Bakalavr bitiruv ishi

Himoyalangan korporativ tarmoqda ma‟lumotlar sqaqlash va qayta ishlash qismini himoyalsh

Himoyalangan korporativ tarmoqda ma‘lumotlar sqaqlanadigan va qayta ishlanadigan qismi bu tashkilot yoki korxonanaing ichki qismidagi kopmyuterlar serverlar va ulardagi ma‘lumotlar bazalari hisoblanadi. Birinchi novbatda himoyalanadigan qism bu tarmoqning kirish qismi hisoblanadi. Kirish va chiqishlarni nazorat qilish, hamma foydalanayotgan tarmoqdan kelib chiqayotgan tahdidlarni blokirovkalash uchun «tarmoqlararo ekran» (Firewall) deb nomlanuvchi dasturiy va apparat-dasturiy vositalaridan foydalaniladi. Odatda, alohida ajratilgan va himoyalangan KT «tarmoqlararo ekran» orqali hamma foydalanadigan tarmoqqa ulanadi. Tarmoqlararo ekran himoyalangan KTga kelib tushayotgan va undan chiqib ketayotgan axborotlarni nazorat qilish uchun qo‗llaniladi.
Tarmoqlararo ekranning asosiy vazifasi (kirayotgan yoki chiqayotgan) trafikni filtrlashdan iborat. Korporativ tarmoqning himoyalanganlik darajasiga qarab filtrlashning turli qoidalari o‗rnatilishi mumkin. Filtrlash qoidalari filtrlar ketma-ketligini tanlash orqali amalga oshiriladi. Tarmoqlararo ekran texnologiysi

2. 
   rasmda keltirilgan.
   

7. 
   rasm. Tarmoqlararo ekran texnologiysi
   

Tarmoqlararo ekran filtrlashni kanallar, tarmoqlar, transport va amaliy sathlarda amalga oshiradi. Ekran qancha ko‗p sathni o‗z ichiga olsa, shuncha takomillashgan hisoblanadi. Tarmoqlararo ekranda, dasturiy vositachi vazifani bajaruvchi va subyekt va obyekt orasida ulanishni ta‘minlovchi, so‗ngra axborotni qayd qilish va nazoratini amalga oshirib jo‗natuvchi, ekranlovchi agentlardan (proxy-serverlar) foydalaniladi. Ekranlovchi agentlarning qo‗shimcha vazifasi foydalanishga ruxsat berilgan subyektdan haqiqiy obyektni yashirishdan iborat.

Ekranlovchi agentlarning o‗zaro aloqa ishtirokchilariga ta‘siri yo‗q. Tarmoqlararo ekranning manzillarni translatsiyalash funksiyasi haqiqiy ichki manzillarni tashqi abonentlardan yashirish uchun mo‗ljallangan. Bu tarmoq topologiyasini yashirish va agar himoyalangan tarmoq uchun yetarli miqdorda manzillar ajratilmagan bo‗lsa, yanada ko‗proq sondagi manzillardan foydalanishga imkon yaratadi.
Tarmoqlararo ekran maxsus jurnallarda hodisalarni qayd qilib boradi. Biror aniq talab bo‗yicha ekranni sozlash orqali jurnallarni yuritish imkoniyati nazarda tutilgan.
Yozuvlar tahlili o‗rnatilgan qoidalarni buzishga bo‗lgan buzg‗unchilarning urinishlarini qayd qilish va ularni aniqlash imkonini beradi.
Ekran simmetrik emas. Tarmoqlararo ekran quyidagi to‗rtta funksiyani bajaradi:

• 
  ma‘lumotlarni filtrlash;
  
• 
  ekranlovchi agentlardan foydalanish;
  
• 
  manzillarni translatsiyalash;
  
• 
  hodisalarni qayd qilish.
  

