- •1. Актуальность защиты информации. Предпосылки кризиса систем защиты информации (сзи). Современные требования к сзи.
- •Электромагнитные каналы утечки информации
- •5. Факторы, воздействующие на информацию (гост р 51275-99). Внешние, внутренние, объективные и субъективные.
- •8. Парольные системы. Методы компрометации паролей и защиты от нее. Количественная оценка стойкости парольных систем.
- •9. Аудит: регистрация потенциально опасных событий в компьютерной системе, необходимость, требования, политика аудита.
- •Мандатное управление доступом
- •(Принудительное, нормативное, меточное)
- •Метки безопасности
- •Мандатное управление доступом
- •Отличие от дискреционной защиты
- •12. Ролевое управление доступом (rbas). Основные понятия. Статическое и динамическое разделение обязанностей. Ролевое управление доступом
- •2.5.2. Таксономия требовании и критериев «Оранжевой книги»
- •2.5.2.1. Политика безопасности
- •2.5.2.2. Аудит
- •2.5.2.3. Корректность
- •2.5.2.4. Таксономия критериев безопасности
- •2.5.3. Классы безопасности компьютерных систем
- •2.6.2. Функциональные критерии
- •2.6.3. Критерии адекватности
- •4. Нормативное закрепление основополагающих принципов информационной
- •18. Канадские критерии безопасности компьютерных систем ctcpec. Таксономия функциональных критериев и критериев адекватности реализации системы безопасности информации. Уровни адекватности т0-т7.
- •2.9.2. Базовые понятия «Канадских критериев»
- •2.9.2.1 Объекты и субъекты
- •2.9.3. Основные положения и структура «Канадских критериев»
- •19. Концепция защиты от нсд к информации (рд гтк рф). Два направления - ас и свт. Модель нарушителя: уровни возможностей.
- •2.7.2. Таксономия критериев и требований безопасности
- •1. Классификация ас
- •2. Требования по защите информации от нсд для ас
- •1. Общие положения
- •1. Общие положения
- •2.Термины и определения
- •24. Испытания программных средств на наличие компьютерных вирусов (гост р 51188-98). Виды вирусов и методы испытаний.
- •1. Классификация авс
- •2. Требования по защите ас от вирусов
- •26. Специальные защитные знаки (сзз) (рд гтк рф). Классификация по возможности подделки, идентифицируемости и стойкости защитных свойств. Применение на объектах различной категории.
- •27. Гост р 15408:2002. Часть 1. Методология оценки безопасности ит. Области применения стандарта «Общие критерии».
- •28. Гост р 15408:2002. Часть 1. Последовательность формирования требований и спецификаций: среда безопасности, цели безопасности, требования безопасности ит и краткая спецификация оо.
- •29. Гост р 15408:2002. Часть 1. Представление требований безопасности: классы, семейства, компоненты, элементы. Виды связей и зависимостей между компонентами, разрешенные операции с компонентами.
- •30. Гост р 15408:2002. Часть 1. Источники требований безопасности. Виды оценок: пз, зб, оо. Поддержка доверия.
- •31. Гост р 15408:2002. Часть 1. Особенности пз. Структура пз: введение, описание оо. Среда безопасности оо, цели безопасности, требования безопасности оо, замечания по применению, обоснование.
- •Функциональные компоненты безопасности
- •Структура класса
- •Структура семейства
- •Структура компонента
- •Разрешенные операции с функциональными компонентами
- •35. Гост р 15408:2002. Часть 3. Парадигма доверия в стандарте. Основные принципы стандарта. Значимость уязвимостей. Причины возникновения уязвимостей. Подход к доверию в стандарте. Роль оценки.
- •36. Гост р 15408:2002. Часть 3. Представление требований доверия к безопасности. Структура класса, семейства, компонента, элемента и оценочных уровней доверия.
- •Требования доверия к безопасности
- •38. Гост р 15408:2002. Часть 3. Обзор оценочных уровней доверия (оуд1 - оуд7). Примерное соответствие классам «Оранжевой книги», Европейских критериев и рд гтк рф.
19. Концепция защиты от нсд к информации (рд гтк рф). Два направления - ас и свт. Модель нарушителя: уровни возможностей.
Идейной основой этих документов является «Концепция защиты средств вычислительной техники от несанкционированного доступа к информации (НСД)» [I], содержащая систему взглядов ГТК на проблему информационной безопасности и основные принципы защиты компьютерных систем. С точки зрения разработчиков данных документов основная и едва ли не единственная задача средств безопасности - это обеспечение защиты от несанкционированного доступа (НСД) к информации. Если средствам контроля и обеспечения целостности, еще уделяется некоторое внимание, то поддержка работоспособности систем обработки информации (как мера защиты от угроз работоспособности) вообще не упоминается. Определенный уклон в сторону поддержания секретности объясняется тем, что эти документы были разработаны в расчете на применение в информационных системах министерства обороны и спецслужб РФ, а также недостаточно высоким уровнем информационных технологий этих систем по сравнению с современным.
