Ресурс – это абстрактная структура, имеющая множество атрибутов, характеризующих способы доступа к ресурсу и его физическое представление в системе 9 страница

· поддержка зональной защиты с дифференциальным подходом к анализу содержания контента в зависимости от зоны его поступления (Интернет или внутренняя локальная сеть);

· протоколирование и предупреждение, т.е. брандмауэр должен собирать строго необходимый объем информации;

· максимально прозрачная работа, применение мастеров настройки брандмауэров.

Классификация брандмауэров приведена на рис. 10.3.

Рис. 10.3. Классификация брандмауэров

Аппаратные брандмауэры существуют в виде физических устройств, не являющихся персональными компьютерами и серверами. Примерами брандмауэров, являющихся аппаратными средствами являются межсетевые экраны фирмы D-Link серий DFL и DSR.

Программные брандмауэры ставятся на персональные компьютеры рабочих мест или серверы. Примером такого брандмауэра является брандмауэр Windows, входящий в состав операционной системы Windows 2000/ХР и последующих версий.

Локальные брандмауэры устанавливаются на одно рабочее место или на один сервер, распределённые – на множество компьютеров и серверов.

Брандмауэр, работающий на пакетном уровне, осуществляет фильтрацию входящих и исходящих пакетов. Большинство пакетных брандмауэров проверяют полную ассоциацию пакетов, т.е. связи пакета с конкретным отправителем и конкретным получателем, на основе IP-заголовка пакета. Он включает в себя: адреса отправителя и получателя, информацию о приложении или протоколе, номера портов источника и получателя. Прежде чем отправить пакет по адресу проверяется соответствие пакета одному из правил фильтрации. Если пакет не удовлетворяет правилу фильтрации, то обычно посылка пакета блокируется.

Пакетный брандмауэр не проверяет содержание пакета информации, поэтому его можно обойти, создав IP-заголовок, который удовлетворяет правилам фильтрации. Дополнительную возможность обхода создаёт возможность указания злоумышленником адреса источника, которому получатель пакета доверяет.

Брандмауэр прикладного уровня перехватывает входящие и исходящие пакеты, использует программы-посредники, которые копируют и перенаправляют информацию через брандмауэр, а также выполняет роль сервера посредника, исключая прямые соединения между доверенным сервером или клиентом и внешним хостом. Посредники, используемые брандмауэром прикладного уровня, связаны с приложениями и могут фильтровать информацию на прикладном уровне модели OSI. Примерами программ-посредников являются службы FTP и Telnet. Настройка брандмауэра позволит блокировать пакеты, содержащие нежелательные команды, например команду PUT службы FTP.

Брандмауэр сеансового уровня фильтрует пакеты на основе подтвержде­ния (квитирования) связи. Прежде всего, выполняется проверка осуществления полной ассоциации пакета с отправителем и получателем. Далее брандмауэр связывается с приёмником и осуществляет с ним обмен флагами SYN и ASK пакета. Если числа в этих флагах связаны установленными правилами, то пакет отправляется получателю.

Для осуществления процесса обмена информацией используются программы, которые называются канальными посредниками. Именно они копируют и пересылают информацию посредством создания виртуального канала связи между отправителем и получателем. После квитирования связи никакой фильтрации пакета не происходит до окончания сеанса связи.

Дополнительной функцией брандмауэра сеансового уровня является преобразование IP-адресов внутренних отправителей в один "надёжный" адрес сеансового брандмауэра, т.е. он выполняет функцию proxy-сервера и маскирует внутренние элементы локальной сети от внешних источников.

Экспертные брандмауэры являются брандмауэрами, работающими на всех указанных уровнях.

Применение брандмауэров иллюстрируется рис. 10.4.

Рис. 10.4. Применение брандмауэров

Брандмауэр_1 отделяет сервер от глобальной сети Интернет и контролирует внешний трафик сети предприятия. Брандмауэр_2 разделяет на два сегмента локальную сеть предприятия и контролирует трафик между сегментами локальной сети предприятия.