U ―tashqi‖ va ―ichki‖ tushunchalarini farqlay oladi. Ekran ichki sohani nazoratsiz va adovatli bo‗lgan tashqi muhitdan himoyasini ta‘minlab beradi. Shu bilan birga ekran himoyalangan tarmoq subyektlari tomonidan ommaviy tarmoq obyektlaridan foydalanishni cheklashni ham ta‘minlaydi. Foydalanishga ruxsat berilgan subyektning vakolatlari buzilgan holatda uning ish faoliyati blokirovka qilinadi va barcha kerakli ma‘lumotlar jurnalga yozib qo‗yiladi. Tarmoqlararo ekranlarga quyidagi zamonaviy talablar qo‗yiladi:

• 
  Asosiy talablar bu ichki tarmoqning xavfsizlikni ta‘minlash va tashqaridan ulanishlar va aloqa seanslarini to‗liq nazorat qilish;
  
• 
  Ekranlovchi tizim tashkilotning xavfsizlik siyosatini oddiy va to‗liq yuritish uchun quvvatli va moslanuvchan boshqarish vositalariga ega bo‗lmog‗i darkor;
  
• 
  Tarmoqlararo ekran lokal tarmoq foydalanuvchilariga sezdirmasdan ishlashi va ular tomonidan ruxsat etilgan amallarni bajarishlariga xalaqit bermasligi lozim;
  
• 
  Tarmoqlararo ekran ko‗p miqdordagi murojatlarni blokirovka qilib qo‗yishni va ishdan chiqishining oldini olish uchun, uning protsessori tez ishlay olish, pik rejimlarida kiruvchi va chiquvchi oqimlarni yetarli darajada samarali qayta ishlay olishga ulgurishi lozim;
  
• 
  Xavfsizlikni ta‘minlash tizimi har qanday tashqi noqonuniy ta‘sirlardan himoyalangan bo‗lishi lozim, chunki bu ta‘sirlar tashkilotning konfedensial ma‘lumotlarini ochish kaliti bo‗lishi mumkin;
  
• 
  Ekranni boshqaruv tizimi olisdagi filiallar uchun ham yagona xavfsizlik siyosatini yuritishni markazlashgan holda ta‘minlash imkoniyatiga ega bo‗lmog‗i lozim;
  
• 
  Tarmoqlararo ekran foydalanuvchilarning tashqi ulanishlari orqali foydalanishga ruxsat berishning mualliflashtirish vositalariga ega bo‗lmog‗i, tashkilot xodimlarini xizmat safarida ham tarmoqdan foydalanishlariga imkon yaratadi.
  

Ma‘lumotlar korporativ tarmoqdagi foydalanuvchilar komyuterlarida ham saqlanadi va qayta ishlanadi. Shuning uchun ham kompyuter viruslaridan va boshqa dasturlar ta‘siridan va o‗zgartirishlardan himoyalanish, kompyuter tizimlarida axborotlarni qayta ishlash jarayonini himoyalashning mustaqil yo‗nalishlaridan hisoblanadi. Ushbu xavfga yetarlicha baho bermaslik foydalanuvchilarning axborotlari uchun jiddiy salbiy oqibatlarni keltirib chiqarishi mumkin. Kompyuter viruslaridan va boshqa dasturlar ta‘siridan va o‗zgartirishlardan himoyalanish, kompyuter tizimlarida axborotlarni qayta ishlash jarayonini himoyalashning mustaqil yo‗nalishlaridan hisoblanadi. Viruslarning ta‘sir mexanizmlarini, ularga qarshi kurash usullari va vositalarini bilish viruslanishga qarshi harakatlarni samarali tashkil etish, ularning ta‘siridan zararlanish ehtimolligini va talofatlarni minimumga keltirish imkonini beradi. Viruslarning ommaviy tarqalib ketishi va ularning KT resurslariga ta‘siri oqibatlarining jiddiyligi, maxsus antivirus vositalarini va ularni qo‗llash usullarini yaratish va foydalanish zaruriyatini keltirib chiqardi. Antivirus vositalari quyidagi masalalarni hal etish uchun qo‗llaniladi:

• 
  viruslarni topish va ularni yo‘q qilish;
  
• 
  virus dasturlar ishini blokirovka qilish;
  
• 
  viruslar ta‘sirining oqibatlarini bartaraf qilish.
  

