Тема 5: Основы защиты и безопасности информации

Защита информационных ресурсов (ИР)

Рост применения современных информационных технологий в различных сферах делает возможным распространение различных злоупотреблений, связанных с использованием вычислительной техники (компьютерных преступлений).Объектом или орудием совершения которых является электронно-вычислительная машина.

Как следствие возникла новая современная технология – технология защиты информации в компьютерных ИС и в сетях передачи данных.

Под защитой информации понимается использование различных средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения надежности передаваемой, обрабатываемой и хранимой информации в интегрированных и локальных системах обработки данных с использованием разнообразных технических средств, включая компьютерные.

Для обеспечения безопасности информации в личных компьютерах и, особенно, в офисных системах и компьютерных сетях проводятся различные мероприятия, объединяемые понятие «системы защиты информации».

«Система защиты информации» - это совокупность организационных (административных) и технологических мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.

На практике при построении системы защиты информации сложились 2 подхода:

- фрагментарный мероприятия по защите направляются на противодействие вполне определенным угрозам при строго определенных условиях, например, обязательная проверка носителей антивирусными программами, применение криптографических систем шифрования и т.д.

- комплексный подход предполагает объединение различных мер противодействия угрозам, формируется так называемая архитектура безопасности систем.

Построение системы защиты ИР

Оптимальное сочетание программных аппаратных средств и организационных мер защиты и подтвержденных практикой создания отечественных и зарубежных систем защиты.

Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление пользователям минимума строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автоматизированной обработки доступной или конфиденциальной информации.

Полнота контроля и регистрации несанкционированного доступа, т.е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможных расследований, а также невозможность совершения любой операции обработки информации в ЭИС без ее предварительной регистрации.

Обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или преднамеренных ошибок пользователей и обслуживающего персонала.

Обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов контроля работоспособности механизмов защиты.

«Прозрачность» системы защиты информации для общего, прикладного ПО и пользователей ИС.

Экономическая целесообразность использования системы защиты, выражающаяся в том, что стоимость разработки и эксплуатации систем защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации ИС без системы защиты информации.

Под информационной безопасностью понимается защищенность ИС от случайного или преднамеренного вмешательства, наносящего ущерб владельцам или пользователям информации.

На практике важнейшими являются три аспекта информационной безопасности:

- доступность (возможность за разумное время получить требуемое информационную услугу);

- целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения)

- конфиденциальность (защита от несанкционированного прочтения).

Под угрозой безопасности информации понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию ИР, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Классификация угроз:

• случайные воздействия (непреднамеренные). Опыт проектирования, изготовления и эксплуатации ИС показывает, что информация подвергается различным случайным воздействиям на всех этапах жизненного цикла системы. Причинами случайных воздействий при функционировании компьютерных систем могут быть:

а) некомпетентные действия или ошибки, допущенные при проектировании ИС и ее системы защиты информации;

б) непреднамеренные ошибки пользователей и обслуживающего ИС персонала, в том числе администратора службы БД;

в) халатность и недостаточно четкое исполнения служебных обязанностей

г) отказы и неисправности технических средств обработки, хранения и передачи информации в случае их некачественного исполнения и физического старения;

д) отказы и неисправности средств защиты информации и средств контроля

е) ошибки в разработке алгоритмического и программного обеспечения

ж) помехи в каналах и на линиях связи из-за воздействия внешней среды

з) аварийные ситуации из-за стихийных бедствий (пожар, наводнение, выход из строя электропитания и др.)

- преднамеренные воздействия. Источниками преднамеренных угроз являются злоумышленные действия людей и в отличии от случайных, преследуют цель нанесения ущерба пользователям ИС. Умышленные угрозы - результат активного воздействия человека (нарушителя) на объекты и процессы по самым различным причинам. В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами. Пассивные угрозы, как правило, направлены на несанкционированное использование ИР, не оказывая при этом влияния на ее функционирование (например, попытка получения информации, циркулирующей в каналах, посредством их прослушивания).

Активные угрозы имеют целью нарушение нормального функционирования посредством целенаправленного воздействия на аппаратные, программные и ИР.

К основным угрозам ИР можно отнести:

1. раскрытие конфиденциальной информации. Происходит путем несанкционированного доступа к БД, прослушивания каналов и т.д. Не всегда является умышленным деянием. Наступает в результате программных, системных ошибок или неправильной организации системы защиты.

2. компрометация информации происходит путем внесения несанкционированных изменений в БД, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных сведений. В случае использования скомпрометированной информации потребитель подвергается опасности принятия неверных решений.

3. несанкционированное использование ИР с одной стороны является средством раскрытия и компрометации информации, а с другой стороны имеет самостоятельное значение, поскольку даже не касаясь пользовательской или системной информации, может нанести определенный ущерб абонентам и администрации. Этот ущерб может варьироваться от сокращения поступления финансовых средств до полного выхода ИС из строя.

4. ошибочное использование ИР будучи санкционированным тем не менее может привести к разрушению, раскрытию или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок, имеющихся в ПО ИС.

5. несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен, что по своим последствиям равносильно раскрытию банковской информации.

6. отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки. В условиях банковской деятельности это, в частности, позволяет позволяет одной из сторон расторгать заключенные финансовые соглашения "техническим" путем, формально не отказываясь от них и нанося тем самым второй стороне значительный ущерб.

7. отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама ИС. Подобный отказ опасен в ситуациях, когда задержка с представлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода времени, когда это решение еще возможно эффективно реализовать, может стать причиной его нерациональных или даже антимонопольных действий.

МЕТОДЫ ЗАЩИТЫ ИР

1. Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.)

