Информатизация инженерного образования (выпуск 1)

Г л а в а 2. Автоматизированные информационные системы управления образованием

Обзор атак и средств защиты. Для того чтобы иметь представление о существующих средствах защиты, возможностях их преодоления с помощью атак приведем примеры, охватывающие многие направления, но не претендующие на полноту.

Автоматизированная система предприятия, как правило, содержит локальную сеть, множество рабочих станций, серверы баз данных, файл-серверы и др. В каждом компьютере есть операционная система, на которую опираются приложения, установленные на рабочей станции. Сервер баз данных удобнее представлять как трехуровневую систему, в которой на операционную систему наложена система управления базами данных в качестве первого уровня приложений и следующий уровень приложений использует базу данных для поддержки информационных технологий.

Рассмотрим атаки и традиционные средства защиты, используемые в такой автоматизированной системе. В каждой операционной системе есть набор механизмов защиты, который можно не использовать, можно использовать плохо, можно использовать хорошо. В набор таких механизмов входят:

•система подтверждения подлинности пользователя с помощью пароля (система аутентификации);

•система управления разграничением доступа, реализующая так называемую дискреционную политику. Управление доступом осуществляется с помощью таблицы, строки которой соответствуют пользователям, а столбцы перечисляют основные информационные ресурсы. На пересечении строк и столбцов данной таблицы перечислены права доступа данного пользователя к данным ресурсам. Права устанавливаются собственником ресурсов или от его имени уполномоченными пользователями;

•аудит, состоящий в записи определенных событий в специально отведенные разделы памяти, доступные только уполномоченным пользователям. Записи обычно сопровождаются указанием времени события и по запросу какого пользователя это событие реализовано. Просмотр данных аудита позволяет выявлять нарушения правил безопасности, установленных в данной организации;

•резервирование информационных ресурсов, служащее для того, чтобы сохранить информационные ресурсы при сбоях и отказах в информационной системе.

Система управления базами данных также предоставляет некоторый набор механизмов защиты. Этот набор состоит в идентификации и аутентификации, системы разграничения доступа, аудита, контроля целостности и резервирования. Не следует думать, что механизмы защиты операционной системы могут заменить механизмы защиты СУБД, так как основным видом ресурса в системе защиты операционных систем является файл, а основным видом защищаемых ресурсов в СУБД — таблица. Один файл операционной системы может содержать все таблицы баз данных данной организации.

В большинстве организаций требуется, чтобы доступ к компьютерам осуществлялся с помощью пароля. Пароль должен состоять как минимум из шести символов и часто меняться. Однако в большинстве случаев пароль выбирается наиболее примитивным образом для легкого запоминания и меняется крайне редко. Зная чужой пароль, пользователь может получить доступ к ресурсам на чтение, модификацию или уничтожение от имени другого пользователя, что делает систему разграничения доступа и систему аудита почти бесполезной. Если представляющие интерес дан-

91

Ч А С Т Ь 1. НАПРАВЛЕНИЯ ИНФОРМАТИЗАЦИИ ОБРАЗОВАНИЯ

ные хранятся на сервере баз данных, то пароль на сервер баз данных передается по сети в открытом виде. Простейшим способом атаки на данную автоматизированную систему предприятия является установка каким-либо пользователем специального программного обеспечения «сниффер», которое прослушивает общедоступный трафик в локальной сети, собирает пароли и дает пользователю возможность получать от чужого имени любой вид доступа. При этом «сниффер» является наблюдательной системой, и если пользователь контролирует свой персональный компьютер полностью, то о существовании «сниффера» может никто не знать.

Наблюдение за тем, какое программное обеспечение находится в сети, и другие функции контроля часто возлагаются на администратора сети. Если администратор не обладает хорошим инструментарием, формально выполняет свои обязанности или не является достаточно подготовленным, то наличие пользователя, контролирующего систему, для него остается невидимым. Для предотвращения таких атак сеть организуется по определенному геометрическому принципу с использованием коммутаторов. В этом случае даже продвинутый пользователь не может слышать всех пользователей сети и «сниффер» для него оказывается бесполезным.