Viruslarni topishni, ularni joylashib olish bosqichida yoki hech bo‗lmaganda virusning buzg‗unchilik funksiyalarini boshlagunga qadar amalga oshirgan maqsadga muvofiq. Shuni ta‘kidlash joizki, barcha turdagi viruslarni topishni
kafolatlovchi antivirus vositalari mavjud emas. Virus topilgan holatda, uning
tizimga keltirishi mumkin bo‗lgan zararli ta‘sirini minimallashtirish maqsadida darhol virus dasturning ishini to‗xtatilish lozim. Virusning ta‘sir oqibatlarini bartaraf qilish ikki yo‗nalishda olib boriladi:

• 
  virusni o‗chirish;
  
• 
  fayllarni xotira sohalarini tiklash.
  

Tizimni qayta tiklash virus turiga, uni aniqlangan hamda zararlovchi ta‘sirini boshlagan vaqtiga bog‗liq. Viruslar tizimga kirish jarayonida, o‗zini saqlaydigan joydagi ma‘lumotlarni o‗chirib yuborsa, hamda zararlovchi ta‘siri natijasida ma‘lumotlarni o‗zgartirish nazarda tutilgan bo‗lsa, zaxiraga olingan ma‘lumotlarsiz yo‗qolgan ma‘lumotlarni tiklab bo‗lmaydi. Viruslarga qarshi kurashda aniq bir ketma-ketlik va kombinatsiyada qo‗llaniluvchi, viruslarga qarshi kurashish usullarini hosil qiluvchi dasturiy va apparat-dasturiy vositalardan foydalaniladi.
KTning xavfsiz ishlashining asosiy shartlaridan biri, amalda sinovdan o‗tkazilgan va o‗zining yuqori samara berishini ko‗rsatgan bir qator qoidalarga rioya qilish hisoblanadi.
Birinchi qoida – qonuniy rasmiy yo‗l bilan olingan dasturiy mahsulotlardan foydalanish. Dasturiy ta‘minotning qaroqchilik yo‗li bilan ko‗paytirilgan nusxalarida, rasmiy yo‗l bilan olinganlariga nisbatan viruslarning mavjudlik ehtimoli juda yuqori.
Ikkinchi qoida – axborotlar zaxirasini hosil qilish. Avvalo dasturiy ta‘minotning distributivlari yozilgan tashuvchilarni saqlash zarur. Bunda tashuvchilarga ma‘lumotlarni yozish imkoni berilgan bo‗lsa, imkon qadar uni blokirovka qilish zarur. Ishga talluqli ma‘lumotlarni saqlanishiga jiddiy yondashishi zarur. Muntazam ishga taalluqli fayllarning zaxira nusxalarini yaratib borish va ularni yozishdan himoyalangan yechib olinuvchi tashuvchilarda saqlash kerak. Agar bunday nusxalar yechib olinmaydigan tashuvchilarda yaratilayotgan bo‗lsa, ularni butunlay boshqa kompyuterning doimiy xotirasida yaratish maqsadga muvofiq.
Uchinchi qoida – antivirus vositalaridan muntazam foydalanish. Antivirus
vositalari muntazam yangilanib turilishi lozim.
To‗rtinchi qoida – yangi yechib olinadigan axborot tashuvchilardan va yangi fayllardan foydalanilganda ehtiyotkorlikka rioya qilish. Yangi yechib olinadigan tashuvchilar olinganda, albatta, yuklanuvchi va fayl viruslari mavjudligiga, olingan fayllar esa fayl viruslari mavjudligiga tekshirilishi lozim. Tekshiruv, skanerlovchi dasturlar va evristik tahlilni amalga oshiruvchi dasturlar yordamida amalga oshirilishi kerak.
Beshinchi qoida – tizimga, ayniqsa taqsimlangan tizimlarga yoki jamoa bo‗lib foydalaniladigan tizimlarga, kiritilayotgan fayllarni va yechiladigan axborot tashuvchilarni maxsus ajratilgan kompyuterlarda tekshirish. Uni tizim administratori yoki ma‘lumotlar xavfsizligiga mas‘ul bo‗lgan shaxsning avtomatlashtirilgan ish joyidan amalga oshirilishi maqsadga muvofiq. Disk va fayllarni har tomonlama antivirus tekshiruvidan o‗tkazilgandan so‗ng ularni tizimdan foydalanuvchilarga taqdim etish mumkin.
Oltinchi qoida – agar axborotlarni tashuvchilarga yozish nazarda tutilmagan bo‗lsa, bunday amallarni bajarilishini blokirovka qilish. Yuqorida keltirilgan tavsiyalarga doimiy rioya qilinishi virus dasturlar bilan zararlanish ehtimolini ancha kamaytiradi va foydalanuvchini axborotlarni qaytib tiklab bo‗lmaydigan yo‗qotishlardan saqlaydi.
Ma‘lumotlarni saqlash va qayta ishlash qurilmalari tarmoq qurilmalari ya‘ni, kommutator va mashrutizatorlaga ulanadi. Bu tarmoq qurilmalarida xavfsizlik choralarini qo‘llash orqali ichki tarmoqdan bo‘ladigan hujumlarni oldini olish, hamda ularni bartaraf etishda, foydalaniladi.
Kommutatorda asosiy xavfsizlik choralarini qo'llanilishi. Port security kommutatorda hostlarning MAC-adreslarini ko'rsatishga imkon yaratuvchi va port orqali ko'rsatilgan manzilga ma‘lumotlarni uzatishga ruhsat beradigan funksiyasi hisoblanadi. Ruxsatsiz ulanishdan himoyalanish 2.8 rasmda keltirilgan. Bu xavfsilik chorasi yordamida quyidagilarni bartaraf qilish mumkin:

• 
  tarmoqqa ruhsatsiz ulanish va tarmoq qurilmasining MAC-adresini ruxsatsiz o'zgartirishdan;
  

• 
  kommutatsiya jadvalini to'lib toshishiga qaratilgan hujumlardan.
  

7. 
   rasm. Ruxsatsiz ulanishdan himoyalanish
   

Agar yuboruvchining MAC-adresiga ruxsat berilmagan bo'lsa, port paketlarni uzatmaydi. Bundan tashqari port orqali trafikni uzatishga ruxsat beradigan MAC-adreslar miqdorini cheklab qo'yish mumkin.

Masrutizatorlarda asosiy xavfsizlik choralarini qo'llanilishi ACL (Access Control List) ruhsat berishlar ro'yhati bo'lib, bu orqali tarmoq paketlariga ruhsat berish yoki ularni ta'qiqlash mumkin. Odatda ACL IP paketlarga ruxsat beradi yoki taqiqlaydi, lekin bundan tashqari u IP paket tarkibini tekshirishi, paket turini aniqlashi va TCP yoki UDP portlarni tekshirishi mumkin. Ruhsat berishlar ro'yhati xizmati asosan tarmoq qurilmalari (marshrutizator, kommutator, tarmoqlararo ekran) da mavjud bo'lib, ichki tarmoq va internet o'rtasidagi keraksiz bo'lgan trafikni filtrlashda ishlatiladi. ACL da trafikni klassifikatsiyalash funksiyasi uni tekshirish va qaerda qo'llanilishiga qarab aniqlanadi.
ACL turli xolatlarda qo'llanilishi mumkin, masalan:

• 
  interfeysda, paketlarni filtrlash;
  
• 
  telnet tarmog‘ida, marshrutizatorga ruhsat berishni chelkash;
  
• 
  VPN trafikni qaysi qismini shifrlash lozim;
  
• 
  QOS trafikni muqimlilik darajasini aniqlash;
  
• 
  NAT qaysi adreslarni translyatsiyalash lozim.
  

