Защита в операционных системах

Москва
Горячая линия – Телеком
2014

УДК 004.732.056(075.8) 
ББК 32.973.2-018.2я73 
     П82 
 

Проскурин В. Г. 
П82    Защита в операционных системах. Учебное пособие для вузов. – 
М.: Горячая линия – Телеком, 2014. – 192 с.: ил. 

ISBN 978-5-9912-0379-1. 

Подробно рассмотрены основные средства и методы обеспечения 
информационной безопасности в современных операционных системах: управление доступом, аутентификация, аудит и обнаружение 
вторжений. Кроме того, отдельно рассматриваются некоторые специфические вопросы, косвенно связанные с обеспечением безопасности 
операционных систем: централизованное управление политиками 
безопасности в доменах Windows, особенности обеспечения безопасности операционных систем мобильных устройств, концепция виртуализации операционных систем и ее влияние на информационную безопасность. Изложение теоретического материала иллюстрируется 
практическими примерами. В конце каждой главы приведен перечень 
вопросов для самопроверки, в конце пособия – методические рекомендации по его изучению. 

Для студентов (слушателей) вузов, обучающихся по специально
стям 10.05.01 – «Компьютерная безопасность», 10.05.03 – «Информационная безопасность автоматизированных систем» и 10.05.04 – 
«Информационно-аналитические системы безопасности», по направлению подготовки 10.03.01 – «Информационная безопасность», уровень бакалавр. 

ББК 32.973.2-018.2я73 

Адрес издательства в Интернет WWW.TECHBOOK.RU 

Учебное издание 

Проскурин Вадим Геннадьевич 
ЗАЩИТА В ОПЕРАЦИОННЫХ СИСТЕМАХ

Учебное пособие 

Редактор  Ю. Н. Чернышов 
Компьютерная верстка  Ю. Н. Чернышова 
Обложка художника  О. В. Карповой 
 
Подписано в печать  25.12.2013.  Формат 6088/16. Уч. изд. л. 12.  Тираж 500 экз.  
ООО «Научно-техническое издательство «Горячая линия – Телеком» 
 
ISBN 978-5-9912-0379-1                                    © В. Г. Проскурин, 2014  
                                                          © Горячая линия – Телеком, 2014 

Предисловие

В настоящее время дисциплина «Защита в операционных системах», предусмотренная федеральным стандартом высшего профессионального образования по специальности 090301 «Компьютерная безопасность» (квалификация специалист), обеспечена учебно-методической литературой в явно недостаточной мере.
Единственное учебное пособие по данной дисциплине [10], покрывающее
примерную учебную программу дисциплины более чем на 20 %, было издано в 2000 году и к настоящему времени сильно устарело.
Предлагаемое учебное пособие призвано заполнить данный пробел в методическом обеспечении специальности 10.05.01 — «Компьютерная безопасность», а также смежных с ней специальностей.
Пособие построено на основе 17-летнего опыта преподавания дисциплины «Защита в операционных системах» в ИКСИ. Согласно
учебному плану, на изучение дисциплины «Защита в операционных
системах» отводится восьмой семестр, в конце семестра студенты
сдают экзамен.
В рамках основного лекционного курса изучаются пять основных тем, каждой из которых соответствует одна глава пособия. Кроме того, в пособие включены две главы, описывающие два сравнительно новых перспективных направления в деле
обеспечения безопасности операционных систем. Соответствующие
темы предполагается включить в программу дисциплины «Защита в операционных системах» при следующей плановой переработке
учебно-методического комплекса.
Помимо вышеупомянутой дисциплины, предлагаемое пособие
может использоваться для преподавания следующих дисциплин:
• «Безопасность операционных систем» специальностей 10.05.03 —
«Информационная безопасность автоматизированных систем» и
10.05.04 — «Информационно-аналитические системы безопасности»;
• «Программно-аппаратные средства защиты обеспечения информационной безопасности» для специальности 10.05.02 — «Информационная безопасность телекоммуникационных систем»;
• «Программно-аппаратные средства защиты информации» для
бакалавров направления подготовки 10.03.01 — «Информационная безопасность».