Однако установление коммутаторов и систем отслеживания программного обеспечения на рабочих станциях существенно удорожает систему. При этом в организации всегда остается лицо, отличное от руководства предприятия, которое на законном основании имеет доступ ко всем информационным ресурсам. Этим лицом является администратор системы. Были случаи, когда честные администраторы путем шантажа или физического насилия принуждались к использованию своего привилегированного положения для нанесения ущерба через информационные технологии. Поэтому ограничения действий администратора, начиная с некоторого уровня, становится актуальным. Для контроля действий администратора организуется служба безопасности информационной системы. Разработаны специальные инструментарии для службы безопасности, позволяющих контролировать большинство функций администратора. Однако эффективность действий службы безопасности достигается, как правило, значительным удорожанием самой информационной системы.

Существенным элементом любой автоматизированной системы является возможность выхода в Интернет, на котором, как правило, замыкаются функции:

•электронной почты;

•службы использования информационных ресурсов Интернет;

•корпоративная сеть (VPN), использующая транспорт Интернет для общения различных подразделений организации.

Уже на самом примитивном уровне одного пользователя с одним компьютером при взаимодействии с Интернет возникают значительные сложности, связанные с тем, что место соединения между Интернет и автоматизированной системой является уязвимым звеном системы. Через Интернет, как правило, реализуется четыре вида атак:

•проникновение в компьютерную систему предприятия из Интернет с помощью «дыр» в автоматизированной системе предприятия с получением полного или частичного доступа ко всем информационным ресурсам предприятия;

•вирусные атаки, например через почтовую службу Интернет;

92

Гл а в а 2. Автоматизированные информационные системы управления образованием

•DoS атаки, делающие недоступными ресурсы системы для других пользователей;

• связанные со скрытым взаимодействием агентов в защищаемой системе и Интернет.

Для защиты локальных сетей и построенных на них автоматизированных систем предприятий используются межсетевые экраны, представляющие собой компьютер со специальным программным обеспечением, который реализует функции защиты от перечисленных выше атак. С целью экономии межсетевые экраны объединяют функции защиты от несанкционированного проникновения, вирусных атак, а также функции защиты VPN. Так как эти функции трудно объединить, большинство межсетевых экранов, особенно дешевые, являются посредственной защитой. Кроме того, качественная VPN использует хорошие криптографические алгоритмы. В связи с этим сертификация таких систем предназначена для соответствия требованиям ФСБ.

Вирусы. В настоящее время антивирусные средства основаны на двух базовых идеях: поиске вирусов по сигнатуре и эвристическом поиске вируса. Поиск вируса по сигнатуре основан на базе данных существующих вирусов. Именно этот способ позволяет производителям антивирусных средств создавать новые версии, которые продаются взамен старых. Эвристические методы можно разделить на две группы: требующие малых и больших ресурсов. При увеличении ресурсов можно добиться высокой степени борьбы с вирусами. Однако увеличение ресурсов для использования эвристических методов ограничивает вычислительные возможности и иногда не позволяет работать со сложными приложениями.

В любом случае существующие антивирусные средства не дают гарантий от проникновения вирусов. Это подтверждается тем, что постоянно появляются разновидности вирусов, новые средства их доставки и миллионы пользователей теряют данные и программное обеспечение. Вирусы воруют пароли и другую ценную информацию, затрудняют доступ к ресурсам. Важнейшим методом борьбы за целостность программ и данных является их резервирование. Однако процедуры создания резервных копий не дают возможности сохранять текущие данные. Кроме того, восстановление ресурсов из резервных копий является довольно сложной задачей.

Недостатки антивирусных средств и системы резервирования пытались исправить с помощью создания демилитаризованных зон (ДМЗ), которые, как правило, ставятся на интерфейсе внутренней сети и Интернет. Вообще в ДМЗ можно запускать любой новый полученный программный код с тем, чтобы выявить наличие там разрушающих воздействий (вирусов и т.п.). Однако ДМЗ позволяет выявлять вирусы с коротким «инкубационным» периодом. Организация демилитаризованной зоны является сложной задачей и требует высокой квалификации пользователя. Обычно ДМЗ соседствует с межсетевым экраном, который ограничивает поток данных в компьютер и тем самым ограничивает проникновение некоторых вирусов. Межсетевые экраны часто включают в себя антивирусные средства. Однако сами по себе межсетевые экраны представляют слабую защиту от вирусов.