Недостатками брандмауэров являются:

· Разрозненность систем защиты

· Отсутствие защиты для нестандартных или новых сетевых сервисов

· Снижение производительности

В целях повышения надёжности защиты на брандмауэры устанавливается следующее программное обеспечение:

· Intrusion Detection System (IDS – система выявления атак);

· система контроля целостности программного обеспечения и конфигурации;

· система мониторинга системы и оповещения о неисправностях.

10.5. Отключение ненужных служб

Различные сервисы требуют доступ к разным элементам сети (в том числе и к Интернет) через различные порты. Поэтому наличие работающих ненужных системных служб обуславливает наличие множества открытых портов, без которых можно было бы и обойтись. В различных ситуациях можно отключить следующие службы:

· почти всегда:

"Автоматическое обновление";

"Адаптер производительности WMI";

"Модуль поддержки смарт-карт";

"Смарт-карты";

"Серийный номер переносного медиа-устройства";

"Планировщик заданий";

Telnet;

NetMeeting Remote Desktop Sharing;

"Диспетчер сеанса справки для удаленного рабочего стола";

"Диспетчер сетевого DDE";

"Диспетчер учетных записей безопасности";

"Модуль поддержки NetBIOS через TCP/IP";

"Обозреватель компьютеров";

"Оповещатель";

"Рабочая станция";

"Сервер";

"Сервер папки обмена";

"Сетевой вход в систему";

"Служба сетевого DDE";

"Служба сетевого расположения NLA";

"Служба сообщений";

"Службы криптографии";

"Службы терминалов";

"Удаленный реестр";

"Фоновая интеллектуальная служба передачи";

"Диспетчер автоподключений удаленного доступа";

· если нет "Умной" бытовой техники:

"Служба обнаружения SSDP"

"Узел универсальных PnP-устройств"

при одной учётной записи пользователя:

"Вторичный вход в систему";

"Совместимость быстрого переключения пользователей";

если не используется RAID-массив дисков:

"Теневое копирование тома"

· для домашнего пользователя сети:

"Журналы и оповещения производительности";

"Служба регистрации ошибок";

"Уведомление о системных событиях";

· при отсутствии Wi-Fi адаптера;

"Беспроводная настройка";

· при пользовании сторонними программами записи на компакт-диски:

"Служба COM записи компакт-дисков IMAPI".

Отключение ненужных служб выполняется в окне приложения System Control Manager (рис. 9.2, 9.3). Следует иметь в виду, что отключение служб является серьёзным шагом, поэтому необходимо чётко фиксировать в своём рабочем журнале сделанные отключения, наблюдать за поведение компьютера и, в случае необходимости, отменять отключение служб.

10.6. Защита от спама

Спамом называются ненужные письма, как правило, рекламного характе­ра, присланные пользователю без запроса с его стороны. Часто такие письма рассылаются автоматически от имени фальшивых отправителей. Поэтому отловить спаммера очень сложно. Значительно проще принять меры защиты. Простейшей радикальной мерой будет изменение почтового адреса, хотя это делается весьма неохотно. Такая защита имеет низкую стойкость вследствие существования программ автоматического поиска адресов электронной почты.

Большую стойкость обеспечивают антиспамовые фильтры, которые имеют современные почтовые серверы и клиенты (например, "The but!"). Антиспамовые фильтры являются на сегодняшний день самыми эффективными средствами защиты от спама, дающими долговременный эффект. Они являются экспертными системами, классифицирующими электронные письма на обычные и спам по множеству признаков. Как всякие экспертные системы они подлежат обучению. Фильтры, установленные на почтовых серверах, обучаются обслуживающим персоналом, а фильтры почтовых клиентов – пользователем. Уточнить настройку антиспамового фильтра сервера может пользователь электронной почты, пометив письмо знаком "Спам" в списке входящих писем.

10.7. Защита от вредоносных программ и вирусов
средствами операционных систем

Номенклатура вредоносных программ и их проявления достаточно широки. Основным средством, который пользователь может противопоставить вирусам является установка антивирусного программного обеспечения.

Однако и на уровне операционных систем могут быть осуществлены меры защиты от вредоносных программ:

Минимизация кодов модулей операционной системы.

Исключение использования активного содержимого.

