• шифрование;
• контроль целостности;
• экранирование;
• анализ защищенности;
• обеспечение отказоустойчивости;
• обеспечение безопасного восстановления;
• туннелирование;
• управление.
Эти сервисы должны функционировать в открытой сетевой среде с разнородными компонентами, т. е. быть устойчивыми к соответствующим угрозам, а их применение должно быть удобным для пользователей и администраторов. Например, современные средства идентификации/ аутентификации должны быть устойчивыми к пассивному и активному прослушиванию сети и поддерживать концепцию единого входа в сеть.
Основные моменты для каждого из перечисленных сервисов безопасности:
1. Предпочтительными являются криптографические методы аутентификации, реализуемые программным или аппаратно-программным способом. Парольная защита стала анахронизмом, биометрические методы нуждаются в дальнейшей проверке в сетевой среде.
2. При разграничении доступа должна учитываться семантика операций.
3. Простота администрирования в условиях большого числа пользователей и ресурсов и непрерывных изменений конфигурации.
Протоколирование и аудит должны быть всепроникающими и многоуровневыми, с фильтрацией данных при переходе на более высокий уровень. Это необходимое условие управляемости. Желательно применение средств активного аудита. Однако нужно осознавать ограниченность их возможностей и рассматривать эти средства как один из рубежей многоуровневой обороны. Следует конфигурировать их таким образом, чтобы минимизировать число ложных тревог и не совершать опасных действий при автоматическом реагировании.
Все, что связано с криптографией, сложно не столько с технической, сколько с юридической точки зрения. Данный сервис является инфраструктурным, его реализация должна присутствовать на всех аппаратно-программных платформах и удовлетворять жестким требованиям не только к безопасности, но и к производительности. Пока же единственным доступным выходом является применение свободно распространяемого программного обеспечения.
Надежный контроль целостности также базируется на криптографических методах с аналогичными проблемами и методами их решения. К статической целостности есть и некриптографические подходы, основанные на использовании запоминающих устройств, данные на которых доступны только для чтения. Если в системе разделить статическую и динамическую составляющие и поместить первую в постоянное запоминающее устройство или на компакт-диск, можно в основном пресечь угрозы целостности. В этом случае наиболее рационально записывать регистрационную информацию на устройства с однократной записью.
Экранирование является сервисом безопасности, который реализуется через межсетевые экраны, ограничивающие интерфейсы и виртуальные локальные сети. Экран инкапсулирует защищаемый объект и контролирует его внешнее представление. Современные межсетевые экраны достигли очень высокого