Существуют абсолютно надежные средства защиты от вирусов. Они состоят в том, что в архитектуре компьютера программы и данные принципиально разделены. Однако такие машины не нашли широкого распространения, так как автоматически отвергают множество приложений, созданных для существующих персональных компьютеров и систем.

93

Гл а в а 2. Автоматизированные информационные системы управления образованием

2.5.Некоторые вопросы безопасности ядра ИАИС

ицентрального сегмента сети

Политика обеспечения доступа к внешним информационным ресурсам и защиты от несанкционированных воздействий включает в себя создание виртуальных сетей (VLAN) структурных подразделений, с выделением всем рабочим станциям частных IP адресов. Виртуальные сети изолированы друг от друга с помощью коммутаторов. Организация виртуальных сетей позволяет полностью изолировать на канальном уровне трафик, включая широковещательный, группы узлов сети VLAN, от трафика других узлов сети.

Защита информационной сети осуществляется за счет применения межсетевых защитных экранов, установленных в помещениях телекоммуникационных узлов. Межсетевые экраны представляют собой программные продукты, которые установлены на вычислительную платформу с несколькими сетевыми интерфейсами и обеспечивают независимую политику безопасности (набор правил фильтрации) для различных пользователей. В качестве межсетевого экрана используется программный комплекс Check Point Firewall-1 Next Generation (сертифицирован Государственной технической комиссией при Президенте РФ), установленный на аппаратную платформу Sun Netra T1, работающую под управлением операционной системы Sun Solaris 8.0.

Защита почтовых сообщений от вирусов осуществляется за счет установленного антивирусного лицензионного программного обеспечения на почтовом сервере.

Корпоративная сеть системы обеспечивает обмен служебной информацией по вертикали и горизонтали в защищенном от несанкционированного доступа режиме и формируется на основе следующих правил:

•обязательная документальная регистрация пользователей;

•защищенный корпоративный доступ «клиент-сервер»;

•авторизованное внесение документов;

•распределенное информационное администрирование;

•наличие служебной и конфиденциальной информации;

•множественная и многоуровневая систематизация.

Вчисле приоритетных задач по внедрению комплексной системы информационной защиты корпоративной сети управления отраслью является реализация отраслевой криптографической системы, организация корпоративной виртуальной защищенной сети доступа, стандартизация и внедрение средств электронной цифровой подписи. В будущем будет осуществлена стандартизация оперативного обмена служебной информацией и перевод корпоративной сети управления отраслью в составе ИАИС в защищенный авторизованный режим функционирования, принятый для сети передачи данных.

2.5.1.Нормативная база защиты информации

ВРоссийской Федерации существует система обязательной и добровольной сертификации по требованиям безопасности. Кроме того, отдельно сертифицируются системы защиты автоматизированных систем и средства криптографической защиты.

94

Г л а в а 2. Автоматизированные информационные системы управления образованием

Федеральный закон № 24 «Об информации, информатизации, защите информации» определяет понятие документальной информации в электронной форме

иутверждает следующие отношения в области защиты информации. Порядок защиты определяет собственник документальной информации. Информация, содержащая служебную и государственную тайны должна быть защищена в соответствии с требованиями государственных стандартов. Информация, принадлежащая юридическим лицам и содержащая персональные данные, должна быть защищена в соответствии с Требованиями Системы требований и рекомендаций к защите конфиденциальной информации (СТР-К), Руководящими документами Гостехкомиссии, в частности, в соответствии с Руководящим документом, являющимся авторизованным переводом стандарта ISO 1540,8 — Общие критерии оценки защищенности информационных технологий.

Информация, составляющая государственную тайну, классифицируется и защищается в соответствии с Федеральным законом «О государственной тайне» и подзаконными нормативными актами (например, СТР — 97, требования к классам А

иБ криптозащиты и т.д.). Перечень конфиденциальной информации утвержден Указом Президента РФ № 188. Для реализации защиты конфиденциальной информации Правительство Российской Федерации издало постановления по лицензированию и сертификации, реализующие требования закона о сертификации и лицензировании в редакции 2002 г.

