контроль целостности файловой системы и соответственно всей системы в целом.
Система защиты информации от НСД в ОС МСВС 3.0 представляет собой комплексную систему, включающую средства защиты и утилиты настройки средств защиты информации к которым относятся подгружаемые аутентификационные модули (ПАМ), фильтр пакетов, система контроля целостности и система защиты от сканирования портов. ПАМ имеет возможность сильно изменять защиту системы. Можно либо не иметь никакой защиты либо ставить абсолютную защиту.
Для контроля целостности в ОС создается база данных по файлам, в которой хранятся такие атрибуты как: размер, время создания, владелец, группа, права и т.д. Эти атрибуты должны оставаться неизменными в процессе нормальной жизнедеятельности системы, а любое изменение одного из них является сигналом опасности. А возможность подмены нарушителем программы или внедрения в систему "троянского коня" всегда существует.
Обычно чтобы судить о безопасности данных информации о файле недостаточно, злоумышленник может подделать и размер, и права, и владельца, и время создания файла. Поэтому существует еще дополнительная сигнатура - результат применения какой-нибудь односторонней функции к содержимому файла. Сигнатур может быть несколько. Специальная программа (aide. conf) периодически проверяет соответствие данных базы с данными реальной файловой системы и в случае обнаружения несоответствия администратору выдается предупреждение. Основной конфигурационный файл этой программы находиться в корневом каталоге. В файле можно указать множество параметров, но для начала достаточно только тех, которые указывают какие файлы добавлять в базу и какие атрибуты сохранять при этом. Он содержит набор строк, каждая из которых есть имя файла и далее через пробел его атрибуты и сигнатуры. База защищается системой разграничения доступа. Указываются координаты входной и выходной баз данных. Баз две, потому, что вновь создаваемая не совпадает с рабочей. Это еще один элемент защиты. Нарушитель не сможет заменить рабочую базу на фальшивую. Более того, базы могут располагаться на каком-нибудь центральном сервере;
Требование-6, 7,8. Для защиты от злоумышленных действий пользователей в О.С. применяется фильтрация, а для осуществления фильтрации пакетов в составе СЗИ ОС МСВС 3.0 работает фильтр пакетов ipchains. Он выполняет основные задачи фильтрации пакетов, трансляции сетевых адресов и прозрачного проксирования.
Фильтрация пакетов - это механизм, который, основываясь на некоторых правилах, разрешает или запрещает передачу информации, проходящей через него, с целью ограждения некоторой подсети от внешнего доступа, или, наоборот, для недопущения выхода наружу. Фильтр пакетов может определять правомерность передачи информации на основе только заголовков IP-пакетов, а может анализировать и их содержимое, т.е. использовать данные протоколов более высокого уровня.
Трансляция сетевых адресов (маскарад) представляет собой подмену некоторых параметров в заголовках IP-пакетов. Используется для сокрытия реальных IP-адресов компьютеров защищаемой ЛВС, а также для организации доступа из ЛВС с компьютерами, не имеющими реальных IP-адресов, к глобальной сети.
Прозрачное проксирование - это переадресация пакетов на другой порт компьютера. Обычно используется для того, чтобы заставить пользователей из ЛВС пользоваться proxy-сервером маршрутизатора без дополнительного конфигурирования их клиентских программ. Ядро ОС запускается с тремя встроенными наборами правил фильтрации пакетов, которые называются входной (input), выходной (output) и пересылочный (forward). В дополнение к встроенным можно создавать новые наборы правил. Наборы правил состоят из правил, каждое из которых содержет условие и, возможно, действие, которое надо произвести с пакетом, если его параметры соответствуют заданному условию. Если пакет не соответствует условию, то проверяется следующее правило в наборе правиле. Если пакет не удовлетворяет ни одному условию, используется политика по умолчанию данного набора правил. В защищенных системах эта политика требует уничтожить или отвергнуть пакет.
Еще одним важным аспектом безопасности системы является защита от сканирования портов. Это один из самых распространенных и простых способов узнать, какая ОС установлена на компьютере, какие службы запущены в данный момент и получить другую информацию о компьютере, подключенном к ЛВС. Эта информация может быть использована для взлома и проникновения в систему. Поэтому важно не только обнаружение факта сканирования портов, но и принятие адекватных мер по их пресечению. Адекватная мера может заключаться в отправке в сторону сканирующего нарушителя неправильно фрагментированного пакета, ответного сканирования портов, включения фильтра пакетов и т.д. Так же желательно, чтобы нарушитель получил недостоверную информацию об открытых портах на контролируемом компьютере.