ACL xizmati o'zida permit (ruxsat berish) yoki deny (taqiqlash) matnlardan iborat qoidalar to'plamini qamrab oladi va shu qoidalar asosida tarmoqda
paketlarni qayta ishlanish jarayonini tartibga solib turadi. ACL xizmatining ikki hil toifasi mavjud:

• 
  Standart (Standart): 1-99 gacha faqatgina manbaning manzilini tekshira oladi;
  
• 
  Kengaytirilgan (Extended): 100-199 gacha nafaqat manbaning balki qabul qiluvchining manzilini, balki IP holatida foydalanuvchilarning TCP/UDP portlarini ham tekshira oladi;
  

Shuni yodda tutish lozimki interfeysga, protokolga yoki yo'nalishga 1tadan ortiq ruhsat berishlar ro'yhatini qo'llash mumkin emas. Manzillarni filtrlash uchun ACL xizmatida WildCard maska ishlatiladi. Bu teskari maska hisoblanadi. Bunga quyidagi andozani misol qilib keltirishimiz mumkin: 255.255.255.255 oddiy maskadan 255.255.255.0 maskani hosil qilamiz, va bunga teskari bo'lib 0.0.0.255 maskasi olinadi. Ruxsat berishlar ro'yhati o'zi alohida global konfigda yaratiladi va interfeysga bog‘lanadi. Shundan so'ngra ruhsat berishlar ro'yhati ishlashni boshlaydi. ACL ni ishlash prinspi 2.9 rasmda keltirilgan.

7. 
   rasm. ACL orqali cheklovlarni o‘rnatish
   

Ruxsat berishlar ro'yxatini to'g‘ri sozlash uchun quyidagi jarayonlarni yodda tutish lozim:

• 
  paketlarni qayta ishlash jarayoni belgilangan qoidalarga muvofiq qatiy tartibda olib boriladi;
  
• 
  agar paket qoidaga to'g‘ri kelsa u qayta ishlanmaydi;
  
• 
  har bir ruxsat berishlar ro'yhatining oxirida ko‘rinmaydigan deny any (hammasini taqiqlash) turadi;
  
• 
  kengaytirilgan ACL ni iloji boricha manbaga yaqinroq, standart ACL ni esa qabul qiluvchiga yaqinroq joylashtirish lozim;
  
• 
  interfeysga, protokolga va yo'nalishga 1tadan ortiq ro'yhatni joylashtirish mumkin emas;
  
• 
  ACL marshrutizator tomonidan generatsiya qilingan trafikka tasir qilmaydi;
  
• 
  tarmoq manzillarini filtrlash uchun WildCard maska ishlatiladi; [6]
  

Himoyalangan korporativ tarmoqlarda simsiz texnologiyalar qo‘llanilgan, hamda vlanlarga ajratilgan qisimlarini himoyalash, doimiy nazorat qilib turishda HP Mobility Xavfsizlik IDS / IPS tizimi RF menejeri va MSM415 Sensoridan foydalanish, korporativ tarmoq xavfsizligini ta‘minlashning samarali usullaridan hisoblanadi. MSM415 Sensor bilan birga HP RF Manager barcha IEEE 802.11 WLAN tarmoqlari uchun to'liq qo'llab-quvvatlash bilan avtomatik siyosatga asoslangan xavfsizlik va manzil-kuzatish imkoniyatlari bilan simsiz tahdidlar oldini oladi. Tahdidlar bo'yicha harakatlanish uchun avtomatik ravishda bitta sensori bir vaqtning o'zida Denial of service (DOS) hujumlar va 20 dan ortiq tahdidlarni oldini oladi. HP IDS/IPS va MSM415 sensori 2.10 va 2.11 rasmlarda keltirilgan.

