Содержание
Модуль 1. Актуальность проблемы обеспечения безопасности информации
Проблемы защиты информации от постороннего доступа и нежелательного воздействия на нее возникло с той поры, когда человеку по каким-либо причинам не хотелось делиться ею ни с кем или не с каждым человеком.
Ценной становится та информация, обладание которой позволит ее существующему и потенциальному владельцам получить какой-либо выигрыш.
С переходом на использование технических средств связи, информация подвергается воздействию случайных процессов (неисправностям и сбоям оборудования, ошибкам операторов и т.д.), которые могут привести к ее разрушению, изменению на ложную, а также создать предпосылки к доступу к ней посторонних лиц.
С появлением сложных автоматизированных систем управления, связанных с автоматизированным вводом, хранением, обработкой и выводом информации, проблемы ее защиты приобретают еще большее значение.
Этому способствует:
- Увеличение объемов информации, накапливаемой, хранимой и обрабатываемой с помощью ЭВМ и других средств вычислительной техники.
- Сосредоточение в единых базах данных информации различного назначения и принадлежности.
- Расширение круга пользователей, имеющих доступ к ресурсам вычислительной системы, и находящимся в ней массивам данных.
- Усложнение режима функционирования технических средств, вычислительной системы (широкое внедрение многопрограммного режима разделения времени и реального времени).
- Автоматизация межмашинного обмена информацией, в т.ч. и на больших расстояниях.
- Увеличение количества технических средств и связей в автоматизированных системах управления (АСУ) и обработки данных.
- Появление ПЭВМ, расширяющих возможности не только пользователя, но и нарушителя.
- Индустрия переработки информации достигла глобального уровня.
- Появление электронных денег. Создало предпосылки для хищения крупных сумм.
- Появилось удивительное порождение научно-технических работников. Хакеры - прекрасные знатоки информационной техники. Кракеры. Фракеры - приверженцы электронного журнала Phrack.
В последнее время широкое распространение получило новое компьютерное преступление - создание компьютерных вирусов.
1.1 Предмет защиты.
Свойства информации.
Информация - это результат отражения и обработки в человеческом сознании многообразия окружающего мира. Это сведения об окружающих человека предметах, явлениях природы, деятельности других людей. Сведения, которыми обменивается человек через машину с другим человеком или машиной и являются предметом защиты. Однако, защите подлежит та информация, которая имеет цену. Для оценки требуется распределение информации на категории не только в соответствии с ее ценностью, но и важностью. Известно следующее распределение информации по уровню важности:
- Жизненно-важная, незаменимая информация, наличие которой необходимо для функционирования организаций.
- Важная информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами.
- Полезная информация - это информация, которую трудно восстановить, однако организация может эффективно функционировать и без нее.
- Несущественная информация.
Модель предмета защиты:
В соответствии с описанными принципами деления, информацию, обрабатываемую в автоматизированных системах обработки данных (АСОД) для иллюстрации можно представить по категориям важности и секретности в виде пирамиды, состоящей из нескольких слоев по вертикали. Вершиной пирамиды является наиболее важная информация, а фундаментом - несущественная информация, но связанная с обработкой более важной информации. Каждый слой данной пирамиды, поделенный на части по горизонтали, отражает принцип деления информации по функциональному признаку и полномочиям ее пользователей.
Безопасность информации в АСО интерпретируется как опасность ее несанкционированного получения за все время нахождения в АСО, а также безопасность действий, для осуществления которых используется информация.
У информации в АСО есть свой жизненный цикл:
Безопасные технологии - это технологии, которые не наносят материального ущерба субъектам, имеющим прямое или косвенное отношение к ним. Субъектом может быть государство, физические лица и др.
Технология - это совокупность методов переработки (преобразование исходного сырья, какими-либо средствами с целью получения конечной продукции).
Для правильного построения системы защиты необходимо определить:
- Виды воздействия на информацию.
- Что из себя представляет автоматизированная система.
- Какие существуют угрозы безопасности автоматизированных систем.
- Меры противодействия угрозам безопасности.
- Принцип построения систем защиты.
Виды воздействия на информацию:
- Блокирование информации.
Пользователь не может получить доступ к информации. При отсутствии доступа, сама информация не теряется.
Причины:
- отсутствие оборудования
- отсутствие специалиста
- отсутствие ПО
- Нарушение целостности.
Причины:
- утеря информации
- выход из строя носителя
- искажения:
- нарушение смысловой значимости
- нарушение логической связанности
- потеря достоверности
- Нарушение конфиденциальности.
С информацией ознакомляются субъекты, которым это не положено. Уровень допуска к информации определяет ее владелец.
Нарушение конфиденциальности может произойти из-за неправильной работы системы, ограничения доступа или наличия побочного канала доступа.
- Несанкционированное тиражирование.
Под защитой понимается защита авторских прав и прав собственности на информацию.
1.2 Типовые структуры автоматизированных систем и объекты защиты в них.
АСОИ - организационно-технические системы, представляющие собой совокупность компонентов:
- Технические средства обработки и передачи данных
- Системное и прикладное ПО
- Информация на различных носителях
- Персонал и пользователи системы
Типовые структуры АС:
- Автономные рабочие станции (АРС).
Один или несколько ПК, не связанных между собой. На любом из них пользователи работают раздельно во времени. Обмен информацией осуществляется через сменные носители.
