Безопасность в Internet и intranet

Internet по своей природе – незащищенная технология
Глобальные связи являются менее защищенными, чем локальные
Общедоступные территориальные сети менее защищены, чем сети для корпоративных клиентов

Подавляющее большинство атак не только не блокируется но и не обнаруживается
Было атаковано 8932 системы DoD (100%)
Успешно прошло 7860 атак (88%)
В 390 случаях атаки были обнаружены (5%)
Сообщили об атаках 19 администраторов (0.24%)

Величина ущерба от атак
(в миллионах долларов США)

Основы безопасности

Общие принципы защиты
Использование комплексного подхода к обеспечению безопасности
♦ Законодательные средства
♦ Морально-этические средства
♦ Организационные (или процедурные) меры
♦ Административные меры
♦ Психологическая подготовка
♦ Физические средства защиты
♦ Технические средства защиты (системы контроля доступа, аудита, шифрования, цифровой подписи, антивирусной защиты, фильтрующие маршрутизаторы, межсетевые экраны)
Принцип многоуровневой защиты. Соблюдение баланса надежности защиты всех уровней
Предоставление каждому сотруднику минимально достаточного уровня привилегий по доступу к данным
Принцип единого входа
Принцип сохранения безопасности при отказе состояния максимальной защиты
Компромисс между возможными рисками и
возможными затратами

Маршрутизатор
Межсетевой экран
Безопасная зона
Традиционная схема защиты

Требования конфиденциальности, доступности и целостности могут быть предъявлены
к устройствам
Незаконное потребление ресурсов - нарушение безопасности системы

Контроль доступа – программные и аппаратные средства аутентификации и авторизации, анализ входящего и выходящего трафика:
Защита трафика –шифрование, взаимная аутентификация сторон
Модули ОС и приложений, межсетевые экраны (firewall), централизованные программные системы (Kerberos, Tacacs)
Протоколы защищенных каналов (PPTP, IPSec, SSL), VPN, Firewall
Автоматизированный контроль безопасности
Системы обнаружения вторжений (SATAN, SAFEsuite ISS

Базовые функции защиты

Специфика безопасности
IP-cетей

Ложный ARP-ответ
IP1, MAC1
IP2, MAC2
IP3, MAC3
IP4, MAC4
IP5, MAC5
Ответ IP2, MAC1

Перенаправление маршрута средствами ICMP
H1
H2
Таблица маршрутизации хоста H1

Перенаправление маршрута средствами ICMP
H1
H2
Таблица маршрутизации хоста H1
H2 R2

Навязывание ложного маршрута
H1
H2
Таблица маршрутизации хоста H1
HA

Корпоративный сервер
Корпоративный клиент
DNS-сервер
Атакующий хост 203.13.1.123
DNS-запрос www.latt.lv ?
Ложный DNS-ответ 203.13.1.123
Перенаправленный поток
www.latt.lv 193.25.34.125

SYN
Установление TCP-сессии
ACK, SYN
ACK
SYN