UNIX і TCP/IP.Через деякий час TCP/IP був адаптований у звичайний, тобто в загальнодоступний стандарт, і термін Internet увійшов у загальне вживання. У 1983 році з ARPANET виділилася MILNET, що стала відноситися до Defence Data Network (DDN) міністерства оборони США. Термін Internet став використовуватися для позначення єдиної мережі: MILNET + ARPANET. І хоча в 1991 році ARPANET припинила своє існування, мережа Internet існує, її розміри набагато перевищують первісні, тому що вона об'єднала безліч мереж в усьому світі. Діаграма 1.1 ілюструє ріст числа хостів, підключених до мережі Internet з 4 комп'ютерів у 1969 році до 8,3 мільйонів у 1994. Хостом у мережі Internet називаються комп'ютери, що працюють у багатозадачній операційній системі (Unix, VMS), що підтримують протоколи TCP\IP і сіткові надають користувачам будь-які послуги.

Діаграма 1.1

Діаграма 1.1 Кількість хостів, підключених до Internet .

Протоколи мережі Internet

Основне, що відрізняє Internet від інших мереж - це її протоколи - TCP/IP. Взагалі, термін TCP/IP звичайно означає усе, що зв'язано з протоколами взаємодії між комп'ютерами в Internet. Він охоплює ціле сімейство протоколів, прикладні програми, і навіть саму мережу. TCP/IP - це технологія межсіткової взаємодії, технологія Іnternet. Мережа, що використовує технологію Internet, називається "Internet". Якщо мова йде про глобальну мережу, що поєднує безліч мереж з технологією internet, то її називають Internet.

Свою назву протокол TCP/IP одержав від двох комунікаційних протоколів (чи протоколів зв'язку). Це Transmission Control Protocol (TCP) і Internet Protocol (IP). Незважаючи на те, що в мережі Internet використовується багато інших протоколів, мережу Internet часто називають TCP/IP-мережею, тому що ці два протоколи, безумовно, є найважливішими.

Як і у всякій іншій мережі в Internet існує 7 рівнів взаємодії між комп'ютерами: фізичний, логічний, мережний, транспортний, рівень сеансів зв'язку, представницький і прикладний рівень. Відповідно кожному рівню взаємодії відповідає набір протоколів (тобто правил взаємодії).

Протоколи фізичного рівня визначають вид і характеристики ліній зв'язку між комп'ютерами. У Internet використовуються практично усі відомі в даний час способи зв'язку від простого проводу (кручена пари) до оптоволоконних ліній зв'язку (ОВЛЗ).

Для кожного типу ліній зв'язку розроблений відповідний протокол логічного рівня, що займається керуванням передачею інформації з каналу. До протоколів логічного рівня для телефонних ліній відносяться протоколи SLIP (Serial Line Interface Protocol) і PPP (Point to Point Protocol). Для зв'язку по кабелі локальної мережі - це пакетні драйвери плат ЛОМ.

Протоколи сіткового рівня відповідають за передачу даних між пристроями в різних мережах, тобто займаються маршрутизацією пакетів у мережі. До протоколів сіткового рівня належать IP (Internet Protocol) і ARP (Address Resolution Protocol).

Протоколи транспортного рівня керують передачею даних з однієї програми в іншу. До протоколів транспортного рівня належать TCP (Transmission Control Protocol) і UDP (User Datagram Protocol).

Протоколи рівня сеансів зв'язку відповідають за установку, підтримку і знищення відповідних каналів. У Internet цим займаються вже згадані TCP і UDP протоколи, а також протокол UUCP (Unix to Unix Copy Protocol).

Протоколи представницького рівня займаються обслуговуванням прикладних програм. До програм представницького рівня належать програми, що запускаються, приміром, на Unix-сервері, для надання різних послуг абонентам. До таких програм відносяться: telnet-сервер, FTP-сервер, Gopher-сервер, NFS-сервер, NNTP (Net News Transfer Protocol), SMTP (Simple Mail Transfer Protocol), POP2 і POP3 (Post Office Protocol) і т.д.

До протоколів прикладного рівня відносяться сіткові послуги і програми їхнього надання.

1.2 Послуги, що надаються мережею

Усі послуги що надаються мережею Internet можна умовно поділити на дві категорій: обмін інформацією між абонентами мережі і використання баз даних мережі.

До числа послуг зв'язку між абонентами належать.

Telnet - віддалений доступ. Дає можливість абоненту працювати на будь-якій ЕОМ мережі Internet як на своїй власній. Тобто запускати програми, змінювати режим роботи і т.д.

FTP (File Transfer Protocol) - протокол передачі файлів. Дає можливість абоненту обмінюватися двійковими і текстовими файлами з будь-яким комп'ютером мережі. Установивши зв'язок з віддаленим комп'ютером, користувач може скопіювати файл із віддаленого комп'ютера на свій чи скопіювати файл зі свого комп'ютера на віддалений.

NFS (Network File System) - розподілена файлова система. Дає можливість абоненту користатися файловою системою віддаленого комп'ютера, як своєю власною.Електронна пошта - обмін поштовими повідомленнями з будь-яким абонентом мережі Internet. Існує можливість відправлення як текстових, так і двійкових файлів. На розмір поштового повідомлення в мережі Internet накладається наступне обмеження - розмір поштового повідомлення не повинен перевищувати 64 кілобайт.

Новини – одержання сіткових новин і електронних дощок оголошень мережі та можливість приміщення інформації на дошки оголошень мережі. Електронні дошки оголошень мережі Internet формуються по тематиці. Користувач може по своєму виборі підписатися на будь-які групи новин.

Rsh (Remote Shell) - віддалений доступ. Аналог Telnet, але працює тільки в тому випадку, якщо на віддаленому комп'ютері є ОС UNIX.

Rexec (Remote Execution) - виконання однієї команди на віддаленій UNIX-машині.

Lpr - сітковий друк. Відправлення файлу на друк на віддаленому (сітковому) принтері.

Lpq – сітковий друк. Показує файли які стоять на черзі на друк у сітковому принтері.

Ping - перевірка доступу до віддаленого ЕОМ по мережі.

Talk - дає можливість відкриття "розмови" з користувачем віддаленого ЕОМ. При цьому на екрані одночасно видно текст, що вводиться, і відповідь віддаленого користувача.

Iptunnel - дає можливість доступу до сервера ЛОМ NetWare з який немає безпосереднього зв'язку по ЛОМ, а мається лиш зв'язок по мережі Internet.

Whois - адресна книга мережі Internet. На запит абонент може одержати інформацію про приналежність віддаленого комп'ютера, про його користувачів.

Finger - одержання інформації про користувачів віддаленого комп'ютера.

Крім перерахованих вище послуг, мережа Internet надає також наступні специфічні послуги.

Webster - сіткова версія тлумачного словника англійської мови.

Факс-сервіс - дає можливість користувачу відправляти повідомлення по факсимільному зв'язку, користаючись факсом-сервером мережі.

Електронний перекладач - робить переклад присланого на нього тексту з однієї мови на іншу. Звертання до електронних перекладачів відбувається за допомогою електронної пошти.

Шлюзи - дають можливість абоненту відправляти повідомлення в мережі, що не працюють із протоколами TCP\IP (FidoNet, Goldnet, AT50).

До систем автоматизованого пошуку інформації в мережі Internet належать наступні системи.

Gopher - найбільш широко розповсюджений засіб пошуку інформації в мережі Internet, що дозволяє знаходити інформацію за ключовим словам і фразами. Робота із системою Gopher нагадує перегляд змісту, при цьому користувачу пропонується пройти крізь ряд вкладених меню і вибрати потрібну тему. У Internet у даний час понад 2000 Gopher-систем, частина з яких є вузькоспеціалізованою, а частина містить більш різнобічну інформацію.

