Подготовка к экзамену ИБ

- мероприятия, осуществляемые при подборе и подготовке персонала системы;

- организацию охраны и надежного пропускного режима;

- организацию учета, хранения, использования и уничтожения документов и носителей с информацией;

- распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);

- организацию явного и скрытого контроля за работой пользователей;

- мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения и т.п.

Организационные меры – это единственное, что остается, когда другие методы и средства защиты отсутствуют или не могут обеспечить требуемый уровень безопасности. Однако, это вовсе не означает, что систему защиты необходимо строить исключительно на их основе, как это часто пытаются сделать чиновники, далекие от технического прогресса.

Этим мерам присущи серьезные недостатки, такие как:

- низкая надежность без соответствующей поддержки физическими, техническими и программными средствами (люди склонны к нарушению любых установленных дополнительных ограничений и правил, если только их можно нарушить);

- дополнительные неудобства, связанные с большим объемом рутинной формальной деятельности.

Организационные меры необходимы для обеспечения эффективного применения других мер и средств защиты в части, касающейся регламентации действий людей. В то же время организационные меры необходимо поддерживать более надежными физическими и техническими средствами.

	Тематический блок, экзаменационный вопрос № 11
Формирование политики безопасности организации.

1. Общие положения.

1.1. Политика безопасности организации – совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.

2. Порядок доступа к конфиденциальной информации

В целях обеспечения защиты информации в фирме, устанавливается следующий порядок допуска к работе с конфиденциальными источниками:

- решение о выдаче работнику ключа доступа (флеш-накопителя) к определенному компьютеру сети принимается руководством фирмы;

- ключ доступа (флеш-накопитель) должен находиться только у пользователя, которому он принадлежит и не должен быть доступен для других пользователей и посторонних лиц, то есть оставлять ключи доступа на рабочем месте запрещается;

- при работе с программой допускается использование только одного флеш-накопителя – электронного ключа;

- доступ к компьютерной сети фирмы осуществляется только с персональным паролем. Пользователь должен держать в тайне свой пароль. Сообщать свой пароль другим лицам, а также пользоваться чужими паролями запрещается;

- категорически запрещается снимать несанкционированные копии базы данных фирмы, знакомить с содержанием электронной информации лиц, не допущенных к этому.

3. Работа с криптографическими системами

3.1. К работе с криптографическими системами допускаются только сотрудники фирмы, имеющие соответствующее разрешение от руководства фирмы.

3.2. Секретные пароли и пин-код не должны храниться и ответственность за их воспроизведение полностью ложиться на работников фирмы. Разглашение сотрудниками секретных паролей и пин-кода должно быть исключено;

3.3. Категорически запрещается:

- выводить секретные пароли и пин-код на дисплей компьютера или принтер;

- устанавливать в дисковод компьютера ключ доступа в непредусмотренных режимах функционирования;

- записывать на ключ доступа постороннюю информацию.

При компрометации секретных паролей, пин-кода и прочей электронной информации управлением фирмы принимаются меры для прекращения любых операций с использованием этих паролей, пин-кода и прочей информации; принимаются меры для смены паролей и пин-кода. По факту компрометации организуется служебное расследование, результаты которого отражаются в акте и доводятся до сведения руководства фирмы.

4. Физическая безопасность

Физическим мерам защиты традиционно придается большое значение. Конкретная структура физической системы защиты (да и любой другой защиты) определяется важностью материального, информационного или другого ресурса, подлежащего защите, а также уровнем необходимой секретности, материальными возможностями организации, возможностями проведения различных организационных мероприятий, существующим законодательством и целым рядом других не менее значимых факторов.

Физическая безопасность может включать в себя следующее.

1. Все объекты критичные с точки зрения информационной безопасности (все сервера баз данных, телефонная станция, основной маршрутизатор, файервол) находятся в отдельном помещении, доступ в которую разрешен только сотрудникам, имеющими соответствующее разрешение от руководства. В этом помещении установлен кондиционер и хорошая система вентиляции.

Также необходимо отключить неиспользуемые дисководы, параллельные и последовательные порты сервера. Все это осложнит кражу или подмену информации даже в том случае, если злоумышленник каким-то образом проникнет в серверную комнату. Кроме того, важной мерой защиты является установка железных решеток и дверей.