Понятие защищенной операционной
системы

1.1. Основные определения

Мы будем называть операционную систему защищенной, если
она предусматривает средства защиты от основных угроз конфиденциальности, целостности и доступности информации, актуализированных с учетом особенностей эксплуатации данного конкретного
экземпляра операционной системы.
В практически значимых ситуациях защищенная операционная система обычно содержит средства управления доступом пользователей к различным ресурсам,
средства проверки подлинности пользователя, начинающего работу
с операционной системой, а также средства регистрации действий
пользователей, потенциально опасных с точки зрения безопасности.
Кроме того, защищенная операционная система должна содержать
средства противодействия случайному или преднамеренному выводу операционной системы из строя.
Мы будем называть политикой безопасности набор норм, правил и практических приемов, регламентирующих порядок хранения
и обработки ценной информации.
В применении к операционной
системе политика безопасности определяет то, какие пользователи
могут работать с операционной системой, какие пользователи имеют доступ к каким объектам операционной системы, какие события
должны регистрироваться в системных журналах и т. д.
Адекватной политикой безопасности мы будем называть такую
политику безопасности, которая обеспечивает достаточный уровень
защищенности операционной системы. Следует особо отметить, что
адекватная политика безопасности не обязательно является той политикой безопасности, при которой достигается максимально возможная защищенность системы.

1.2. Основные подходы к построению
защищенных операционных систем

Существуют два основных подхода к созданию защищенных
операционных систем — фрагментарный и комплексный. При фрагментарном подходе вначале организуется защита от одной угрозы,
затем от другой и т. д. Примером фрагментарного подхода может

Понятие защищенной операционной системы
5

служить ситуация, когда за основу берется незащищенная операционная система, на нее устанавливаются антивирусный пакет, затем
система шифрования, система регистрации действий пользователей
и т. д.
Основной недостаток фрагментарного подхода очевиден — при
применении этого подхода подсистема защиты операционной системы представляет собой набор разрозненных программных продуктов, как правило, произведенных разными производителями. Эти
программные средства работают независимо друг от друга, организовать их тесное взаимодействие практически невозможно. Кроме
того, отдельные элементы такой подсистемы защиты могут некорректно работать в присутствии друг друга, что приводит к резкому снижению общей надежности системы. Поскольку подсистема
защиты, созданная на основе фрагментарного подхода, не является
неотъемлемой компонентой операционной системы, при отключении
отдельных защитных функций в результате несанкционированных
действий пользователя-нарушителя остальные элементы операционной системы продолжают нормально работать, что еще сильнее
снижает надежность защиты.
При комплексном подходе к организации защиты защитные
функции вносятся в операционную систему еще на этапе проектирования архитектуры операционной системы и являются ее неотъемлемой частью. Отдельные элементы подсистемы защиты, созданной
на основе комплексного подхода, тесно взаимодействуют друг с другом при решении различных задач, связанных с организацией защиты информации. Поскольку вся подсистема защиты разрабатывается и тестируется в совокупности, конфликты между ее отдельными
компонентами практически невозможны. Подсистема защиты, созданная на основе комплексного подхода, может быть устроена так,
что при фатальных сбоях в функционировании ее ключевых элементов подсистемы защиты она вызывает аварийное завершение работы
операционной системы, что не позволяет нарушителю отключать
защитные функции системы. При использовании фрагментарного
подхода такая организация подсистемы защиты невозможна.
Как правило, подсистему защиты операционной системы, созданную на основе комплексного подхода, проектируют так, что отдельные ее элементы являются заменяемыми и соответствующие программные модули могут быть заменены другими модулями, реализующими предусмотренный и должным образом документированный
интерфейс взаимодействия соответствующего программного модуля
с другими элементами подсистемы защиты.

Г л а в а 1

1.3. Административные меры защиты

Организация эффективной и надежной защиты операционной
системы невозможна с помощью одних только программно- аппаратных средств.
Эти средства обязательно должны дополняться
административными мерами защиты. Без постоянной квалифицированной поддержки со стороны администратора даже самая надежная программно-аппаратная защита оборачивается фикцией.
К основным административным мерам защиты относятся следующие:
• постоянный контроль корректности функционирования операционной системы и, в особенности, ее подсистемы защиты. При
этом могут и должны использоваться средства аудита, встроенные в операционную систему, и, при необходимости, дополнительные средства аудита;
• организация и поддержание адекватной политики безопасности.
Политика безопасности должна постоянно корректироваться,
оперативно реагируя на изменения в конфигурации операционной системы, установку и удаление и изменение конфигурации
прикладных программных продуктов и расширений операционной системы, попытки злоумышленников преодолеть защиту
операционной системы и т. д.;
• инструктирование пользователей операционной системы о необходимости соблюдения мер безопасности при работе с операционной системой, контроль над соблюдением пользователями
этих мер;
• регулярное создание и обновление резервных копий программ
и данных операционной системы;
• постоянный контроль изменений в конфигурационных данных
и политике безопасности операционной системы. Информацию
об этих изменениях часто дублируют на неэлектронные носители информации, чтобы нарушителю, преодолевшему защиту
операционной системы, было труднее замаскировать свои несанкционированные действия.
В конкретных конфигурациях операционных систем могут потребоваться и другие административные меры защиты информации.