Gopher дозволяє одержати інформацію без вказівки імен і адрес авторів, завдяки чому користувач не витрачає багато часу і нервів. Він просто повідомить системі Gopher, що саме йому потрібно, і система знаходить відповідні дані. Gopher-серверів понад дві тисячі, тому з їхньою допомогою не завжди просто знайти необхідну інформацію. У випадку виниклих ускладнень можна скористатися службою VERONICA. VERONICA здійснює пошук більш ніж у 500 системах Gopher, звільняючи користувача від необхідності переглядати їх вручну.

WAIS - ще більш могутній засіб одержання інформації, чим Gopher, оскільки воно здійснює пошук ключових слів у всіх текстах документів. Запити посилаються в WAIS на спрощеній англійській мові. Це значно легше, ніж формулювати їх мовою алгебри логіки, і це робить WAIS більш привабливої для користувачів-непрофесіоналів.

При роботі з WAIS користувачам не потрібно витрачати багато часу, щоб знайти необхідні їм матеріали.

У мережі Internet існує більш 200 WAIS-бібліотек. Але оскільки інформація представляється переважно співробітниками академічних організацій на добровільних початках, велика частина матеріалів відноситься до області досліджень і комп'ютерних наук.

WWW - система для роботи з гіпертекстом. Потенційно вона є найбільш могутнім засобом пошуку. Гіпертекст з'єднує різні документи на основі заздалегідь заданого набору слів. Наприклад, коли в тексті зустрічається нове чи слово поняття, система, що працює з гіпертекстом, дає можливість перейти до іншого документу, у якому це чи слово поняття розглядається більш докладно.

WWW часто використовується як інтерфейс до баз даних WAIS, але відсутність гіпертекстових зв'язків обмежує можливості WWW до простого перегляду.

Користувач зі своєї сторони може задіяти можливість WWW працювати з гіпертекстом для зв'язку між своїми даними і даними WAIS і WWW таким чином, щоб власні записи користувача як би інтегрувалися в інформацію для загального доступу. Насправді цього, звичайно, не відбувається, але сприймається саме так.WWW - це відносно нова система. Установлено кілька демонстраційних серверів, у тому числі Vatican Exibit у бібліотеці Конгресу США і мультфільм про погоду "Витки супутника" у Мичиганском державному університеті. У якості демонстраційних також працюють сервери into.funet.fi (Фінляндія); into.cern.ch. (Швейцарія) і eies2.njit.edu (США).

Практично всі послуги мережі побудовані на принципі клієнт-сервер. Сервером у мережі Internet називається комп'ютер здатний надавати клієнтам (у міру приходу від них запитів) деякі сіткові послуги. Взаємодія клієнт-сервер будується звичайно в такий спосіб. По приходу запитів від клієнтів сервер запускає різні програми надання мережних послуг. В міру виконання запущених програм сервер відповідає на запити клієнтів.

Усе програмне забезпечення мережі також можна поділити на клієнтське і серверне. При цьому програмне забезпечення сервера займається наданням мережних послуг, а клієнтське програмне забезпечення забезпечує передачу запитів серверу й одержання відповідей від нього.

1.3 Гіпертекстова технологія WWW, URL, HTML

World Wide Web перекладається на українську мову як “Всесвітня Павутина”. І, по суті, це дійсно так. WWW є одним із самих зроблених інструментів для роботи в глобальній світовій мережі Internet. Ця служба з'явилася порівняно недавно й усе ще продовжує бурхливо розвиватися.

Найбільша кількість розробок мають відношення до батьківщини WWW-CERN, European Particle Physics Laboratory; але було би помилкою вважати, що Web є інструментом, розробленим фізиками і для фізиків. Плодотворність і привабливість ідей, покладених в основу проекту, перетворили WWW у систему світового масштабу, що надає інформацію навряд чи не у всіх областях людської діяльності й охоплюючу приблизно 30 млн. користувачів у 83 країнах світу.

Головна відмінність WWW від інших інструментів для роботи з Internet полягає в тім, що WWW дозволяє працювати практично з усіма доступними зараз на комп'ютері видами документів: це можуть бути текстові файли, ілюстрації, звукові і відео ролики, і т.д.

Що таке WWW? Це спроба організувати всю інформацію в Internet, плюс будь-яку локальну інформацію з вашого вибору, як набір гіпертекстових документів. Ви переміщаєтеся по мережі, переходячи від одного документа до іншого по посиланнях. Усі ці документи написані на спеціально розробленій для цього мові, що називається HyperText Markup Language (HTML). Він чимось нагадує мову, що використовується для написання текстових документів, тільки HTML простіше. Причому, можна використовувати не тільки інформацію, надану Internet, але і створювати власні документи. В останньому випадку існує ряд практичних рекомендацій до їх написання.

Уся користь гіпертексту складається в створенні гіпертекстових документів,якщо вас зацікавив який або пункт у такому документі, то вам досить тикнути туди курсором для одержання потрібної інформації. Також в одному документі можливо робити посилання на іншими, написаними іншими чи авторами навіть розташовані на іншому сервері. У той час як вам це представляється як одне ціле.

Гіпермедіа це надбезліч гіпертексту. У гіпермедії виробляються операції не тільки над текстом але і над звуком, зображеннями, анімацією.

Існують WWW-сервери для Unix, Macintosh, MS Windows і VMS, більшість з них поширюються вільно. Установивши WWW-сервер, ви можете вирішити дві задачі:

1. Надати інформацію зовнішнім споживачам - зведення про вашу фірму, каталоги продуктів і послуг, технічну чи наукову інформацію.

2. Надати своїм співробітникам зручний доступ до внутрішніх інформаційних ресурсів організації. Це можуть бути останні розпорядження керівництва, внутрішній телефонний довідник, відповіді на питання, що часто задаються, для користувачів прикладних систем, технічна документація й усе, що підкаже фантазія адміністратора і користувачів. Інформація, що ви хочете надати користувачам WWW, оформляється у виді файлів мовою HTML. HTML - проста мова розмітки, що дозволяє позначати фрагменти тексту і задавати посилання на інші документи, виділяти заголовки декількох рівнів, розбивати текст на абзаци, центрувати їхній і т.п., перетворюючи простий текст в відформатований гіпермедійний документ. Досить легко створити html-файл вручну, однак, маються спеціалізовані редактори і перетворювачі файлів з інших форматів.

Для перегляду документів використовуються спеціальні переглядачі, такі як Mosaic, Netscape, Internet Explorer, lynx, www і інші. Mosaic і Netscape зручно використовувати на графічних терміналах. Для роботи на символьних терміналах можна порекомендувати lynx.

Архітектура WWW-технологіїВід опису основних компонентів перейдемо до архітектури взаємодії програмного забезпечення в системі World Wide Web. WWW побудована за добре відомою схемою “клієнт-сервер”. На схемі 1.2 показано, як розділені функції в цій схемі. Програма-клієнт виконує функції інтерфейсу користувача і забезпечує доступ практично до всіх інформаційних ресурсів Internet. У цьому змісті вона виходить за звичайні рамки роботи клієнта тільки із сервером визначеного протоколу, як це відбувається в telnet, наприклад, досить широко поширена думка, що Mosaic чи Netscape, що є WWW-клієнтами, це просто графічний інтерфейс у Internet, є дкщо вірним. Однак, як уже було відзначено, базові компоненти WWW-технології (HTML і URL) грають при доступі до інших ресурсів Mosaic не останню роль, і тому мультипротокольні клієнти повинні бути віднесені саме до World Wide Web, а не до інших інформаційних технологій Internet. Фактично, клієнт-це інтерпретатор HTML. І як типовий інтерпретатор, клієнт у залежності від команд (розмітки) виконує різні функції.

