Автор работы: Пользователь скрыл имя, 04 Июня 2013 в 07:38, курсовая работа
Цель работы: выявить и проанализировать особенности систем защиты информации.
Задачи работы:
-провести анализ угроз безопасности систем защиты;
- дать общую характеристику «Secret Net 4.0», «СКЗИ «Верба - ОW».;
- выявить усовершенствования;
- дать оценку экономической эффективности систем защиты.
Введение…………………………………………………………….…………..3
1. Анализ угроз безопасности систем защиты……………………….……….4
2. Общая характеристика программ …………………...……..…….................9
2.1 «Secret Net 4.0»……………………………………...…………..…………..9
2.2 СКЗИ "Верба - ОW"……………………………………...……………..…12
3. Оценка экономической эффективности систем защиты………………....21
3.1 Методическое обеспечение……………………………………………….21
3.2 Количественная оценка эффективности………………………………....23
Заключение…………………………………………………………………….25
Список используемых источников………………………………………….26
Для контроля целостности и подлинности справочников открытых ключей используется процедура выработки имитовставки, определяемая ГОСТ 28147-89. При проверке подписи проверяющий должен располагать открытым ключом пользователя, поставившего подпись. Проверяющий должен быть полностью уверен в подлинности открытого ключа (а именно в том, что имеющийся у него открытый ключ соответствует открытому ключу конкретного пользователя).
Процедура проверки подписи состоит из вычисления хеш-значения документа и проверки некоторых соотношений, связывающих хеш-значение документа, подпись под этим документом и открытый ключ подписавшего пользователя. Документ считается подлинным, а подпись правильной, если эти соотношения выполняются. В противном случае подпись под документом считается недействительной.
АРМ Администратора безопасности (АРМ АБ), функционирующий под управлением операционной системы MS DOS v5.0 и выше на персональных ЭВМ, совместимых с IBM PC/АТ (процессор 80386 и выше), предназначен для работы с ключевой информацией. Он позволяет:
Ядром АРМ АБ является программа HOST_O.EXE, входящая в состав СКЗИ «Верба-ОW». При работе с ключевой информацией используется также программный датчик случайных чисел - резидентный драйвер CYPRASW.EXE. Правила работы с ключевой информацией и этими программами описаны в документах ЯЦИТ.00007-01 90 01. Администратор безопасности.
Каждая подсеть однозначно определяется внутри всей информационной сети номером SSSSSS, который может принимать значение от 000000 до 999999. Этот номер присваивается ключевому диску с исходной ключевой информацией и называется номером серии. Абоненты внутри всей сети различаются по номерам вида XXXXSSSSSSYY, а внутри отдельной подсети- по номерам вида XXXXYY. Номера внутри отдельной подсети распределяются пользователем при создании носителей ключевой информации. Составляющая XXXX обозначает номер ключевого диска для шифрования и может принимать значение от 0000 до 9999. Ключевой диск для подписи создается с использованием ключевого диска для шифрования. На каждом ключевом диске для шифрования можно создавать от 0 до 99 ключевых дисков для подписи, которые идентифицируются по личному коду YY. Таким образом, абоненты, обладающие правом шифровать документы, идентифицируются внутри отдельной подсети по номерам вида XXXX, где XXXX - номер ключевой дискеты; абоненты, обладающие правом подписи - по номерам вида XXXXYY, где XXXX - номер ключевой дискеты, YY - личный код.
В СКЗИ «Верба-ОW» используются следующие типы носителей ключевой информации:
При создании рабочих копий ключевых дисков необходимо использовать средства СКЗИ «Верба-ОW». Полученный с помощью СКЗИ «Верба-ОW» рабочий диск не является точной копией исходного, но полностью выполняет его функции. Нельзя создать рабочую копию исходного диска с ключевой информацией простым копированием файлов с исходного ключевого диска.
