Объединение компьютеров в вычислительную сеть может ускорить процесс обработки данных путем распараллеливания объемов обработки информации среди сотрудников, может быть необходимо для организации хранения данных, поступающих от нескольких источников, либо для управления сложной инфраструктурой и в других случаях.

Помимо задачи повышения защиты информации и увеличения пропускной способности сети, актуальной является задача информационного доступа к сети.

Деятельность современных организаций требует хранения и использования все больших объемов информации, чему способствует снижение стоимости вычислительной мощности, пропускной способности сетей и систем хранения.

Вместе с этим растут угрозы утечки информации и, как следствие, ожидания заинтересованных лиц в отношении защищенности информации.

Ведомственные локально-вычислительные сети являются частным случаем информационной системы, так как для нее существуют свои ограничения и дополнения, введенные нормативными документами. Для более точного рассмотрения каналов утечки информации, относительно ЛВС, из общей классификации угроз безопасности конфиденциальной информации, представленной в выписке из документа ФСТЭК: «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных», выделим частную классификацию с учетом особенностей, присущих корпоративным ЛВС, таких как [1]:

-                   в ЛВС отсутствует как акустические, так и вибрационные сигналы, что существенно сокращает разнообразие способов представления конфиденциальной информации в данной системе;

-                   наличие контролируемой зоны, контрольно-пропускного пункта и отсутствие выхода ЛВС за пределы контролируемой зоны (Отсутствие соединения с сетями общего пользования) исключает все внешние угрозы безопасности информации;

-                   после закупки все средства электронно-вычислительной техники и их программное обеспечение проходят специальную проверку на предмет наличия закладных устройств и недекларированных возможностей, что исключает данные угрозы;

-                   использование сетевых хранилищ данных с полным резервированием практически исключает риск утраты данных из-за технических неисправностей, а межсетевые экраны дают возможность разграничения доступа к ресурсам локальной вычислительной сети (рисунок 1).

Рисунок 1 – Классификация угроз безопасности информации в информационных системах.

В рамках данной классификации для выполнения поставленных задач, была выбрана защита от НСД к конфиденциальной информации, а конкретно, циркулирующей в сетевых хранилищах данных. Данное направление выбрано в связи с тем, что в последнее время имеет место тенденция перераспределения вычислительной нагрузки и объемов данных с ПЭВМ на общесетевые вычислительные ресурсы – сетевые хранилища данных (сервера).

Был проведен анализ существующих систем, применяющихся на данном направлении, описание которых имеется в открытом доступе, таких как [2]:

-                   программно-аппаратный комплекс средств защиты информации
«ПАК СЗИ от НСД»;

-                   средство защиты информации от НСД «Dallas Lock 8.0-С»;

-                   программно-аппаратный комплекс «Соболь»;

-                   программно-аппаратный комплекс средств защиты информации от несанкционированного доступа “Аккорд-АМДЗ”.

В результате анализа были выявлены следующие недостатки существующих средств защиты от НСД:

-                   функциональные возможности рассмотренных систем зачастую избыточны, что сказывается на сложности устройства, и, как следствие, негативно влияет на надежность системы защиты от НСД.

-                   так же, ни одно из рассмотренных средств не осуществляет сигнализации о несанкционированном доступе, так как они предусмотрены для установки на ПЭВМ, что негативно сказывается на оперативности реагирования органов охраны, в случае их установки на сетевые хранилища данных, которые зачастую устанавливаются удаленно от персонала.

При этом основной задачей является разработка аппаратной части аппаратно-программного комплекса защиты сетевых хранилищ данных от НСД, который в дополнение к имеющимся средствам, позволит повысить оперативность реагирования сотрудников и дежурной службы.

В результате проведенного анализа существующих аппаратно-вычислительных платформ (Raspberry Pi, STM32L-DISCOVERY, Arduino), наиболее оптимальной, для реализации поставленной цели, является Arduino, как наиболее схемотехнически простой и функциональный из рассмотренных комплексов.