Схема 1.2

Схема 1.2 Структура ”клієнт - сервер” .

В коло цих функцій входить не тільки розміщення тексту на екрані, але й обмін інформацією із сервером у міру аналізу отриманого HTML-тексту, що найбільше наочно відбувається при відображенні вбудованих у текст графічних образів. При аналізі чи URL-специфікації по командах сервера клієнт запускає додаткові зовнішні програми для роботи з документами у форматах, відмінних від HTML, наприклад GIF, JPEG, MPEG, Postscript і т.п. Узагалі говорячи для запуску клієнтом програм незалежно від типу документа була розроблена програма Luncher, але останнім часом набагато більше поширення одержав механізм узгодження програм, що запускаються, через MIME-типи. Іншу частину програмного комплексу WWW складає сервер протоколу HTTP, бази даних документів у форматі HTML, керовані сервером, і програмне забезпечення, розроблене в стандарті специфікації CGI. До самого останнього часу (до утворення Netscape) реально використовувалося два HTTP-сервери: сервер CERN і сервер NCSA. Але в даний час число базових серверів розширилося. З'явився дуже непоганий сервер для MS-Windows і Apachie-сервер для Unix-платформ. Існують й інші, але два останніх можна виділити з розумінь приступності використання. Сервер для Windows - це shareware, але без вбудованого самоліквідатора, як у Netscape. З огляду на поширеність персоналок у нашій країні, таке програмне забезпечення дає можливість спробувати, що таке WWW. Другий сервер - це відповідь на погрозу комерціалізації. Netscape уже не поширює свій сервер Netsite вільно і пройшов слух, що NCSA-сервер також буде поширюватися на комерційній основі. У результаті був розроблений Apachie, що за словами його авторів буде freeware, і реалізує нові доповнення до протоколу HTTP, зв'язані з захистом від несанкціонованого доступу, що запропоновані групою по розробці цього протоколу і реалізуються практично у всіх комерційних серверах.

База даних HTML-документ-це частина файлової системи, що містить текстові файли у форматі HTML і зв'язані з ними графіка й інші ресурси. Особлива увага хотілася б звернути на документи, що містять елементи екранних форм. Ці документи реально забезпечують доступ до зовнішнього програмного забезпечення.

Прикладне програмне забезпечення, що працює із сервером, можна розділити на програми-шлюзи та інші. Це програми, що забезпечують взаємодію сервера із серверами інших протоколів, наприклад ftp, чи з розподіленими на мережі серверами Oracle. Інші програм-це програми, що приймають дані від сервера і виконують які-небудь дії: одержання поточної дати, реалізацію графічних посилань, доступ до локальних баз даних чи просто розрахунки.

Завершуючи обговорення архітектури World Wide Web хотілося б ще раз підкреслити, що її компоненти існують практично для всіх типів комп'ютерних платформ і вільно доступні в мережі. Любою, хто має доступ у Internet, може створити свій WWW-сервер, чи, принаймні, подивитися інформацію з інших серверів.

Основні компоненти технології World Wide Web

До 1989 року гіпертекст представляв нову, багатообіцяючу технологію, що мала відносно велике число реалізацій з одного боку, а з іншої сторони робилися спроби побудувати формальні моделі гіпертекстових систем, що носили скоріше описовий характер і були навіяні успіхом реляційного підходу опису даних. Ідея Т. Бернерс-Лі полягала в тім, щоб застосувати гіпертекстову модель до інформаційних ресурсів, розподіленим у мережі, і зробити це максимально простим способом. Він заклав три наріжних камені системи з чотирьох існуючих нині, розробивши:

• мова гіпертекстової розмітки документів HTML (HyperText Markup Language);

• універсальний спосіб адресації ресурсів у мережі URL (Universal Resource Locator);

• протокол обміну гіпертекстовою інформацією HTTP (HyperText Transfer Protocol).

Пізніше команда NCSA додала до цим трьох компонентам четвертий:• універсальний інтерфейс шлюзів CGI (Common Gateway Interface).

Ідея HTМL – приклад надзвичайно вдалого рішення проблеми побудови гіпертекстової системи за допомогою спеціального засобу керування відображенням. На розробку мови гіпертекстової розмітки істотний вплив зробили два фактори: дослідження в області інтерфейсів гіпертекстових систем і бажання забезпечити простий і швидкий спосіб створення гіпертекстової бази даних, розподіленої на мережі.

У 1989 році активно обговорювалася проблема інтерфейсу гіпертекстових систем, тобто способів відображення гіпертекстової інформації і навігації в гіпертекстовій мережі. Значення гіпертекстової технології порівнювали зі значенням друкарства. Затверджувалося, що лист паперу і комп'ютерні засоби відображення/відтворення серйозно відрізняються один від одного, і тому форма представлення інформації теж повинна відрізнятися. Найбільш ефективною формою організації гіпертексту були визнані контекстні гіпертекстові посилання, а крім того був визнаний розподіл на посилання, асоційовані з усім документом у цілому й окремих його частинах.

Найпростішим способом створення будь-якого документа є його набирання в текстовому редакторі. Досвід створення добре розмічених для наступного відображення документів у CERN був - важко знайти фізика, що не користався би системою Te чи LaTe. Крім того на той час існував стандарт мови розмітки - Stаndаrt Generalised Markup Language (SGML).

Варто також узяти до уваги, що відповідно до своїх пропозицій Бернерс-Лі припускав об'єднати в єдину систему наявні інформаційні ресурси CERN, і першими демонстраційними системами повинні були стати системи для NeXT і VAX/VMS.

Звичайно гіпертекстові системи мають спеціальні програмні засоби побудови гіпертекстових зв'язків. Самі гіпертекстові посилання зберігаються в спеціальних форматах навіть складають спеціальні файли. Такий підхід гарний для локальної системи, але не для розподіленої на безлічі різних комп'ютерних платформ. У HTML гіпертекстові посилання вбудовані в тіло документа і зберігаються як його частину. Часто в системах застосовують спеціальні формати збереження даних для підвищення ефективності доступу. У WWW документ-це звичайні ASCII- файли, які можна підготувати в будь-якому текстовому редакторі. Таким чином, проблема створення гіпертекстової бази даних була вирішена надзвичайно просто.

Як базу для розробки мови гіпертекстової розмітки був обраний SGML (Standard Generalised Markup Language). Випливаючи з академічних традицій, Бернерс-Лі описав HTML у термінах SGML (як описують мову програмування в термінах форми Бекуса-Наура). Природньо, що в HTML були реалізовані всі розмітки, зв'язані з виділенням параграфів, шрифтів, стилів і т.п., тому що реалізація для NeXT мала на увазі графічний інтерфейс. Важливим компонентом мови став опис вбудованих і асоційованих гіпертекстових посилань, вбудованої графіки і забезпечення можливості пошуку по ключових словах.

З моменту розробки першої версії мови (HTML 1.0) пройшло вже п'ять років. За цей час відбувся досить серйозний розвиток мови. Майже вдвічі збільшилося число елементів розмітки, оформлення документів усе більше наближається до оформлення якісних друкованих видань, розвиваються засоби опису не текстових інформаційних ресурсів і способи взаємодії з прикладним програмним забезпеченням. Удосконалюється механізм розробки типових стилів. Фактично, у даний час HTML розвивається убік створення стандартної мови розробки інтерфейсів як локальних, так і розподілених систем.