Отдание предпочтения модели операционной системы, ориентированной на высокий уровень защищённости, а не на наибольшую простоту использования;

Более чёткое разграничения программных модулей, работающих в привилегированном и пользовательском режимах.

Разнообразие независимых операционных систем и их версий.

Внедрение управляемого пользователем механизма защиты определённых цилиндров жёсткого диска с разрешением записи на них изменением состояния переключателя, управляющегося пользователем.

Внедрение механизма защиты от перезаписи флэш-памяти, хранящей BIOS, управляемого пользователем посредством изменения состояния переключателя на передней панели системного блока.

Внедрение средств антивирусной защиты, встроенных в операционные
системы.

Поддержка электронной цифровой подписи для различного программного обеспечения.

Современные операционные системы в большинстве своём в целях коммерческого успеха включают в себя огромное количество различных приложений и программных модулей, реализующих функции, не входящие в компетенцию операционных систем. Опыт показывает, что чем больше программный код модулей операционной системы и системы в целом, тем больше в нем различных уязвимых мест, в том числе и для вредоносных программ.

В настоящее время широко распространена практика включения программных кодов в состав документов. Примером могут служить макросы в документах MS OFFICE, различные ActiveX (элементы пользовательского интерфейса, реализованные в виде программных модулей различных библиотек) и т.д. Принцип защиты: "Присланный документ не должен требовать запуска присланного с ним программного кода".

В целях достижения коммерческого успеха многие разработчики предпочитают создавать операционные системы, ориентированные на пользователей с низкой квалификацией. При разработке системы неизбежно возникает необходимость компромисса между защищённостью системы и простотой её использования. Простейший пример: система Unix требует ввода пароля пользователя при загрузке операционной системы. Система Windows имеет перекос в сторону простоты использования, и без специальных настроек не требует ввода пароля для единственного пользователя компьютера. В эту же сторону начал крениться и Linux в последних версиях.

Разнообразие независимых операционных систем и их версий существенно затрудняет разработку вредоносных программ и механизмов их внедрения. Значительно сложнее создать универсальный вирус, пригодный для множества систем, чем вирус, успешно работающий и внедряющийся в одну единственную операционную систему или множество версий системы, наследующих код ключевых модулей от более ранних версий.

Внедрение механизмов защиты цилиндров дисков и флэш-памяти, управляемых пользователем посредством изменения состояния переключателей на передней панели системного блока даст возможность пользователям сознательно разрешать или запрещать идентификацию указанных объектов, предотвращая тем самым изменение загрузочных записей дисков, файлов операционной системы, программного обеспечения и т.д. Например, легко понять, что если пользователь не производит обновление BIOS, то перезапись флэш-памяти должна быть запрещена.

Примерами встроенных средств антивирусной защиты является создание точек восстановления системы, организация резервного регулярного копирования, которое можно бы сделать автоматическим, встроенные фильтры типа SmartScreen броузера Internet Explorer, использование только программного обеспечения, имеющего цифровую подпись, выданную известными центрами сертификации и многое другое.

10.8. Защита конфиденциальной информации.

В компьютере хранится огромное количество данных, которые являются конфиденциальными. К их числу относятся логины и пароли, электронные адреса корреспондентов, номера кредитных карточек, персональные данные, различные документы, предназначенные для узкого круга лиц и многое другое. Их хищение или повреждение может привести к множеству отрицательных последствий от распространения спама до преступлений и мошенничества. Именно поэтому конфиденциальные данные нуждаются в защите.

Одним из каналов доступа к конфиденциальной информации являются вредоносные программы, и операционные системы имеют средства защиты от них (раздел 10.7). Вторым каналом несанкционированного доступа является перехват сообщений, передаваемых по сети. Наиболее действенной защитой от перехвата является шифрование передаваемой информации. Шифрование может поддерживаться операционной системой.

Не менее важным каналом являются сами пользователи информационной системы предприятия, организации, локальной или глобальной сети. Без принятия защитных мер информация любого компьютера теоретически становится доступной для любого абонента сети и любого пользователя информационной системы организации.

