Академический Документы
Профессиональный Документы
Культура Документы
Шаньгин
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
КОМПЬЮТЕРНЫХ СИСТЕМ
И СЕТЕЙ
Москва
ИД «ФОРУМ» - ИНФРА-М
2011
УДК 002.56(075.32)
ББК 32.973я723
Ш20
Рецензенты:
доктор технических наук, профессор, зав. кафедрой «Информатика
и программное обеспечение вычислительных систем» Московского
государственного института электронной техники
(Технического университета) J1. Г. Гагарина;
начальник ОМТС «Кедах Электронике
Инжиниринг» С. А. Костина
Шаньгин В. Ф.
Ш20 Информационная безопасность компьютерных систем и сетей:
учеб. пособие. — М.: ИД «ФОРУМ»: И Н Ф Р А -М , 2011. — 416 с.:
ил. — (Профессиональное образование).
ISBN 978-5-8199-0331-5 (ИД «ФОРУМ»)
ISBN 978-5-16-003132-3 (И Н Ф РА -М )
В учебном пособии формулируются основные понятия и определения
информационной безопасности и анализируются угрозы информацион
ной безопасности в компьютерных системах и сетях. Определяются базо
вые понятия политики безопасности. Рассматриваются основные крипто
графические методы и аігоритмы зашиты компьютерной информации.
Обосновывается комплексный подход к обеспечению информацион
ной безопасности корпоративных сетей. Описываются базовые техноло
гии зашиты межсетевого обмена данными. Рассматриваются методы и
средства антивирусной зашиты. Описывается организационно-правовое
обеспечение информационной безопасности на основе стандартов и руко
водящих документов Государственной технической комиссии России.
Предназначено в качестве учебного пособия для студентов, обучаю
щихся по соответствующим специальностям.
УДК 002.56(075.32)
ББК 32.973я723
Угроза отказа I
Угроза раскры Угроза наруше
Уровень доступа к Угроза наруше служб (отказа 1
тия параметров ния конфиден
информации в АС ния целостности доступа к ин
системы циальности
формации)
Сообщения
Прикладной Прикладной
уровень С - > уровень
Транспортный
f
Транспортный
*
уровень уровень
t Internet
IP пакеты
Internet
уровень < ■- ■ > уровень
Кадры
<1 = 0
Сетевой Сетевой
интерфейс интерфейс
IP- ТСР-
Internet уровень (Р) Данные
заголовок заголовок
Отправление Щ Получение
1 пакета
Нечестные
сотрудники
4 % Вирусы
Ошибки Проблемы
пользователей физической
и персонала безопасности
Злоумышленник
пользователь
Рис. 2.5. Угрозы при беспроводном доступе к локальной сети
3 .2 .3 . П р о ц ед ур ы безопасности
№
Стандарт Наименование
п/п
7 - 3348
Глава 5
ПРИНЦИПЫ КРИПТОГРАФИЧЕСКОЙ
ЗАЩИТЫ ИНФОРМАЦИИ
А Отправляемое
т сообщение
Открытый ключ
получателяКв
Рис. 5.4. Схема шифрования сообщения комбинированным методом
Секретный ключ
кв
получателя
Отправляемое
Секретный ключ сообщение
отправителя КА
Рис. 5.6. Схема формирования электронной цифровой подписи
От
отправителя
Сообщение
М ашшш, -
Сгенериро
ванный
дайджестт
Расшифро
Цифровая ванный
подпись - дайджестт'
Открытый ключ
кА
отправителя
5 .5 .2 . Ф ун кц ия хэш ирования
J
1. Хэш-функция может быть применена к аргументу любого
размера.
2. Выходное значение хэш-функции имеет фиксированный
размер.
3. Хэш-функцию h(x) достаточно просто вычислить для лю
бого х. Скорость вычисления хэш-функции должна быть такой,
чтобы скорость выработки и проверки ЭЦП при использовании
хэш-функции была значительно больше, чем при использовании
самого сообщения.
4. Хэш-функция должна быть чувствительна к всевозмож
ным изменениям в тексте М, таким как вставки, выбросы, пере
становки и т. п.
5. Хэш-функция должна быть однонаправленной, т. е. обла
дать свойством необратимости, иными словами, задача подбора
документа М', который обладал бы требуемым значением хэш-
функции, должна быть вычислительно неразрешима.
6. Вероятность того, что значения хэш-функций двух различ
ных документов (вне зависимости от их длин) совпадут, должна
быть ничтожно мала; т. е. для любого фиксированного л: с вы
числительной точки зрения невозможно найти х ' # х , такое, что
h(X) = h(x).