Исходные ключевые диски для шифрования изготавливаются по заявке пользователя и содержат соответствующий данному абоненту вектор ключей шифрования, номер серии и другую служебную информацию. Ключевой диск для подписи формируется пользователем на основе диска для шифрования или его рабочей копии. После завершения выработки ключей сформируется файл, содержащий ключ подписи, его номер, а также индивидуальные ключи шифрования секретных ключей подписи и шифрования для хранения их на ЖМД. Секретные ключи пользователя должны храниться в тайне.
ПО "Верба-ОW" предусматривает возможность хранения секретных ключей на жестком диске, что удобно при частом обращении к ключевой информации.
Секретные и открытые ключи шифрования и подписи хранятся в защищенном виде. При хранении на ключевом ГМД ключи перешифровываются на так называемом главном ключе, при временном хранении на ЖМД- на главном ключе и на индивидуальных ключах шифрования секретных ключей.
Для уничтожения ключевой информации предусмотрена специальная процедура форматирования ключевой дискеты, которая прописывает несекретную информацию для того, чтобы содержащиеся на ней данные исчезли физически.
Подведем итог выше сказанного. Системы защиты широко распространены и находятся в постоянном развитии, благодаря расширению рынка ПО и телекоммуникационных технологий. Необходимость использования систем защиты обусловлена рядом проблем, среди которых следует выделить: незаконное использование алгоритмов, являющихся интеллектуальной собственностью автора, при написании аналогов продукта (промышленный шпионаж); несанкционированное использование ПО (кража и копирование); несанкционированная модификация ПО с целью внедрения программных злоупотреблений; незаконное распространение и сбыт ПО (пиратство).
3. Оценка экономической эффективности систем защиты
3.1 Методическое обеспечение
Нормативные документы по оценке безопасности ИТ практически не содержат конкретных методик, в результате чего величина разрыва между общими декларациями и конкретным инструментарием по реализации и контролю их положений является недопустимой. Исходя же из своего предназначения, методическая база должна охватывать все критически важные аспекты обеспечения и проверки выполнения требований, предъявляемых к информационной безопасности. Объективным видом оценки эффективности СЗИ является функциональное тестирование, предназначенное для проверки фактической работоспособности реализованных механизмов безопасности и их соответствия предъявленным требованиям, а также обеспечивающее получение статистических данных. В силу того, что средства безопасности обладают ограниченными возможностями по противодействию угрозам, всегда существует вероятность нарушения защиты, даже если во время тестирования механизмы безопасности не были обойдены или блокированы. Для оценки этой вероятности должны проводиться дополнительные исследования. В методическом плане определение эффективности СЗИ должно заключаться в выработке суждения относительно пригодности способа действий персонала или приспособленности технических средств к достижению цели защиты информации на основе измерения соответствующих показателей, например, при функциональном тестировании. Эффективность оценивается для решения следующих задач:
Таким образом, при использовании современной методической базы, оценка эффективности СЗИ носит в основном нечеткий, субъективный характер [19]; практически полностью отсутствуют нормированные количественные показатели, учитывающие возможные случайные или преднамеренные воздействия. В результате достаточно сложно, а зачастую и невозможно, оценить качество функционирования информационной системы при наличии несанкционированных воздействий на ее элементы, а, соответственно, и определить, чем один вариант проектируемой системы лучше другого. Представляется, решением проблемы комплексной оценки эффективности СЗИ является использование системного подхода, позволяющего еще на стадии проектирования количественно оценить уровень безопасности и создать механизм управления рисками. Однако этот путь реализуем при наличии соответствующей системы показателей и критериев.
3.2 Количественная оценка эффективности
В соответствии с современной теорией оценки эффективности систем [15], качество любого объекта, в том числе и СЗИ, проявляется лишь в процессе его использования по назначению (целевое функционирование), поэтому наиболее объективным является оценивание по эффективности применения.