Для более детального представления алгоритма работы программно-аппаратного комплекса и его основных узлов  рассмотрим его структурную схему, которая приведена на рисунке 2:

Рисунок 2 – Структурная схема программно-аппаратного комплекса.

При подаче питания на устройство начинается процесс заряда аккумулятора источника бесперебойного питания и начинает работать, входящий в его состав, преобразователь напряжения. Напряжением на выходе источника бесперебойного питания запитывается вычислительная платформа Arduino Duemilanove и устройство сопряжения с локальной вычислительной сетью Arduino Ethernet Shield.

После подачи питания плата Arduino конфигурирует порты свои порты ввода/вывода и инициализирует устройство сопряжения с локальной вычислительной сетью. По окончании конфигурации оборудования вычислительная платформа производит настройку Arduino Ethernet Shield:

-                   вводит MAC-адрес устройства;

-                   определяет сетевые параметры для подключения;

-                   дает команду на установление соединения с локальной вычислительной сетью в роли сервера.

После настройки устройства сопряжения и установления соединения с локальной вычислительной сетью вычислительная платформа назначает область памяти для записи состояния датчиков и начинает циклически опрашивать подключенные к ней датчики с сохранением полученных данных.

При получении запроса данных от программы на одной из ПЭВМ локальной вычислительной сети, Arduino Duemilanove формирует веб-страницу с данными о состоянии датчиков и дает команду Arduino Ethernet Shield на передачу данных запросившему клиенту.

Конечный результат данной работы представляет собой обоснованный выбор аппаратно-вычислительной платформы и реализация аппаратной части в виде сборки Arduino Ethernet Shield, источника бесперебойного питания Power Bank и Arduino Duemilanove с соответствующим требуемому функционалу набором датчиков.

Необходимо подчеркнуть, что разработанное устройство функционирует в составе аппаратно-программного комплекса, который предназначен для обеспечения технической защиты от несанкционированного доступа к информации, обрабатываемой на сетевом хранилище данных, входящем в состав корпоративных локально-вычислительных сетей. Аппаратная часть комплекса устанавливается в сетевой шкаф, где размещено сетевое хранилище данных и подключается к локальной вычислительной сети как обычная ПЭВМ.

Данный комплекс выполняет следующие функции:

-                   контроль вскрытия шкафа с сетевым хранилищем данных;

-                   оповещение о срабатывании датчиков вскрытия и удара путем передачи сигнальной информации по локально-вычислительной сети на рабочие места с установленным программным обеспечением комплекса;

-                   срабатывание визуальной сигнализации;

-                   регистрация информации об истории срабатывания датчиков с записью в лог-файл на рабочем месте.

Таким образом, на основании вышесказанного можно сформулировать предложения по реализации защиты сетевых хранилищ данных:

В соответствии с рассмотренными показателями защищенности конфиденциальной информации при работе сетевого хранилища данных в составе ведомственной локальной вычислительной сети необходимо осуществлять:

1)      контроль целостности комплекса средств защиты

2)      регистрацию факта НСД к сетевому хранилищу данных

3)      взаимодействие пользователя с комплексом средств защиты

1. Осуществление разграничения доступа к информации на сетевом хранилище данных в соответствии с правами пользователей.
2. Инструктаж сотрудников, имеющих право доступа к конфиденциальной информации, по правилам работы с сетевым хранилищем данных.
3. В составе ведомственных ЛВС должны быть только сетевые хранилища данных, прошедшие специальное исследование.
4. Осуществлять защиту сетевого хранилища данных от НСД при помощи разработанного аппаратно-программного комплекса

Объединение компьютеров в вычислительную сеть может ускорить процесс обработки данных путем распараллеливания объемов обработки информации среди сотрудников, может быть необходимо для организации хранения данных, поступающих от нескольких источников, либо для управления сложной инфраструктурой и в других случаях.

