Безопасность информационной системы

Тема 12 ЗАЩИТА ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ И ИНФОРМАЦИОННЫХ СИСТЕМАХ

Безопасность информационной системы

Криптографическое закрытие информации

Защита информации от компьютерных вирусов

Безопасность информационной системы

Безопасность информационной системы — свойство, заключающееся в способности системы обеспечить конфиденциальность и целостность информации [22].

Угрозы информационным системам можно объединить и следующие группы [22]:

• угроза раскрытия информации;

• угроза нарушения целостности — умышленное несанкционированное или неумышленное изменение (удаление) данных, хранящихся в вычислительной системе или передаваемых из одной системы в другую;

• угроза отказа в обслуживании — блокировка доступа к некоторому ресурсу вычислительной системы.

По природе возникновения угрозы можно разделить на;

• естественные;

• искусственные.

Естественные угрозы — это угрозы, связанные с воздействиями на ИС объективных физических процессов или природных явлений. Искусственные угрозы — это угрозы информационной системе, связанные с деятельностью человека.

Пользователем ИС могут быть осуществлены следующие непреднамеренные действия, представляющие угрозу безопасности информационной системы [22]:

• доведение до состояния частичного или полного отказа системы, разрушение аппаратных, программных, информационных ресурсов системы (порча оборудования, носителей информации, удаление, искажение файлов с важной информацией или программ, в том числе системных, и т. п.);

• неправомерное включение оборудования или изменение режимов работы устройств и программ;

• запуск сервисных программ, способных при некомпетентном использовании вызывать потерю работоспособности системы или необратимые изменения в системе;

• нелегальное внедрение и использование неучтенных программ, не являющихся необходимыми для выполнения служебных обязанностей, с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти внешних носителей);

• заражение компьютера вирусами;

• разглашение конфиденциальной информации;

• разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т.п.);

• игнорирование организационных ограничений;

• некомпетентное использование, настройка или неправомерное отключение средств защиты информации;

• пересылка данных по ошибочному адресу абонента (устройства);

• ввод ошибочных данных;

• повреждение каналов связи.

Пользователем ИС могут быть осуществлены следующие преднамеренные действия, представляющие угрозу безопасности информационной системы [22]:

• физическое разрушение системы или вывод из строя наиболее важных ее компонентов;

• отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т. п.);

• дезорганизация функционирования системы (изменение режимов работы устройств или программ, создание мощных активных радиопомех и т.п.);

• внедрение агентов в число персонала (в том числе и в службу безопасности), вербовка персонала или отдельных пользователей, имеющих определенные полномочия;

• применение подслушивающих устройств, дистанционная фото- и видеосъемка и т. п.;

• перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводка активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линий, сети питания, отопления и т. п.);

• перехват данных, передаваемых по каналам связи, и их анализ с целью осуществления попыток проникновения в систему;

• хищение носителей информации;

• несанкционированное копирование носителей информации;

• хищение производственных отходов (распечаток, записей, списанных носителей информации и т. п.);

• чтение остатков информации из оперативной памяти и с внешних запоминающих устройств, чтение информации из областей оперативной памяти, используемых операционной системой;

• незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, имитации интерфейса системы и т. п.) с последующей маскировкой под зарегистрированного пользователя;

• несанкционированное использование терминалов пользователей, имеющих уникальные физические характеристики;

• вскрытие шифров криптозащиты информации;

• внедрение аппаратных спецвложений, программ закладок и «троянских коней».

Следует заметить, что чаще всего для достижения поставленной цели злоумышленник использует не один способ, а их некоторую совокупность.

Формализованное описание или представления комплекса возможностей нарушителя по реализации тех или иных угроз безопасности информации называют моделью нарушителя.

При разработке модели нарушителя делаются предположения [22]:

• о категориях лиц, к которым может принадлежать нарушитель;

• о мотивах действий нарушителя;

• о квалификации нарушителя и его технической оснащенности;

• о характере возможных действий нарушителя.

