MühaziRƏ 2: MÜASİr ehm- ləRİn təSNİfati

Təşkilati tədbirlər

Təşkilati tədbirlər mühiti və informasiyanın müdafiəsinin səmərəli vasitələrindən biri olmaqla yanaşı sonra qurulajaq bütün müdafiə sistemlərinin fundamentini təşkil edir.

Təşkiləti tədbirlər aşağıdakı mövzuları əhatə edir:

• 
  Şəxsi heyətin idarəolunması
  
• 
  Fiziki müdafiə
  
• 
  Sistemin iş qabiliyyətinin saxlanması
  
• 
  Təhlükəsizlik reciminin pozulmasına reaksiya
  
• 
  Bərpa işlərinin planlaşdırılması
  

Əsas proqram – texniki tədbirlər

Proqram – texniki tədbirlər informasiya müdafiəsinin axırınjı ən vajib hüdududur. Xatırladaq ki, ziyanın əsas hissəsini leqal istifadəçilər vururlar ki, onlara qarşı əvvəldə qeyd olunan tədbirlər həllediji effekt verə bilməzlər. Əsas düşmən xidməti vəzifələrini yerinə yetirərkən səriştəsizlik və səhlənkarlıqdır ki, bunlara yalnız proqram – texniki vasitələr qarşı dura bilər. Biz aşağıdakı əsas təhlükəsizlik servislərini nəzərdən keçirəjəyik:

• 
  İdentifikasiya və autentifikasiya
  
• 
  İjazələrin idarəolunması
  
• 
  Protokollaşdırma və audit
  
• 
  Kriptoqrafiya
  
• 
  Ekranlaşdırma
  

Autentifikasiyanın ən geniş yayılmış növü paroldur. Sistem daxil edilmiş və verilən istifadəçi üçün əvvəljədən verilmiş parolu müqayisə edir. Üst–üstə düşdüyü halda istifadəçinin həqiqiliyi təstiqlənmiş sayılır. Tədrijən populyarlıq qazanan digər vasitə gizli kriptoqrafik açarlardır.

Parolla autentifikasiyanın əsas üstünlüyü – sadəlik və adət olunmasıdır. Parollar çoxdan əməliyyat sistemləri və başqa servislərə daxil olunub. Düzgün istifadə edildikdə parollar bir çox təşkilatlar üçün qəbuledilən təhlükəsizlik səviyyəsini təmin edə bilər. Buna baxmayaraq xarakteristikalar məjmusuna görə onları ən zəif autentifikasiya vasitəsi hesab etmək lazımdır.

Parolların ən prinsipial çatışmazlığı onların elektron ələ keçirilməsidir. Bu çatışmazlığı istifadəçilərin təlimi və ya adminstrə edilmənin təkmilləşdirilməsi ilə kompensasiya etmək mümkün deyil. Praktik olaraq yeganə çıxış – rabitə xətləri ilə ötürülməzdən qabaq parolların kriptoqrafik şifrələnməsidir.

Anjaq hər halda aşağıdakı ölçülər parol müdafiəsinin etibarlılığını artırmağa xeyli imkan verir:

• 
  texniki məhdudiyyətlər qoyulması (parol çox qısa olmamalıdır, parolda hərf, rəqəm, durğu işarələri olmalıdır və s.)
  
• 
  parolun fəaliyyət müddətinin idarə olunması, onların vaxtaşrı dəyişdirilməsi
  
• 
  parollar faylına ijazənin məhdudlaşdırılması
  
• 
  sistemə uğursuz daxilolma jəhdlərinin məhdudlaşdırılması
  
• 
  istifadəçilərin təlimi
  
• 
  parol generasiya edən proqramların istifadəsi
  

Sadalanan tədbirləri həmişə, hətta parolla yanaşı digər autentifikasiya metodları istifadə olunduğu halda da tətbiq etmə məqsədəmüvafiqdir.

Son vaxtlar autentifikasiya üçün tokenlərdən istifadə olunur. Token əşyadır (qurğudur). Ona sahib olma istifadəçinin əsilliyini təsdiq edir. Yaddaşa malik tokenlər (passiv tokenlər, informasiyanı saxlayır, amma emal etmirlər) və intellektual tokenlər (aktiv tokenlər) fərqləndirilir.