1.4. Адекватная политика безопасности

Задача выбора и поддержания адекватной политики безопасности является важнейшей и одной из сложнейших задач, стоящих перед администратором операционной системы. Если принятая в операционной системе политика безопасности неадекватна, это может

Понятие защищенной операционной системы
7

приводить к фактам несанкционированного доступа пользователянарушителя к ресурсам защищаемой системы, а также к снижению
надежности ее функционирования.
Не всякая адекватная политика безопасности применима на
практике. В общем случае верно следующее утверждение: чем лучше операционная система защищена, тем труднее с ней работать
пользователям и администраторам. Это обусловлено следующими
факторами.
1.
Система защиты, не обладающая интеллектом, не всегда
способна определить, является ли некоторое действие пользователя
злонамеренным. Поэтому система защиты либо не пресекает некоторые виды несанкционированного доступа, либо запрещает некоторые вполне легальные действия пользователей. Чем выше защищенность системы, тем шире класс тех легальных действий пользователей, которые рассматриваются подсистемой защиты как несанкционированные. Если, например, некоторому пользователю запрещено
создавать файлы на жестком диске компьютера, то этот пользователь не сможет запустить ни одну программу, для нормального
функционирования которой требуется создавать временные файлы.
С точки зрения рассматриваемой политики безопасности создание
временного файла является несанкционированным действием и в
том, что оно пресекается, нет ошибки. Просто в данной политике
безопасности класс несанкционированных действий настолько широк, что это препятствует нормальной работе пользователей с операционной системой.
2.
Любая система, в которой предусмотрены функции защиты информации, требует от администраторов определенных усилий,
направленных на поддержание адекватной политики безопасности.
Чем больше в операционной системе защитных функций, тем больше времени и средств нужно тратить на поддержание защиты.
3. Подсистема защиты операционной системы, как и любой другой программный пакет, потребляет аппаратные ресурсы компьютера. Чем сложнее устроены защитные функции операционной системы, тем больше процессорного времени, оперативной памяти и
других аппаратных ресурсов затрачивается на поддержание функционирования подсистемы защиты и тем меньше ресурсов остается
на долю прикладных программ. В отдельных случаях подсистема
защиты операционной системы может потреблять более половины
аппаратных ресурсов компьютера.
4. Поддержание слишком жесткой политики безопасности может негативно сказаться на надежности функционирования опера

Г л а в а 1

ционной системы. Если, например, в Windows запретить псевдопользователю SYSTEM, от имени которого выполняются системные
процессы, доступ к исполняемым файлам системных процессов, операционная система не сможет загрузиться. В данном случае чрезмерно жесткая политика безопасности приводит к моментальному
краху операционной системы, в других случаях подобная политика безопасности может приводить к трудновыявляемым ошибкам
и сбоям в процессе функционирования операционной системы, что
еще более опасно.

Таким образом, при определении адекватной политики безопасности не следует пытаться достигнуть максимально возможного
уровня защищенности операционной системы. Оптимальная адекватная политика безопасности — такая политика безопасности, которая не только не позволяет нарушителям выполнять несанкционированные действия, но и не приводит к вышеописанным негативным
последствиям.
Не существует единой адекватной политики безопасности на все
случаи жизни. То, какая политика безопасности будет адекватной,
определяется не только архитектурой операционной системы, но и ее
конфигурацией, ассортиментом установленного программного обеспечения и т. д. Политика безопасности, адекватная для некоторой
операционной системы, скорее всего, будет неадекватна для другого
экземпляра той же операционной системы. Большинство современных операционных систем достаточно универсальны и могут применяться для решения самых разных задач. Одна и та же операционная система может использоваться для обеспечения функционирования автоматизированной банковской системы, веб-сервера, системы
электронного документооборота. Очевидно, что угрозы безопасности для всех трех указанных применений будут различны и адекватная политика безопасности в каждом из трех случаев будет своя.
Формирование и поддержание адекватной политики безопасности операционной системы в общем случае можно разделить на следующие этапы.
1. Анализ угроз. Администратор операционной системы рассматривает возможные угрозы безопасности данного экземпляра
операционной системы.
Среди возможных угроз выделяются наиболее опасные, защите от которых нужно уделять максимум сил
и средств.
2. Формирование требований к политике безопасности.
На этом этапе администратор определяет, какие средства и методы
будут применяться для защиты от тех или иных угроз. Например,

