Предметы и задачи ПАСЗИ
Информация – сведения о лицах,предметах, фактах, событиях, явлениях и процессов, не зависимых от формы представления. Законом гарантируется право собственником инф, для её защиты от доступа других лиц. При реализации во многих средствах защиты,конфиденц. Инф. делят на коммерческую и гос.тайну. Наболее часто используемые подходы к котигорировконфкомерч инф:
комерческая тайна строго конфиденциальна
коммерческая тайна конфиден
комерческая тайна
2.1 строго конфиденциально-строгий учет
2.2 строго конфиденциально
2.3 конфиденциально
Организация защиты ПЭВМ от НСД
Практика организации защиты инф от НСД при её обработки и хранений должна учит следующие правила обеспечбезопас инф:
1.соответствие уровню безопас инф законодатполож и нормативным требованиям по охране сведений подлеж защите.
2.Выявление конфиденц инф и её документальное оформление в виде перечини сведений подлежащих к защите.
3….
4.Опред порядка установления полном польз, а также кругу лиц которым это право предоставлено.
5.установление и оформление правил разграничения доступа.
6.Установление личной ответственности пользователю,за поддержание уровня защищенности АС
7.Обеспечение физической охраны объектов на которрасположена защищаемая АС
8. Организация службы безопасности информации
9.Полномерный и оперативный контроль уровня безопасности защищаемой инф
Средства защиты информации должны иметь сертификат удостоверяющий их соотвествие требованиям по безопасности информации.
Построение и основной принцип работы системы защиты информации.
Защита информации с использованием программных и аппаратных средств основано на обработке событий, возникающих при обращении прикладных программ, или системного программного обеспечения к ресурсам ПЭВМ.Средствапрограммнопаппаратных комплексов перехват соответствующими программами или аппаратными требованиями.В случае возникновения неконтролирсобытпроизвод анализ, не завис от полномочий …….
Диспетчер доступа.
Диспетчер доступа реализуется в виде программно аппаратных механизмов и обеспечивает необходимую дисциплину в разграничении доступа субъектов к объектам. Диспетчер доступа разгранич доступ к внутренним ресурсам субъектов уже получивших доступ к этим системам. Необходимость использования диспетчера доступа только в многопользовательских системах.
Запрос на доступ iсубъекта к jобъекту поступает в блок управления полномочиями (бд), и в блок регистрации событий. Полномочия субъектов и характеристики объектов, анализируется в блоке принятий решений, который даёт разрешение на выполнение запроса или сигнал отказа в допуске. Если число попыток субъекта допуска получить доступ к запрещенным для него объектов превысит определенную границу, то блок принятия решений выдаст сигнал администратору системы безопасности.
Состав подсистем защиты информации
В общем случае системы защиты состоят из собственных средств защиты от НСД и средств защиты от несанкционированной загрузки средств ОС
подсистема управления доступа
Подсистема регистрации и учета
Подсистема управления целостности
Подсистема криптозащиты
1)Подсистема управлен доступов предназнач для огран ……
Для идентификации пользователей часто используется частные идентификаторы типа(tuch-memory,смарт-карты и т.п).В комплексе защиты два принципа управления доступа(дискреционный и мандатный).
…
2)подсистема регистрации и учёта, предназначена для регистрации в системном журнале различных событий происходящих при работе ПЭВМ.Журнал представляет собой специальный файл хранящийся на жестком диске.При регистрации событий в системном журнале регистрируется:1. Дата и время событий. 2.имя и идентификатор пользователя. 3.тип события и действия пользователя.
Доступ к системному журналу возможен только адиминистратору или пользователю которомы были выделены полномочия. События регистрируемые в системном журнале определяются системным администратором.
Подсистема обеспечения целостности
Предназначенная для исклнесанкционнированогой модификаций программно аппаратной среды ПЭВМ
Обеспечивая при этом защиту пвм от внедрения программных закладок и вредоностногоПО
, ПСЗИ это реализуется:
Проверка уникальных индефикаторов аппаратных ЭВМ
Проверка целостности системных файлов, назначенных пользовательским программных файлов
Контроль обращения к операционной системе
Исключения возможности использования ЭВМ без программного комплекса без ПАСЗИ
Создания замкнутой программной среды (доверенное программное обеспечение )
При проверке целостности вычисляется контрольная сумма указанная в файлах и сравнивается с эталонным значением (значение снятое первый раз) исключающий факт не обнаружения модификации файлов.