Другим наріжним каменем WWW стала універсальна форма адресації інформаційних ресурсів. Universal Resource Identification (URI) являє собою досить струнку систему, що враховує досвід адресації й ідентифікації e-mail, Gopher, WAIS, telnet, ftp і т.п. Але реально з усього, що описано в URI, для організації баз даних у WWW потрібно тільки Universal Resource Locator (URL). Без наявності цієї специфікації вся міць HTML виявилася б марною. URL використовується в гіпертекстових посиланнях і забезпечує доступ до розподілених ресурсів мережі. У URL можна адресувати як інші гіпертекстові документи формату HTML, так і ресурси e-mail, telnet, ftp, Gopher, WAIS, наприклад. Різні інтерфейсні програми по різному здійснюють доступ до цих ресурсів. Одні, як наприклад Netscape, самі здатні підтримувати взаємодію по протоколах, відмінних від протоколу HTTP, базового для WWW, інші, як наприклад Chimera, викликають для цієї мети зовнішні програми. Однак, навіть у першому випадку, базовою формою представлення відображуваної інформації є HTML, а посилання на інші ресурси мають форму URL. Слід зазначити, що програми обробки електронної пошти у форматі MIME також мають можливість відображати документи, представлені у форматі HTML. Для цієї мети в MIME зарезервований тип “text/html”.Третім у нашому списку стоїть протокол обміну даними в World Wide Web - HyperText Transfer Protocol. Даний протокол призначений для обміну гіпертекстовими документами і враховує специфіку такого обміну. Так у процесі взаємодії, клієнт може одержати нову адресу ресурсу на мережі (relocation), запросити убудовану графіку, прийняти і передати параметри і т. п. Керування в HTTP реалізовано у виді ASCII-команд. Реально процесор гіпертекстової бази даних зіштовхується з елементами протоколу тільки при використанні зовнішніх розрахункових чи програм при доступі до зовнішніх відносно WWW інформаційних ресурсів, наприклад баз даних.

Остання складова технології WWW - це вже плід роботи групи NCSA – специфікація Common Gateway Interface. CGI була спеціально розроблена для розширення можливостей WWW за рахунок підключення всілякого зовнішнього програмного забезпечення. Такий підхід логічно продовжував принцип публічності і простоти розробки і нарощування можливостей WWW. Якщо команда CERN запропонувала простий і швидкий спосіб розробки баз даних, то NCSA розвила цей принцип на розробку програмних засобів. Треба помітити, що в загальнодоступній бібліотеці CERN були модулі, що дозволяють програмістам підключати свої програми до сервера HTTP, але це вимагало використання цієї бібліотеки. Запропонований і описаний у CGI спосіб підключення не вимагав додаткових бібліотек і буквально приголомшував своєю простотою. Сервер взаємодіяв із програмами через стандартні потоки введення/виведення, що спрощує програмування. При реалізації CGI надзвичайно важливе місце зайняли методи доступу, описані в HTTP. І хоча реально використовуються тільки два з них (GET і POST), досвід розвитку HTML показує, що співтовариство WWW чекає розвитку і CGI у міру ускладнення задач, в яких буде використовуватися WWW-технологія.

РОЗДІЛ 2

Захист інформації в глобальній мережі Internet

2.1 Проблеми захисту інформації

Internet і інформаційна безпека несумісні по самій природі Internet. Вона народилася як чисто корпоративна мережа, однак, у даний час за допомогою єдиного стека протоколів TCP/IP і єдиного адресного простору поєднує не тільки корпоративні і відомчі мережі (освітні, державні, комерційні, військові і т.д.), що є, по визначенню, мережами з обмеженим доступом, але і рядових користувачів, що мають можливість одержати прямий доступ у Internet зі своїх домашніх комп'ютерів за допомогою модемів і телефонної мережі загального користування.

Як відомо, чим простіше доступ у Мережу, тим гірше її інформаційна безпека, тому з повною підставою можна сказати, що споконвічна простота доступу в Internet - гірше злодійства, тому що користувач може навіть і не довідатися, що в нього були скопійовані - файли і програми, не говорячи вже про можливість їхнього псування і коректування.

Що ж визначає бурхливий ріст Internet, що характеризується щорічним подвоєнням числа користувачів? Відповідь проста -“халява”, тобто дешевина програмного забезпечення (TCP/IP), що у даний час включена в Windows 95, легкість і дешевина доступу в Internet (або за допомогою IP-адреси, або за допомогою провайдера) і до усіх світових інформаційних ресурсів.

Платою за користування Internet є загальне зниження інформаційної безпеки, тому для запобігання несанкціонованого доступу до своїх комп'ютерів усі корпоративні і відомчі мережі, а також підприємства, що використовують технологію intranet, ставлять фільтри (fire-wall) між внутрішньою мережею і Internet, що фактично означає вихід з єдиного адресного простору. Ще велику безпеку дасть відхід від протоколу TCP/IP і доступ у Internet через шлюзи.

Цей перехід можна здійснювати одночасно з процесом побудови всесвітньої інформаційної мережі загального користування, на базі використання мережних комп'ютерів, що за допомогою мережної карти 10Base-T і кабельного модему забезпечують високошвидкісний доступ (10 Мбіт/с) до локального Web-сервера через мережу кабельного телебачення.

Для рішення цих і інших питань при переході до нової архітектури Internet потрібно передбачити наступне:

По-перше, ліквідувати фізичний зв'язок між майбутньої Internet (який перетвориться у Всесвітню інформаційну мережу загального користування) і корпоративними і відомчими мережами, зберігши між ними лише інформаційний зв'язок через систему World Wide Web.

По-друге, замінити маршрутизатори на комутатори, виключивши обробку у вузлах IP-протоколу і замінивши його на режим трансляції кадрів Ethernet, при якому процес комутації зводиться до простої операції порівняння MAC-адрес.

По-третє, перейти в новий єдиний адресний простір на базі фізичних адрес доступу до середовища передачі (MAC-рівень), прив'язане до географічного розташування мережі, і 48-бітний створити адрес, що дозволяє в рамках, для більш ніж 64 трильйонів незалежних вузлів.Безпека даних є однієї з головних проблем у Internet. З'являються всі нові і нові страшні історії про те, як комп'ютерні зломщики, що використовують усе більш витончені прийоми, проникають у чужі бази даних. Зрозуміло, усе це не сприяє популярності Internet у ділових колах. Одна тільки думка про те, що які-небудь хулігани, чи що ще гірше, конкуренти, зможуть одержати доступ до архівів комерційних даних, змушує керівництво корпорацій відмовлятися від використання відкритих інформаційних систем. Фахівці затверджують, що подібні побоювання безпідставні, тому що в компаній, що мають доступ і до відкритих частково до мереж, практично рівні шанси стати жертвами комп'ютерного терору.

Кожна організація, що має справу з якими б те не було цінностями, чи рано пізно зіштовхується з зазіханням на них. Завбачливі починають планувати захист заздалегідь, після першого великого “проколу”. Так чи інакше, устає питання про те, що, як і від кого захищати.

Звичайно перша реакція на погрозу-прагнення сховати цінності в недоступне місце і приставити до них охорону. Це відносно нескладно, якщо мова йде про такі цінності, що вам довго не знадобляться: забрали і забули. Куди складніше, якщо вам необхідно постійно працювати з ними. Кожне звертання в сховище за вашими цінностями зажадає виконання особливої процедури, відніме час і створить додаткові незручності. Така дилема безпеки: приходиться робити вибір між захищеністю вашого майна і його приступністю для вас, а виходить, і можливістю корисного використання.

Усе це справедливо й у відношенні інформації. Наприклад, база даних, що містить конфіденційні зведення, лише тоді цілком захищена від зазіхань, коли вона знаходиться на дисках, знятих з комп'ютера і прибраних в охоронюване місце. Як тільки ви установили ці диски в комп'ютер і почали використовувати, з'являється відразу кілька каналів, по яких зловмисник, у принципі, має можливість одержати до ваших таємниць доступ без вашого відома. Іншими словами, ваша інформація або недоступна для всіх, включаючи і вас, або не захищена на сто відсотків.

