12. Выбор модели построения защиты

Вспомним, что решение любой проблемы в науке и в повседневной жиз­ни начинается с поиска уже готовых решений в похожих ситуациях. В нашем случае такое решение известно всем: для защиты какого-либо ценного предмета вокруг него сооружается некая физическая и (или) интеллектуальная замкнутая преграда, преодоление которой в достаточной мере не по силам потенциальному нарушителю.

Принципиально важным моментом постановки задачи в общем виде, с позиций построения защиты, является выбор такой модели автоматизирован­ной системы обработки информации, которая позволила бы ожидаемые ре­зультаты ее решения распространить на частные случаи построения любой автоматизированной системы: от автоматизированного рабочего места до глобальной АС не­за­ви­симо от аппаратной и программной платформ, на базе которых они построены.

В целях выработки общего подхода к решению этой задачи для всех ви­дов АС можно рассмотреть их классификацию по видам, принципам построения, а также учесть схемы сетей.

Анализ принципов построения и классификации автоматизированных систем позволяет их условно разделить на два вида: с сосредоточенной и распределенной обработкой данных.

АС с сосредоточенной обработкой данных – такие системы, в кото­рых информация обрабатывается в одном центре.

Системами с распределенной обработкой данных – такие систе­мы, в которых обработка информации распределена по нескольким центрам – элементам этой системы, которые связаны между собой локальной сетью передачи данных или территори­альной сетью обмена данными.

Таким образом, комплекс средств автоматизации с позиций безопаснос­ти информации можно рассматривать как некий базовый элемент вычисли­тельной сети и АСУ.

Локальную вычислительную сеть можно представить как совокупность технических средств, объединенных линиями связи.

Изложенное позволяет с позиций проектирования защиты информации АС построить концептуальную модель защиты, которая может реализовать общий подход к разработке методов обеспечения безопасности информации снача­ла в АС с сосредоточенной обработкой данных, а затем развить и распространить его на АС с распределенной обработкой.

13. Исходные данные для постановки задачи

Согласно действующей концепции случайные и преднамеренные уг­розы с позиций безопасности информации рассматриваются как один поток событий. Однако для защиты от преднамеренных угроз приводится модель нарушителя, являющегося законным пользователем. Нарушители классифицируются по уровню возможностей, предоставляемых им штатными сред­ствами. Выделяются четыре уров­ня таких возможностей.

Первый уровень определяет самый низкий уровень возможностей ведения диалога в АС – запуск задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации.

Второй уровень определяется возможностью создания и запуска соб­ст­вен­ных программ с новыми функциями по обработке информации.

Третий уровень определяется возможностью управления функцио­нированием АС, т.е. воздействием на базовое программное обеспечение систе­мы и на состав и конфигурацию ее оборудования.

Четвертый уровень определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

В своем уровне нарушитель является специалистом высшей квалифика­ции, знает все об АС и, в частности, о системе и средствах ее защиты.

Если понимать изложенное в РД Гостехкомиссии России буквально, то защиту от нарушителей 2-4-го уровней построить почти невозможно (защита от несан­кционированной загрузки программного обеспечения (ПО) в АС в не пре­дусмотрена). Возможно, здесь имела место редакционная ошибка и имелись в виду уровни квалификации и технического обеспечения нарушителей (но это не подтверждается). Кроме того, в РД не показана связь указанных уровней с классами "защищенности" средств вычислительной техники (СВТ) и АС, что делает назначение та­кой классификации непонятной.

Учитывая изложенное, можно предложить другой подход – разрабатываемый В.В.Мельниковым – в частности в монографии "Безопасность информации в автоматизированных системах".

Угрозы информации определяются условиями сохранения права собствен­ности на нее. Это утечка, модификация и утрата информа­ции. При этом под утечкой информации понимается несанкционированное ознакомление с ней постороннего лица; под модификацией – несанкциони­рованное изменение информации на корректную по форме и содержанию, но другую по смыслу; под утратой – хищение, искажение с потерей смысла, уничтожение, недоведение информации до адресата или блокировка досту­па к ней ее владельца и его доверенного лица.

