В основе этой схемы авторизации лежат три компонента:
— База данных, содержащая информацию по всем сетевым ресурсам, пользователям, паролям, шифровальным ключам и т. д.
— Авторизационный сервер, обрабатывающий все запросы пользователей на предмет получения того или иного вида сетевых услуг.
— Сервер выдачи разрешений получает от авторизационного сервера «пропуск», содержащий имя пользователя и его сетевой адрес, время запроса и ряд других параметров, а также уникальный сессионный ключ.
Среди других подобных комплексных схем можно отметить разработанную Европейской Ассоциацией Производителей Компьютеров (ЕСМА) систему Sesame, предназначенную для использования в крупных гетерогенных сетях.
Авторизация — предоставление аутентифицированному субъекту соответствующих (предписанных установленным порядком) прав на доступ к объектам системы: какие данные и как он может использовать (какие операции с ними выполнять), какие программы может выполнять, когда, как долго и с каких терминалов может работать, какие ресурсы системы может использовать и т. п. В большинстве систем защиты авторизация осуществляется многократно при каждой попытке доступа субъекта к конкретному объекту.
Авторизованный субъект доступа — субъект, которому предоставлены соответствующие права доступа к объектам системы (полномочия).
Авторизация пользователей осуществляется с использованием следующих основных механизмов реализации разграничения доступа:
• механизмов избирательного управления доступом, основанных на использовании атрибутных схем, списков разрешений и т. п.;
• механизмов полномочного управления доступом, основанных на использовании меток конфиденциальности ресурсов и уровней допуска пользователей;
• механизмов обеспечения замкнутой среды доверенного программного обеспечения (индивидуальных для каждого пользователя списков разрешенных для использования программ), поддерживаемых механизмами идентификации и аутентификации пользователей при их входе в систему.
Технические средства разграничения доступа к ресурсам АС должны рассматриваться как составная часть единой системы контроля доступа субъектов:
• на контролируемую территорию;
• в отдельные здания и помещения организации;
• к элементам АС и элементам системы защиты информации (физический доступ);
• к информационным и программным ресурсам АС.
Механизмы управления доступом субъектов к объектам доступа выполняют основную роль в обеспечении внутренней безопасности компьютерных систем. Их работа строится на концепции единого диспетчера доступа. Сущность этой концепции состоит в том, что диспетчер доступа (монитор ссылок) — выступает посредником-контролером при всех обращениях субъектов к объектам (рис.
2).
Рис. 2. Схема работы механизма разграничения доступа
Диспетчер доступа выполняет следующие основные функции:
• проверяет права доступа каждого субъекта к конкретному объекту на основании информации, содержащейся в базе данных системы защиты (правил разграничения доступа);
• разрешает (производит авторизацию) или запрещает (блокирует) доступ субъекта к объекту;
• при необходимости регистрирует факт доступа и его параметры в системном журнале (в том числе попытки несанкционированного доступа с превышением полномочий).
Основными требованиями к реализации диспетчера доступа являются:
• полнота контролируемых операций (проверке должны подвергаться все операции всех субъектов над всеми объектами системы, — обход диспетчера предполагается невозможным);
• изолированность диспетчера, то есть защищенность самого диспетчера от возможных изменений субъектами доступа с целью влияния на процесс его функционирования;
• возможность формальной проверки правильности функционирования;
• минимизация используемых диспетчером ресурсов (накладных расходов).
В общем виде работа средств разграничения доступа субъектов к объектам основана на проверке сведений, хранимых в базе данных защиты.
Под базой данных защиты (security database) понимают базу данных, хранящую информацию о правах доступа субъектов к объектам.
Для внесения изменений в базу данных защиты система разграничения доступа должна включать средства для привилегированных пользователей (администраторов безопасности, владельцев объектов и т. п.) по ведению этой базы. Такие средства управления доступом должны обеспечивать возможность выполнения следующих операций:
• добавления и удаления объектов и субъектов;
• просмотра и изменения соответствующих прав доступа субъектов к объектам.
Заключение
По результатам выполненной работы и проведенного анализа современных средств и способов защиты программных средств сетей ЭВМ можно сделать следующие выводы:
Специализированные программные средства защиты информации от несанкционированного доступа обладают в целом лучшими возможностями и характеристиками, чем встроенные средства сетевых ОС.
Каждое устройство защиты, работающее в сети, должно поддерживать взаимодействие с централизованной системой управления и получать от нее защищенным образом правила безопасности, относящиеся к данному устройству.
Современные технологии развития программных средств сетей ЭВМ развиваются в направлении сочетания программных и аппаратных средств защиты.
Средства защиты особенно тяготеют к фирменным решениям, т.к. отсутствие информации о способе защиты, безусловно, повышает эффективность защиты.
Варлатая С.К., Шаханова М. В. Программно-аппаратная защита информации: учеб. Пособие. — Владивосток: Изд-во ДВГТУ, 2007, 318с.
Малюк А. А. Информационная безопасность: концептуальные и методологические основы защиты информации, 2004, 280 стр.
Романец Ю.В., Тимофеев П. А., Шаньгин В. Ф. Защита информации в компьютерных системах и сетях. — М.: Радио и связь, 2001, 376 стр.
Скляров Д. В. Искусство защиты и взлома информации. — Спб.: BHV-Санкт-Петербург, 2004, 288 стр.
Ярочкин В. И. Безопасность информационных систем. — М.: Ось-89, 1996, 320 стр.
ГОСТ Р 51 188−98. Защита информации: Испытания программных средств на наличие компьютерных вирусов. Типовое руководство:
http://fmi.asf.ru/Library/Book/Gost/51 188−98.html
http://www.frolov-lib.ru/antivirus/articles/mir_pk2/index.html
http://www.it-sektor.ru/Antivirusnaya-zaschita-seteyi/Antivirusnaya-zaschita-seti.html
http://www.xserver.ru/computer/raznoe/bezopasn/2/
http://anx-int.narod.ru/lek/lek7/vop1.htm
http://www.osp.ru/os/1995/03/178 615/
Правила разграничения доступа
Диспетчер доступа
Журнал регистрации
Субъект доступа
Объект доступа
