Особенности синтеза СЗИ АС от НСД

Определение компонентов КСЗИ

Гл а в а 9

Методика выявления нарушителей, тактики их действий и состава интересующей их информации

Одна из новейших технологий в области защиты информации — создание ложных объектов атаки — направлена на выявление на­рушителей и изучение их злоумышленных действий. Эта технология получила название «honeypot», или «honeynet», что в переводе с английского означает «горшочек с медом» и «медовая сеть» со­ответственно. Здесь проводится аналогия нарушителей, стремя­щихся атаковать привлекательный компьютер или сеть с мухами, летящими на сладкое. И подобно мухам нарушители «застревают» в honeypot, их действия становятся предметом тщательного изу­чения, а иногда по ним наносится ответный удар.

Honeypot — это информационная система, специально пред­назначенная для неправомерного доступа [28]. Фактически это обманка, привлекательный объект для атаки, находящийся под полным контролем специалистов по безопасностил Информаци­онная система honeypot может представлять собой как отдельный хост в сети, так и сеть, наполненную разного рода объектами: маршрутизаторами, серверами, рабочими станциями, реальными или виртуальными.

Выделяют два основных типа реализаций, эмулирующие и ре­альные, иногда их определяют как слабо- и высокоинтерактив­ные. Первые способны эмулировать взаимодействие от лица опре­деленного сервиса, например принять соединение на tcp порт 22, принять от атакующего имя пользователя и пароль (и т.д.), при этом фиксируя все действия атакующего. Высокоинтерактивные honeypot, основанные на применении реальных ОС и реальных сервисов, несколько сложнее в применении. Фактически они пред­ставляют собой специально спроектированные сетевые сегменты, подключенные к сетям общего пользования. Сетевой трафик между honeypot и внешним миром контролируется и фиксируется, что­бы полностью сохранить все действия атакующих.

Применение honeypot-систем в реальной жизни позволяет опре­делять факт атаки, предотвращать атаки на реальные сервисы и обеспечивать службу безопасности материалами для анализа и ответной деятельности.

Определение факта атаки заложено в саму идею honeypot: к honeypot не могут обращаться за сервисом реальные клиенты. Если к нему обратились, это свидетельствует о том или ином наруше­нии. Определение факта атаки является важным моментом для администраторов, так как позволяет оперативно принять меры противодействия.

Для определения компонентов СЗИ необходимо решить зада­чу синтеза этой системы. С одной стороны, СЗИ является состав­ной частью АС, с другой стороны, сама по себе представляет слож­ную техническую систему. Решение задач анализа и синтеза СЗИ усложняется рядом их особенностей; основные из них [6):

• сложная опосредованная взаимосвязь показателей качества СЗИ с показателями качества информационной системы;

• необходимость учета большого числа показателей (требова­ний) СЗИ при оценке и выборе их рационального варианта;

• преимущественно качественный характер показателей (тре­бований), учитываемых при анализе и синтезе СЗИ;

• существенная взаимосвязь и взаимозависимость этих показа­телей (требований), имеющих противоречивый характер;

• трудность получения исходных данных, необходимых для ре­шения задач анализа и синтеза СЗИ, в особенности на ранних этапах их проектирования.

Указанные особенности делают затруднительным применение традиционных математических методов, в том числе методов ма­тематической статистики и теории вероятностей, а также класси­ческих методов оптимизации для решения прикладных задач ана­лиза и синтеза СЗИ [6].

Сложность процесса принятия решений, отсутствие математи­ческого аппарата приводят к тому, что при оценке и выборе аль­тернатив возможно (а зачастую просто необходимо) использова­ние и обработка качественной экспертной информации.

Поэтому в данной главе помимо описания применяемых мето­дов оптимизации определенное внимание уделяется методам экс­пертной оценки.

После разработки формальной модели (описана в гл. И) на этапе синтеза осуществляются:

• синтез альтернативных структур системы;

• синтез параметров системы;

• оценивание вариантов синтезированной системы. Исходными положениями для методики синтеза является уже

существующая или проектируемая АС; известны ее архитектура и методы взаимодействия между ее компонентами. Должна быть задана политика безопасности обработки информации в рассмат­риваемой АС. Также считается известным возможный набор средств и механизмов обеспечения информационной безопасно­сти и ограничения по основным внешним характеристикам, на­кладываемых на АС (стоимость, производительность и т. п.). Кро­ме того, важное значение имеет правильный выбор критерия оп­тимальности.