Все остальные угрозы – это способы достижения целей, которые в конеч­ном итоге сводятся к этим трем событиям. Эти события могут произойти случайно по причине ошибок пользователя, сбоев или отказов аппаратуры, алгоритмических или программных ошибок, аварийных ситуаций, стихий­ных бедствий и других или созданы нарушителем преднамеренно. Техника исполнения последних имеет множество вариантов.

Нарушителем может быть человек: посторонний; законный пользователь или из числа лиц обслуживающего персонала. Квалификация его также мо­жет быть различной. Он может обладать и не обладать определенным набо­ром технических средств, работать в комфортных условиях или в условиях риска; быть пойманным; быть единственным или в составе организованной группы, имеющей доступ к компьютерной системе. Не следует впадать в другую крайность – считать всех, работающих с системой, потенциальными нарушителями. Круг доверенных лиц, очевидно, будет зависеть от важности обрабатываемой информации и выполняемых задач. В эти исходные данные тоже следует внести определенность. Такими лицами должны быть, по мень­шей мере, системные администраторы, руководители работ и должностные лица службы безопасности.

Учитывая различную природу угроз, определим их точки приложения к проектируемой системе. Случайные воздействия возможны в лю­бой точке системы, т.е. на всей ее "площади". Время их наступления опреде­ляется законами случайных чисел. Эта область достаточно хорошо исследо­вана и уже существуют соответствующие средства защиты и методы оценки их эффективности и даже до сего времени действует отраслевой стандарт.

Преднамеренные действия человека-нарушителя начинаются на "пери­метре" системы. Под "периметром" АС будем понимать ее внешнюю физи­ческую оболочку, элементами которой являются корпуса, крышки, дверцы, свободные внешние соединители технических средств, средства управления, отображения, печати, ввода и вывода, носители информации и кабельные соединения.

Нарушением считаем попытку доступа к любой части информации, под­ле­жа­щей защите. Предсказать время и характер возможных действий нару­шителя невозможно. Поэтому целесообразно рассмотреть наиболее опасную для системы модель его возможного поведения:

а) нарушитель может появиться в любое время и в любой точке "перимет­ра" системы;

б) для достижения своей цели он выберет наиболее слабое звено в защите;

в) квалификация и осведомленность нарушителя будет соответствовать важности защищаемой информации;

г) постоянно хранимая информация о принципах работы системы, вклю­чая секретную, нарушителю известна;

д) нарушителем может быть не только постороннее лицо, но и законный пользователь системы.

К перечисленным условиям целесообразно добавить не самую опасную ситуа­цию, когда нарушитель действует один без сообщников, имеющих дос­туп к данной системе. Защита от организованной группы нарушителей – зна­чительно более сложная задача, решить которую можно, решив только более простую. Однако это не означает, что если последняя будет решена, то она не будет работать против группы не связанных между собой нарушителей.

В силу этого дополним:

е) нарушитель действует в единственном числе, однако их может быть несколько, но действия их не согласованы между собой.

Примечание. На неконтролируемых средствах защиты возможные действия организованной группы нарушителей все же будут учтены в расчетных соотно­шениях, будет рассмотрена в этом направлении также и прочность контролируе­мых средств.

Из данных условий вытекают следующие исходные положения:

1. Согласно пункту "а" вокруг предмета защиты необходимо строить замкну­тую оболочку (контур) защиты.

2. Согласно пункту "б" прочность защиты определяется ее слабейшим звеном.

3. Согласно пункту "в" прочность защиты должна соответствовать квалифи­кации нарушителя.

4. Согласно пункту "г" информация для входа в систему должна быть переменной.

5. Согласно пункту "д" при наличии множества пользователей необходимо обеспечить разграничение доступа.