2. Управление доступом - метод защиты информации регулированием использования всех ресурсов ИС. Эти методы должны противостоять всем возможным путем несанкционированного доступа к информации. Управление доступом включает следующие функции защиты:

- идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора-пароля);

- опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору

- проверка полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

- разрешение и создание условий работы в пределах установленного регламента;

- регистрацию (протоколирование) обращений к защищаемым ресурсам;

- реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий

3. маскировка (шифрование) - методы защиты информации путем ее криптографического закрытия. Эти методы защиты широко применяются как при обработке, так и при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

4. противодействие атакам вредоносных программ предполагает комплекс разнообразных мер организационного характера и использование антивирусных программ. Цель применяемых мер - это уменьшение вероятности инфицирования ИС, выявление фактов заражения системы; уменьшение последствий информационных инфекций, локализация или иничтожение вирусов, восстановление информации в ИС. Овладение этим комплексом мер и средств требует знакомства со специальной аппаратурой.

5. регламентация - метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму и при которых нормы и стандарты по защите выполняются в наибольшей степени.

6. принуждение - такой метод защиты, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

7. побуждение - такой метод защиты, который побуждает пользователей и персонал ИС не нарушать установленный порядки за счет соблюдения сложившихся моральных и этических норм (как регламентированных, так и неписанных).

Методы обеспечения безопасности реализуются на практике за счет применения различных средств защиты. При этом средства защиты подразделяются на:

- формальные, выполняющие защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека

- неформальные, определяется целенаправленной деятельности человека либо регламентируют эту деятельность

Технические средства защиты реализуются в виде электрических, электромеханических и электронных устройств. Вся совокупность технических средств делится на аппаратные и физические. Под аппаратными техническими средствами принято понимать устройства, встраиваемые непосредственно в вычислительную технику или устройства, которые сопрягаются с подобной аппаратурой по стандартному интерфейсу.

Наиболее распространенным и надежным способом защиты от несанкционированного запуска стали программно-аппаратные ключи, подключаемые к СОМ-, LPT- или USB-портам. Почти все коробочные варианты серьезного коммерческого ПО используют программно-аппаратные комплексы защиты, более известные аппаратные ключи защиты. Появляются и беспроводные аппаратные ключи защиты приложений, работающие по технологии Bluetooth.

В настоящее время чаще всего используются USB-HASP-устройства. Приведем примеры USB-HASP-устройств:

- Hardlock - это электронный ключ компании, предназначенный для защиты приложений и связанных с ними файлов данных, позволяющий программировать ключи защиты и лицензировать авторское ПО.

- eToken электронный смарт-ключ. eToken - это полнофункциональный аналог смарт-карты, выполненный в виде брелока. Он напрямую подключается к компьютеру через USB-порт. Основное назначение eToken - аутентификация пользователя при доступе к защинным ресурсам сети и безопасное хранение цифровых сертификатов, ключей шифрования, а также любой другой секретной информации.

Физические средства защиты реализуются в виде автономных устройств и систем и призваны создать некоторую физически замкнутую среду вокруг объекта и элементов защиты. В этом случае используются такие мероприятия:

1) установка средств физической преграды защитного контура помещений, где ведется обработка информации (обычные и кодовые замки на дверях; решетки на окнах, охранная сигнализация - звуковая, световая, визуальная без записи и с записью на видеопленку);

2) ограничение электромагнитного излучения путем экранирования помещений, где происходит обработка информации, листами из металла или специальной пластмассы;

3) осуществление электропитания оборудования, обрабатывающего ценную информацию, от автономного источника питания или от общей электросети через специальные сетевые фильтры

4) применение во избежание несанкционированного дистанционного съема информации, жидкокристалических или плазменных дисплеев, струйных или лазерных принтеров соответственно с низким электромагнитным и акустическим излучением

5)использование автономных средств защиты аппаратуры в виде кожухов, крышек, дворец, шторок с установкой средств контроля вскрытия аппаратуры.

Организационные средтва защиты ИР представляют собой организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации ИС, вычислительной техники, аппаратуры телекоммуникаций для обеспечения защиты информации.

Их цель - в наибольшей степени затруднить и исключить возможность реализации угроз безопасности.

Наиболее типичные организационно-административные средства:

- создание контрольно-пропускного режима на территории, где располагаются средства обработки информации

- хранение магнитных или иных носителей информации, представляющих определенную тайну, а также регистрационных журналов в сейфах, недоступных для посторонних лиц

- организация защиты от установки прослушивающей аппаратуры в помещениях связаных с обработкой информации;

- организация учета использования и уничтожения документов (носителей) с конфиденциальной информацией;

- разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;

- разграничение доступа к информационным и вычеслительным ресурсам должностных лиц в соответствии с их функциональными обязанностями.

Другие средства защиты ИР:

Морально-этические средства защиты реализуются в виде всевозможных норм, которые сложились традиционно или складываются по мере распространения вычеслительной техники и средств связи в обществе. Эти нормы большей частью не являются обязательными как законодательными меры, однако, несоблюдение их ведет обычно к потере авторитета и престижа человека. Наиболее показательным примером таких норм является "Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США".

Технологические средства защиты информации - это комплекс мероприятий, органично встраиваемых в технологичные процессы преобразования данных. Среди них:

а) создание архивных копий носителей;

б) ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера

в) регистрация пользователей компьютерных средств в журналах;

г) автоматическая регистрация доступа пользователей к тем или иным ресурсам;

д) разработка специальных инструкций по выполнению всех технологических процедур и др.

Законодательные (правовые) средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.