Може показатися, що з цієї ситуації немає виходу, але інформаційна безпека те саме що безпеки мореплавання: і те, і інше можливо лише з обліком деякого припустимого ступеня ризику.

В області інформації дилема безпеки формулюється в такий спосіб: варто вибирати між захищеністю системи і її відкритістю. Вірніше, утім, говорити не про вибір, а про баланс, тому що система, що не володіє властивістю відкритості, не може бути використана.

У банківській сфері проблема безпеки інформації ускладнюється двома факторами: по-перше, майже всі цінності, з якими має справу банк (крім готівки і ще дечого), існують лише у виді тієї чи іншої інформації. По-друге, банк не може існувати без зв'язків із зовнішнім світом: без клієнтів, кореспондентів і т.п. При цьому по зовнішніх зв'язках обов'язково передається та сама інформація, що виражає собою цінності, з якими працює банк (або зведення про ці цінності і їхній рух, що іноді коштують дорожче самих цінностей). Ззовні приходять документи, по яких банк переказує гроші з одного рахунка на іншій. Зовні банк передає розпорядження про рух засобів по кореспондентських рахунках, так що відкритість банку задана a priori.

Варто відзначити, що ці розуміння справедливі по відношенню не тільки до автоматизованих систем, але і до систем, побудованим на традиційному паперовому документообігу і не використовує інших зв'язків, крім кур'єрської пошти. Автоматизація додала головного болю службам безпеки, а нові тенденції розвитку сфери банківських послуг, цілком засновані на інформаційних технологіях, збільшують проблему.

2.1.1 Інформаційна безпека й інформаційні технології

На ранньому етапі автоматизації впровадження банківських систем (і взагалі засобів автоматизації банківської діяльності) не підвищувало відкритість банку. Спілкування з зовнішнім світом, як і колись, йшло через операціоністів і кур'єрів, тому додаткова погроза безпеки інформації виникала лише від можливих зловживань з боку фахівців, що працювали в самому банку, по інформаційних технологіях.

Стан змінився після того, як на ринку фінансових послуг стали з'являтися продукти, саме виникнення яких було немислимо без інформаційних технологій. У першу чергу це пластикові картки. Поки обслуговування по картках йшло в режимі голосової авторизації, відкритість інформаційної системи банка підвищувалася незначно, але потім з'явилися банкомати, POS-термінали, інші пристрої самообслуговування із засобів, що належать до інформаційної системи банку, але розташовані поза нею і доступні стороннім для банку особам.Відкритість системи, що підвищилася, зажадала спеціальних мір для контролю і регулювання обміну інформацією: додаткових засобів ідентифікації й аутентифікації особи, що запитує доступ до системи (PIN-код, інформація про клієнта на магнітній смузі чи в пам'яті мікросхеми картки, шифрування даних, контрольні числа й інші засоби захисту карток), засоби криптозахисту інформації в каналах зв'язку і т.д.

Ще більше зрушення балансу “захищеність-відкритість” убік останньої пов'язане з телекомунікаціями. Системи електронних розрахунків між банками захистити відносно нескладно, тому що суб'єктами електронного обміну інформацією виступають самі банки. Проте, там, де захисту не приділялася необхідна увага, результати були цілком передбачувані. Найбільш кричущою є наша країна. Використання вкрай примітивних засобів захисту телекомунікацій у 1992 р. привело до величезних утрат на фальшивих авізо.

Загальна тенденція розвитку телекомунікацій і масового поширення обчислювальної техніки привела зрештою до того, що на ринку банківських послуг в усьому світі з'явилися нові, чисто телекомунікаційні продукти, і в першу чергу системи Home Banking (вітчизняний аналог - “клієнт-банк”). Це зажадало забезпечити клієнтам цілодобовий доступ до автоматизованої банківської системи для проведення операцій, причому повноваження на здійснення банківських транзакцій одержав безпосередньо клієнт. Ступінь відкритості інформаційної системи банку зросла майже до межі. Відповідно, вимагаються особливі, спеціальні міри для того, щоб настільки ж значно не упала її захищеність.

Нарешті, гримнула епоха “інформаційної супермагістралі”: вибуховий розвиток мережі Internet і зв'язаних з нею послуг. Разом з новими можливостями ця мережа принесла і нові небезпеки. Здавалося б, яка різниця, яким чином клієнт зв'язується з банком: по лінії, що комутується, подібної на модемний пул банківського вузла зв'язку, чи по IP-протоколі через Internet? Однак у першому випадку максимально можлива кількість підключень обмежується технічними характеристиками модемного пула, у другому ж можливостями Internet, що можуть бути істотно вище. Крім того, сіткова адреса банку, у принципі, загальнодоступна, тоді як телефонні номери модемного пула можуть повідомлятися лише зацікавленим особам. Відповідно, відкритість банку, чия інформаційна система зв'язана з Internet, значно вище, ніж у першому випадку. Так тільки за п'ять місяців 1995 р. комп'ютерну мережу Citicorp зламували 40 разів! (Це свідчить, утім, не стільки про якійсь “небезпеці” Internet узагалі, скільки про недостатньо кваліфіковану роботу адміністраторів безпеки Citicorp.)

Усе це викликає необхідність перегляду підходів до забезпечення інформаційної безпеки банку. Підключаючи до Internet, варто заново провести аналіз ризику і скласти план захисту інформаційної системи, а також конкретний план ліквідації наслідків, що виникають у випадку тих чи інших порушень конфіденційності, охоронності і приступності інформації.

На перший погляд, для нашої країни проблема інформаційної безпеки банку не настільки гостра: до Internet чи нам, якщо в більшості банків існують системи другого покоління, що працюють у технології “сервер-файл-сервер”. На жаль, і в нас уже зареєстровані “комп'ютерні крадіжки”. Положення ускладнюється двома проблемами. Насамперед, як показує досвід спілкування з представниками банківських служб безпеки, і в керівництві, і серед персоналу цих служб переважають колишні оперативні співробітники органів внутрішніх справ чи держбезпеки. Вони мають високу кваліфікацію у своїй області, але здебільшого слабко знайомі з інформаційними технологіями. Фахівців з інформаційної безпеки в нашій країні узагалі вкрай мало, тому що масової ця професія стає тільки зараз.

Друга проблема зв'язана з тим, що в дуже багатьох банках безпека автоматизованої банківської системи не аналізується і не забезпечується всерйоз. Дуже мало є їх де є той необхідний набір організаційних документів (аналіз ризику, план захисту і план ліквідації наслідків), про яке говорилося вище. Більш того, безпека інформації суцільно і поруч просто не може бути забезпечена в рамках наявної в банку автоматизованої системи і прийнятих правил роботи з нею.

Не дуже давно мені довелось читати в якомусь журналі про основи інформаційної безпеки на одному із семінарів для керівників керувань автоматизації комерційних банків. На питання: “чи знаєте ви, скільки чоловік мають право входити в приміщення, де знаходиться сервер бази даних Вашого банку?”, ствердно відповіло не більш 40% присутніх. Пофамільно назвати тих, хто має таке право, змогли лише 20%. В інших банках доступ у це приміщення не обмежений і ніяк не контролюється. Що говорити про доступ до робочих станцій!Що стосується автоматизованих банківських систем, те найбільш розповсюджені системи третього-другого поколінь, складаються з набору автономних програмних модулів, що запускаються з командного рядка DOS на робочих станціях. Оператор має можливість у будь-який момент вийти в DOS з такого програмного модуля. Передбачається, що це необхідно для переходу в інший програмний модуль, але фактично в такій системі не існує ніяких способів не тільки виключити запуск оператором будь-яких інших програм (від необразливої гри до програми, що модифікує дані банківських рахунків), але і проконтролювати дії оператора. Варто помітити, що в ряді систем цих поколінь, у тому числі розроблених дуже шановними вітчизняними фірмами і продаваних сотнями, файли рахунків не шифруються, тобто з даними в них можна ознайомитися найпростішими загальнодоступними засобами. Багато розроблювачів обмежують засоби адміністрування безпеки штатними засобами мережної операційної системи: ввійшов у мережу – і роби, що хочеш.