2. Рабочее место операторов, работающих с денежными средствами при приеме платежей у клиентов, также необходимо изолировать, выделив для общения с клиентом небольшое окно из стеклопластика. Это позволит снизить вероятность кражи.

3. Защита кабельной системы сети заключается в размещении ее в коробах, позволяющих скрыть и надежно закрепить провода.

4. Одной из немаловажных проблем является обычная электрическая сеть – частые перепады напряжения в электросети. Для защиты компьютеров от высокочастотных импульсных помех служат сетевые фильтры, оберегающие технику от большинства помех и перепадов напряжения. Кроме того, сервер следует оснастить источником бесперебойного питания (UPS).

5. Доступ в помещение посторонним лицам запрещен. Технический персонал, осуществляющий уборку помещения, ремонт оборудования, обслуживание кондиционера и т.п. может находится в помещении только в присутствии работников, имеющих право, находится в помещении в связи с выполнением своих должностных обязанностей.

6. Доступ в помещение в неурочное время или в выходные и праздничные дни осуществляется с письменного разрешения руководства фирмы.

5. Разграничение прав доступа к программному обеспечению и системам хранения данных

5.1. Для входа в компьютерную сеть сотрудник должен ввести имя, пароль и пин-код. Не допускается режимы беспарольного (гостевого) доступа к какой-либо информации фирмы.

5.2. При работе с информационной системой пароль должен быть не менее шести символов. Категорически запрещается сообщать свой пароль другим лицам, а также пользоваться чужими паролями.

5.3. Каждый пользователь обязан менять свой пароль каждые полгода.

6. Дублирование, резервирование и раздельное хранение конфиденциальной информации

6.1. В целях защиты информации фирмы от преднамеренного или же непреднамеренного ее уничтожения, фальсификации или разглашения обеспечить

- ежедневное обязательное резервирование всей информации, имеющей конфиденциальный характер;

- дублирование информации с использованием различных физических и аппаратных носителей.

6.2. Ответственность за хранение и резервирование информации в электронном виде возложить на ответственное лицо в соответствие с решением руководства фирмы.

Политика информационной безопасности (ПИБ) – набор законов, правил, практических рекомендаций и практического опыта, определяющих управленческие и проектные решения в области защиты информации. На основе ПИБ строится управление, защита и распределение критичной информации в системе. Она должна охватывать все особенности процесса обработки информации, определяя поведение АС в различных ситуациях.

Политика информационной безопасности взаимоувязанной сети связи Российской Федерации – совокупность требований и правил по информационной безопасности Взаимоувязанной сети связи Российской Федерации для объекта информационной безопасности Взаимоувязанной сети связи Российской Федерации, выработанных в соответствии с требованиями руководящих и нормативных документов в целях противодействия заданному множеству угроз информационной безопасности Взаимоувязанной сети связи Российской Федерации, с учетом ценности защищаемой информационной сферы и стоимости системы обеспечения информационной безопасности Взаимоувязанной сети связи Российской Федерации.

Источник: ОСТ 45.127-99. Система обеспечения информационной безопасности Взаимоувязанной сети связи Российской Федерации. Термины и определения.

Для конкретной АС политика безопасности должна быть индивидуальной. Она зависит от технологии обработки информации, используемых программных и технических средств, структуры организации и т.д.

Следует рассматривать такие направления защиты АС.

Защита объектов информационной системы.

Защита процессов, процедур и программ обработки информации.

Защита каналов связи.

Подавление побочных электромагнитных излучений.

Управление системой защиты.

Очевидно, что каждое из указанных направлений должно быть детализировано в зависимости от особенностей структуры АС.

Кроме этого, ПИБ должна описывать следующие этапы создания ПИБ:

Определение информационных и технических ресурсов, подлежащих защите.

Выявление полного множества потенциально возможных угроз и каналов утечки информации.

Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки

Определение требований к системе защиты.

Осуществление выбора средств защиты информации и их характеристик.

Внедрение и организация использования выбранных мер, способов и средств защиты.

Осуществление контроля целостности и управление системой защиты.

	Тематический блок, экзаменационный вопрос № 12
Основные принципы формирования пользовательских паролей.

В большинстве ИС используется механизм идентификации и аутентификации на основе схемы идентификатор пользователя (логин) / пароль. Законность запроса пользователя определяется по паролю, представляющему собой, как правило, строку знаков. Метод паролей считается достаточно слабым, так как пароль может стать объектом хищения, перехвата, перебора, угадывания.

