Информационная безопасность

Автор работы: Пользователь скрыл имя, 04 Июня 2013 в 07:38, курсовая работа

Описание работы

Цель работы: выявить и проанализировать особенности систем защиты информации.
Задачи работы:
-провести анализ угроз безопасности систем защиты;
- дать общую характеристику «Secret Net 4.0», «СКЗИ «Верба - ОW».;
- выявить усовершенствования;
- дать оценку экономической эффективности систем защиты.

Содержание работы

Введение…………………………………………………………….…………..3
1. Анализ угроз безопасности систем защиты……………………….……….4
2. Общая характеристика программ …………………...……..…….................9
2.1 «Secret Net 4.0»……………………………………...…………..…………..9
2.2 СКЗИ "Верба - ОW"……………………………………...……………..…12
3. Оценка экономической эффективности систем защиты………………....21
3.1 Методическое обеспечение……………………………………………….21
3.2 Количественная оценка эффективности………………………………....23
Заключение…………………………………………………………………….25
Список используемых источников………………………………………….26

Файлы: 1 файл

курсовая 1.doc

— 251.74 Кб (Скачать файл)

Для контроля целостности и подлинности справочников открытых ключей используется процедура выработки имитовставки, определяемая ГОСТ 28147-89. При проверке подписи проверяющий должен располагать открытым ключом пользователя, поставившего подпись. Проверяющий должен быть полностью уверен в подлинности открытого ключа (а именно в том, что имеющийся у него открытый ключ соответствует открытому ключу конкретного пользователя).

Процедура проверки подписи состоит из вычисления хеш-значения документа и проверки некоторых соотношений, связывающих хеш-значение документа, подпись под этим документом и открытый ключ подписавшего пользователя. Документ считается подлинным, а подпись правильной, если эти соотношения выполняются. В противном случае подпись под документом считается недействительной.

АРМ Администратора безопасности (АРМ АБ), функционирующий под управлением операционной системы MS DOS v5.0 и выше на персональных ЭВМ, совместимых с IBM PC/АТ (процессор 80386 и выше), предназначен для работы с ключевой информацией. Он позволяет:

    1. на основе исходной ключевой информации, находящейся на лицензионной дискете вырабатывать рабочие ключи (секретные и открытые) шифрования пользователей;
    2. на основе ключей шифрования формировать секретные и открытые ключи ЭЦП;
    3. создавать рабочие копии ключевых дискет шифрования и ЭЦП;
    4. подготавливать ключи шифрования и секретные ключи ЭЦП для хранения на жестком диске.

Ядром АРМ АБ является программа HOST_O.EXE, входящая в состав СКЗИ «Верба-ОW». При работе с ключевой информацией используется также программный датчик случайных чисел - резидентный драйвер CYPRASW.EXE. Правила работы с ключевой информацией и этими программами описаны в документах ЯЦИТ.00007-01 90 01. Администратор безопасности.

Каждая подсеть однозначно определяется внутри всей информационной сети номером SSSSSS, который может принимать значение от 000000 до 999999. Этот номер присваивается ключевому диску с исходной ключевой информацией и называется номером серии. Абоненты внутри всей сети различаются по номерам вида XXXXSSSSSSYY, а внутри отдельной подсети- по номерам вида XXXXYY. Номера внутри отдельной подсети распределяются пользователем при создании носителей ключевой информации. Составляющая XXXX обозначает номер ключевого диска для шифрования и может принимать значение от 0000 до 9999. Ключевой диск для подписи создается с использованием ключевого диска для шифрования. На каждом ключевом диске для шифрования можно создавать от 0 до 99 ключевых дисков для подписи, которые идентифицируются по личному коду YY. Таким образом, абоненты, обладающие правом шифровать документы, идентифицируются внутри отдельной подсети по номерам вида XXXX, где XXXX - номер ключевой дискеты; абоненты, обладающие правом подписи - по номерам вида XXXXYY, где XXXX - номер ключевой дискеты, YY - личный код.