Понятие защищенной операционной системы
9

защиту от несанкционированного доступа к некоторому объекту операционной системы можно решать либо средствами разграничения
доступа, либо криптографическими средствами, либо используя некоторую комбинацию этих средств, либо используя какие-то иные
средства. На данном этапе администратор должен сделать подобный выбор для каждой угрозы безопасности операционной системы,
выбирая оптимальные средства защиты от каждой угрозы. Одновременно администратор анализирует возможные побочные эффекты различных вариантов политики безопасности, оценивая, в какой
мере в каждом варианте политики безопасности будут проявляться побочные негативные факторы. Как правило, администратору
приходится идти на компромисс, смиряясь либо с недостаточной защищенностью операционной системы от отдельных угроз, либо с
определенными трудностями пользователей при работе с системой.
Результатом данного этапа является набор требований наподобие:
«В операционной системе должно быть предусмотрено дискреционное разграничение доступа с минимизацией полномочий пользователей и частичной реализацией правил изолированной программной
среды».
3. Формальное определение политики безопасности. Данный этап заключается в том, что администратор четко определяет,
как конкретно должны выполняться требования, сформулированные на предыдущем этапе. Администратор решает, можно ли добиться выполнения этих требований только встроенными средствами
операционной системы или необходима установка дополнительных
пакетов защиты. В последнем случае производится выбор необходимого программного обеспечения. На данном этапе формулируются
необходимые требования к конфигурации операционной системы, а
также требования к конфигурации дополнительных пакетов защиты, если установка таких пакетов необходима. Кроме того, на данном этапе администратор должен предусмотреть порядок внесения
необходимых изменений в политику безопасности в чрезвычайных
ситуациях, например, при обнаружении факта несанкционированного входа в систему пользователя-нарушителя. Результатом данного
этапа является развернутый перечень настроек конфигурации операционной системы и дополнительных пакетов защиты с указанием
того, в каких ситуациях какие настройки должны быть выставлены.
4. Претворение в жизнь политики безопасности. К началу этого этапа у администратора операционной системы имеется
четкое представление о том, какой должна быть адекватная политика безопасности.
Задачей этапа является приведение конфигу

Г л а в а 1

рации операционной системы и дополнительных пакетов защиты в
соответствие с политикой безопасности, формально определенной
на предыдущем этапе.
5. Поддержание и коррекция политики безопасности. На
данном этапе операционная система функционирует в соответствии
с политикой безопасности, определенной на третьем этапе.
Задачей администратора является контроль над соблюдением политики
безопасности и внесение в нее необходимых изменений по мере появления изменений в функционировании операционной системы. Например, если в операционной системе устанавливается новый программный продукт, может потребоваться коррекция политика безопасности таким образом, чтобы этот программный продукт мог
нормально функционировать.

1.5. Стандарты безопасности операционных
систем

Анализ угроз, с которого начинается формирование политики
безопасности, является весьма трудоемкой и трудноформализуемой
процедурой. Как правило, угрозы, от которых предполагается защищать компьютерную систему или сеть, очень разнородны, сравнивать их между собой и выделять среди них наиболее опасные обычно
крайне затруднительно. Иногда эту проблему пытаются решать путем количественного выражения элементарных рисков в некоторых
условных единицах с использованием формул наподобие:
Риск = (стоимость ресурса * вероятность угрозы) / величина
уязвимости
Практическая реализация данного подхода в конкретных операционных системах сталкивается с рядом трудностей.
Наиболее
серьезная проблема количественного анализа рисков заключается
в том, что для исходных числовых данных, используемых в количественном анализе рисков, часто затруднительно обосновать погрешность присвоения тем или иным качественным характеристикам
конкретных числовых значений. Например, погрешность оценки вероятности угрозы может быть корректно вычислена только для тех
угроз, которые реализуются регулярно. Если же попытки реализации некоторой угрозы в исследуемых операционных системах ни
разу не регистрировались, вероятность данной угрозы, как правило,
можно оценить лишь с точностью до порядка. Соответственно, риск
данной угрозы тоже может быть вычислен лишь с точностью до порядка. Это может поставить под сомнение обоснованность окончательных выводов, сделанных в результате проведенного анализа.