Общая характеристика информационных технологий

Инструментарий технологии программирования — программные продукты поддержки  технологии программирования.

В рамках этих направлений сформировались следующие группы:

♦ средства для создания приложений;

♦ CASE-технологии (Computer-Aided Software Engineering), предназначенные для автоматизации процессов разработки и реализации информационных систем.

Средства для создания приложений включают языки и системы программирования, а также инструментальную среду разработчика.

Язык программирования — формализованный  язык для описания алгоритма решения  задачи на компьютере.

Средства для создания приложений — совокупность языков и систем программирования, а также различные программные комплексы для отладки и поддержки разрабатываемых программных продуктов.

Языки программирования разделяют  на следующие классы (по синтаксису конструкций языка):

машинные языки — языки программирования, воспринимаемые аппаратной частью компьютера (машинные коды);

машинно-ориентированные языки  — языки программирования, которые  отражают структуру конкретного типа компьютера (ассемблеры);

алгоритмические языки — не зависящие  от архитектуры компьютера языки программирования для отражения структуры алгоритма (Паскаль, Фортран, Бейсик и др.);

процедурно-ориентированные языки  — языки программирования, где имеется возможность описания программы как совокупности процедур, подпрограмм;

проблемно-ориентированные языки  — языки программирования, предназначенные для решения задач определенного класса (ЛИСП, РПГ, Симула и др.);

интегрированные системы программирования.

Другой классификацией языков программирования является их Деление на языки, предназначенные для реализации основ структурного программирования, и объектно-ориентированные языки, поддерживающие понятие объектов, их свойств и методов обработки.

Программа, написанная на языке программирования, проходит этап трансляции, когда происходит преобразование исходного кода программы в объектный код, который далее пригоден к обработке редактором связей. Редактор связей — специальная подпрограмма обеспечивающая построение загрузочного модуля, пригодного к выполнению.

Трансляция может выполняться с использованием средств компиляторов или интерпретаторов. Компиляторы транслируют всю программу, но без ее выполнения. Интерпретаторы, в отличие от компиляторов, выполняют пооператорную обработку и выполнение программы.

Необходимым средством для профессионального разработчика являются специальные программы, предназначенные для трассировки и анализа выполнения других программ, — отладчики.

Современная система программирования состоит из следующих компонентов:

♦ компилятор;

♦ интегрированная среда разработчика программ;

♦ отладчик;

♦ средства оптимизации кода программ;

♦ набор библиотек (возможно, с  исходными текстами программ);

♦ редактор связей;

♦ сервисные средства (утилиты) для  работы с библиотеками, текстовыми и двоичными файлами;

♦ справочные системы;

♦ документатор исходного кода программы;

♦ систему поддержки и управления проектом программного комплекса.

CASE-технология — программный комплекс, автоматизирующий весь технологический процесс анализа, проектирования, разработки и сопровождения сложных программных систем.

Основное преимущество CASE-технологии — возможность коллективной работы над проектом за счет поддержки работы разработчиков в локальной сети, экспорта-импорта любых фрагментов проекта, организационного управления проектом.

 

Лекция 8. Защита информации в автоматизированных информационных системах

8.1. Безопасность информационной системы

Безопасность информационной системы  — свойство, заключающееся в способности системы обеспечить конфиденциальность и целостность информации.

Угрозы информационным системам можно объединить в следующие группы:

♦ угроза раскрытия информации;

♦ угроза нарушения целостности  — умышленное несанкционированное или неумышленное изменение (удаление) данных, хранящихся в вычислительной системе или передаваемых из одной системы в другую;

♦ угроза отказа в обслуживании —  блокировка доступа к некоторому ресурсу вычислительной системы.

По природе возникновения угрозы можно разделить на:

♦ естественные;

♦ искусственные.

Естественные угрозы — это угрозы, связанные с воздействиями на ИC объективных физических процессов или природных явлений. Искусственные угрозы — это угрозы информационной системе, связанные с деятельностью человека.

Пользователем ИС могут быть осуществлены следующие непреднамеренные действия, представляющие угрозу безопасности информационной системы:

♦ доведение до состояния частичного или полного отказа системы, разрушение аппаратных, программных, информационных ресурсов системы (порча оборудования, носителей информации, удаление, искажение файлов с важной информацией или программ, в том числе системных, и т. п.);

♦ неправомерное включение оборудования или изменение режимов работы устройств и программ;

♦ запуск сервисных программ, способных  при некомпетентном использовании вызывать потерю работоспособности системы или необратимые изменения в системе;

♦ нелегальное внедрение и использование  неучтенных программ, не являющихся необходимыми для выполнения служебных обязанностей, с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти внешних носителей);

♦ заражение компьютера вирусами;

♦ разглашение конфиденциальной информации;

♦ разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т. п.);

♦ игнорирование организационных  ограничений;

♦ некомпетентное использование, настройка  или неправомерное отключение средств  защиты информации;

♦ пересылка данных по ошибочному адресу абонента (устройства);

♦ ввод ошибочных данных;

♦ повреждение каналов связи.