Теоретически возможно, что два различных сообщения могут
быть сжаты в одну и ту же свертку (так называемая коллизия,
или «столкновение»). Поэтому для обеспечения стойкости функ
ции хэширования необходимо избегать столкновений. Полно
стью столкновений избежать нельзя, поскольку в общем случае
количество возможных сообщений превышает количество воз
можных выходных значений функции хэширования. Однако ве
роятность столкновения должна быть низкой.
Свойство 5 эквивалентно тому, что Л( ) является односторон
ней функцией. Свойство 6 гарантирует, что не может быть най
дено другое сообщение, дающее ту же свертку. Это предотвра
щает фальсификацию сообщения.
Таким образом, функция хэширования может использовать
ся для обнаружения изменений сообщения, т. е. может служить
для формирования криптографической контрольной суммы (также
называемой кодом обнаружения изменений или кодом аутентифи
кации сообщения). В этом качестве хэш-функция используется
для контроля целостности сообщения при формировании и про
верке ЭЦП.
Хэш-функции широко используются также для аутентифика
ции пользователей. В ряде технологий информационной безо
пасности применяется своеобразный прием шифрования — шиф
рование с помощью односторонней хэш-функции. Своеобразие это
го шифрования заключается в том, что оно по существу является
односторонним, т. е. не сопровождается обратной процедурой —
расшифровыванием на приемной стороне. Обе стороны (отпра
витель и получатель) используют одну и ту же процедуру одно
стороннего шифрования на основе хэш-функции [62, 82].
Известные алгоритмы хэширования:
• отечественный стандарт ГОСТ P 34.ll—94 [12]. Вычисляет
хэш размером 32 байта;
• MD (Message Digest) — ряд алгоритмов хэширования, наи
более распространенных в мире. Например, алгоритм MD5
[62, 72] применяется в последних версиях Microsoft Win
dows для преобразования пароля пользователя в 16-байтное
число;
• SHA-1 (Secure Hash Algorithm) — это алгоритм вычисления
дайджеста сообщений, вырабатывающий 160-битовый хэш-
код входных данных, широко распространен в мире, ис
пользуется во многих сетевых протоколах защиты инфор
мации.
Хэш-функции широко используются также для аутентифи
кации пользователей.
6 .2 .1 . Основны е понят ия
Операция Результат
Исходный текст 100100
Гамма XOR 111000
Шифртекст = 011100
Ь02 Ь0з
СО
^оо ^01
о
о
а 01 а 02 а оз
а іо с а 13 Таблицы Ью L ^13
a ij *
замен
ьѵ .
а 20 < а 23 Ь2о Ь2з
-о°
а зо а 31 а 32 а зз
-О
*0 /
аоо а( % >2 аоз *( *03
оо
2
а: М 2 а 23
го
*20 * * : 2 *23
о
-Q
азо а t i l l 12 азз *: « 5 ? 2
со
со
*30
0)
го
а 01 а оз *00 *02
CN
а 20 а 21 а 22 а 23
© ^20 /с21 k 22 k 23 *20 *21 *22 *23
ыCD
Ш
со
ы
входных данных
Использование блока
входных данных
в качестве ключей
шифрования
(Пароль подлинный)
7 .3 .1 . Основны е понят ия
A ^ B : h ( r ) ,B ,P A(r,B); (1)
А-> В: г. (2)
8 .1 .1 . У грозы безопасности О С
8 .2 .4 . Аудит
9.1. Функции МЭ
9 .2 Л . П р и кл а д н о й шлюз
9 .2 .2 . Варианты исполнения М Э
Удаленный
пользователь
Рис. 10.1. Виртуальная защищенная сеть VPN
Для этих функций характерна взаимосвязь друг с другом. При
их реализации используются криптографические методы защиты
информации. Эффективность такой защиты обеспечивается за
счет совместного использования симметричных и асимметрич
ных криптографических систем. Туннель VPN, формируемый
устройствами VPN, обладает свойствами защищенной выделен
ной линии, которая развертывается в рамках общедоступной
сети, например Интернета. Устройства VPN могут играть в вирту
альных частных сетях роль VPN-клиента, VPN-сервера или шлю
за безопасности VPN.
VPN-клиент представляет собой программный или программ
но-аппаратный комплекс, выполняемый обычно на базе персо
нального компьютера. Его сетевое ПО модифицируется для вы
полнения шифрования и аутентификации трафика, которым это
устройство обменивается с другими VPN-клиентами, VPN-серве-
рами или шлюзами безопасности VPN. Обычно реализация
VPN-клиента представляет собой программное решение, допол
няющее стандартную ОС — Windows NT/2000/XP или Unix.
VPN-сервер представляет собой программный или программ
но-аппаратный комплекс, устанавливаемый на компьютере, вы
полняющем функции сервера. VPN-сервер обеспечивает защиту
серверов от НСД из внешних сетей, а также организацию защи
щенных соединений (ассоциаций) с отдельными компьютерами
и с компьютерами из сегментов локальных сетей, защищен
ных соответствующими VPN-продуктами. VPN-сервер является
функциональным аналогом продукта VPN-клиент для серверных
платформ. Он отличается прежде всего расширенными ресурса
ми для поддержания множественных соединений с VPN-клиен-
тами. VPN-сервер может поддерживать защищенные соединения
с мобильными пользователями.