Рассмотрим три наиболее важные из указанных постановлений.

ВПостановлении Правительства РФ № 290 сформулированы требования и порядок лицензирования организаций, эксплуатирующих средства защиты конфиденциальной информации. Согласно этому постановлению любая организация, в компьютерах которой находятся персональные данные, должна быть защищена в соответствии с СТР-К, а организации, не выполняющие этих требований, могут быть оштрафованы в соответствии с административным Кодексом РФ. Контролирующим органом, реализующим требования этого постановления, является Гостехкомиссия России и ее управления в федеральных округах. Вместе с тем, в результате административной реформы 2004 г. статус Гостехкомиссии в настоящее время является неопределенным. Откуда следует, что контроль за выполнением Постановления № 290 в настоящее время не может быть реализован.

Постановление Правительства РФ № 348 определяет порядок разработки и изготовления средств защиты конфиденциальной информации. Порядок контроля выполнения этого Постановления такой же, как и для Постановления № 290. В связи с этим требования данного Постановления в настоящее время также контролировать некому.

Постановление Правительства РФ № 691 определяет порядок изготовления

ииспользования криптографических средств защиты конфиденциальной информации. Согласно этому Положению, если криптографические алгоритмы, используемые в системе защиты автоматизированной системы, обладают секретным ключом, длиной не более 40 бит, или открытым ключом, длиной не более 128 бит, то такие системы защиты могут распространяться свободно, а также свободно ввозиться на территорию Российской Федерации. Во всех остальных случаях, если это импортные продукты, то требуется специальное разрешение на ввоз. Если это оте-

95

Ч А С Т Ь 1. НАПРАВЛЕНИЯ ИНФОРМАТИЗАЦИИ ОБРАЗОВАНИЯ

чественные системы, то средства криптографической защиты должны быть произведены по лицензии ФСБ. Если речь не идет о персональных данных, то алгоритм шифрования обязательно должен соответствовать ГОСТ 28147.

Однако для того чтобы дать заключение о том, что система может быть свободно распространяема, т.е. ее ключи соответствуют 40 бит для закрытого ключа и 128 бит для открытого ключа, необходимо, чтобы производитель представил конструкторскую документацию и необходимые коды. Нарушение Постановления № 691 также влечет за собой штраф согласно административному кодексу. Необходимо отметить, что таможенные органы при ввозе продуктов информационных технологий требуют разрешение соответствующих подразделений ФСБ. Требование этого разрешения, вообще говоря, находится в противоречии с Законом «О техническом регулировании» в тех случаях, когда явно не указано, что ввозимый продукт должен защищать жизнь и здоровье граждан, государственное, муниципальное или частное имущество.

В связи с административной реформой, принятием закона «О техническом регулировании», предполагающим существование добровольной системы сертификации, предпринимаются шаги по созданию компетентных коммерческих организаций, способных производить сертификацию средств защиты по требованиям безопасности информации. В основном, речь идет об использовании стандарта ISO-15408 «Общие критерии оценки защищенности информационных технологий», который с 2004 г. является не обязательным стандартом РФ. Одной из таких организаций является ассоциация ЕВРААС. Гостехкомиссия издала специальное письмо, согласно которому сертификат ассоциации ЕВРААС признается Гостехкомиссией. Предполагается, что коммерческие организации будут сертифицировать свои системы защиты в рамках признанных государством систем добровольной сертификации.

Рассмотрим общую схему оценки защищенности, используемые в стандарте ISO-15408. Руководитель предприятия или эксперты от его имени при создании автоматизированной системы проводят работу, в результате которой формируются цели безопасности, которые необходимы достичь для предотвращения ущерба. Объективность выбора системы защиты определяется с помощью стандарта ISO-15408 следующим образом.

Из целей безопасности вытекают непротиворечивые наборы требований, описанные на языке стандарта. Эти требования оформляются в виде профилей безопасности, которые утверждаются международным консорциумом. Профили являются открытыми документами и все пользователи могут ими воспользоваться для того, чтобы получить набор требований по безопасности, исходя из опасностей, которые выявлены для автоматизированных систем предприятий определенного типа. Иными словами, выбирая подходящий профиль, руководитель предприятия или эксперт от его имени получают в качестве гарантий международный опыт.