Помимо задачи повышения защиты информации и увеличения пропускной способности сети, актуальной является задача информационного доступа к объекту электронно-вычислительной техники (ЭВТ). В качестве канала несанкционированного доступа (НСД) к объекту ЭВТ относится нарушение разграничения доступа в виде ознакомления посторонних лиц с паролем объекта ЭВТ. Обычно в ведомственных руководящих документах приводится характеристика эксплуатируемых объектов ЭВТ, которая может включать:

-     класс объектов ЭВТ;

-     режим и порядок доступа;

-     форма допуска и категория защищенности.

Категория защищенности может определять различные, а именно:

-     размещение объектов ЭВТ в единой защищаемой зоне;

-     оборудование объектов ЭВТ съемными носителями информации для её хранения;

-     защита конфигурации и системы инициализации базы ввода/вывода паролем;

Для разграничения доступа пользователей объектов ЭВТ назначается администратор, одной из задач которого является назначение и смена паролей на объекте ЭВТ, он вырабатывает пароли и записывает их с определенной периодичностью.

Сложность произвольно выбранного пароля против атаки полным перебором может быть точно вычислена. В большинстве случаев, пароли изначально создаются человеком. В этом случае возможны только оценки сложности пароля, так как люди в таких задачах склонны следовать шаблонам, и эти шаблоны всегда играют на руку атакующему. Кроме того, списки часто выбираемых паролей всеобще распространены для использования в программах угадывания паролей. Администратор может вести специальный журнал учета выработанных паролей, которым злоумышленник также может завладеть. Таким образом, существует вероятность НСД к объектам ЭВТ как при ознакомлении с журналом администратора, так и подборе используемого пароля непосредственно на объекте ЭВТ.

В связи с факторами, отмеченными выше, для решения задачи необходима разработка предложений по выработке надежного пароля и автоматизированной записи ее на ПЭВМ. Решение данной задачи состоит в разработке программно-аппаратного комплекса (ПАК) генерации паролей, который должен выполнять следующие функции:

-     генерация надежного пароля, используемого для доступа к объекту ЭВТ;

-     визуальная выдача пароля;

-     запись пароля в текстовую таблицу и ведение электронного журнала в зашифрованном виде.

Устройство, взаимодействуя с программой на ПЭВМ, записывает пароли в таблицу, тем самым, исключая необходимость администратору вести журнал учета. В случае угрозы компрометации используемой ПЭВМ имеется возможность использовать устройство автономно и вести перечень паролей вручную.

Существует возможность провести анализ стойкости пароля для современных средств. Пароли должны удовлетворять следующим минимальным требованиям:

-     пароль не может содержать имя учетной записи пользователя или какую-либо его часть;

-     пароль должен состоять не менее чем из 8 символов;

-     в пароле должны присутствовать символы трех категорий из числа следующих четырех: прописные буквы английского алфавита от A до Z; строчные буквы английского алфавита от a до z; десятичные цифры (от 0 до 9); неалфавитные символы (например, !, $, #, %);

Для оценки стойкости пароля используется расчет энтропии. Энтропия  –  мера неопределенности, измеряемая в битах. Энтропия в N бит соответствует неопределенности выбора из 2^N паролей. В случае случайных паролей (например, сгенерированных с помощью генератора случайных чисел) энтропия вычисляется по следующей формуле [1]:

Е=log₂M^N,

где Е – энтропия;

N – количество символов пароля;

M – количество символов используемого алфавита.

Таблица, в которой приведены значения энтропии для некоторых длин паролей, представлена ниже. 

Таблица 1. Значения энтропии для некоторых длин паролей.

В зависимости от полученного значения энтропии паролю присваивается соответствующая характеристика его стойкости. Уровень стойкости отображается в таблице 2.

Таблица 2. Уровень стойкости пароля в зависимости от энтропии.