2.7.2. Таксономия критериев и требований безопасности
Руководящие документы ГТК предлагают две группы критериев безопасности - показатели защищенности средств вычислительной техники (СВТ) от НСД и критерии защищенности автоматизированных систем (АС) обработки данных. Первая группа позволяет оценить степень защищенности (правда только относительно угроз одного типа — НСД) отдельно поставляемых потребителю компонентов ВС, а вторая рассчитана на полнофункциональные системы обработки данных.
Под СВТ понимается совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.
Модель нарушителя строится в зависимости от того, какими возможностями обладает штатный сотрудник:
- уровень простого пользователя
- прикладной программист
- системный программист
- разработчик
- топ – менеджер
20. КЛАССИФИКАЦИЯ АВТОМАТИЗИРОВАННЫХ СИСТЕМ (АС) И ТРЕБОВАНИЯ по защите информации (РД ГТК РФ). Система классификации защищенных АС. Основные подсистемы СЗИ (связь функций и классов АС): управления доступом, регистрации и учета, криптоподсистема, сохранения целостности. Организационные мероприятия по защите информации от НСД.
1. Классификация ас
1.1. Классификация распространяется на все действующие и проектируемые АС учреждений, организаций и предприятий, обрабатывающие конфиденциальную информацию.
1.2. Деление АС на соответствующие классы по условиям их функционирования с точки зрения защиты информации необходимо в целях разработки и применения обоснованных мер по достижению требуемого уровня защиты информации.
1.3. Дифференциация подхода к выбору методов и средств защиты определяется важностью обрабатываемой информации, различием АС по своему составу, структуре, способам обработки информации, количественному и качественному составу пользователей и обслуживающего персонала.
1.4. Основными этапами классификации АС являются:
-
разработка и анализ исходных данных;
-
выявление основных признаков АС, необходимых для классификации;
-
сравнение выявленных признаков АС с классифицируемыми;
-
присвоение АС соответствующего класса защиты информации от НСД.
1.5. Необходимыми исходными данными для проведения классификации конкретной АС являются:
-
перечень защищаемых информационных ресурсов АС и их уровень конфиденциальности;
-
перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;
-
матрица доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;
-
режим обработки данных в АС.
1.6. Выбор класса АС производится заказчиком и разработчиком с привлечением специалистов по защите информации.
1.7. К числу определяющих признаков, по которым производится группировка АС в различные классы, относятся:
-
наличие в АС информации различного уровня конфиденциальности;
-
уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;
-
режим обработки данных в АС: коллективный или индивидуальный.
Подсистемы и требования |
Классы |
||||||||
3Б |
3А |
2Б |
2А |
1Д |
1Г |
1В |
1Б |
1А |
|
1.Подсистема управления доступом 1.1 Идентификация. Проверка подлинности и контроль доступа субъектов в систему |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
к терминам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ |
|
|
|
+ |
|
+ |
+ |
+ |
+ |
к программам |
|
|
|
+ |
|
+ |
+ |
+ |
+ |
к томам, каталогам, файлам, записям, полям записей |
|
|
|
+ |
|
+ |
+ |
+ |
+ |
1.2 Управление потоками информации |
|
|
|
+ |
|
|
+ |
+ |
+ |
2.Подсистема регистрации и учета |
|
|
|
+ |
+ |
+ |
+ |
+ |
+ |
2.1 Регистрация и учет входа/выхода субъектов доступа в/из системы (узла сети) |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
Выдача печатных (графических) выходных доментов |
|
+ |
|
+ |
|
+ |
+ |
+ |
+ |
Запуска/завершения программ и процессов (заданий,задач) |
|
|
|
+ |
|
+ |
+ |
+ |
+ |
Доступа программ субъектов, доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, каталогам, файлам, записям, полям записей |
|
|
|
+ |
|
+ |
+ |
+ |
+ |
Изменения полномочий субъектов доступа |
|
|
|
|
|
|
+ |
+ |
+ |
Создаваемых защищаемых объектов доступа |
|
|
|
+ |
|
|
+ |
+ |
+ |
2.2 Учет носителей информации |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
2.3 Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти и внешних накопителей |
|
+ |
|
+ |
|
+ |
+ |
+ |
+ |
2.4 Сигнализация попыток нарушения защиты |
|
|
|
|
|
|
+ |
+ |
+ |
3. Криптографическая подсистема 3.1 Шифрование конфедициальной информации |
|
|
|
+ |
|
|
|
+ |
+ |
3.2 Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах |
|
|
|
|
|
|
|
|
+ |
3.3 Использование аттестованных (сертифицированных) криптографических средств |
|
|
|
+ |
|
|
|
+ |
+ |
4. Подсистема обеспечения целостности 4.1 Обеспечение целостности програмных средств и обрабатываемой информации |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
4.2 Физическая охрана средств вычислительной техники и носителей информации |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
4.3 Наличие администратора (службы) защиты информации в АС |
|
|
|
|
|
|
+ |
+ |
+ |
4.4 Переодическое тестирование СЗИ НСД |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
4.5 Наличие средств восстановления СЗИ НСД |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
+ |
4.6 Использование сертифицированных средств защиты |
|
+ |
|
+ |
|
|
+ |
+ |
+ |
1.9. Третья группа классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса 3Б и 3А. Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и ( или ) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса 2Б и 2А. Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов 1Д, 1Г, 1В, 1Б и 1А.