Шлюз безопасности VPN (security gateway) — это сетевое уст
ройство, подключаемое к двум сетям и выполняющее функции
шифрования и аутентификации для многочисленных хостов,
расположенных за ним. Размещен шлюз безопасности VPN так,
чтобы через него проходил весь трафик, предназначенный для
внутренней корпоративной сети. Сетевое соединение шлюза
VPN прозрачно для пользователей позади шлюза, и представля
ется им выделенной линией, хотя на самом деле прокладывается
через открытую сеть с коммутацией пакетов. Адрес шлюза безо
пасности VPN указывается как внешний адрес входящего тунне
лируемого пакета, а внутренний адрес пакета является адресом
конкретного хоста позади шлюза. Шлюз безопасности VPN мо
жет быть реализован в виде отдельного программного решения,
отдельного аппаратного устройства, а также в виде маршрутиза
тора или МЭ, дополненных функциями VPN.
Открытая внешняя среда передачи информации включает
как каналы скоростной передачи данных, в качестве которой ис
пользуется сеть Интернет, так и более медленные общедоступ
ные каналы связи, в качестве которых обычно применяются ка
налы телефонной сети. Эффективность виртуальной частной
сети VPN определяется степенью защищенности информации,
циркулирующей по открытым каналам связи. Для безопасной
передачи данных через открытые сети широко используют ин
капсуляцию и туннелирование. С помощью методики туннелиро
вания пакеты данных передаются через общедоступную сеть, как
по обычному двухточечному соединению. Между каждой парой
«отправитель — получатель данных» устанавливается своеобраз
ный туннель — логическое соединение, позволяющее инкапсу
лировать данные одного протокола в пакеты другого.
Суть туннелирования состоит в том, чтобы инкапсулировать,
т. е. «упаковать», передаваемую порцию данных, вместе со слу
жебными полями, в новый «конверт». При этом пакет протокола
более низкого уровня помещается в поле данных пакета прото
кола более высокого или такого же уровня. Следует отметить,
что туннелирование само по себе не защищает данные от НСД
или искажения, но благодаря туннелированию появляется воз
можность полной криптографической защиты инкапсулируемых
исходных пакетов. Чтобы обеспечить конфиденциальность пере
даваемых данных, отправитель шифрует исходные пакеты, упа
ковывает их во внешний пакет с новым IP-заголовком и отправ
ляет по транзитной сети (рис. 10.2).
Особенность технологии туннелирования в том, что она по
зволяет зашифровывать исходный пакет целиком, вместе с заго-
Новый пакет
Новый Исходный
АН-заголовок ESP-заголовок Данные
ІР-заголовок ІР-заголовок
Исходный пакет
Зашифровано
Отправитель Получатель
/
Данные SG1 SG2 Данные Данные
пользователь
Прикладной
Влияют
Представительный на приложения
Протоколы Сеансовый
защищенного Транспортный
доступа
Сетевой
Прозрачны
Канальный для приложений
Физический
Центральный Удаленные
офис пользователи
Internet
Шлюз
безопасности
Мобильный
пользователь
Рис. 10.6. Виртуальная частная сеть с удаленным доступом
Удаленные
°Ф ИСЫ Центральный
Удаленные офисы
1 1 .1 .2 . Протокол L2TP
1 1 .2 .1 . Протоколы SSL/TLS
пользователя
Общие сведения
ІР-заголовок Транспортный
I
TCP- или UDP- Данны
S-адрес D-адрес заголовок
О 16 31
Порядковый номер SN
Аутентифицировано
IP-пакетпослепримененияпротоколаАНвтуннельномрежиме
Заголовок Заголовок
исходного Заголовок TCP Данные
внешнего Заголовок АН
ІР-пакета ІР-пакета (или UDP)
Аутентифицировано
IP-пакетпослепримененияпротоколаESPвтранспортномрежиме
Заголовок Заголовок Данные
Заголовок TCP Данные Трейлер
исходного аутентификации
ESP ESP
ІР-пакета (или UDP)
Зашифровано
Аутентифицировано
IP-пакетпослепримененияпротоколаESPвтуннельномрежиме
Заголовок Заголовок Заголовок Заголовок Трейлер Данные
внешнего исходного TCP Данные аутентификации
ESP ESP
ІР-пакета ІР-пакета (или UDP)
Зашифровано
Аутентифицировано
Intranet Intranet
Аутентификации
Протокол РАР
Протокол СНЛР
Проверяющая Проверяемая
сторона сторона
СНАР-вызов
Вычисление
СНАР-отклик хэш-кода
Вычисление
хэш-кода СНАР-подтверждение
Протокол S/Key
гФ"** Ресурс А
<5>
Ѳ-* Ресурс В
<£>
11 Пользователь
Сервер
L©-* Ресурс С
аутентификации
Сервер
GSO
1 KS
I Обозначения:
I
! KS — сервер системы Kerberos
I AS — сервер аутентификации
TGS — сервер службы выделения мандатов
RS — сервер информационных ресурсов
С — клиент системы Kerberos
1 3 .5 .1 . Принципы ф ункционирования Р КІ
□ Пользователь
Инфраструктура безопасности
Процесс
Модуль сканирования
управления
Процесс
обработки
Система ответов
генерации
IntemetScanner
Сканируемые
узлы
Web-cepeep
1. Система host-based D^ '
2. Система application-based
До межсетевого
экрана
Анализирующий
сервер 1
Интернет Консоль
управления
/4 .3 .4 . Методы реагирования
Электронная почта
В настоящее время глобальная сеть Internet является основ
ным источником вирусов. Большое число заражений вирусами
происходит при обмене письмами по электронной почте в фор
матах Microsoft Word. Электронная почта служит каналом рас
пространения макрокомандных вирусов, так как вместе с сооб
щениями часто отправляются офисные документы.
