В большинстве Web-серверов права разграничиваются с точностью до каталогов (директорий) с применением произвольного управления доступом. Могут предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д.

Для раннего выявления попыток нелегального проникновения в Web-сервер важен регулярный анализ регистрационной информации. Разумеется, защита системы, на которой функционирует Web-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Еще один общий принцип состоит в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи.

Аутентификация в открытых сетях

Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов, должны быть устойчивы к пассивному и активному прослушиванию сети. Суть их сводится к следующему. Субъект демонстрирует знание секретного ключа, при этом ключ либо вообще не передается по сети, либо передается в зашифрованном виде.

Субъект демонстрирует обладание программ­ным или аппаратным средством генерации одноразовых паролей или средством, работающим в режиме "запрос-ответ". Нетрудно заметить, что перехват и последующее воспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику. Субъект демонстрирует подлинность своего местоположения, при этом используется система навигационных спутников.

Виртуальные сети

Одной из важнейших задач является защита потоков корпоративных данных, передаваемых по открытым сетям. Открытые каналы могут быть надежно защищены лишь одним методом - криптографическим. Отметим, что так называемые выделенные линии не обладают особыми преимущества­ми перед линиями общего пользования в плане информационной безопасности. Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне, где их могут повредить или осуществить к ним несанкционированное подключение. Реальное достоинство - это гарантированная пропускная способность выделенных линий. Представляется естественным возложить на межсетевой экран задачу шифрования и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее. Чтобы такое шифрование/дешифрование стало возможным, долж­но произойти начальное распределение ключей. Современные криптографические технологии предлагают для этого целый ряд методо.

Простота и однородность архитектуры

Важнейшим аспектом информационной безопасности является управляемость системы. Наиболее остро проблема управляемости встает на клиентских рабочих местах и на стыке клиентской и серверной частей информационной системы. Причина проста -клиентских мест гораздо больше, чем серверных, они, как правило, разбросаны по значительно большей площади, их используют люди с разной квалификацией и привычками. Обслуживание и администрирование клиентских рабочих мест - занятие чрезвычайно сложное, дорогое и чреватое ошибками. Технология интранет за счет простоты и однородности архитектуры позволяет сделать стоимость администрирования клиентского рабочего места практически нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро, поскольку это "клиенты без состояния", у них нет ничего, что требовало бы длительного восстановления или конфигурирования.

На стыке клиентской и серверной частей интранет-системы находится Web-сервер. Это позволяет иметь единый механизм регистрации пользователей и наделения их правами доступа с последующим централизованным администрированием. Взаимодействие с многочисленными разнородными сервисами оказывается скрытым не только от пользователей, но и в значительной степени от системного администратора.

Заключение

Задача обеспечения информационной безопасности в интранет оказывается более простой, чем в случае произвольных распределенных систем, построенных в архитектуре клиент/сервер. Причина тому - однородность и простота архитектуры интранет. Если разработчики прикладных систем сумеют в полной мере воспользоваться этим преимуществом, то на программно-техническом уровне им будет достаточно нескольких недорогих и простых в освоении продуктов. Правда, к этому необходимо присовокупить продуманную политику безопасности и целостный набор мер процедурного характера

Продукты и решения VPN: взгляд потребителя

В продолжение анализа технологий VPN, опубликованного в нашем журнале (см. Технологии и средства связи - 2000. № 3,4), автор статьи поднимает вопро­сы законодательной базы в сфере информационной безопасности, делает краткий обзор продуктов и ре­шений VPN, представленных на российском рынке

Преимущества и недостатки

Технология VPN (virtual private network - виртуальная частная сеть) явилась естественным развитием технологии межсетевых экранов, только в отличие от межсетевых экранов, ограничивающих доступ к сетевым или системным ресурсам, непосредственно защищает данные в процессе передачи, то есть является более универсальным средством обеспечения безопасности в информационных сетях.

Идея VPN, несомненно, кажется очень привлекательной - любой менед­жер по IT-безопасности с удовольствием внедрил бы ее на своем предпри­ятии. Но хотя на рынке VPN и в нашей стране и за рубежом работает большое количество компаний, постоянно со­вершенствующих потребительские качества своей продукции, технология, а точнее решения VPN, еще не достигли зрелости, дающей гибкое и эффективное решение IT-безопасности.

Трудности, стоящие на пути разработчиков, имеют объективный характер. VPN - технология новая и сложная сама по себе, помимо этого у каж­дого корпоративного пользователя (а VPN даже по названию все-таки технология корпоративных пользователей) свои представления и потреб­ности в области обеспечения сетевой безопасности информации в сети.

Законодательная база

Как показывают опросы, проводимые в Интернете, помимо совершенно очевидных характеристик защищенности и стоимости для пользователей VPN важны также производительность и управляемость, комфортность работы с тем или иным видом VPN-реализации (см. "Список базовых параметров системы VPN"). В нашей стране не последнюю роль играет еще одна характеристика - так называе­мая "легитимность".

Почему-то принято считать, что за­конодательной базы в сфере обеспечения информационной безопасности у нас нет. На самом деле она существует и, более того, достаточно обширна -несколько федеральных законов, принятых за последние десять лет, а также указы президента, постановления правительства, государственные стандар­ты, руководящие документы Феде­рального агентства правительственной связи и информации (ФАПСИ) и многочисленные ведомственные инструкции. Увы, в большинстве своем эти до­кументы многословны, малоконкретны и не всегда последовательны. Например, в текстах федеральных законодательных актов до сих пор отсутст­вует юридическое определение средств криптографической защиты. Тем не менее такие ключевые документы, как Закон "Об информации, информатизации и защите информации" от 20.02.95 и Указ Президента РФ № 334 "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования ни формации" от 03.04.95, активно ссылаются на понятие шифровальных, т.е. криптографических средств.