Для повышения эффективности парольной защиты рекомендуется:

1. Выбирать пароль длиной более 8 символов, избегая распространенных, легко угадываемых слов, имен, дат и т.п.;

2. Использовать специальные символы;

3. Хранить и передавать пароли в зашифрованном виде;

4. Файл паролей размещать в особо защищаемой области ЗУ ЭВМ, закрытой для чтения пользователями;

5. Периодически менять пароли

6. Предусмотреть возможность насильственной смены паролей со стороны системы через определенный промежуток времени;

7. Использовать несколько пользовательских паролей: собственно пароль, персональный идентификатор, пароль для блокировки/разблокировки аппаратуры при кратковременном отсутствии и т.п.

В качестве более сложных парольных методов используется случайная выборка символов пароля и одноразовое использование паролей.

	Тематический блок, экзаменационный вопрос № 13
Идентификация пользователей (назначение и способы реализации).

Идентификация – процесс опознавания элемента системы.

Аутентификация – проверка подлинности идентификации любого элемента системы.

Авторизация – процесс наделения правами и разрешение доступа к различным объектам системы.

Простейший способ реализации этой цепочки: логин – пароль - отключение пунктов меню.

Пароль – уязвим, необходимо управление паролями (не менее 8 символов, избегать простых слов и дат, использовать специальные символы, передавать в зашифрованном виде, менять, использовать несколько паролей). Аутентификация возможна и более эффективна другими способами:

1) С помощью пластиковых карт (на бытовом уровне самый эффективный);

2) Биометрические параметры;

3) С помощью электронного ключа, который является уникальным для конкретного пользователя.

Разграничение доступа в системе уже реализовано и таблица, содержащая пароли пользователей, находится в рамках базы данных.

Но с целью криптографической защиты БД, при вызове входной формы и сравнении паролей пользователей, было бы нецелесообразно расшифровывать всю базу данных для получения сведений о сохраненных паролях. В этом случае смысл криптографической защиты БД вообще теряется.

Поэтому необходимо “выделить” таблицу с паролями БД и “перенести” ее в отдельный текстовый файл.

Это значит, что необходимо перестроить логику системы таким образом, чтобы в случаях:

- входа;

- смены паролей;

- смены пользователей

приложение обращалось не к базе данных, а к этому текстовому файлу, меняя и сохраняя данные только в нем.

При этом необходимо в текстовый файл сохранить:

- имена пользователей;

- соответствующие пароли пользователей;

- дату смены пароля (для дальнейшего напоминания им о необходимости смены пароля), кроме пользователя «Гость». Для определения текущей даты можно воспользоваться функцией Date. Так, datetostr(Date) возвратит текущее значение даты.

Этот файл также необходимо зашифровать и расшифровывать только после проверки совпадения всех характеристик компьютера и флеш-носителя. Зашифровка же файла производиться при любом выходе из программы. Определение ключа для зашифровки данного файла рассмотрено ниже.

	Тематический блок, экзаменационный вопрос № 14
Аутентификация пользователей (назначение и способы реализации).

Механизмы идентификации и аутентификации необходимы для подтверждения подлинности субъекта, его законности входа и права на доступ.

Идентификация – это процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации; каждый субъект или объект системы должен быть однозначно идентифицируем.

Аутентификация – это проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа); а также проверка целостности и авторства данных при их хранении или передаче для предотвращения несанкционированной модификации.

При входе в систему пользователь должен предъявить идентифицирующую информацию, определяющую законность входа и права на доступ. Эта информация проверяется, определяются полномочия пользователя (аутентификация), и пользователю разрешается доступ к различным объектам системы {авторизация).

Информация, позволяющая однозначно идентифицировать, аутентифицировать и авторизовать пользователя, выполнять аудит его действий, хранится в так называемых учетных записях.

Учетная запись (account) состоит из имени пользователя и назначенных ему параметров для входа в систему (например, пароля).

Метод парольной зашиты

В большинстве ИС используется механизм идентификации и аутентификации на основе схемы идентификатор пользователя (логин) / пароль. Законность запроса пользователя определяется по паролю, представляющему собой, как правило, строку знаков. Метод паролей считается достаточно слабым, так как пароль может стать объектом хищения, перехвата, перебора, угадывания.

