Cyber Academy
Bepul boshlash

11-bob

Ma'lumot uzatish tarmoqlarida axborotni muhofaza qilish

Talabalarda ma'lumot uzatish tarmoqlarida axborotni himoya qilish, ya'ni tarmoqqa qaratilgan tahdidlar, tarmoqni segmentlarga ajratish, xavfsizlik devori va demilitarizatsiya zonasi, proksi-server va virtual xususiy tarmoq, simsiz tarmoqlar himoyasi hamda hujumni aniqlash va oldini olish tizimlari to'g'risida tizimli bilim shakllantirish; talabaning kichik tashkilot tarmog'ini himoya nuqtai nazaridan loyihalash va zaifliklarni aniqlash ko'nikmasini rivojlantirish.

Darsni boshlash

Internetdan uzilgan zavodga zararli dastur qanday kirib bordi

2010-yilda xavfsizlik mutaxassislari o'sha paytgacha ko'rilmagan murakkablikdagi zararli dasturni aniqladi. U Stuxnet deb nomlandi. Uning nishoni oddiy kompyuterlar emas, sanoat uskunalarini boshqaradigan maxsus kontrollerlar edi. Bu dastur kompyuter ekranidagi ma'lumotni o'g'irlash uchun emas, balki jismoniy uskunani ishdan chiqarish uchun yaratilgan bo'lib, kiberhujum moddiy zarar keltirishi mumkinligini birinchi bo'lib amalda isbotladi.

Voqeaning ushbu bob uchun eng qiziq jihati boshqa narsada. Nishondagi obyektning boshqaruv tarmog'i internetga umuman ulanmagan edi. Bu himoya usuli havo bo'shlig'i (air gap) deb ataladi va uzoq vaqt davomida eng ishonchli chora deb hisoblangan: agar tarmoq tashqi dunyoga ulanmagan bo'lsa, unga masofadan kirib bo'lmaydi degan fikr mantiqiy ko'rinardi.

Zararli dastur bu to'siqni butunlay boshqa yo'l bilan yengib o'tdi. U avval oddiy tarmoqlarda tarqaldi, so'ngra olib yuriluvchi xotira qurilmalariga, ya'ni USB-flesh vositalariga yuqdi. Xodimlar va texnik mutaxassislar shunday qurilmalarni ish jarayonida ajratilgan tarmoqqa olib kirdi va dastur shu tariqa ichkariga tushdi. Ichkarida esa u operatsion tizimning o'sha paytda noma'lum bo'lgan bir necha zaifligidan foydalanib, tarmoq bo'ylab o'z-o'zidan tarqaldi va o'ziga kerakli uskunani topgach, ishga tushdi.

Zarar sezilarli bo'ldi: baholarga ko'ra bir necha yuzdan ortiq uskuna ishdan chiqdi. Ayni paytda boshqaruv ekranlarida hamma narsa me'yorida ko'rinib turardi, chunki dastur operatorlarga soxta ko'rsatkichlarni ko'rsatib turgan edi. Bu esa nosozlikning sababini uzoq vaqt aniqlab bo'lmasligiga olib keldi.

Ushbu voqeadan tarmoq xavfsizligi uchun uchta muhim xulosa kelib chiqadi va ular bob davomida qaytariladi. Birinchidan, tarmoqni tashqi dunyodan ajratishning o'zi yetarli emas: himoya ma'lumot kiradigan barcha yo'llarni, jumladan olib yuriluvchi qurilmalarni ham qamrab olishi kerak. Ikkinchidan, tarmoq ichida yetarli ajratish bo'lmasa, bir nuqtaga tushgan tahdid butun tarmoq bo'ylab erkin tarqaladi. Uchinchidan, kuzatuv tizimiga ko'r-ko'rona ishonib bo'lmaydi: ko'rsatkichlar me'yorida ko'ringani hamma narsa joyida ekanini anglatmaydi.

Amaliy ssenariy

Bob davomida qoʻllaniladigan vaziyat

«Raqamli Yechim» MChJ ssenariysi yakuniy bosqichga keladi. Kompaniya o'sib borgani sari uning tarmog'i ham murakkablashdi. Endi ofisda o'nlab ish stansiyasi, o'z serverlari, mijozlar uchun ochiq veb-xizmat va simsiz tarmoq mavjud. Bir necha xodim uydan yoki safardan turib ishlaydi, yaqinda esa boshqa shaharda kichik filial ochildi.

Bu o'sish yangi muammo tug'dirdi. Tarmoq yillar davomida rejasiz kengaygan: barcha qurilmalar bitta umumiy tarmoqda joylashgan, mijozlarga xizmat ko'rsatadigan server esa xuddi buxgalteriya kompyuteri bilan bir muhitda ishlaydi. Bu shuni anglatadiki, tashqaridan ko'rinadigan veb-server buzilsa, tajovuzkor bevosita ichki tarmoqqa, ya'ni moliyaviy hujjatlar va manba kodiga yo'l topadi.

Otabek tarmoqni qayta loyihalash vazifasini oladi. Uning oldida uchta yo'nalish turadi: ofis tarmog'ini tartibga solish, tashqi ulanishlarni (masofaviy xodimlar va filial) himoyalash hamda nazorat vositalarini joriy etish. Bekzod unga texnik jihatdan ko'maklashadi. Ish oldida turgan asosiy savol butun bobning mag'zini tashkil etadi: tarmoqni shunday qurish kerakki, bitta qurilma buzilsa, butun tarmoq ochilib qolmasin (11.1-rasm).

