Отчет по практике в ОАО «Лебединский ГОК»

Маршрутизация в локальных сетях используется примитивная, если она вообще необходима. Чаще всего это статическая либо динамическая маршрутизация (основанная на протоколе RIP).

Иногда в локальной сети организуются рабочие группы — формальное объединение  нескольких компьютеров в группу с единым названием.

Сетевой администратор — человек, ответственный за работу локальной  сети или её части. В его обязанности  входит обеспечение и контроль физической связи, настройка активного оборудования, настройка общего доступа и предопределённого круга программ, обеспечивающих стабильную работу сети.

 

Адресация

 

В локальных сетях, основанных на протоколе IPv4, могут использоваться специальные адреса, назначенные IANA (стандарты RFC 1918 и RFC 1597):

    * 10.0.0.0—10.255.255.255;

    * 172.16.0.0—172.31.255.255;

    * 192.168.0.0—192.168.255.255.

Такие адреса называют локальными или  серыми, эти адреса не доступны из сети Интернет. Необходимость использовать такие адреса возникла из-за того, что, при разработке протокола IP, не предусматривалось  столь широкое его распространение, и постепенно адресов стало не хватать. Для решения этой проблемы был разработан протокол IPv6. Однако он пока не стал популярным и поэтому стали использовать локальные адреса. В различных непересекающихся локальных сетях адреса могут повторяться, и это не является проблемой, так как доступ в другие сети происходит с применением технологий, подменяющих или скрывающих адрес внутреннего узла сети за её пределами — NAT или прокси дают возможность подключить ЛВС к глобальной сети (WAN). Для обеспечения связи локальных сетей с глобальными применяются маршрутизаторы (в роли шлюзов и файрволов).

Конфликт адресов — распространённая ситуация в локальной сети, при  которой в одной IP-подсети оказываются  два или более компьютеров  с одинаковыми IP-адресами. Для предотвращения таких ситуаций и облегчения работы сетевых администраторов применяется протокол DHCP, с помощью которого можно автоматически назначать адреса компьютерам.

Безопасность локальной  сети предприятия

Крайне важно понять, что безопасность — это не продукт, который можно купить в магазине и быть уверенным в собственной защищенности. «Безопасность» — особая комбинация как технических, так и административных мер. Административные меры также включают в себя не только бумаги, рекомендации, инструкции, но и людей. Невозможно считать свою сеть «безопасной», если вы не доверяете людям, работающим с этой сетью.

Идеальная безопасность — недостижимый миф, который могут реализовать, в лучшем случае, только несколько профессионалов. Есть один фактор, который невозможно преодолеть на пути к идеальной безопасности — это человек.

Основные цели сетевой  безопасности

Цели сетевой безопасности могут  меняться в зависимости от ситуации, но основных целей обычно три:

• Целостность данных.
• Конфиденциальность данных.
• Доступность данных.

Рассмотрим более подробно каждую из них.

 

Целостность данных

Одна из основных целей сетевой  безопасности — гарантированность того, чтобы данные не были изменены, подменены или уничтожены. Целостность данных должна гарантировать их сохранность как в случае злонамеренных действий, так и случайностей. Обеспечение целостности данных является обычно одной из самых сложных задач сетевой безопасности.

Конфиденциальность данных

Второй главной целью сетевой  безопасности является обеспечение  конфиденциальности данных. Не все  данные можно относить к конфиденциальной информации. Существует достаточно большое  количество информации, которая должна быть доступна всем. Но даже в этом случае обеспечение целостности данных, особенно открытых, является основной задачей. К конфиденциальной информации можно отнести следующие данные:

• Личная информация пользователей.
• Учетные записи (имена и пароли).
• Данные о кредитных картах.
• Данные о разработках и различные внутренние документы.
• Бухгалтерская информация.

Доступность данных

Третьей целью безопасности данных является их доступность. Бесполезно говорить о безопасности данных, если пользователь не может работать с ними из-за их недоступности. Вот приблизительный список ресурсов, которые обычно должны быть «доступны» в локальной сети:

• Принтеры.
• Серверы.
• Рабочие станции.
• Данные пользователей.
• Любые критические данные, необходимые для работы.
• Рассмотрим угрозы и препятствия, стоящие на пути к безопасности сети. Все их можно разделить на две большие группы: технические угрозы и человеческий фактор.