Считаем возможным принять среднюю стойкость, взяв за аналог ЛВС объекта ЭВТ корпоративную сеть.  Из данных двух таблиц и требования о длине пароля, сделаем вывод, что увеличение пароля до 8 символов с целью повышения его стойкости является технически легко реализуемым и не создает дискомфорта для пользователя в плане запоминания.

В результате проведенного анализа существующих аппаратно-вычислительных платформ (Raspberry Pi, STM32L-DISCOVERY, Arduino), наиболее оптимальной, для реализации поставленной цели, является Arduino, как наиболее схемотехнически простой, функциональный и дешевый из рассмотренных
платформ [2].

Для более детального представления алгоритма работы программно-аппаратного комплекса и его основных узлов  рассмотрим его структурную схему, которая показана на рис. 1:

 Рисунок 1 – Структурно-функциональная схема предлагаемого ПАК.

При подаче питания на аппаратную часть комплекса микроконтроллер инициализирует подключенный дисплей, а затем переходит к выполнению основной программы.

Программное обеспечение генерирует псевдослучайный пароль из 8 символов. В качестве источника энтропии для генерации пароля используется свободный аналоговый вывод. Исходным заполнением являются случайные значения атмосферных шумов на данном выводе. Атмосферные помехи образуются при естественных электрических возмущениях в земной атмосфере и обычно называются статическим электричеством. Они, как правило, имеют импульсную природу, их энергия распределяется в широком диапазоне частот. В определенный момент снимается значение шума, которое используется для генерации случайного символа пароля. При генерации всех символов аппаратно-вычислительная платформа производит запись пароля на дисплей и посылает его на ПЭВМ через последовательный COM-порт, где в дальнейшем происходит запись пароля в текстовую таблицу “Access” ОС “Microsoft Windows“. При нажатии кнопки микропереключателя вывод Reset подключается к корпусу, что приводит к перезапуску микроконтроллера и данный алгоритм повторяется.

Принципиальная схема аппаратно-вычислительной платформы приведена на рис. 2.

 Рисунок 2 – Принципиальная схема аппаратно-вычислительной платформы Arduino.

Микроконтроллер запитывается по проводу +5В через USB-разъем. Аналоговым выводом, используемым в качестве источника энтропии, является вывод 1 на разъеме Х2. Платформа взаимодействует с LCD-дисплеем по цифровым выводам 1 (линия адресного сигнала) и 4 (линия разрешения доступа к данным) разъема Х4, 1, 3, 4 и 5(линии данных) разъема Х3. Микропроцессор DD2 снимает значение напряжения шума, преобразует его в цифровой вид, в результате чего образуется кодовая последовательность в 7 бит. Арифметико-логическое устройство присваивает данное значение одному из 62 символов таблицы ASCII. В этой таблице возможно использование 128 символов, но как было оговорено ранее, нам достаточно 62. При генерации всех символов, пароль отправляется на LCD-дисплей и с выводов 2 и 3 DD2 (линии последовательного соединения с ПЭВМ) через согласующие резисторы R4, R5 поступает на DD1 (USB-порт). С данного порта по проводам D+ и D- отправляется на ПЭВМ, где взаимодействует с ПО. При нажатии кнопки SB1 корпус подключается к выводу 1 микропроцессора DD2, в результате чего происходит перезапуск алгоритма.

В заключении приведем краткий анализ существующих способов генерации паролей, а именно:

-     ручная генерация;

-    программная;

-    программно-аппаратная.

Результаты сравнения отображены в таблице 3:

Таблица 1. Сравнительная характеристика различных способов генерации паролей.

Таким образом, задачи по генерации надежного пароля,  его визуальной демонстрации выполняются при помощи предлагаемого устройства, его запись в текстовую таблицу и ведение электронного журнала в зашифрованном виде может быть реализована после разработки соответствующего программного обеспечения. Объединение программной и аппаратной составляющих в единый ПАК позволит надежно реализовать защиту ПЭВМ от НСД в области паролирования объекта ЭВТ.