Риск нарушителя, очевидно, определится величиной вероятности обна­ру­же­ния его действий. Однако для различных по назначению, виду и ценно­сти обрабатываемой информации в АС "опасная" квалификация нарушите­ля будет также отличаться.

На основании изложенного в выборе исходной модели потенциального нарушителя целесообразен дифференцированный подход в соответствии с назначением АС и ценностью информации, обрабатываемой в ней. Поскольку модель нарушителя – понятие относительное и приближенное, предлагается за основу принять пока всего четыре класса потенциальных нарушителей:

1) высококвалифицированный нарушитель-профессионал (специалист по вычислительной технике, специально подготовленный к несанкционирован­ному доступу к информации);

2) квалифицированный нарушитель – непрофессионал (специалист по вычислительной технике, не подготовленный к несанкционированному дос­тупу к информации);

3) неквалифицированный нарушитель-непрофессионал;

4) прочие нарушители.

В соответствии с данной классификацией предлагается ввести и класси­фикацию уровней безопасности информации в создаваемых АС.

I класс рекомендуется для защиты жизненно важной информации, утеч­ка, модификация или утрата которой могут привести к невосполнимым по­терям для ее владельца.Прочность защиты должна быть рассчитана на нару­шителя-профес­сио­на­ла.

II класс рекомендуется использовать для защиты важной информации, утечка, модификация или утрата которой может привести к значительным потерям для ее владельца. Прочность защиты должна быть рассчитана на нарушителя высокой квалификации, но не на взломщика-профессионала.

III класс рекомендуется для защиты относительно ценной информации, утечка, модификация или утрата которой может привести к незначительным потерям для ее владельца или постоянный несанкционированный доступ к которой путем ее накопления может привести к утечке и более ценной ин­формации. Прочность защиты при этом должна быть рассчитана на относи­тельно квалифицированного нарушителя-непрофессионала.

IV класс рекомендуется для защиты прочей информации, не представля­ющей интереса для серьезных нарушителей. Однако необходимость его дик­туется соблюдением технологической дисциплины учета и обработки инфор­мации служебного пользования в целях защиты от случайных нарушений и подстраховки от случаев преднамеренного несанкционированного доступа.

Очевидно, что количество возможных каналов НСД в АС для нарушите­лей различных классов тоже будет различным.

Реализация перечисленных уровней безопасности должна обеспечивать­ся совокупностью средств защиты, перекрывающих возможные каналы НСД, а АС – со стороны ее "периметра" в количестве, соответствующем ожидаемой модели поведения потенциального нарушителя. Данная совокупность средств, связанных расчетными соотношениями прочности, должна образо­вать виртуальную оболочку защиты. Уровень безопасности защиты внутри класса должен обеспечиваться количественной оценкой прочности защит­ного контура (оболочки) защиты.

В связи с тем, что в технической литературе специалисты часто объединя­ют совершенно разные задачи: защиту информации в процессе проектирова­ния системы и задачу проектирования самой защиты, считаем, что в данной работе рассматривается проблема создания встроенной в автоматизирован­ную систему защиты, которая должна работать с момента эксплуатации сис­темы потребителем. При этом допускаем, что на этапе ее проектирования, изготовления и испытаний обеспечивается режим ограничения и разграни­чения доступа к документации, программному обеспечению и аппаратуре; несанкционированные аппаратные и программные закладки отсутствуют. Од­нако это не означает, что при эксплуатации защита от последних построена не будет. Кроме того, считаем, что в законченной и годной к эксплуатации автоматизированной системе обработки информации должны отсутство­вать средства программирования и отладочные сред­ства за исключением тес­товых программ, предусмотренных конструкторской документацией на эту систему. Всякие доработки АС без проведения испытаний и согласования с главным конструктором во время ее эксплуатации недопустимы. Недопус­тимо также использование АС для целей и задач, не предусмотренных ее тех­ническими условиями. Несоблюдение данных требований лишает потреби­теля всех гарантий на нормальное функционирование системы, включая обес­печение безопасности информации.