7. 
   rasm. HP IDS/IPS xavfsizlik qurilmasi
   

7. 
   rasm. HP MSM415 RF Xavfsizlik Sensori
   

HP MSM415 RF Xavfsizlik Sensori doimiy simsiz tahdidlar uchun IEEE 802.11a / b / g / n tarmoqlarini ko'zdan kechiradi. Doimiy tarmoqni skanerlash, RF Manager avtomatik ravishda simsiz tarmoq orqali ma'lumot oqishni nazorat qiladi.Sensor 3 xil rejimga sozlanadi:

• 
  sensor faqatgina simsiz interfeyslarni boshqarish uhun;
  
• 
  ko‘p karrali VLAN lar faqat Ethernet interfeyslari uchun;
  
• 
  sensor ham simsiz interfeyslarni va cheklangan miqdordagi VLAN lar Ethernet interfeyslarni boshqarish uchun sozlanadi. Sozlanmalar rejimi 2.12 rasmda ko‘rsatilgan.
  

7. 
   rasm. Sozlanmalar rejimi
   

HP Mobility Xavfsizlik IDS/IPS tizimi RF menejeri va MSM415 sensori yordamida:

• 
  avtomatik tajovuz tahdidlarni aniqlash va oldini olish;
  
• 
  xavfsizlik siyosati va markaziy boshqaruv;
  
• 
  kompleks hisobot;
  
• 
  rollarga asoslangan ma'muriy huquqlar;
  
• 
  auto mdix;
  
• 
  simsiz trafik ichini 360 daraja ko‗ra olish kabi qulytliklarga ega [11].
  

7. 
   rasm. HP Mobility Xavfsizlik IDS / IPS tizimi RF menejeri va MSM415 sensoridan iborat korporativ tarmoq
   

Axborotning butunligi va foydalanishga qulayligi apparat vositalar zaxirasini yaratish, foydalanuvchilarning xato harakatlarini blokirovka qilish, kompyuter tizimlarining ishonchli elementlaridan va barqaror ishlovchi tizimlardan foydalanish yo‗li bilan amalga oshiriladi. Tizim elementlarini qasddan ortiqcha ishlatish tahdidlari bartaraf etiladi. Buning uchun bajariladigan dasturlarga buyurtmalarni kelib tushish intensivligini o‗lchash mexanizmlaridan va bunday buyurtmalarni berishni cheklash yoki blokirovka qilish mexanizmlaridan foydalaniladi. Bunday hollarda ma‘lumotlarni uzatish yoki dasturlarni bajartirishga bo‗lgan buyurtmalar oqimining birdaniga keskin oshib ketishini aniqlash imkoni ham oldindan nazarda tutilgan bo‗lishi kerak. Korporativ tarmoqlarda axborotlarning butunligi va foydalanishga qulayligini ta‘minlashning asosiy
shartlaridan biri ularning zaxiralarini hosil qilishdan iborat. Axborotlar zaxirasini
yaratish strategiyasi axborotning muhimligini, korporativ tarmoqning uzluksiz ishlashiga bo‗lgan talablarni, ma‘lumotlarni tiklashdagi qiyinchiliklarni hisobga olgan holda tanlanadi. Himoyalangan korporativ tarmoqlarda faqatgina ruxsat etilgan dasturiy ta‘minotdan foydalanilishi lozim. Foydalanishiga rasman ruxsat etilgan dasturlarning ro‗yxati, ularning butunligini nazorat qilishning usullari va davriyligi korporativ tarmoqni ekspluatatsiya qilinishidan oldin aniqlanishi kerak.