По отношению к ИС нарушители могут быть внутренними (из числа персонала системы) или внешними (посторонними лицами). Внутренними нарушителями могут быть лица из следующих категорий персонала [22]:

• пользователи системы;

• персонал, обслуживающий технические средства (инженеры, техники);

• сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты);

• технический персонал, обслуживающий здание (уборщики, электрики, сантехники и другие сотрудники, имеющие доступ в здание и помещения, где расположены компоненты ИС);

• сотрудники службы безопасности ИС;

• руководители различных уровней должностной иерархии.

Посторонние лица, которые могут быть внешними нарушителями [22]:

• клиенты;

• посетители;

• представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теплоснабжение и т. п.);

• представители конкурирующих организаций или лица, действующие по их заданию;

• лица, случайно или умышленно нарушившие пропускной режим (без цели нарушения безопасности ИС).

Можно выделить три основных мотива нарушений:

• безответственность;

• самоутверждение;

• корыстный интерес.

Нарушителей можно классифицировать по следующим признакам [22].

1. По уровню знаний об ИС.

2. но уровню возможностей, различают нарушителей:

• применяющих чисто агентурные методы получения сведений;

• применяющих пассивные средства (технические средства перехвата без модификации компонентов системы);

• использующих только штатные средства и недостатки систем защиты для ее преодоления, а также компактные магнитные носители информации, которые могут быть, скрытно пронесены через посты охраны;

• применяющих методы и средства активного воздействия (модификация и подключение дополнительных механических средств, подключение к каналам передачи данных, внедрение программных «закладок» и использование специальных инструментальных и технологических программ).

3. По месту действия нарушители могут быть:

• не имеющие доступа на контролируемую территорию организации;

• действующие с контролируемой территории без доступа в здания и сооружения;

• действующие внутри помещений, но без доступа к техническим средствам ИС;

• действующие с рабочих мест конечных пользователей ИС;

• имеющие доступ в зону данных (баз данных, архивов и т. п.);

• имеющие доступ в зону управления средствами обеспечения безопасности ИС.

Система защиты — это совокупность специальных мер правового и административного характера, организационных мероприятий, программно-аппаратных средств защиты, а также специального персонала, предназначенных для обеспечения информационной безопасности [22].

Для построения эффективной системы защиты необходимо провести следующие работы [22]:

• определить угрозы безопасности информации;

• выявить возможные каналы утечки информации и несанкционированного доступа (НСД) к данным;

• построить модель потенциального нарушителя;

• выбрать соответствующие меры, методы, механизмы и средства защиты.

Проблема создания системы защиты информации включает две задачи:

• разработка системы защиты информации;

• оценка разработанной системы защиты информации.

Вторая задача решается путем анализа технических характеристик системы с целью установления, удовлетворяет ли система защиты информации комплексу требований. Такая задача в настоящее время решается экспертным путем с помощью сертификации средств защиты информации и аттестации системы защиты информации в процессе ее внедрения.

Рассмотрим основное содержание методов защиты информации [22].

Создание препятствий — методы физического преграждения злоумышленнику пути к защищаемой информации (аппаратуре, носителям информации и т. д.).

Управление доступом — метод защиты информации регулированием использования всех ресурсов компьютерной информационной системы (элементов баз данных, программных и технических средств).

Защита от несанкционированного доступа к ресурсам компьютера — это комплексная проблема, подразумевающая решение следующих вопросов [22]:

• присвоение пользователю, терминалам, программам, файлам и каналам связи уникальных имен и кодов (идентификаторов);

• выполнение процедур установления подлинности при обращениях к информационной системе, то есть проверка того, что лицо или устройство, сообщившее идентификатор, в действительности ему соответствует;

• проверка полномочий, то есть проверка права пользователя на доступ к системе или запрашиваемым данным;

• автоматическая регистрация в специальном журнале всех Ёак удовлетворенных, так и отвергнутых запросов к информационным ресурсам с указанием идентификатора пользователя, терминала, времени и сущности запроса, то есть ведение аудита.

Маскировка — метод защиты информации путем ее криптографического закрытия.

Регламентация — метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

Принуждение — метод защиты, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Рассмотренные методы обеспечения безопасности реализуются на практике за счет применения различных средств защиты, таких как технические, программные, организационные, законодательные.