Для повышения эффективности парольной защиты рекомендуется:

1. Выбирать пароль длиной более 8 символов, избегая распространенных, легко угадываемых слов, имен, дат и т.п.;

2. Использовать специальные символы;

3. Хранить и передавать пароли в зашифрованном виде;

4. Файл паролей размещать в особо защищаемой области ЗУ ЭВМ, закрытой для чтения пользователями;

5. Периодически менять пароли

6. Предусмотреть возможность насильственной смены паролей со стороны системы через определенный промежуток времени;

7. Использовать несколько пользовательских паролей: собственно пароль, персональный идентификатор, пароль для блокировки/разблокировки аппаратуры при кратковременном отсутствии и т.п.

В качестве более сложных парольных методов используется случайная выборка символов пароля и одноразовое использование паролей.

	Тематический блок, экзаменационный вопрос № 15
Авторизации пользователей (назначение и способы реализации).

Аутентификация с использованием смарт-карт. Широкое распространение получили средства опознавания атрибутного типа, изготовляемые в виде карточек. Карточка является носителем идентификационной информации, нанесенной механическим, оптическим или магнитным способом. На смену магнитным карточкам приходят более устойчивые к подделке «интеллектуальные карточки» (smartcard), содержащие электронные компоненты (микропроцессор, энергонезависимая память).

Механизм, основанный на интеллектуальных картах, требует от пользователя владения смарт-картой и знания персонального кода идентификации (ПКИ - PIN-кода) или пароля. Существует международной стандарт на смарт-карты - ISO 7816. Устройство смарт-карт позволяет многократную запись/чтение содержимого памяти.

Смарт-карта реализует аутентификацию с помощью схемы запрос/ответ в реальном масштабе времени, что помогает предотвратить получение злоумышленником неавторизованного доступа путем воспроизведения сеанса регистрации пользователя. Эти устройства могут также шифровать сеанс аутентификации, предотвращая компрометацию информации аутентификации с помощью наблюдения и перехвата. Некоторые карточки обеспечивают режим «самоблокировки» при попытке НСД.

Биометрические средства аутентификации. Расширением парольного метода является опознавание пользователя по сугубо индивидуальным характеристикам. Эти методы, как правило, требуют специального и достаточно сложного оборудования.

Схема рукопожатия. Эффективным решением проблемы аутентификации системы и ее элементов считается реализация «схемы рукопожатия» (Handshaking).

При ее применении заранее выбирается нетривиальное преобразование A(x,k), где k – ключ, зависящий от времени, х – аргумент. Предполагается, что преобразование А известно только пользователю и системе. При запросе на работу пользователь вводит аргумент х (это может быть пароль). Система и пользователь вычисляют преобразование A(x,k), затем система посылает свой результат пользователю для сравнения. При совпадении обоих преобразований аутентификация считается положительной.

Аутентификация с помощью электронного ключа. Это компактные устройства, которые подключаются к одному из внешних разъемов компьютера, «прозрачные» для периферийных устройств. Наиболее совершенные ключи программируются уникальным образом фирмой-изготовителем или самим пользователем. Внешне электронный ключ представляет собой схему, собранную по SMD-технологии (Surfase Mounted Device), чаще всего на основе специальной «заказной» микросхемы, с разъемами для подключения к компьютеру и внешним устройствам, помещенную в пластмассовый непрозрачный корпус.

В качестве примера можно привести продукцию компании Aladdin Knowledge Systems. Электронный ключ eToken network Logon предназначен для безопасного доступа к сетям Windows. Он позволяет отказаться от использования паролей при входе в сеть, значительно повысить ее защищенность и обеспечить удобство работы пользователей. Пользователям не нужно запоминать сложные пароли и периодически их менять - достаточно подключить свой персональный электронный ключ к USB порту и ввести PIN-код.

	Тематический блок, экзаменационный вопрос № 16
Криптографические методы защиты информации.

Криптография – наука о безопасности связи. Состоит из криптографии и криптоанализа. Первый изучает способы шифрования и подлинности сообщений. Второй изучает пути расшифровки зашифрованного сообщения, а также подделку сообщения, чтобы оно было принято, как подлинное. Криптографическая защита – защита при помощи криптографического преобразования данных.