В СКЗИ «Верба-ОW» используются следующие типы носителей ключевой информации:

    • ключевой диск для шифрования;
    • ключевой диск для подписи;
    • совмещенный ключевой диск (с ключами шифрования и подписи) и их рабочие копии.

При создании рабочих копий ключевых дисков необходимо использовать средства СКЗИ «Верба-ОW». Полученный с помощью СКЗИ «Верба-ОW» рабочий диск не является точной копией исходного, но полностью выполняет его функции. Нельзя создать рабочую копию исходного диска с ключевой информацией простым копированием файлов с исходного ключевого диска.

Исходные ключевые диски для шифрования изготавливаются по заявке пользователя и содержат соответствующий данному абоненту вектор ключей шифрования, номер серии и другую служебную информацию. Ключевой диск для подписи формируется пользователем на основе диска для шифрования или его рабочей копии. После завершения выработки ключей сформируется файл, содержащий ключ подписи, его номер, а также индивидуальные ключи шифрования секретных ключей подписи и шифрования для хранения их на ЖМД. Секретные ключи пользователя должны храниться в тайне.

ПО "Верба-ОW" предусматривает возможность хранения секретных ключей на жестком диске, что удобно при частом обращении к ключевой информации.

Секретные и открытые ключи шифрования и подписи хранятся в защищенном виде. При хранении на ключевом ГМД ключи перешифровываются на так называемом главном ключе, при временном хранении на ЖМД- на главном ключе и на индивидуальных ключах шифрования секретных ключей.

Для уничтожения ключевой информации предусмотрена специальная процедура форматирования ключевой дискеты, которая прописывает несекретную информацию для того, чтобы содержащиеся на ней данные исчезли физически.

Подведем итог выше сказанного. Системы защиты широко распространены и находятся в постоянном развитии, благодаря расширению рынка ПО и телекоммуникационных технологий. Необходимость использования систем защиты обусловлена рядом проблем, среди которых следует выделить: незаконное использование алгоритмов, являющихся интеллектуальной собственностью автора, при написании аналогов продукта (промышленный шпионаж); несанкционированное использование ПО (кража и копирование); несанкционированная модификация ПО с целью внедрения программных злоупотреблений; незаконное распространение и сбыт ПО (пиратство).

 

3. Оценка экономической эффективности систем защиты

3.1 Методическое обеспечение

Нормативные документы по оценке безопасности ИТ практически не содержат конкретных методик, в результате чего величина разрыва между общими декларациями и конкретным инструментарием по реализации и контролю их положений является недопустимой. Исходя же из своего предназначения, методическая база должна охватывать все критически важные аспекты обеспечения и проверки выполнения требований, предъявляемых к информационной безопасности. Объективным видом оценки эффективности СЗИ является функциональное тестирование, предназначенное для проверки фактической работоспособности реализованных механизмов безопасности и их соответствия предъявленным требованиям, а также обеспечивающее получение статистических данных. В силу того, что средства безопасности обладают ограниченными возможностями по противодействию угрозам, всегда существует вероятность нарушения защиты, даже если во время тестирования механизмы безопасности не были обойдены или блокированы. Для оценки этой вероятности должны проводиться дополнительные исследования. В методическом плане определение эффективности СЗИ должно заключаться в выработке суждения относительно пригодности способа действий персонала или приспособленности технических средств к достижению цели защиты информации на основе измерения соответствующих показателей, например, при функциональном тестировании. Эффективность оценивается для решения следующих задач:

    • принятие решения о допустимости практического использования СЗИ в конкретной ситуации;
    • выявление вкладов различных факторов в достижение цели;
    • установление путей повышения эффективности СЗИ;
    • сравнение альтернативных вариантов систем.