Объекты защиты в автономных рабочих станциях (АРС):
- АРС
- сменные носители информации
- пользователи и обслуживающий персонал
- устройства визуального представления информации
- источники побочного электромагнитного излучения и наводок
ЛВС - создаются для коллективной обработки информации или совместного использования ресурса.
Оборудование размещено в пределах одного помещения, здания или группы близкорасположенных зданий.
- Локальные системы коллективного пользования (ЛСКП).
Структура ЛСКП:
- без выделенного сервера или одноранговой сети. Не требует централизованного управления; любой пользователь делает доступными свои данные; используется однотипная ОС.
- с выделенным сервером.
Требует централизованного административного управления; на РС и серверах могут быть установлены:
- многотерминальные системы на базе малых и больших компьютеров. Основные ресурсы сосредоточены на сервере; РС - это терминалы; общее руководство осуществляет администратор; на центральном компьютере и РС используются различные ОС.
- многосегментные ЛС - состоят из нескольких сегментов, любой из которых является сетью с выделенным сервером. Объединение осуществляется через мост, в качестве которого может использоваться либо выделенный сервер, либо специальной устройство. Любым сегментом управляет свой администратор. В любом сегменте может использоваться своя ОС.
- смешанные сети - включают все вышерассмотренные системы.
Объекты защиты:
- все рабочие станции (РС)
- сервер и центральный компьютер
- локальные каналы связи
- реквизиты доступа
- Глобальные системы коллективного пользования (ГСКП).
ГСКП - совместная обработка информации и совместное использование ресурсов.
Отличия от ЛСКП:
- Могут находиться на значительном удалении друг от друга.
- Каналы связи не принадлежат собственнику системы.
- Каналы связи являются коммутируемыми и взаимосвязанными.
- Для использования каналов связи необходимо устройство сопряжения.
- Подобные системы открыты и подключиться к ним могут все желающие.
Объекты защиты:
- РС
- глобальные каналы связи
- информация, передаваемая по глобальным каналам связи
- информация о реквизитах доступа в ГСКП.
1.3 Угрозы безопасности информации и их классификация.
Угроза - это потенциально возможное событие, действие, процесс или явление, которое может привести к понятию ущерба чьим-либо интересам.
Нарушение безопасности - это реализация угрозы.
Естественные угрозы - это угрозы, вызванные воздействием на АС объективных физических процессов, стихийных природных явлений, не зависящих от человеека.
Естественные делятся на:
- природные (стихийные бедствия, магнитные бури, радиоактивное излучение, осадки)
- технические. Связаны надежностью технических средств, обработки информации и систем обеспечения.
Искусственные делят на:
- непреднамеренные - совершенные по незнанию и без злого умысла, из любопытности или халатности
- преднамеренные
Каналы проникновения в систему и их классификация:
- По способу:
- По типу основного средства для реализации угрозы:
- человек
- аппаратура
- программа
- По способу получения информации:
- физический
- электромагнитный
- информационный
Меры противодействия угрозам:
- Правовые и законодательные.
Законы, указы, нормативные акты, регламентирующие правила обращения с информацией и определяющие ответственность за нарушение этих правил.
- Морально-этические.
Нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения вычислительной техники. Невыполнение этих норм ведет к падению авторитета, престижа организации, страны, людей.
- Административные или организационные.
Меры организационного характера, регламентирующие процессы функционирования АС, деятельность персонала с целью максимального затруднения или исключения реализации угроз безопасности:
- организация явного или скрытого контроля за работой пользователей
- организация учета, хранения, использования, уничтожения документов и носителей информации.
- организация охраны и надежного пропускного режима
- мероприятия, осуществляемые при подборе и подготовке персонала
- мероприятия по проектированию, разработке правил доступа к информации
- мероприятия при разработке, модификации технических средств
- Физические.
Применение разного рода технических средств охраны и сооружений, предназначенных для создания физических препятствий на путях проникновения в систему.
- Технические.
Основаны на использовании технических устройств и программ, входящих в состав АС и выполняющих функции защиты:
- средства аутентификации
- аппаратное шифрование
- другие
Принципы построения систем защиты:
- Принцип системности - системный подход предполагает необходимость учета всех взаимосвязанных и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности.
- Принцип компетентности - предполагает построение системы из разнородных средств, перекрывающих все существующие каналы реализации угрозы безопасности и не содержащих слабых мест на стыке отдельных компонентов.
- Принцип непрерывной защиты - защита должна существовать без разрыва в пространстве и времени. Это непрерывный целенаправленный процесс, предполагающий не только защиту эксплуатации, но и проектирование защиты на стадии планирования системы.
- Принцип разумной достаточности. Вложение средств в систему защиты должно быть построено таким образом, чтобы получить максимальную отдачу.
- Принцип гибкости управления и применения. При проектировании системы защита может получиться либо избыточной, либо недостаточной. Система защиты должна быть легко настраиваема.
- Принцип открытости алгоритмов и механизмов защиты. Знание алгоритма механизма защиты не позволяет осуществить взлом системы.
- Принцип простоты применения защитных мер и средств. Все механизмы защиты должны быть интуитивно понятны и просты в использовании. Пользователь должен быть свободен от выполнения малопонятной многообъемной рутиной работы и не должен обладать специальными знаниями.
Модель элементарной защиты.
Прочность защитной преграды является достаточной, если ожидаемое время преодоления ее нарушителем больше времени жизни предмета защиты, или больше времени обнаружения и блокировки его доступа при отсутствии путей скрытого обхода этой преграды.
Модель многозвенной защиты.
Модель многоуровневой защиты.
содержание вперед на
главную
|