Заражения вирусами могут осуществляться как непреднаме
ренно, так и по злому умыслу. Например, пользователь заражен
ного макровирусом редактора, сам того не подозревая, может
рассылать зараженные письма адресатам, которые в свою очередь
отправляют новые зараженные письма и т. д. С другой стороны,
злоумышленник может преднамеренно послать по электронной
почте вместе с вложенным файлом исполняемый модуль вирус
ной или троянской программы, вредоносный программный сце
нарий Visual Basic Script, зараженную или троянскую программу
сохранения экрана монитора, словом — любой опасный про
граммный код.
Распространители вирусов часто пользуются для маскировки
тем фактом, что диалоговая оболочка Microsoft Windows по
умолчанию не отображает расширения зарегистрированных фай
лов. Например, файл с именем FreeCreditCard.txt.exe, будет по
казан пользователю как FreeCreditCard.txt. Если пользователь
попытается открыть такой файл, будет запущена вредоносная
программа.
Сообщения электронной почты часто приходят в виде доку
ментов HTML, которые могут включать ссылки на элементы
управления ActiveX, апплеты Java и другие активные компонен
ты. Из-за ошибок в почтовых клиентах злоумышленники могут
воспользоваться такими активными компонентами для внедре
ния вирусов и троянских программ на компьютеры пользовате
лей. При получении сообщения в формате HTML почтовый
клиент показывает его содержимое в своем окне. Если сообще
ние содержит вредоносные активные компоненты, они сразу же
запускаются и выполняют заложенные в них функции. Чаще
всего таким способом распространяются троянские программы и
черви.
Троянские W eb-сайты
Локальные сети
Антивирусные программы
1 6 .2 .1 . Основны е п о нятия
Сервер
приложения
Управление
Агент
Центр управления безопасности
средствами
Агент
информационной
безопасности безопасности Инфраструктурные
Сервер TGSM (системообразующие)
Шлюз службы
предприятия
Агент
Консоль безопасности
управления Клиент
GSM
Пользователь
(объект политики
безопасности)
— а
Рис. 16.2. Общая структурная схема системы управления средствами
информационной безопасности
Защита ресурсов
Интернет-ресурсы
Предисловие 3
Введение 5
Литература 401
Шаньгин Владимир Федорович
И н ф о р м ац и о н н ая б езоп асн ость
ком пью терны х си стем и сетей
Учебное пособие
Редактор Е. Г. Соболевская
Корректор Н. Н. Морозова
Компьютерная верстка И. В. Кондратьевой
Оформление серии К. В. Пономарева
Л Р № 071629 от 20.04.98
Издательский Дом «ФОРУМ»
101990, Москва — Центр, Колпачный пер., д. 9а
Тел./факс: (495) 625-39-27
E-mail: forum-books@mail.ru
Л Р № 070824 от 21.01.93
Издательский Дом «ИНФРА-М»
127282, Москва, Полярная ул., д. 31в
Тел/. (495) 380-05-40
Факс: (495) 363-92-12
E-mail: books@infra-m.ru
Http://www.infra-m.ru
Повопросамприобретениякнигобращайтесь:
Отделпродаж«ИНФРА-М»
127282, Москва, ул. Полярная, д. 31в
Тел.: (495) 363-42-60
Факс: (495) 363-92-12
E-mail: books@infra-m.ru
Центркомплектованиябиблиотек
119019, Москва, ул. Моховая, д. 16
(Российская государственная библиотека, кор. К)
Тел.: (495) 695-93-15