Проектирование, организация и применение СЗИ фактически связаны с неизвестными событиями в будущем и поэтому всегда содержат элементы неопределенности. Кроме того, присутствуют и другие причины неоднозначности, такие как недостаточно полная информация для принятия управленческих решений или социально-психологические факторы. Поэтому, например, этапу проектирования СЗИ естественным образом сопутствует значительная неопределенность. По мере реализации проекта ее уровень снижается, но никогда эффективность СЗИ не может быть адекватно выражена и описана детерминированными показателями. Процедуры испытаний, сертификации или лицензирования не устраняют полностью неопределенность свойств СЗИ или ее отдельных элементов и не учитывают случайный характер атак. Поэтому объективной характеристикой качества СЗИ -- степенью ее приспособленности к достижению требуемого уровня безопасности в условиях реального воздействия случайных факторов, может служить только вероятность, характеризующая степень возможностей конкретной СЗИ при заданном комплексе условий. В общей теории систем такая характеристика называется вероятностью достижения цели операции или вероятностью выполнения задачи системой. Данная вероятность должна быть положена в основу комплекса показателей и критериев оценки эффективности СЗИ. При этом критериями оценки служат понятия пригодности и оптимальности. Пригодность означает выполнение всех установленных к СЗИ требований, а оптимальность -- достижение одной из характеристик экстремального значения при соблюдении ограничений и условий на другие свойства системы. При выборе конкретного критерия необходимо его согласование с целью, возлагаемой на СЗИ.
Обычно при синтезе системы возникает проблема решения задачи с многокритериальным показателем. Некоторые авторы рассматривают показатели эффективности, которые предназначены при решении задачи сравнения различных структур СЗИ. Предлагается также использовать показатели эффективности вероятностно-временного характера, имеющие смысл функций распределения. В частности, к ним относятся вероятность преодоления системы защиты информации за некоторое время [6].
В современных нормативных документах по информационной безопасности, используется, как известно, классификационный подход. Гораздо более конструктивными являются вероятностные методы, нашедшие широкое распространение в практике обеспечения безопасности в других прикладных областях. В соответствии с этими методами уровни гарантий безопасности СЗИ трансформируются в доверительные вероятности соответствующих оценок показателей. Для решения данной задачи можно рекомендовать теорию статистических решений [8, 16], позволяющую находить оптимальные уровни гарантий безопасности.
Во-первых, оценка оптимального уровня гарантий безопасности в определяющей степени зависит от ущерба, связанного с ошибкой в выборе конкретного значения показателя эффективности.
Во-вторых, для получения численных оценок риска необходимо знать распределения ряда случайных величин. Это, конечно, в определенной степени ограничивает количественное исследование уровней гарантий безопасности, предоставляемых СЗИ, но, тем не менее, во многих практических случаях такие оценки можно получить, например, с помощью имитационного моделирования или по результатам активного аудита СЗИ.
Данный пункт был посвящен оценке экономической эффективности систем защиты. Были рассмотрены основные аспекты безопасности, которые могут пригодиться для защиты информации
ЗАКЛЮЧЕНИЕ
В результате проделанной работы нами: проведен анализ литературы по теме исследования; дана общая характеристика «Secret Net 4.0», «СКЗИ «Верба - ОW»; выявлены усовершенствования систем защиты; рассмотрены основные виды угроз для безопасности систем защиты. Анализ теоретических и практических аспектов вопроса особенностей безопасности систем позволил сделать следующие выводы:
«Secret Net 4.0», «СКЗИ «Верба - ОW» позволяют лучше контролировать безопасность информации, которая поступает как из вне, так и хранимую информацию на любом носителе.
Упрощенное управление ИТ-инфраструктурой с помощью новых средств, обеспечивающих единый интерфейс для настройки и мониторинга серверов и возможность автоматизации рутинных операций.
Для решения рассматриваемой проблемы предлагается использовать системный подход. Как отмечали авторы [8], «сама идея количественного определения эффективности с полным правом может рассматриваться как поворотный пункт истории науки».
Таким образом, цель работы, заключающаяся в выявлении и анализе особенностей операционной системы Windows Server 2008 достигнута, задачи выполнены.
СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