Серверы

Необходимо предотвратить несанкционированный доступ — как извне, так и изнутри сети. Хорошо подготовившийся пользователь может вызвать невосстановимую потерю дан­ных, получив доступ к серверному шкафу. Нужно ограничить физический доступ к серверам, а также число пользователей и групп, имеющих право локальной регистрации на сервере.

Маршрутизаторы

К маршрутизаторам, как и к серверам, доступ должен быть ограничен. Пользователь может решить, что сеть работает странно, и выключить, а затем снова включить маршрути­затор, пытаясь решить проблему. В зависимости от изготовителя и модели маршрутизатора это может действительно помочь. Или он может удалить таблицы маршрутизации, тем самым, заставив маршрутизатор «забыть» их. Также, если организация достаточно велика, пользователь может добавить свой сетевой сегмент к маршрутизаторам. Это может оказаться первым шагом в крупном нарушении безопасности сети.

Кабели

Если данные достаточно чувствительны, может потребоваться ограничить количество электронных сигналов, которые излучают кабели. Также существует возможность, что кто-нибудь подключится непосредственно к медному кабелю и таким образом похитит данные. В середине семидесятых, в самый разгар «холодной войны», правительством США была раз­работана беспроводная технология, которая позволяла подслушивать электромагнитный сигнал, исходивший от компьютеров и сетевых кабелей.

Лучше ограничить доступ к кабелю, по которому проходят чувствительные данные. По возможности, можно использовать оптоволоконный кабель, который не излучает элек­трических сигналов и к которому значительно труднее подключиться, также можно проло­жить кабели внутри стен здания.

5.2. Модели безопасности

После того как сеть защищена физически, необходимо принять решение о программ­ной защите сети. Существуют два основных типа безопасности учетных записей: защита на уровне ресурсов (share-level security) и защита на уровне пользователей (user-level security).

Защита на уровне ресурсов

Защита на уровне ресурсов (share-level security) представляет собой такую технику защиты, при которой каждый владелец ресурса предоставляет ресурс в совместное пользова­ние под своим контролем и создает пароль для управления доступом к этому ресурсу. При­мером может послужить пользователь с присоединенным к его компьютеру цветным прин­тером. Он может предоставить принтер в совместное использование в сети и защитить его использование, установив пароль для использования принтера. Пользователи, знающие па­роль, могут использовать этот принтер. Windows 3.11 и Windows 95 являются примерами операционных систем, использующих такую технику. Обе эти системы разрешают доступ к ресурсам Только для чтения (Read-Only), Полный доступ (Full) и В зависимости от пароля (Depends on Password), каждый из которых объяснен ниже:

1. Только для чтения (Read-Only). Пользователям разрешено только просматри­вать файлы в разделенном каталоге. Они не могут изменять, удалять или добав­лять файлы в каталог. Они могут копировать файлы на свои компьютеры и печа­тать (или запускать) их.

2. Полный доступ (Full). Пользователи могут создавать, читать, записывать, удалять и изменять файлы в разделяемом каталоге.

3. В зависимости от пароля (Depends on Password). Разделенные ресурсы, исполь­зующие эту возможность, разрешают пользователям либо права Только для чтения (Read-Only), либо права Полный доступ (Full) в зависимости от введенного поль­зователем пароля.

Защита на уровне пользователей

Защита на уровне пользователей (user-level security) представляет собой такую техни­ку защиты, при которой каждому пользователю присвоено уникальное имя и пароль. Когда пользователь пытается войти в сеть, ему предлагается ввести свое имя пользователя и па­роль, которые сравниваются с базой данных защиты на удаленном сервере. Этот процесс на­зывается идентификацией (authentication). Если имя и пароль верны, сервер регистрирует пользователя в сети. Права и привилегии присваиваются на основе идентификатора пользо­вателя (User ID) и/или групп, к которым он может принадлежать.

В Microsoft Windows NT эта техника используется для присвоения разрешений. Хоть пользователи могут иметь доступ к частям сети, они могут иметь, а могут и не иметь разре­шений на доступ к определенным ресурсам, или их тип разрешения может ограничивать их уровень взаимодействия с этими ресурсами. Вот эти типы разрешений:

1. Read (Чтение). Подобно разрешению Только для чтения (Read-Only) в Windows 3.11 или Windows 95, разрешение Read позволяет пользователям просматривать и запускать файлы в каталоге с совместным доступом. Они не могут изменять, уда­лять или добавлять файлы, однако они могут печатать и копировать файлы на свои компьютеры.

2. Execute (Выполнение). Разрешение Execute позволяет пользователям запускать файлы в каталоге с совместным доступом.

3. Write (Запись). Разрешение Write позволяет пользователям создавать, читать, за­писывать и изменять файлы в разделенном каталоге. Пользователи не могут за­пускать или удалять файлы.

4. Delete (Удаление). Разрешение Delete дает пользователям возможность удалять файлы из каталога с совместным доступом.

5. Full Control (Полный доступ). Доступ, Full Control позволяет пользователям чи­тать, исполнять, создавать, записывать, изменять и удалять файлы в разделенном каталоге.

6. No Access (Нет доступа). Пользователи лишены права получать доступ к катало­гу, если установлено разрешение No Access. В сочетании с другими разрешениями No Access имеет преимущество. Это означает, что если пользователь имеет к кон­кретному каталогу доступ Full Control и No Access, он имеет в результате доступ к каталогу No Access.