Mavzular

  1. 11.1Tarmoq xavfsizligi asoslari va tarmoqqa qaratilgan tahdidlar→
  2. 11.2Xavfsizlik devori, tarmoq segmentatsiyasi va demilitarizatsiya zonasi→
  3. 11.3Proksi-serverlar va virtual xususiy tarmoqlar→
  4. 11.4Simsiz tarmoqlar xavfsizligi→
  5. 11.5Hujumni aniqlash va oldini olish tizimlari, monitoring→

Mustaqil taʼlim

  1. 01

    Kichik IT-kompaniya (yoki modellashtirilgan «Raqamli Yechim») uchun himoyalangan tarmoq sxemasini loyihalang. Sxemada kamida to'rtta segment, xavfsizlik devorlari, DMZ va simsiz tarmoq ko'rsatilsin. Har bir segment uchun unda qanday qurilmalar joylashishini va boshqa segmentlar bilan qanday aloqaga ruxsat berilishini jadvalda izohlang. Hajmi 1–2 bet.

  2. 02

    To'rtta simsiz tarmoq protokolini (WEP, WPA, WPA2, WPA3) yaratilgan yili, asosidagi algoritm, ma'lum zaifliklari va bugungi holati bo'yicha taqqoslovchi jadval tuzing. Xulosada kichik ofis uchun qaysi protokolni tanlashni tavsiya qilishingizni va eski qurilmalar bilan moslik masalasini qanday hal qilish mumkinligini asoslang. Hajmi 1 bet.

  3. 03

    IDS va IPS tizimlarini joylashuvi, vazifasi, xato ishlaganda yuzaga keladigan oqibati va talab qiladigan resurslari bo'yicha taqqoslang. So'ngra ikkita amaliy holat tasvirlab, har biri uchun qaysi tizim mos kelishini asoslang. Hajmi 1 bet.

  4. 04

    Masofaviy ishlaydigan xodimlar uchun tarmoq xavfsizligi bo'yicha yo'riqnoma tayyorlang. Unda kamida oltita aniq qoida bo'lsin: VPN dan foydalanish, ochiq Wi-Fi tarmoqlaridagi ehtiyot choralari, qurilmani yangilab turish va shubhali holat to'g'risida xabar berish tartibi. Yo'riqnoma bajariladigan va tushunarli bo'lsin.

Yakun

Bob xulosasi

Ushbu bobda ma'lumot uzatish tarmoqlarida axborotni himoya qilish masalalari ko'rib chiqildi. Tarmoq xavfsizligining o'ziga xosligi shundaki, bu yerda ma'lumot harakatlanadi va shu sababli u butun yo'l davomida himoyalanishi kerak. Tarmoqqa qaratilgan hujumlar passiv (kuzatish) va aktiv (aralashish) turlarga bo'linadi: birinchisini aniqlash qiyin, biroq shifrlash bilan oldini olish oson; ikkinchisini aniqlash osonroq, ammo to'sish qiyinroq.

Himoya bir necha qatlamda quriladi. Xavfsizlik devori tarmoqlar o'rtasidagi trafikni qoidalar asosida nazorat qiladi va uning asosiy tamoyili sodda: avval hammasini taqiqlash, so'ngra faqat zarurini ochish. Tarmoqni segmentlarga ajratish esa ichkariga tushgan tahdidning erkin tarqalishini cheklaydi, demilitarizatsiya zonasi esa tashqaridan ko'rinadigan xizmatlarni ichki tarmoqdan ajratadi.

Proksi-serverlar vositachi sifatida trafikni nazorat qiladi: to'g'ri proksi foydalanuvchilarni, teskari proksi serverlarni himoyalaydi. Virtual xususiy tarmoq ochiq internet ustida shifrlangan tunnel yaratib, masofaviy xodimlar va filiallarni xavfsiz bog'laydi, biroq u faqat kanalni himoyalaydi va zararlangan qurilmadan kelayotgan tahdidni to'xtata olmaydi.

Simsiz tarmoqlarda signal bino chegarasidan tashqariga chiqadi, shu sababli shifrlash asosiy himoya vositasi hisoblanadi. Protokollar WEP dan WPA3 gacha rivojlangan bo'lib, eskilaridan voz kechish va imkon bo'lganda eng zamonaviysini tanlash zarur. Mehmonlar uchun alohida tarmoq ajratish va qurilmalarning zavod parollarini almashtirish esa oddiy, biroq juda samarali choralardir.

Nihoyat, hech qanday to'siq yuz foiz kafolat bermagani uchun himoyaning ikkinchi yo'nalishi, ya'ni aniqlash zarur. IDS hujumni kuzatib ogohlantiradi, IPS esa uni to'xtatadi; DLP tizimlari ma'lumotning tashqariga chiqib ketishini nazorat qiladi; jurnal yuritish esa hodisani tahlil qilish imkonini beradi. Bob va butun qo'llanmaning yakuniy xulosasi kirish voqeasiga qaytadi: hatto internetdan butunlay ajratilgan tarmoq ham himoyaning boshqa qatlamlari zaif bo'lsa buziladi. Xavfsizlik bitta vosita emas, balki texnik, tashkiliy va inson omilini qamrab oluvchi uzluksiz jarayondir.