Шифрование (действие пользователя) и дешифрование (действие криптоаналитика) должны соответствовать друг другу.

Шифр – совокупность обратимых преобразований множества открытых объектов на множество зашифрованных объектов, проводимых с целью их защиты.

Криптографическая система представляет собой совокупность алгоритмов и ключей. Само описание алгоритма не является криптосистемой. Только дополненное схемами распределения и управления ключами описание алгоритма становится криптосистемой.

Признаки идеального ключа: длина ключа больше длины текста, вырабатывается случайным образом.

Большинство алгоритмов используют принципы подстановки или перестановки. Упрощенно алгоритм может выглядеть: y = (x+z) mod N, где у – закодированный объект, x - исходный, z – секретный ключ. В большинстве алгоритмов используются не символы, а числа им соответствующие. В настоящее время широкое распространение получили 2 типа криптографических преобразований: симметричное и ассиметричное.

Симметричные основаны на том, что для кодирования и декодирования используется один и тот же ключ. Он должен храниться в тайне и передаваться способом, исключающим его перехват. DES, ГОСТ 28147-89.

Ассиметричные криптосистемы используют разные преобразования для операций кодирования и декодирования. Существует открытый и закрытый ключи. Открытый опубликован везде, а закрытый известен только пользователю, который будет принимать информацию. RSA, ECC.

Криптология состоит из 2 частей - криптографии, изучающей способы шифр-ия и/или проверки подлинности сообщ-ий, и криптоанализа, рассм-щего пути расш-ки заш-ого сообщения или его подделки, чтобы оно было принято как подлинное. Криптография – дисциплина, охв-ая принципы, средства и методы преобразования данных для сокрытия их информационного содержимого, предотвращения их не обнаруживаемой модификации и/или их несанкц-ого исп-ия. Средство криптографической защиты информации средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности.Криптографическая защита – защита данных при помощи криптографического преобразования данных.

Шифрование – процесс зашифрования или расшифрования; криптографическое преобразование данных для получения шифротекста.

Шифр – совокупность обратимых преобразований множества открытых текстов (т.е. исходного сообщения) на множество зашифрованных текстов, проводимых с целью их защиты.

Результат шифрования зависит не только от применяемого алгоритма шифрования, но и от ключа шифрования. При использовании одного и того же алгоритма изменение ключа приводит к изменению результата выполнения алгоритма.

Криптографическая система – семейство преобразований шифра и совокупность ключей (т.е алгоритм + ключи).

Само по себе описание алгоритма не является криптосистемой. Только дополненное схемами распределения и управления ключами оно становится системой.

Сегодня в криптологии принято оперировать символами не в виде букв, а в виде чисел, им соответствующих. Так, в латинском алфавите можем использовать числа от 0 (соответствующего A) до 25 (Z). Обозначая число, соответствующее исходному символу, x, а закодированному - y, можем записать правило применения подстановочного шифра:

y = (x + z) mod N, где z - секретный ключ, N+1 - количество символов в алфавите.

(a+b) mod n – сложение по модулю n - операция, аналогичная обычному сложению, с тем лишь отличием, что если обычное суммирование (a+b) дает результат, больший или равный n, то значением суммы считается остаток от деления его на n.

Шифр Цезаря в принятых обозначениях соответствует значению секретного ключа z = 3.

Классификация криптосистем. Тайнопись. Отправитель и получатель производят над сообщением преобразования, известные только им двоим. Сторонним лицам неизвестен сам алгоритм шифрования.

Криптографическая защита с ключом. Алгоритм возд-ия на передаваемые данные известен всем сторонним лицам, но он зависит от нек-ого параметра – «ключа», которым обладают только отпр-ль и получатель. тайнопись не относится к области криптографии, т.к. не позволяет публично оценить надежность используемого алгоритма шифрования, поэтому диапазон их применения достаточно узок.

Симм-ые криптосистемы основаны на том, что для зашифровывания и расшифровывания используется один и тот же ключ. Этот ключ должен храниться в тайне и передаваться способом, исключающим его перехват. (DES AES Rijndael)

Асимм-ые криптосистемы используют разные преобразования для операций заш-ия и расш-ия. Существует 2 разных ключа: откр, и секр-ый. Открытый ключ опубликовывается и может быть использован для связи с владельцем этого ключа. Закрытый известен только владельцу и используется для расшифрования.