Вместе с тем производители продуктов для информационных технологий, зная требования профилей, стараются встроить средства защиты, соответствующие этим требованиям, т.е. угрозы для определенного типа информационных технологий, например банковских технологий, являются типичными, и отражены в соответствующем профиле защиты. Требования по безопасности, которым должны

96

Г л а в а 2. Автоматизированные информационные системы управления образованием

удовлетворять продукты, реализующие данные технологии, перечислены в профиле, и на основании опыта многих экспертов могут предотвращать соответствующие угрозы. Тот факт, что продукт или совокупность продуктов удовлетворяет требованиям профиля, подтверждается сертификатом компетентной или общепризнанной организации, которая на основании анализа конкретного продукта делает заключение, что он удовлетворяет требованиям профиля. При проведении сертификации обычно составляется более конкретный перечень требований, перекрывающий выбранный профиль защиты и учитывающий специфику продуктов. Такой перечень требований называется заданием по безопасности.

Таким образом, использование стандарта ISO-15408 снижает субъективизм экспертов и консалтинговых фирм, однако не дает возможности полностью отказаться от их услуг.

97

Г л а в а 3

ПОВЫШЕНИЕ КВАЛИФИКАЦИИ И ПЕРЕПОДГОТОВКА КАДРОВ В ОБЛАСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

3.1. Отраслевые программы повышения квалификации

Средства информационных и телекоммуникационных технологий входят в общественную практику и профессиональную деятельность столь стремительно, что многим специалистам, особенно в зрелом возрасте, приходится преодолевать значительные психологические барьеры на пути к их применению. Федеральные целевые и научные отраслевые программы, направленные на разрешение проблем информатизации образования, рассматривают повышение квалификации работников учебных заведений как одну из приоритетных задач.

Врамках ФЦП РЕОИС проводится целенаправленная работа в этом направлении.

В2003 г. были выполнены работы по следующим проектам повышения квалификации:

•обучение административно-управленческих кадров учреждений профессионального образования по программам дополнительного профессионального образования в области информационных технологий;

•обучение инженерно-технических кадров учреждений профессионального образования по программам дополнительного профессионального образования в области информационных технологий;

•обучение преподавательского состава учреждений профессионального образования по программам дополнительного профессионального образования в области информационных технологий;

•разработка системы научно-методической поддержки и развития информационных и телекоммуникационных технологий в области дополнительного профессионального образования.

В 2004 г. в продолжение этой работы был проведен открытый конкурс «Повышение квалификации и переподготовка кадров сферы образования в области информационно-коммуникационных технологий», предусматривающий выполнение работ по следующим направлениям:

•подготовка профессорско-преподавательского состава вузов педагогического профиля к преподаванию дисциплины «Использование современных информационных и коммуникационных технологий в образовательном процессе»;

•повышение квалификации работников органов управления образованием, координирующих процессы информатизации образования на региональном и муниципальном уровнях и координаторов программ подготовки и переподготовки кадров по информационным технологиям;

•повышение квалификации проректоров вузов, курирующих вопросы информатизации;

•подготовка инженерно-технических кадров в области ИКТ;

98

Гл а в а 3. Повышение квалификации и переподготовка кадров

•создание системы повышения квалификации преподавателей образовательных учреждений высшего и среднего профессионального образования для обучения инвалидов с нарушением слуха и опорно-двигательного аппарата использованию информационных технологий;

•повышение квалификации специалистов в области информационной безопасности и интегрированных информационных систем.

Названия перечисленных проектов показывают широту охвата различных групп работников образования, для которых организуется подготовка и повышение квалификации в области информационно-коммуникационных технологий.

Заслуживает упоминания проводимая Институтом развития дополнительного профессионального образования (ИРДПО) Федерального агентства по образованию совместно с Институтом ЮНЕСКО по информационным технологиям в образовании (ИИТО) программа повышения квалификации в области дистанционного обучения для учреждений высшего и дополнительного профессионального образования, подготовленная на основе учебных и методических материалов ИИТО ЮНЕСКО.