Подсистема криптографической защиты
Данная подсистема система позволяет пользователю зашифровывать и расшифровывать файлы с использованием индивидуальных ключей.
Ключ может зашиваться в персональном идентификаторе
Состав типового комплекса защиты от НСД
Аппаратным средствам относятся:
1Аппаратный контролер
2 устройство приема информации
3 персональный идентификатор пользователей
Аппаратный контроллер предстовляет собой плату ,восстанавливают в 1 из слотов
Аппаратный контролер содержит ПЗУ с программным обеспечением разъем для подключения считывателя информации
Считыватель информации представляет собой устройство предназначенное для считывания информации с пользовательского идентификатора .
Персональный идентификатор пользователя представляет собой аппаратное устройство , обладающая уникальными не копируемыми характеристиками (эл. Схема с элементами питания,с энергонезависимой памятью которой зашит)
ПОкомплекса защиты может быть условно разделено на три группы:
Системные программы защиты –это программы выполняющие функции по защите и разграничения доступа к информации.Также с помощью этих программ выполняется настройка и удаление программного комплекса и средств защиты
1.1Спецзагрущик доверенная загрузка Ос
1.2 Драйверы защиты(президентная программа о существляющая контроль полномочий и осуществление доступа )
1.3Программа установки (программа для штатного процесса установки удаления СЗИ установка удалении СЗИ)
1.4 Программы системы АунтификацииИндификации программы контроля целостности , программы контроля событий и управления базы данных пользователя
Вторая группа . Система ИндификацииАунтификации
2.1Программа обучения (программа для накопления ,для анализа индивидуальных признаков пользователя)
2.2Программа формирования запросов к базе данных
2.3Программа анализа базы данных пользователя
Третья группа. Технологические программы (вспомогательные программы СЗИ)
3.1 Программа восстановления станций (программа восстановления работоспособности в случае аппаратных сбоев: восстановление первоначальной среды и восстановление работоспособности ос )
3.2Программа ведения системного журнала
Также выделяют две базы данных База пользователей , База характеристики.
MetoduzashituinformaciiPSZI
Программно аппаратные компклесы ПСЗИ способны реализовать следующие методы защиты
1 ИндитификацияАунтификация пользователей
2 Ограничение доступов на вход в систему и на доступ к компу
3 разграничение доступа
4 Регистранция событий Аудит
5 Криптографическая защита
6 Контроль целостности
7 Управление Политикой безопасности \ управление групповыми политиками
8 Уничтожение остаточной информации
9 Резервирование данных
10 Сетевая защита
1 выше.
Ограничение на вход в систему–поданным термином понимается доверенная загрузка ОС .Одной из особенностей ПСЗИ является интеграция комплекса загрузка ПЭВМ , при включение питания управление берет БИОС и проводит процедуру самотекстировнияPOST,на главную загрузочную запись ЭБР жесткого диска.
Данная схема используется при классическом запуске ОС системы
Механизм доверенной загрузки реализуется двумя способами:
Использование собственного контроля СЗИ
Путем модификация ЭБР
При выполнение процедуры POST производится поиск внешних ПЗУ , при обнаружение ПЗУ БИОС передает управление на найденное устройство
После инициализации внешнего устройства управление передается обратно процедуре POSTлибо ЭБР на жестком диске.
Во 2 случае загрузка решается путем модификации МВР посредством замены МВР на собственный программный код (котик =^_^=)
В случае успешного выполнения кода СЗИ загрузчик передает управление операционной системеДля того чтобы исключить возможность штурма парольной защиты(перебора), в СЗИ предусматриваются режим блокировки компьютера, после нескольких попыток неудачного ввода пароля. Выход из данного режима защиты(после блокировки), возможен только после перезагрузки компьютера или выключения питания. Режим блокировки может быть запущен при любых нештатных действиях пользователя, как во время загрузки ОС так и во время последующей её работы. Факт блокировки отображается в системном журнале.
При отсутствии шифрования защищаемых данных, изъятия аппаратного средства защиты(физический доступ к машине)