Технические угрозы:

• Ошибки в программном обеспечении.
• Различные DoS- и DDoS-атаки.
• Компьютерные вирусы, черви, троянские кони.
• Анализаторы протоколов и прослушивающие программы («снифферы»).
• Технические средства съема информации.

Рассмотрим подробнее.

Ошибки в программном  обеcпечении 

Самое узкое место любой сети. Программное обеспечение серверов, рабочих станций, маршрутизаторов и т. д. написано людьми, следовательно, оно практически всегда содержит ошибки. Чем выше сложность подобного ПО, тем больше вероятность обнаружения в нем ошибок и уязвимостей. Большинство из них не представляет никакой опасности, некоторые же могут привести к трагическим последствиям, таким, как получение злоумышленником контроля над сервером, неработоспособность сервера, несанкционированное использование ресурсов (хранение ненужных данных на сервере, использование в качестве плацдарма для атаки и т.п.). Большинство таких уязвимостей устраняется с помощью пакетов обновлений, регулярно выпускаемых производителем ПО. Своевременная установка таких обновлений является необходимым условием безопасности сети.

DoS- и DDoS-атаки 

Denial Of Service (отказ в обслуживании) — особый тип атак, направленный на выведение сети или сервера из работоспособного состояния. При DoS-атаках могут использоваться ошибки в программном обеспечении или легитимные операции, но в больших масштабах (например, посылка огромного количества электронной почты). Новый тип атак DDoS (Distributed Denial Of Service) отличается от предыдущего наличием огромного количества компьютеров, расположенных в большой географической зоне. Такие атаки просто перегружают канал трафиком и мешают прохождению, а зачастую и полностью блокируют передачу по нему полезной информации. Особенно актуально это для компаний, занимающихся каким-либо online-бизнесом, например, торговлей через Internet.

Компьютерные вирусы, троянские кони

Вирусы — старая категория опасностей, которая в последнее время в чистом виде практически не встречается. В связи с активным применением сетевых технологий для передачи данных вирусы все более тесно интегрируются с троянскими компонентами и сетевыми червями. В настоящее время компьютерный вирус использует для своего распространения либо электронную почту, либо уязвимости в ПО. А часто и то, и другое. Теперь на первое место вместо деструктивных функций вышли функции удаленного управления, похищения информации и использования зараженной системы в качестве плацдарма для дальнейшего распространения. Все чаще зараженная машина становится активным участником DDoS-атак. Методов борьбы достаточно много, одним из них является все та же своевременная установка обновлений.

Анализаторы протоколов и «снифферы»

В эту группу входят средства перехвата  передаваемых по сети данных. Такие  средства могут быть как аппаратными, так и программными. Обычно данные передаются по сети в открытом виде, что позволяет злоумышленнику внутри локальной сети перехватить их. Некоторые протоколы работы с сетью (POPS, FTP) не используют шифрование паролей, что позволяет злоумышленнику перехватить их и использовать самому. При передаче данных по глобальным сетям эта проблема встает наиболее остро. По возможности следует ограничить доступ к сети неавторизированным пользователям и случайным людям.

Технические средства съема информации

Сюда можно отнести такие  средства, как клавиатурные жучки, различные  мини-камеры, звукозаписывающие устройства и т.д. Данная группа используется в повседневной жизни намного реже вышеперечисленных, так как, кроме наличия спецтехники, требует доступа к сети и ее составляющим.

Человеческий фактор:

• Уволенные или недовольные сотрудники.
• Промышленный шпионаж.
• Халатность.
• Низкая квалификация.

Уволенные и недовольные  сотрудники

Данная группа людей наиболее опасна, так как многие из работающих сотрудников  могут иметь разрешенный доступ к конфиденциальной информации. Особенную  группу составляют системные администраторы, зачаcтую недовольные своим материальным положением или несогласные с увольнением, они оставляют «черные ходы» для последующей возможности злонамеренного использования ресурсов, похищения конфиденциальной информации и т. д.

Промышленный шпионаж 

Это самая сложная категория. Если ваши данные интересны кому-либо, то этот кто-то найдет способы достать их. Взлом хорошо защищенной сети — не самый простой вариант. Очень может статься, что уборщица «тетя Глаша», моющая под столом и ругающаяся на непонятный ящик с проводами, может оказаться хакером весьма высокого класса.