Пользователем ИС могут быть осуществлены следующие преднамеренные действия, представляющие угрозу безопасности информационной системы:

♦ физическое разрушение системы  или вывод из строя наиболее важных ее компонентов;

♦ отключение или вывод из строя  подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т. п.);

♦ дезорганизация функционирования системы (изменение режимов работы устройств или программ, создание мощных активных радиопомех и т. п.);

♦ внедрение агентов в число  персонала (в том числе и в  службу безопасности), вербовка персонала  или отдельных пользователей, имеющих определенные полномочия;

♦ применение подслушивающих устройств, дистанционная фото-и видеосъемка и т. п.;

♦ перехват побочных электромагнитных, акустических и других излучений  устройств и линий связи, а также наводка активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т. п.);

♦ перехват данных, передаваемых по каналам  связи, и их анализ с целью осуществления  попыток проникновения в систему;

♦ хищение носителей информации;

♦ несанкционированное копирование  носителей информации;

♦ хищение производственных отходов (распечаток, записей, списанных носителей информации и т. п.);

♦ чтение остатков информации из оперативной  памяти и с внешних запоминающих устройств, чтение информации из областей оперативной памяти, используемых операционной системой;

♦ незаконное получение паролей  и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, имитации интерфейса системы и т. п.) с последующей маскировкой под зарегистрированного пользователя;

♦ несанкционированное использование  терминалов пользователей, имеющих уникальные физические характеристики;

♦ вскрытие шифров криптозащиты информации;

♦ внедрение аппаратных спецвложений, программ «закладок» и «троянских коней».

Следует заметить, что чаще всего для достижения поставленной цели злоумышленник использует не один способ, а их некоторую совокупность.

Формализованное описание или представления  комплекса возможностей нарушителя по реализации тех или иных угроз безопасности информации называют моделью нарушителя.

При разработке модели нарушителя делаются предположения:

♦ о категориях лиц, к которым  может принадлежать нарушитель;

♦ о мотивах действий нарушителя;

♦ о квалификации нарушителя и  его технической оснащенности;

♦ о характере возможных действий нарушителя.

По отношению к ИС нарушители могут быть внутренними (из числа персонала системы) или внешними (посторонними лицами). Внутренними нарушителями могут быть лица из следующих категорий персонала:

♦ пользователи системы;

♦ персонал, обслуживающий технические  средства (инженеры, техники);

♦ сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты);

♦ технический персонал, обслуживающий  здание (уборщики, электрики, сантехники и другие сотрудники, имеющие доступ в здание и помещения, где расположены компоненты ИС);

♦ сотрудники службы безопасности ИС;

♦ руководители различных уровней  должностной иерархии.

Посторонние лица, которые могут  быть внешними нарушителями:

♦ клиенты;

♦ посетители;

♦ представители организаций, взаимодействующих  по вопросам обеспечения жизнедеятельности  организации (энерго-, водо-, теплоснабжение и т. п.);

♦ представители конкурирующих  организаций или лица, действующие по их заданию;

♦ лица, случайно или умышленно  нарушившие пропускной режим (без цели нарушения безопасности ИС).

Можно выделить три основных мотива нарушений:

♦ безответственность;

♦ самоутверждение;

♦ корыстный интерес.

Нарушителей можно классифицировать по следующим признакам.

1. По уровню знаний об ИС.

2. По уровню возможностей, различают  нарушителей:

• применяющих чисто агентурные методы получения сведений;

• применяющих пассивные средства (технические средства перехвата без модификации компонентов системы);

• использующих только штатные средства и недостатки систем защиты для ее преодоления, а также компактные магнитные носители информации, которые могут быть скрытно пронесены через посты охраны;

• применяющих методы и средства активного воздействия (модификация и подключение дополнительных механических средств, подключение к каналам передачи данных, внедрение программных «закладок» и использование специальных инструментальных и технологических программ).

3. По месту действия нарушители  могут быть:

• не имеющие доступа на контролируемую территорию организации;

• действующие с контролируемой территории без доступа в здания и сооружения;

• действующие внутри помещений, но без доступа к техническим средствам ИС;

• действующие с рабочих мест конечных пользователей ИС;

• имеющие доступ в зону данных (баз данных, архивов и т. п.);

• имеющие доступ в зону управления средствами обеспечения безопасности ИС.

Система защиты — это совокупность специальных мер правового и  административного характера, организационных  мероприятий, программно-аппаратных средств защиты, а также специального персонала, предназначенных для обеспечения информационной безопасности.

Для построения эффективной системы  защиты необходимо провести следующие работы [22]:

♦ определить угрозы безопасности информации;

♦ выявить возможные каналы утечки информации и несанкционированного доступа (НСД) к данным;

♦ построить модель потенциального нарушителя;

♦ выбрать соответствующие меры, методы, механизмы и средства защиты.

Проблема создания системы защиты информации включает две задачи:

♦ разработка системы защиты информации;

♦ оценка разработанной системы  защиты информации.