Стан змінюється, але занадто повільно. Навіть у багатьох нових розробках питанням безпеки приділяється явно недостатня увага. На виставці “Банк і Офіс - 95” була представлена автоматизована банківська система з архітектурою сервер-клієнт-сервер, причому робочі станції функціонують під Windows. У цій системі дуже своєрідно вирішений вхід оператора в програму: у діалоговому вікні запитується пароль, а потім пред'являється на вибір список прізвищ всіх операторів, що мають право працювати з даним модулем! Таких прикладів можна привести ще багато.

Проте, наші банки приділяють інформаційним технологіям багато уваги, і досить швидко засвоюють нове. Мережа Internet і фінансові продукти, зв'язані з нею, ввійдуть у життя банків України швидше, ніж це припускають скептики, тому вже зараз необхідно затурбуватися питаннями інформаційної безпеки на іншому, більш професійному рівні, чим це робилося дотепер.

Деякі рекомендації:

1. Необхідний комплексний підхід до інформаційної безпеки. Інформаційна безпека повинна розглядатися як складова частина загальної безпеки причому як важлива і невід'ємна її частина. Розробка концепції інформаційної безпеки повинна обов'язково проходити при участі керування безпеки банку. У цій концепції варто передбачати не тільки міри, зв'язані з інформаційними технологіями (криптозахист, програмні засоби адміністрування прав користувачів, їхньої ідентифікації й аутентифікації, “брандмауери” для захисту входів-виходів мережі і т.п.), але і міри адміністративного і технічного характеру, включаючи жорсткі процедури контролю фізичного доступу до автоматизованої банківської системи, а також засобу синхронізації й обміну даними між модулем адміністрування безпеки банківської системи і системою охорони.

2. Необхідна участь співробітників керування безпеки на етапі вибору-придбання-розробки автоматизованої банківської системи. Це участь не повинна зводитися до перевірки фірми-постачальника. Керування безпеки повинне контролювати наявність належних засобів розмежування доступу до інформації в системі, що отримується.

2.2 Засоби захисту інформації

Зараз навряд чи комусь треба доводити, що при підключенні до Internet Ви піддаєте ризику безпеку Вашої локальної мережі і конфіденційність інформації, що міститься в ній. За даними CERT Coordination Center у 1995 році було зареєстровано 2421 інцидентів - зломів локальних мереж і серверів. За результатами опитування, проведеного Computer Security Institute (CSI) серед 500 найбільш великих організацій, компаній і університетів з 1991 число незаконних вторгнень зросло на 48.9 %, а втрати, викликані цими атаками, оцінюються в 66 млн. доларів США.

Одним з найбільш розповсюджених механізмів захисту від интернетівських бандитів - “хакерів” є застосування міжсіткових екранів - брендмауерів (firewalls).

Варто відзначити, що в наслідок непрофесіоналізму адміністраторів і недоліків деяких типів брендмауерів біля 30% зломів відбувається після встановки захисних систем.

Не слід думати, що усе викладене вище - “заморські дивини”. Усім, хто ще не упевнений, що Україна впевнено доганяє інші країни по кількості зломів серверів і локальних мереж і принесеному ними збитку, варто познайомитися з тематичною добіркою матеріалів української преси і матеріалами Hack Zone (Zhurnal.Ru).

Не дивлячись на удаваний правовий хаос у області яку розглядаємо, будь-яка діяльність по розробці, продажу і використанню засобів захисту інформації регулюється безліччю законодавчих і нормативних документів, а усі використовувані системи підлягають обов'язкової сертифікації Державної Технічної Комісії при президенті України.

2.2.1 Технологія роботи в глобальних мережах Solstice FireWall-1В даний час питанням безпеки даних у розподілених комп'ютерних системах приділяється дуже велика увага. Розроблено безліч засобів для забезпечення інформаційної безпеки, призначених для використання на різних комп'ютерах з різними ОС. У якості одного з напрямків можна виділити міжсіткові екрани (firewalls), покликані контролювати доступ до інформації з боку користувачів зовнішніх мереж.

Тут ми розглянемо основні поняття систем, що екранують, а також вимоги, пропоновані до них. На прикладі пакета Solstice FireWall-1 розглядається кілька типових випадків використання таких систем, особливо стосовно до питань забезпечення безпеки Internet-підключень. Розглянуто також кілька унікальних особливостей Solstice FireWall-1, що дозволяють говорити про його лідерство в даному класі додатків.

ПРИЗНАЧЕННЯ СИСТЕМ, ЩО ЕКРАНУЮТЬ, І ВИМОГИ ДО НИХ

Проблема міжсіткового екранування формулюється в такий спосіб. Нехай маємо дві інформаційні системи чи дві безлічі інформаційних систем. Екран (firewall) – це засіб розмежування доступу клієнтів з однієї безлічі систем до інформації, що зберігається на серверах в іншій безлічі.

Малюнок 2.2.1

Малюнок 2.2.1 Екран FireWall.

Екран виконує свої функції, контролюючи всі інформаційні потоки між цими двома безлічами інформаційних систем, працюючи як деяка “інформаційна мембрана”. У цьому змісті екран можна уявляти собі як набір фільтрів, що аналізують проходячу через них інформацію і, на основі закладених у нього алгоритмів, приймає рішення: чи пропустити цю інформацію чи відмовити в її пересиланні. Крім того, така система може виконувати реєстрацію подій, зв'язаних із процесами розмежування доступу. Зокрема, фіксувати всі “незаконні” спроби доступу до інформації і, додатково, сигналізувати про ситуації, що вимагають негайної реакції, тобто здіймати тривогу.

Звичайно екранують системи роблять несиметричними. Для екранів визначаються поняття “усередині” і “зовні”, і завдання екрана полягає в захисті внутрішньої мережі від “потенційно ворожого” оточення. Найважливішим прикладом потенційно ворожої зовнішньої мережі є Internet.

Розглянемо більш докладно, які проблеми виникають при побудові систем, що екранують. При цьому ми будемо розглядати не тільки проблему безпечного підключення до Internet, але і розмежування доступу усередині корпоративної мережі організації.

По-перше, очевидна вимога до таких систем, це забезпечення безпеки внутрішньої (що захищаються) мережі і повний контроль над зовнішніми підключеннями і сеансами зв'язку.

По-друге, екрануюча система повинна мати могутні і гнучкі засоби керування для простого і повного втілення в життя політики безпеки організації і, крім того, забезпечення простої реконфігурації системи при зміні структури мережі.

По-третє, екрануюча система повинна працювати непомітно для користувачів локальної мережі і не утрудняти виконання ними легальних дій.

По-четверте, екрануюча система повинна працювати досить ефективно і встигати обробляти весь вхідний і вихідний трафік у “пікових” режимах. Це необхідно для того, щоб firewall не можна було, образно говорячи, “закидати” великою кількістю викликів, що привели б до порушення її роботи.

По-п'яте. Система забезпечення безпеки повинна бути сама надійно захищена від будь-яких несанкціонованих впливів, оскільки вона є ключем до конфіденційної інформації в організації.

По-шосте. В ідеалі, якщо в організації є кілька зовнішніх підключень, у тому числі й у віддалених філіях, система керування екранами повинна мати можливість централізовано забезпечувати для них проведення єдиної політики безпеки.