Таким образом, при использовании современной методической базы, оценка эффективности СЗИ носит в основном нечеткий, субъективный характер [19]; практически полностью отсутствуют нормированные количественные показатели, учитывающие возможные случайные или преднамеренные воздействия. В результате достаточно сложно, а зачастую и невозможно, оценить качество функционирования информационной системы при наличии несанкционированных воздействий на ее элементы, а, соответственно, и определить, чем один вариант проектируемой системы лучше другого. Представляется, решением проблемы комплексной оценки эффективности СЗИ является использование системного подхода, позволяющего еще на стадии проектирования количественно оценить уровень безопасности и создать механизм управления рисками. Однако этот путь реализуем при наличии соответствующей системы показателей и критериев.

 

3.2 Количественная оценка эффективности

В соответствии с современной теорией оценки эффективности систем [15], качество любого объекта, в том числе и СЗИ, проявляется лишь в процессе его использования по назначению (целевое функционирование), поэтому наиболее объективным является оценивание по эффективности применения.

Проектирование, организация и применение СЗИ фактически связаны с неизвестными событиями в будущем и поэтому всегда содержат элементы неопределенности. Кроме того, присутствуют и другие причины неоднозначности, такие как недостаточно полная информация для принятия управленческих решений или социально-психологические факторы. Поэтому, например, этапу проектирования СЗИ естественным образом сопутствует значительная неопределенность. По мере реализации проекта ее уровень снижается, но никогда эффективность СЗИ не может быть адекватно выражена и описана детерминированными показателями. Процедуры испытаний, сертификации или лицензирования не устраняют полностью неопределенность свойств СЗИ или ее отдельных элементов и не учитывают случайный характер атак. Поэтому объективной характеристикой качества СЗИ -- степенью ее приспособленности к достижению требуемого уровня безопасности в условиях реального воздействия случайных факторов, может служить только вероятность, характеризующая степень возможностей конкретной СЗИ при заданном комплексе условий. В общей теории систем такая характеристика называется вероятностью достижения цели операции или вероятностью выполнения задачи системой. Данная вероятность должна быть положена в основу комплекса показателей и критериев оценки эффективности СЗИ. При этом критериями оценки служат понятия пригодности и оптимальности. Пригодность означает выполнение всех установленных к СЗИ требований, а оптимальность -- достижение одной из характеристик экстремального значения при соблюдении ограничений и условий на другие свойства системы. При выборе конкретного критерия необходимо его согласование с целью, возлагаемой на СЗИ.

Обычно при синтезе системы возникает проблема решения задачи с многокритериальным показателем. Некоторые авторы рассматривают показатели эффективности, которые предназначены при решении задачи сравнения различных структур СЗИ. Предлагается также использовать показатели эффективности вероятностно-временного характера, имеющие смысл функций распределения. В частности, к ним относятся вероятность преодоления системы защиты информации за некоторое время [6].

В современных нормативных документах по информационной безопасности, используется, как известно, классификационный подход. Гораздо более конструктивными являются вероятностные методы, нашедшие широкое распространение в практике обеспечения безопасности в других прикладных областях. В соответствии с этими методами уровни гарантий безопасности СЗИ трансформируются в доверительные вероятности соответствующих оценок показателей. Для решения данной задачи можно рекомендовать теорию статистических решений [8, 16], позволяющую находить оптимальные уровни гарантий безопасности.

Во-первых, оценка оптимального уровня гарантий безопасности в определяющей степени зависит от ущерба, связанного с ошибкой в выборе конкретного значения показателя эффективности.

Во-вторых, для получения численных оценок риска необходимо знать распределения ряда случайных величин. Это, конечно, в определенной степени ограничивает количественное исследование уровней гарантий безопасности, предоставляемых СЗИ, но, тем не менее, во многих практических случаях такие оценки можно получить, например, с помощью имитационного моделирования или по результатам активного аудита СЗИ.