Система защиты МСВС 3.0 от сканирования портов обладает следующими основными возможностями:
обнаруживает практически все известные виды сканирования: TCP connect (), SYN/half-open, Null, XMAS и т.д.;
в реальном времени блокирует компьютер сканировщика посредством включения на атакуемом компьютере фильтра пакетов (для ОС МСВС 3.0 - ipchains), команду запуска которого можно задать в файле конфигурации;
записывает в файл регистрации посредством syslogd информацию об атаке;
вызывает любую указанную в файле конфигурации программу, в ответ на сканирование или подключение к защищенному порту, параметрами программы могут являться IP-адрес атакующего компьютера и атакуемый порт.
Существует возможность учета числа неудачных попыток входа в систему и ограничения числа этих попыток до того как она будет заблокирована.
ДОПОЛНИТЕЛЬНЫЕ ТРЕБОВАНИЯ:
Требование-9. Встроенных средств стирания остаточной информации нет;
Требование-10. Возможность ограничения числа попыток входа в систему отсутствует, но администратор может указывает дату окончания прав доступа, даты когда необходимо сменить пароль, и за сколько дней предупреждать о смене пароля;
Требование-11. В ОС МСВС 3.0 встроены механизмы мандатного, дискреционного и ролевого управления доступом.Т. е. одновременно реализуется мандатная и дискреционная модели доступа к информации. Данные механизмы реализуются посредствам интерактивной графической среды KDE;
Требование-12. Эргономические требования в основном аналогичны ОС UNIX. Но для улучшения и упрощения пользовательского интерфейса устанавливается интегрированная графическая среда KDE.
ОБЯЗАТЕЛЬНЫЕ ТРЕБОВАНИЯ:
Требование-1. Данная ОС не сертифицирована для использования в военных организациях, но уже долгое время занимает важное место среди сетевых операционных систем благодаря широким возможностям администрирования;
Требование-2. В версии NetWare 4. x используется надежная схема идентификации пользователя при входе в сеть. Она основанная на использовании технологии защиты RSA public key/private key. При использовании этой технологии пароль и личный ключ пользователя никогда не передаются по кабелям, что полностью исключает возможность узнать чужой пароль. В службу каталогов NDS введен новый уровень управления доступом, который может быть введен в действие администратором в любой части сети.
С точки зрения защиты ОС NetWare не делает различия между операционными системами рабочих станций. Станции, работающие под управлением DOS, Windows, OS/2, Macintosh и Unix, обслуживаются совершенно одинаково, и все функции защиты применяются ко всем операционным системам, которые могут использоваться в сети NetWare. И это конечно является плюсом, т.к комплексное использование разных ОС повышает степень защищенности сети (организации) в целом;
Требование-3. Версии выше 3. х имеют многоуровневую систему защиты каталогов и файлов, а также осуществляют контроль доступа пользователей к сети. В NetWare 4.0х предусмотрены дополнительные уровни безопасности. В частности, в предыдущих версиях обязательно есть пользователь с именем "суперпользователь", обладающий всеми административными полномочиями в сети. Поэтому постороннему лицу достаточно подобрать пароль, чтобы затем войти в сеть под именем "суперпользователь". Это является довольно слабым местом в операционной системе. В версиях NetWare 4.0х существует возможность назначить администратору сети любое имя, что уменьшает риск входа взломщика в сеть под видом администратора;
Требование-4. Криптографической защите, как и в других ОС, в NetWare уделяется важная роль. Начиная с версии NetWare 3.12 пароли хранятся на сервере в зашифрованном виде, а пароль, задаваемый пользователем, передается по кабелю также в зашифрованном виде. Это обеспечивает защиту от попыток узнать пароль путем "прослушивания" сети. В версиях выше 4.0х используется новая технология передачи пароля по сети, основанная на разделении ключей. При входе пользователя в сеть сервер направляет рабочей станции запрос на идентификацию, зашифрованный с помощью пароля пользователя, случайного ключа и личного ключа пользователя. Рабочая станция расшифровывает этот запрос, используя случайный ключ и пароль, и получает значение личного ключа пользователя, который в дальнейшем используется при доступе ко всем сетевым ресурсам. Таким образом, ни личный ключ пользователя, ни пароль не передаются в явном виде по сети, что исключает возможность их перехвата и подделки;
Требование-5. Важной особенностью является повышающая безопасность - возможность контролировать изменения в файловой системе. Пользователь может, например, следить за тем, кто создает и модифицирует сетевые объекты, кто и как использует те или иные файлы.