Первым барьером на пути неограниченного доступа становится деление каталогов файловой системы на две группы: обычные каталоги и каталоги общего пользования. Операционные системы различают эти каталоги и автоматически маскируют обычные каталоги от пользователей сети. Файловые менеджеры этих пользователей просто "не видят" их. Но каталоги общего пользования также должны защищаться от неправомерного доступа к информации. Никто не сказал, что любой каталог общего пользования содержит файлы, которые должны быть доступны всем без ограничения возможных операций с ними.

Вторым защитным барьером операционной системы является регулирование прав доступа к информации каталогов общего пользования посредством паролей. В Windows для каталога общего пользования можно назначить два пароля: один для чтения, другой – для полного доступа.

Отсутствие обоих паролей означает полный доступ к файлам каталога общего пользования для любого абонента сети и любого пользователя компьютера. Наличие пароля на чтение фактически означает доступ к файлам только определённого круга лиц, т.к. сторонним пользователям каталог общего пользования будет "виден", но попытка войти в него будет пресекаться запросом пароля.

Наличие только пароля на полный доступ означает разрешение чтения и исполнения файлов каталога общего пользования любым пользователем сети или информационной системы. Но пароль на полный доступ запрещает любые изменения файлов (в т.ч. и их удаления, переименования, перемещения) и запись своих файлов в каталог общего пользования пользователям, не знающим пароля. Они могут скопировать файл в свой каталог, изменить его, но не могут заменить изменённым файлом оригинал в каталоге общего пользования.

Наличие одинаковых паролей на чтение и полный доступ делит пользователей на две группы: пользователей без прав доступа и пользователей с полным доступом к файлам каталога общего пользования.

Наличие разных паролей на чтение и полный доступ делит пользователей на три группы: пользователей с отсутствием прав доступа к каталогу общего пользования, пользователей, имеющих право только на чтение и пользователей правами полного доступа к файлам.

Такой способ регулирования прав доступа называется регулированием на уровне разделения ресурсов. Очевидно, что для его реализации каталоги должны иметь атрибуты: обычный/разделяемый и свойства пароль на чтение и пароль на полный доступ. Операционная система должна поддерживать этот механизм созданием запроса пароля, принятием пароля и принятием решения о предоставлении доступа. Если не принимать во внимание целенаправленные попытки получения доступа к конфиденциальной информации посредством различных атак, например, атаки с эскалацией прав, разделение ресурсов является достаточно надёжной защитой, однако недостаточно гибкой.

Примечание: Ряд программ, например, некоторые архиваторы и текстовые и табличные процессоры Word и Excel дополняют эту защиту установкой паролей на файлы, защищая их целиком от чтения и/или изменения. Excel обеспечивает также защиту отдельных частей файла: страницы рабочей книги, столбца, строки и даже отдельных клеток. Но это заслуга не операционной системы, а самих программ. Квалифицированный "взломщик" может преодолеть и эту защиту в среде специальных программ взлома паролей.

Наиболее гибким и эффективным способом защиты конфиденциальной информации является администрирование системы. Оно предусматривает:

· разделение пользователей на группы с определением прав доступа к файлам и каталогам;

· регистрацию групп;

· регистрацию пользователей в группах с назначением им логинов и паролей.

Для поддержки администрирования системы каталоги и файлы должны иметь соответствующие атрибуты. Например, в UNIX устанавливается 9-раз­рядный защитный код файла, состоящий из триад (троек) битов, которые называются rwx -бита­ми. Бит r разрешает/запрещает чтение файла, бит w – запись данных в файл, x – исполнение файла. Первая тройка rwx -битов определяет права владельца файла, вторая – права пользователей группы, в которую входит владелец, третья – права прочих пользователей.

Контрольные вопросы

Что такое информационная безопасность?

Опишите схему взаимодействия локальной сети предприятия и удалённых пользователей при отсутствии брандмауэров. Укажите возможные места нарушения информационной безопасности.

Что такое угрозы информационной безопасности? Опишите классификацию угроз.

Что такое уязвимость? Приведите примеры.

Что такое атака. Каковы последствия успешной реализации атаки?

Что такое политика безопасности? Каковы её составные части?

Что такое вторжение? Каковы его цели?

Почему пара "логин и пароль" не считается достаточно надёжной. При каких условиях она всё-таки обеспечивает достаточную защиту?