Данный пункт был посвящен оценке экономической эффективности систем защиты. Были рассмотрены основные аспекты безопасности, которые могут пригодиться для защиты информации

 

ЗАКЛЮЧЕНИЕ

В результате проделанной работы нами: проведен анализ литературы по теме исследования; дана общая характеристика «Secret Net 4.0», «СКЗИ «Верба - ОW»; выявлены усовершенствования систем защиты; рассмотрены основные виды угроз для безопасности систем защиты. Анализ теоретических и практических аспектов вопроса особенностей безопасности систем позволил сделать следующие выводы:

«Secret Net 4.0», «СКЗИ «Верба - ОW» позволяют лучше контролировать безопасность информации, которая поступает как из вне, так и хранимую информацию на любом носителе.

Упрощенное управление ИТ-инфраструктурой с помощью новых средств, обеспечивающих единый интерфейс для настройки и мониторинга серверов и возможность автоматизации рутинных операций.

Для решения рассматриваемой проблемы предлагается использовать системный подход. Как отмечали авторы [8], «сама идея количественного определения эффективности с полным правом может рассматриваться как поворотный пункт истории науки».

Таким образом, цель работы, заключающаяся в выявлении и анализе особенностей операционной системы Windows Server 2008 достигнута, задачи выполнены.

 

СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ

  1. Вишневский, А. Служба каталога Windows 2008 [Текст] : учебный курс / А. Вишневский. - СПб. : Питер, 2009. - 150 с.
  2. Кульгин М, Технология корпоративных сетей [Текст] : Энциклопедия / М. Кульгин. - СПб. : Питер, 2007. - 250 с.
  3. Милославская Н. Г, Интрасети: доступ в Internet, защита [Текст] : Учебное пособие для ВУЗов / Н.Г. Милославская. - М.: ЮНИТИ, 2007. - 147 с.
  4. Моримото Р, Microsoft Windows Server 2008. Полное руководство [Текст] / Р. Морито, М. И. Ноэл- М.: «Вильямс», 2008. - 1348 с.
  5. Олифер В.Г., Олифер Н.А. Компьютерные сети. Принципы, технологии, протоколы [Текст] / В. Г. Олифер, Н. А. Олифер. - Учебник для вузов. 2-е изд - СПб.: Питер-пресс, 2002. - 230 с.
  6. Разработка инфраструктуры сетевых служб Microsoft Windows Server 2008 [Текс] / Учебный курс MCSE М.: Bзд-во Русская редакция, 2009. - 178 с.
  7. Сосински Б., Windows 2008 Server за 24 часа [Текст] / Б. Сосински, Дж. Московиц - М.: Издательский дом Вильямс, 2008. - 321 с.
  8. Тейт С. Windows 2008 для системного администратора [Текс] / С. Тейт Энциклопедия. - СПб.: Питер, 2009. - 324 с.
  9. Windows 2008 Server [Текст] : Учебный курс MCSE. - М.: Изд-во Русская редакция, 2008. -198 с.
  10. Бюро научно-технической информации, ИС “Техника для спецслужб” [Электронный ресурс]. - Режим доступа: http://www.bnti.ru/aprintit.asp?aid=792. - 31.04.2012.
  11. Безопасность DNS в Windows Server 2008 R2 [Электронный ресурс]. - Режим доступа http://kb.atraining.ru/dns-security-windows-server-2008-r2. - 20.05.2012
  12. Новые групповые политики для DNS в Windows Server 2008 R2 [Электронный ресурс]. - Режим доступа http://support.microsoft.com/kb/294785/. - 19.05.2012
  13. Изменения в службе DNS в Windows 7 и Windows Server 2008 R2 [Электронный ресурс]. - Режим доступа http://www.oszone.net/13001/DNS-Windows-7-Windows-Server-2008-R2. - 16.05.2012.
  14. Windows Server R2 [Электронный ресурс]. : Режим доступа http://ru.wikipedia.org/wiki/Windows_Server_7. - 13.05.2012.
  15. Windows Server 2008 R2: обзор возможностей новой версии сесрверной системы [Электронный ресурс]. - Режим доступа http://www.xakep.ru/post/49236/. -9.05.2012.

Информация о работе Информационная безопасность