7.5. Xavfsizlik tizimlari va identifikatsiya tizimlari

Yuqorida ko'rilgan alohida himoya vositalari (kameralar, qulflar, kirish nazorati) odatda yaxlit xavfsizlik tizimiga birlashtiriladi. Xavfsizlik tizimi bir necha vositani muvofiqlashtirilgan holda boshqaradi: masalan, kirish nazorati, kuzatuv kameralari va signalizatsiya birgalikda ishlaydi, hodisa yuz berganda esa avtomatik ravishda ogohlantirish beradi va voqeani qayd etadi.

Xavfsizlik tizimlarining markaziy vazifasi kirishni boshqarish (access control), ya'ni kim, qaysi resursga va qanday huquq bilan kirishini nazorat qilishdir. Kirishni boshqarishning bir necha modeli mavjud bo'lib, ular huquqlarni qanday belgilashi bilan farqlanadi (7.6-jadval).

7.6-jadval. Kirishni boshqarish modellarini taqqoslash.

Amalda tashkilotlar ko'pincha rolga asoslangan modelni (RBAC) qo'llaydi, chunki u boshqarishga qulay: har bir lavozim uchun huquqlar to'plami bir marta belgilanadi, yangi xodim esa shunchaki tegishli rolga biriktiriladi. Bu kamida imtiyoz tamoyilini amalga oshirishni ham osonlashtiradi.

Kirishni boshqarish hujumning oldini olishga qaratilgan, biroq hech qanday himoya yuz foiz kafolat bermaydi. Shu sababli xavfsizlik tizimining yana bir muhim vazifasi, kuzatuv va qayd etish (monitoring va logging) orqali hujumni yoki suiiste'molni o'z vaqtida aniqlashdir. Tizim kim, qachon va qaysi resursga kirgani to'g'risidagi ma'lumotni jurnalda (log) qayd etib boradi. Bu jurnallar ikki vazifani bajaradi: birinchidan, shubhali harakatni real vaqtda aniqlash imkonini beradi (masalan, yarim tunda mijozlar bazasiga ko'p marta kirish urinishi); ikkinchidan, hodisadan keyin uning sabab va oqibatlarini tergov qilish uchun dalil bo'lib xizmat qiladi.

Muhim jihat shundaki, jurnal yuritishning o'zi yetarli emas: jurnallar muntazam ko'rib chiqilishi va tahlil qilinishi kerak. Ko'plab tashkilotlarda buzilish oylar davomida sezilmay qolgan, chunki jurnallar to'plangan, biroq hech kim ularni tekshirmagan. Aynan shu sababli kuzatuv jarayoni faol bo'lishi, ya'ni shubhali hodisa yuz berganda avtomatik ogohlantirish berishi va mas'ul xodim unga javob berishi kerak. Kichik tashkilotda bu jarayon sodda bo'lishi mumkin, biroq u albatta mavjud bo'lishi lozim, chunki aniqlanmagan hujum eng katta xavfdir.

Kirishni boshqarishning birinchi qadami foydalanuvchini tanib olishdir. Bu yerda ikki tushunchani farqlash muhim. Identifikatsiya foydalanuvchining «men falonchiman» deb o'zini tanishtirishidir (masalan, login kiritish). Autentifikatsiya esa bu da'voni tekshirish, ya'ni foydalanuvchi haqiqatan o'zi aytgan shaxs ekanini isbotlashdir (masalan, parol kiritish). Identifikatsiya savolga o'xshaydi («kimsan?»), autentifikatsiya esa javobning tasdig'idir («buni isbotla»).

Ushbu jarayonning uchinchi bosqichi avtorizatsiya (authorization) deb ataladi: foydalanuvchi tanib olingandan va isbotlangandan so'ng, tizim uning qaysi resursga va qanday huquq bilan kirishini belgilaydi. Uch bosqichni sodda misol bilan tushunish mumkin: xodim o'z login-ini kiritadi (identifikatsiya), parol bilan uni tasdiqlaydi (autentifikatsiya), so'ngra tizim unga faqat o'z bo'limi ma'lumotlarini ochadi (avtorizatsiya). Bu uch bosqich birgalikda kirishni boshqarishning yadrosini tashkil etadi va yuqorida ko'rilgan kamida imtiyoz tamoyili aynan avtorizatsiya bosqichida amalga oshiriladi.

Autentifikatsiya uch xil omilga tayanishi mumkin (7.8-rasm). Birinchi omil, «bilaman» (knowledge): faqat foydalanuvchi biladigan narsa, masalan parol, PIN-kod yoki nazorat savoli. Ikkinchi omil, «menda bor» (possession): faqat foydalanuvchida bo'lgan narsa, masalan kalit karta, token yoki smartfon. Uchinchi omil, «o'zim» (inherence): foydalanuvchining o'ziga xos jismoniy belgisi, ya'ni biometrika: barmoq izi, yuz yoki ko'z pardasi.

Har bir omilning o'z afzalligi va zaifligi bor. Parol arzon, biroq uni unutish, o'g'irlash yoki taxmin qilish mumkin. Kalit karta qulay, biroq uni yo'qotish yoki nusxalash mumkin. Masalan, keng tarqalgan proximity (yaqinlik) kartalari faqat o'z raqamini uzatadi, shuning uchun tajovuzkor maxsus o'quvchi bilan bu raqamni qo'lga olib, kartani nusxalashi mumkin. Biometrika o'g'irlanishi qiyin, biroq u o'zgarmas: barmoq izi ma'lumoti bir marta sizib chiqsa, uni parol kabi almashtirib bo'lmaydi.

Aynan shu sababli ishonchli tizimlar ko'p omilli autentifikatsiyani (MFA) qo'llaydi: kamida ikki xil omil birga talab qilinadi. Masalan, parol («bilaman») va smartfonga kelgan kod («menda bor») birga so'ralsa, tajovuzkor faqat parolni bilishi yetarli bo'lmaydi. Ko'p omilli autentifikatsiya bir omilning zaifligini boshqasi bilan qoplaydi va shu sababli u zamonaviy xavfsizlik tizimlarining muhim tarkibiy qismiga aylandi.

Biometrika, ya'ni «o'zim» omili so'nggi yillarda keng tarqaldi, chunki uni yo'qotib yoki unutib bo'lmaydi: inson har doim o'zi bilan barmog'ini yoki ko'zini olib yuradi. Biometrik belgilar ikki katta guruhga bo'linadi. Fiziologik belgilar tananing jismoniy tuzilishiga asoslanadi: barmoq izi, yuz tuzilishi, kaft, ko'z pardasi (iris) yoki DNK. Xulq-atvorga oid belgilar esa insonning o'ziga xos harakatiga asoslanadi: ovoz, imzo yoki klaviaturada yozish uslubi. Ushbu ikki guruh quyidagi jadvalda misollar bilan keltirilgan (7.7-jadval).

7.7-jadval. Biometrik identifikatsiya belgilarining turlari.

Biometrikaning asosiy afzalligi qulaylik va o'g'irlashning qiyinligidir. Biroq uning jiddiy cheklovi ham bor: biometrik belgi o'zgarmasdir. Parol o'g'irlansa, uni almashtirish mumkin, biroq barmoq izi ma'lumoti bir marta sizib chiqsa, uni almashtirib bo'lmaydi. Shu sababli biometrika ko'pincha yagona emas, balki boshqa omil bilan birgalikda, ko'p omilli autentifikatsiya tarkibida qo'llaniladi.