Какие мероприятия повышают надёжность пароля и его заменяющих систем?

Поясните приём "шифрование пароля после ввода его пользователем".

Поясните алгоритм "соли".

Поясните одноразовые пароли, систему "оклик – отзыв".

Поясните аутентификация пользователя с помощью объекта.

Поясните аутентификация пользователя по биометрическим данным.

Поясните схему взаимодействия локальной сети предприятия с удалёнными и внутренними пользователями при наличии брандмауэеров.

Каковы функции идеального брандмауэра.

Поясните классификацию брандмауэров по исполнению.

Поясните работу брандмауэров на пакетном уровне.

Поясните работу брандмауэров на прикладном уровне.

Поясните работу брандмауэров на сеансовом и экспертном уровнях.

Каковы недостатки брандмауэров? Какие программные средства усиливают защиту информации брандмауэрами?

Что такое системные службы? Почему необходимо отключать ненужные системные службы? Как это сделать?

Что такое спам и как от него можно защититься?

Поясните роль минимизации программного кода с точки зрения защиты от вредоносных программ.

Почему отказ от активного содержимого повышает защищённость операционной системы от вредоносных программ?

Повысит чёткое разграничение программных модулей по применению привилегированного и непривилегированного режима ли защищённость компьютерной системы от вредоносных программ? Почему?

Каким образом можно построить управляемую пользователем защиту от перезаписи BIOS и от записи отделов разделов жёсткого диска? Что даст такая защита? Используется ли она в настоящее время?

В чём противоречие требований информационной безопасности и удобства пользования? Почему защищённость часто приносится в жертву удобству?

Поясните защиту конфиденциальной информации посредством паролей.

Какими способами поддерживается администрирование системы?

СПИСОК ЛИТЕРАТУРНЫХ ИСТОЧНИКОВ

Гордеев А.В. Операционные системы: Учебник для вузов. 2-е изд. – СПб.: Питер, 2007. – 416 с.: ил.

Сетевые операционные системы / В.Г. Олифер, Н.А. Олифер. – СПб.: Питер, 2002. – 544 с.: ил.

Тененбаум Э. Современные операционные системы. – 3 изд. – СПб.: Питер, 2010. – 1120 с., ил.

Дейкстра Е. Взаимодействующие последовательные процессы // Языки программирования / Под ред. Ф. Женюи. – М.: Мир, 1972

Соловьёв В.Г., Никитин В.Д. Операционные системы ЭВМ: Учеб.пособие. –М.: Высшая школа, 1989. – 255 с.

Хоар Ч. Взаимодействующие последовательные процессы. – М.: Мир, 1989. – 264 с.

Основы операционных систем. Курс лекций. Учеб.пособ. /В.Е. Карпов, К.А. Коньков / Под ред. В.П. Иванникова. – М.: ИНТУИТ.РУ "Интернет Университет Информационных Технологий", 2005 – 536 с.

Крис Касперски. MBR своими руками [Электронный ресурс] http://www.insidepro.com/kk/065/065r.shtml

В.В. Платонов. Программно-аппаратные средства безопасности компьютерных сетей: учеб.пособие для студ. высш. Учеб.заведений/В.В. Платонов. –М.: Изд.центр "Академия", 2006

№	Названия тем	Виды учебных занятий	Всего часов по учебному плану
Аудиторные занятия, из них
Лекции	Практ. занятия	Самостоя-тельная работа
	Введение и основные понятия дисциплины.
	Аппаратура и программное обеспечение
	Устройство жесткого диска (HDD). Создание и управление разделами HDD.
	Файловые системы (FS).
	Процессы и потоки. Прерывания. Ядро
	Асинхронные параллельные процессы
	Тупики
	Организация и управление памятью
	Загрузчики операционных систем
	Средства защиты и восстановления операционных систем
	Системный реестр и системные службы
	Безопасность операционных систем
	Эффективность, мониторинг и оптимизация операционных систем
ИТОГО:

№ п/п	Наименование раздела дисциплины	Содержание раздела
	Введение и основные понятия дисциплины. Поколения операционных систем	Предмет, задачи и цели курса. Основные понятия и их определения: операционная система, функции ОС, ресурсы, возникновение ОС. Поколения ОС. Нулевое поколение ОС. Первое поколение ОС. Второе поколение ОС. Третье поколение ОС. Компьютеры семейства System/360 фирмы IBM. Четвертое поколение ОС. Пятое поколение ОС. Разделение цен на аппаратуру и программное обеспечение.
	Аппаратура и программное обеспечение	Расслоение памяти. Регистр перемещения. Прерывания и опрос состояний. Буферизация. Периферийные устройства. Защита памяти. Таймеры и часы. Относительная адресация. Базовая система ввода-вывода информации (BIOS). Драйверы. Создание загрузочных носителей.
	Устройство жесткого диска (HDD). Создание и управление разделами HDD.	Устройство жесткого диска (HDD). Способ адресации диска CHS. Линейный способ адресации диска. Разделы диска. Логические диски. Главная загрузочная запись. Таблица описания разделов диска.
	Файловые системы (FS).	Определение файловой системы (FS). Задачи, решаемые FS. Типы файлов. Иерархическая структура файловой системы. Древовидная и сетевая структуры. Типы имен файлов. Атрибуты. Монтирование.
	Процессы и потоки. Прерывания. Ядро	Процессы и потоки. Состояния процесса. Диаграмма переходов процесса из состояния в состояние. Блок управления процессом. Операции над процессами. Приостановка и возобновление. Прерывания. Обработка прерывания. Типы прерываний. Переключение контекста. Ядро ОС. Переносимая часть ОС. Основные функции ядра. Разрешение и запрещение прерываний. Ядро в привилегированном режиме. Многослойная структура ОС.
	Асинхронные параллельные процессы	Параллельная обработка. Взаимоисключение Критические участки. Примитивы взаимоисключения. Реализация примитивов взаимоисключения. Программная и аппаратная реализация взаимоисключения.
	Тупики	Определения и основные понятия: тупик, зависание системы, надежное состояние системы. Примеры тупиков. Концепции ресурсов. Четыре необходимых условия возникновения тупика. Основные направления исследований по проблеме тупиков. Алгоритм банкира.
	Организация и управление памятью	Организация памяти. Управление памятью. Иерархия памяти. Стратегии управления памятью. Связное и несвязное распределение памяти. Виртуальная память. Страницы и сегменты. Стратегии управления виртуальной памятью. Стратегии выталкивания страниц. Локальность. Рабочие множества. Подкачка страниц по запросу и с упреждением. Освобождение страниц.
	Загрузчики операционных систем	Виды реализации загрузчиков. Решение проблемы четырех разделов в MBR. Установка загрузчиков ОС. Настройка загрузчиков ОС. Удаление загрузчиков ОС.
	Средства защиты и восстановления операционных систем	Цифровая подпись драйверов. Защита системных файлов. Проверка системных файлов. Верификация цифровой подписи файлов. Откат драйверов. Безопасный режим загрузки. Точки восстановления системы. Резервное копирование и восстановление. Аварийное восстановление системы. Консоль восстановления.
	Системный реестр и системные службы	Назначение и структура реестра. Средства управления реестром. Резервное копирование и восстановление реестра. Очистка реестра. Редактирование реестра. Системные службы.
	Безопасность операционных систем	Классификация угроз. Политика безопасности. Защита от вторжений. Брандмауэры. Отключение ненужных служб. Защита от спама. Защита от вредоносных программ и вирусов. Защита конфиденциальной информации.
	Эффективность, мониторинг и оптимизация операционных систем	Сложность создания эффективных ОС. Основные понятия эффективности. Виды показателей эффективности. Причины снижения производительности современных ПК. Настройка и оптимизация ОС. Инструменты мониторинга и оптимизации операционных систем.

[1] Например, при вызове подпрограмм или процедур и функций. Подпрограммой называется последовательность команд, начинающаяся меткой (условной последовательностью символов) и командой "Возврат". Процедура и функции – это именованные блоки программы, описанные в начале программы. Имя блока определяет адрес начала его кода. В конце блока подразумевается команда "Возврат", хотя в тесте блока она обычно отсутствует.