В программу включены следующие разделы:

•нормативно-правовая база системы дистанционного обучения;

•дидактические основы деятельности преподавателя (тьютора) дистанционного обучения;

•основные технологии дистанционного обучения;

•средства дистанционного обучения;

•специальные программные средства, обеспечивающие дистанционное обучение;

•информационные системы электронного документооборота для администрирования дистанционного обучения;

•контроль знаний и аттестация учащихся с использованием электронных средств дистанционного обучения;

•требования к техническим средствам, обеспечивающим дистанционное обучение.

Аналогичные работы по повышению квалификации в области дистанционного обучения в настоящее время организованы Российским государственным институтом открытого образования (РГИОО), которым разработана учебная программа повышения квалификации преподавателей «Преподавание в сети Интернет» продолжительностью 72 ч, отвечающая требованиям действующих нормативных документов.

В процессе освоения учебной программы слушатели получают практические навыки:

•разработки и применения в учебном процессе учебно-методических и информационных комплексов для Интернет-обучения;

•использования в обучении организационных форм сетевых занятий в Интернет (изучение учебных материалов, семинары, практикумы, тестирование, составление расписания, ведение журнала и т.п.);

•учета в практической работе психологических, педагогических и валеологических особенностей Интернет-обучения;

•применения возможностей и основных функций Российского портала открытого образования (виртуальное представительство: электронная библиотека, тестовая система, педагогические сценарии и технологические карты, администрирование учебного процесса).

99

Ч А С Т Ь 1. НАПРАВЛЕНИЯ ИНФОРМАТИЗАЦИИ ОБРАЗОВАНИЯ

Соответствующий учебно-методический комплекс размещен в виртуальном представительстве РГИОО федерального образовательного портала «Российский портал открытого образования» (http://www.openet.ru; раздел «Курсы» Интегрального каталога) и включает в себя:

•учебное пособие «Преподавание в сети Интернет [3.1];

•методические рекомендации по самостоятельному изучению курса, подготовке и участию в учебных занятиях в сети Интернет;

•хрестоматию, в которой собраны значимые фрагменты новейших источников нормативно-правовой, научно-технической и педагогической информации по проблемам Интернет-обучения;

•систему контроля качества обучения (тесты, индивидуальные задания, вопросы для самоконтроля).

Предусмотрены следующие формы обучения.

Очная форма с применением Интернет-технологий включает:

•очное и сетевое вводные занятия (знакомство с группой и особенностями среды обучения, введение в курс);

•сетевой учебный процесс (самостоятельная работа, семинары в режимах «Форум» и «Чат», консультации по электронной почте, выполнение индивидуальных заданий, тестирование, итоговая работа);

•очное итоговое занятие (защита итоговой работы, анкетирование, подведение итогов обучения).

Заочная форма с применением Интернет-технологий включает:

•вводное сетевое занятие (знакомство с группой и особенностями среды обучения, введение в курс);

•сетевой учебный процесс (самостоятельная работа, семинары в режимах «Форум» и «Чат», консультации по электронной почте, выполнение индивидуальных заданий, тестирование, итоговая работа);

•итоговое сетевое занятие (защита итоговой работы, анкетирование, подведение итогов обучения).

Экстернат с применением Интернет-технологий включает самостоятельное изучение содержания учебно-методического комплекса, вводное сетевое занятие, консультации по электронной почте, выполнение индивидуальных заданий, тестирование, выполнение итоговой работы. Эта форма обучения ориентирована исключительно на индивидуальную работу с учащимся.

3.2.Авторизованные центры повышения квалификации

Вэкономически развитых странах с высокотехнологичной промышленностью для повышения квалификации в области информационных и телекоммуникаци-

онных технологий широко распространены авторизованные учебные центры, в которых обучаются десятки тысяч специалистов по различным аппаратным и программным средствам. На отечественном рынке образовательных услуг данное направление обучения также активно развивается.

Для полноценного функционирования авторизованного учебного центра необходимо выполнение нескольких условий:

•наличие профессионально подготовленных преподавателей, которые помимо фактических знаний о предмете обучения должны подтвердить свою квали-

100