По-сьоме. Система Firewall повинна мати засіб авторизації доступу користувачів через зовнішні підключення. Типової є ситуація, коли частина персоналу організації повинна виїжджати, наприклад, у відрядження, і в процесі роботи їм, тим немение, потрібно доступ, принаймні, до деяких ресурсів внутрішньої комп'ютерної мережі організації. Система повинна вміти надійно розпізнавати таких користувачів і надавати їм необхідний доступ до інформації.

СТРУКТУРА СИСТЕМИ SOLSTICE FIREWALL-1

Класичним прикладом, на якому хотілося б проілюструвати усі вищевикладені принципи, є програмний комплекс Solstice FireWall-1 компанії Sun Microsystems. Даний пакет неодноразово відзначався нагородами на виставках і конкурсах. Він має багато корисних особливостей, що виділяють його серед продуктів аналогічного призначення. Розглянемо основні компоненти Solstice FireWall-1 і функції, що реалізуються (мал. 2.2.2).

Центральним для системи FireWall-1 є модуль керування всім комплексом. З цим модулем працює адміністратор безпеки мережі. Слід зазначити, що продуманість і зручність графічного інтерфейсу модуля керування відзначалася в багатьох незалежних оглядах, присвячених продуктам даного класу.

Малюнок 2.2.2

Малюнок 2.2.2 Основні компоненти Solstice FireWall-1 .

Адміністратору безпеки мережі для конфігурування комплексу FireWall-1 необхідно виконати наступний ряд дій:• Визначити об'єкти, що беруть участь у процесі обробки інформації. Тут маються на увазі користувачі і групи користувачів, комп'ютери і їхні групи, маршрутизатори і різні подсітки локальної мережі організації.

• Описати сіткові протоколи і сервіси, з якими будуть працювати додатки. Утім, звичайно достатнім виявляється набір з більш ніж 40 описів, що поставляються із системою FireWall-1.

• Далі, за допомогою введених понять описується політика розмежування доступу в наступних термінах: “Групі користувачів А дозволений доступ до ресурсу Б з допомогою сервісу чи протоколу 3, але при цьому необхідно зробити позначку в реєстраційному журналі”. Сукупність таких записів компілюється в здійсненну форму блоком керування і далі передається на виконання в модулі фільтрації.

Модулі фільтрації можуть розташовуватися на комп'ютерах - чи шлюзах виділених серверах - чи в маршрутизаторах як частина конфігураційної інформації. В даний час підтримуються наступні два типи маршрутизаторів: Cisco IOS 9.x, 10.x, а також BayNetworks (Wellfleet) OS v.8.

Модулі фільтрації переглядають усі пакети, що надходять на сіткові інтерфейси, і, у залежності від заданих правил, чи пропускають відкидають ці пакети, з відповідною записом у реєстраційному журналі. Слід зазначити, що ці модулі, працюючи безпосередньо з драйверами мережних інтерфейсів, обробляють весь потік даних, розташовуючи повною інформацією про передані пакети.

ПРИКЛАД РЕАЛІЗАЦІЇ ПОЛІТИКИ БЕЗПЕКИ

Розглянемо процес практичної реалізації політики безпеки організації за допомогою програмного пакета FireWall-1. (мал. 2.2.3) .

Малюнок 2.2.3

Малюнок 2.2.3 Реалізація політики безпеки FireWall.

1. Насамперед, як уже відзначалося, розробляються і затверджуються на рівні керівництва організації правила політики безпеки.

2. Після утвердження ці правила треба втілити в життя. Для цього їх потрібно перевести в структуру типу “відкіля, куди і яким способом доступ дозволений чи, навпаки, заборонений. Такі структури, як ми вже знаємо, легко переносяться в бази правил системи FireWall-1.

3. Далі, на основі цієї бази правил формуються списки доступу для маршрутизаторів і сценарії роботи фільтрів на мережних шлюзах. Списки і сценарії далі переносяться на фізичні компоненти мережі, після чого правила політика безпеки “набирає сили”.

4. У процесі роботи фільтри пакетів на шлюзах і серверах генерують запис про всі події, що їм наказали відслідковувати, а, також, запускають механізми “тривоги”, що вимагають від адміністратора негайної реакції.

5. На основі аналізу записів, зроблених системою, відділ комп'ютерної безпеки організації може розробляти пропозиції по зміні і подальшому розвитку політики безпеки.

Розглянемо простий приклад реалізації наступних правил:

1. З локальних мереж підрозділів, можливо віддалених, дозволяється зв'язок з будь-якою локальною мережею організації після аутентифікації, наприклад, по UNIX-паролю.

2. Усім забороняється доступ до мережі фінансового департаменту, за винятком генерального директора і директора цього департаменту.

3. З Internet дозволяється тільки відправляти й одержувати пошту. Про всі інші спроби зв'язку необхідно робити докладний запис.

Усі ці правила природним образом представляються засобами графічного інтерфейсу Редактора Правил FireWall-1 (мал. 2.2.4).

Малюнок 2.2.4

Малюнок 2.2.4 Графічний інтерфейс Редактора Правил FireWall-1 .

Після завантаження правил, FireWall-1 для кожного пакета, переданого по мережі, послідовно переглядає список правил до перебування елемента, що відповідає поточному випадку.

Важливим моментом є захист системи, на якій розміщений адміністративно-конфігураційний модуль FireWall-1. Рекомендується заборонити засобами FireWall-1 усі види доступу до даної машини, чи принаймні строго обмежити список користувачів, яким це дозволено, а також ужити заходів по фізичному обмеженню доступу і по захисту звичайними засобами ОС UNIX.

КЕРУВАННЯ СИСТЕМОЮ FIREWALL-1

На мал. 2.2.5 показані основні елементи керування системою FireWall-1.

Малюнок 2.2.5

Малюнок 2.2.5 Основні елементи керування системою FireWall-1.

Ліворуч розташовані редактори баз даних про об'єкти, що існують у мережі і про чи протоколи сервісах, за допомогою яких відбувається обмін інформацією. Праворуч угорі показаний редактор правил доступу.

Праворуч унизу розташовується інтерфейс контролю поточного стану системи, у якому для всіх об'єктів, що заніс туди адміністратор, відображаються дані про кількість дозволених комунікацій (галочки), про кількість відкинутих зв'язків (знак “цегла”) і про кількість комунікацій з реєстрацією (іконка олівець). Цегельна стіна за символом об'єкта (комп'ютера) означає, що на ньому встановлений модуль фільтрації системи FireWall-1.

ЩЕ ОДИН ПРИКЛАД РЕАЛІЗАЦІЇ ПОЛІТИКИ БЕЗПЕКИ

Розглянемо тепер випадок, коли первісна конфігурація мережі міняється, а разом з нею міняється і політика безпеки.Нехай ми вирішили установити в себе в організації кілька загальнодоступних серверів для надання інформаційних послуг. Це можуть бути, наприклад, сервери World Wide Web, FTP чи інші інформаційні сервери. Оскільки такі системи відособлені від роботи всієї іншої мережі організації, для них часто виділяють свою власну подсеть, що має вихід у Internet через шлюз (мал. 2.2.6).

Малюнок 2.2.6

Малюнок 2.2.6 Схема шлюзу Internet.

Оскільки в попередньому прикладі локальна мережа була вже захищена, те усе, що нам треба зробити, це просто дозволити відповідний доступ у виділену подсеть. Це робиться за допомогою одного додаткового рядка в редакторі правил, що тут показана. Така ситуація є типової при зміні конфігурації FireWall-1. Звичайно для цього потрібно зміна однієї чи невеликого числа рядків у наборі правил доступу, що, безсумнівно, ілюструє міць засобів конфігурування і загальну продуманість архітектури FireWall-1.