Халатность 

Самая обширная категория злоупотреблений: начиная с не установленных вовремя  обновлений, неизмененных настроек «по  умолчанию» и заканчивая несанкционированными модемами для выхода в Internet, — в результате чего злоумышленники получают открытый доступ в хорошо защищенную сеть.

Низкая квалификация

Часто низкая квалификация не позволяет  пользователю понять, с чем он имеет  дело; из-за этого даже хорошие программы  защиты становятся настоящей морокой системного администратора, и он вынужден надеяться только на защиту периметра. Большинство пользователей не понимают реальной угрозы от запуска исполняемых файлов и скриптов и считают, что исполняемые файлы -только файлы с расширением «ехе». Низкая квалификация не позволяет также определить, какая информация является действительно конфиденциальной, а какую можно разглашать. В крупных компаниях часто можно позвонить пользователю и, представившись администратором, узнать у него учетные данные для входа в сеть. Выход только один -обучение пользователей, создание соответствующих документов и повышение квалификации.

Методы защиты локальной сети

Согласно статистике потерь, которые  несут организации от различных  компьютерных преступлений, львиную  долю занимают потери от преступлений, совершаемых собственными нечистоплотными сотрудниками. Однако в последнее время наблюдается явная тенденция к увеличению потерь от внешних злоумышленников. В любом случае необходимо обеспечить защиту как от нелояльного персонала, так и от способных проникнуть в вашу сеть хакеров. Только комплексный подход к защите информации может внушить уверенность в ее безопасности.

Однако в связи с ограниченным объемом данной статьи рассмотрим только основные из технических методов  защиты сетей и циркулирующей по ним информации, а именно — криптографические алгоритмы и их применение в данной сфере.

Защита данных от внутренних угроз 

Для защиты циркулирующей в локальной  сети информации можно применить  следующие криптографические методы:

• шифрование информации;
• электронную цифровую подпись (ЭЦП).

Шифрование 

Шифрование информации помогает защитить ее конфиденциальность, т.е. обеспечивает невозможность несанкционированного ознакомления с ней. Шифрование — это процесс преобразования открытой информации в закрытую, зашифрованную (что называется «зашифрование») и наоборот («расшифрование»). Это преобразование выполняется по строгим математическим алгоритмам; помимо собственно данных в преобразовании также участвует дополнительный элемент — «ключ». В ГОСТ 28147-89 дается следующее определение ключа: «Конкретное секретное состояние некоторых параметров алгоритма криптографического преобразования, обеспечивающее выбор одного преобразования из совокупности всевозможных для данного алгоритма преобразований». Иными словами, ключ представляет собой уникальный элемент, позволяющий зашифровать информацию так, что получить открытую информацию из зашифрованной можно только определенному пользователю или группе пользователей.

Шифрование можно выразить следующими формулами:

C=Ek₁ (M) — зашифрование,

M^'=Dk₂(C) — расшифрование.

Функция Е выполняет зашифрование информации, функция D – расшифрование. В том случае, если ключ k₂ соответствует ключу k₁, примененному при зашифровании, удается получить открытую информацию, т.е. получить соответствие М^' = М.

При отсутствии же правильного ключа k₂ получить исходное сообщение практически невозможно.

По виду соответствия ключей k₁ и k₂ алгоритмы шифрования разделяются на две категории:

1) Симметричное шифрование: k₁ = k₂. Для зашифрования и расшифрования информации используется один и тот же ключ. Это означает, что пользователи, обменивающиеся зашифрованной информацией, должны иметь один и тот же ключ. Более безопасный вариант — существует уникальный ключ шифрования для каждой пары пользователей, который неизвестен остальным. Ключ симметричного шифрования должен храниться в секрете: его компрометация (утеря или хищение) повлечет за собой раскрытие всей зашифрованной данным ключом информации.

2) Асимметричное шифрование. Ключ k₁- в данном случае называется «открытым», а ключ k₂ — «секретным». Открытый ключ вычисляется из секретного различными способами (зависит от конкретного алгоритма шифрования). Обратное же вычисление k₂ из k₁ является практически невозможным. Смысл асимметричного шифрования состоит в том, что ключ k₂ хранится в секрете у его владельца и не должен быть известен никому; ключ k₁, наоборот, распространяется всем пользователям, желающим отправлять зашифрованные сообщения владельцу ключа k₂; любой из них может зашифровать информацию на ключе k₁, расшифровать же ее может только обладатель секретного ключа k₂.