Passiv tokenlərin ən geniş yayılan növü maqnit zolaqlı kartlardır. Belə tokenlərdən istifadə etmək üçün klaviatura və prosessorla təshiz olunmuş oxuma qurğusu lazımdır. Adətən istifadəçi klaviaturada özünün şəxsi identifikasiya nömrəsini yığır, prosessor onu kartda yazılanla müqayisə edir, həmçinin kartın əslliyini yoxlayır. Faktiki olaraq autentifikasiyanın iki üsulundan istifadə olunur ki, bu da bədniyyətlinin hərəkətlərini xeyli çətinləşdirir. Diqqəti autentifikasiya informasiyasının oxunma qurğusunun özü tərəfindən emal olunması zərurətinə yönəldək. Bu elektron ələkeçirmə imkanlarını istisna edir.

Bəzən (adətən girişə fiziki nəzarət üçün) kartlar bilvasitə, şəxsi identifikasiya nömrəsi tələb olunmadan istifadə edilir. Şübhəsiz üstünlükləri ilə yanaşı yaddaşı olan tokenlərin müəyyən çatışmazlıqları da var, hər şeydən əvvəl onlar parollardan xeyli bahadırlar. Xüsusi oxuma qurğusu tələb olunur. İstifadə üçün rahat deyil və s.

İntellektual tokenlər özünün hesablama güjünün olması ilə xarakterizə olunur. Tokenin işləməsi üçün istifadəçi şəxsi identifikasiya kodunu daxil etməlidir.

Fəaliyyət prinsiplərinə görə intellektual tokenləiri aşağıdakı kateqoriyalara bölmək olar:

• 
  parolların statik mübadiləsi: istifadəçi adi qayda ilə tokenə öz əslliyini sübut edir, sonra token kompüter sistemi tərəfindən yoxlanılır.
  
• 
  parolların dinamik generasiyası: token parolları generasiya edir və periodik dəyişir (məsələn dəqiqədə bir dəfə). Kompüter sistemi də sinxronlaşdırılmış parollar generatoruna malik olmalıdır. Tokendən informasiya interfeyslə daxil olur və ya terminalın klaviaturasında istifadəçi tərəfindən yığılır.
  
• 
  sorğu-javab sistemləri: kompüter təsadüfi ədəd verir, bu ədəd tokendəki kriptoqrafik mexanizmlə çevrilir və bundan sonra nətijə yoxlama üçün kompüterə qaytarılır. Burada da elektron və ya əl interfeysindən istifadə etmək olar.
  

İntellektual tokenləirin əsas üstünlüyü onların açıq şəbəkədə autentifikasiya üçün istifadə edilməsi imkanıdır. Generasiya olunan və javab olaraq verilən parollar daim dəyişirlər ki, bədniyyətli hətta jari parolu ələ keçirsə belə, hiss olunajaq fayda götürə bilməz. Praktiki nöqteyi-nəzərdən intellektual tokenlər birdəfəlik parollar mexanizmini realizə edir.

İntellektual tokenlərin digər üstünlüyü onların potensial çoxfunksiyalı olmasıdır. Onları yalnız təhlükəsizlik məqsədi ilə deyil, məsələn, maliyə əməliyyatları üçün də istifadə etmək olar.

Çox mühüm məsələ identifikasiya və autentifikasiya xidmətlərinin adminstrə olunmasıdır. Uyğun informasiyanın məxfiliyini, tamlığını və əlyetənliyini daim saxlamaq zəruridir ki, bura birjins olmayan şəbəkə mühitində xüsusilə asan deyil. İnformasiyanın mümkün maksimal mərkəzləşdirilməsini tətbiq etmək məqsədəuyğundur. Buna əslliyi yoxlayan ayrıja serverlərin (Kerberos kimi) və ya mərkəzləşdirilmiş adminstrəetmə vasitələrinin tətbiqi ilə nail olmaq olar.