АУТЕНФИКАЦІЯ КОРИСТУВАЧІВ ПРИ РОБОТІ З FTP

Solstice FireWall-1 дозволяє адміністратору установити різні режими роботи з інтерактивними сервісами FTP і telnet для різних користувачів і груп користувачів. При встановленому режимі аутентифікації, FireWall-1 заміняють стандартні FTP і telnet демони UNIX на свої власні, розташовуючи їх на шлюзі, закритому за допомогою модулів фільтрації пакетів. Користувач, що бажає почати інтерактивну сесію по FTP чи telnet (це повинено бути дозволений користувач і в дозволене для нього час), може зробити це тільки через вхід на такий шлюз, де і виконується вся процедура аутентифікації. Вона задається при описі чи користувачів груп користувачів і може проводитися такими способами:

• Unix-пароль;

• програма S/Key генерації одноразових паролів;

• картки SecurID з апаратною генерацією одноразових паролів.

ГНУЧКІ АЛГОРИТМИ ФІЛЬТРАЦІЇ UDP-ПАКЕТІВ, ДИНАМІЧНЕ ЕКРАНУВАННЯ

UDP-протоколи, що входять до складу набору TCP/IP, являють собою особливу проблему для забезпечення безпеки. З однієї сторони на їхній основі створена безліч додатків. З іншого боку, усі вони є протоколами “без стану”, що приводить до відсутності розходжень між запитом і відповіддю, що приходить мережі, що ззовні захищається.

Пакет FireWall-1 вирішує цю проблему створенням контексту з'єднань поверх UDP сесій, запам'ятовуючи параметри запитів. Пропускаються назад тільки відповіді зовнішніх серверів на вислані запити, що однозначно відрізняються від будь-яких інших UDP-пакетів (читай: незаконних запитів), оскільки їхні параметри зберігаються в пам'яті FireWall-1.

Слід зазначити, що дана можливість присутня в дуже деяких програмах екранування, розповсюджуваних у даний момент.

Помітимо також, що подібні механізми задіються для додатків, що використовують RPC, і для FTP сеансів. Тут виникають аналогічні проблеми, зв'язані з динамічним виділенням портів для сеансів зв'язку, що FireWall-1 відслідковує аналогічним образом, запам'ятовуючи необхідну інформацію при запитах на такі сеанси і забезпечуючи тільки “законний” обмін даними.

Дані можливості пакета Solstice FireWall-1 різко виділяють його серед всіх інших межсіткових екранів. Уперше проблема забезпечення безпеки вирішена для усіх без винятку сервісів і протоколів, що існують у Internet.

МОВА ПРОГРАМУВАННЯ

Система Solstice FireWall-1 має власну вбудовану об’єктно-орієнтовану мову програмування, застосовувану для опису поводження модулів-фільтрів системи. Власне кажучи, результатом роботи графічного інтерфейсу адміністратора системи є згенерований сценарій роботи саме на цій внутрішній мові. Він не складний для розуміння, що допускає безпосереднє програмування на ньому. Однак на практиці дана можливість майже не використовується, оскільки графічний інтерфейс системи і так дозволяє зробити практично усе, що потрібно.

ПРОЗОРІСТЬ І ЕФЕКТИВНІСТЬ

FireWall-1 цілком прозорий для кінцевих користувачів. Ще однією чудовою властивістю системи Solstice FireWall-1 є дуже висока швидкість роботи. Фактично модулі системи працюють на мережевих швидкостях передачі інформації, що обумовлено компіляцією згенерованих сценаріїв роботи перед підключенням їхній безпосередньо в процес фільтрації.

Компанія Sun Microsystems приводить такі дані про ефективність роботи Solstice FireWall-1. Модулі фільтрації на Internet-шлюзі, зконфігуровані типовим для багатьох організацій чином, працюючи на швидкостях звичайного Ethernet у 10 Мб/сек, забирають на себе не більш 10% обчислювальної потужності процесора SPARCstation 5,85 Мгц чи комп'ютера 486DX2-50 з операційною системою Solaris/x86.

Solstice FireWall-1 - ефективний засіб захисту корпоративних мереж і їхніх сегментів від зовнішніх погроз, а також від несанкціонованих взаємодій локальних користувачів із зовнішніми системами.

Solstice FireWall-1 забезпечує високорівневу підтримку політики безпеки організації стосовно всіх протоколів сімейства TCP/IP.Solstice FireWall-1 характеризується прозорістю для легальних користувачів і високою ефективністю. За сукупності технічних і вартісних характеристик Solstice FireWall-1 займає лідируючу позицію серед міжсіткових екранів.

2.2.2 Обмеження доступу в WWW серверах

Розглянемо два з них:

• Обмежити доступ по IP адресах клієнтських машин;

• Ввести ідентифікатор одержувача з паролем для даного виду документів.

Такого роду введення обмежень стало використовуватися досить часто, тому що багато хто прагнуть у Internet, щоб використовувати його комунікації для доставки своєї інформації споживачу. За допомогою такого роду механізмів по розмежуванню прав доступу зручно робити саморозсилання інформації на одержання якої існує договір.

Обмеження по IP адресах

Доступ до приватних документів можна дозволити, або навпаки заборонити використовуючи IP адреси конкретних чи машин сіток, наприклад:

123.456.78.9

123.456.79.

У цьому випадку доступ буде дозволений (чи заборонений у залежності від контексту) для машини з IP адресою 123.456.78.9 і для всіх машин підсітки 123.456.79.

Обмеження по ідентифікаторі одержувача

Доступ до приватних документів можна дозволити, або навпаки заборонити використовуючи привласнене ім'я і пароль конкретному користувачу, причому пароль у явному вигляді ніде не зберігається.

Розглянемо такий приклад: Агенство друку надає свою продукцію, тільки своїм передплатникам, що уклали договір і оплатили підписку. WWW Сервер знаходиться в мережі Internet і загальнодоступний.

Малюнок 2.2.7

Малюнок 2.2.7 Приклад списку вісників видавництва.

Виберемо Вісник, наданий конкретному передплатнику. На клієнтському місці передплатник одержує повідомлення:

Малюнок 2.2.8

Малюнок 2.2.8 Вікно введення пароля.

Якщо він правильно написав своє ім'я і пароль, то він допускається до документа, у противному випадку - одержує повідомлення:

Малюнок 2.2.9

Малюнок 2.2.9 Вікно неправильного введення пароля.

2.3 Інформаційна безпека в Intranet

Архітектура Intranet має на увазі підключення до зовнішніх відкритих мереж, використання зовнішніх сервісів і надання власних сервісів зовні, що висуває підвищені вимоги до захисту інформації.

У Intranet-системах використовується підхід клієнт-сервер, а головна роль на сьогоднішній день приділяється Web-сервісу. Web-сервери повинні підтримувати традиційні захисні засоби, такі як аутентифікація і розмежування доступу; крім того, необхідне забезпечення нових властивостей, особливо безпеки програмного середовища і на серверної, і на клієнтської сторонах.

Такі, якщо говорити зовсім коротко, задачі в області інформаційної безпеки, що виникають у зв'язку з переходом на технологію Intranet. Далі ми розглянемо можливі підходи до їх рішення.

Формування режиму інформаційної безпеки - проблема комплексна.

Заходи для її рішення можна розділити на чотири рівні:

• законодавчий (закони, нормативні акти, стандарти і т.п.);

• адміністративний (дії загального характеру, що починаються керівництвом організації);

• процедурний (конкретні міри безпеки, що мають справа з людьми);

• програмно-технічний (конкретні технічні міри).

У такому порядку і буде побудований наступний виклад.

ЗАКОНОДАВЧИЙ РІВЕНЬ

Внимание, отключите Adblock

Вы посетили наш сайт со включенным блокировщиком рекламы!
Ссылка для скачивания станет доступной сразу после отключения Adblock!

Скачать