Шпаргалка по "Информационная безопасность"

Билет №4 Основные каналы утечки информации. Защита от утечки информации по техническим каналам

Основными каналами утечки информации могут быть:

• перехват электронных излучений;
• принудительно электромагнитное облучение (подсветка) линий связи;
• применение "подслушивающих" устройств;
• дистанционное фотографирование;
• перехват акустических волновых излучений;
• хищение носителей информации и производственных отходов систем обработки данных;
• считывание информации из массивов других пользователей;
• чтение остаточной информации в аппаратных средствах;
• копирование носителей информации и файлов с преодолением мер защиты;
• модификация программного обеспечения путем исключения или добавления новых функций;
• использование недостатков операционных систем и прикладных программных средств;
• незаконное подключение к аппаратуре и линиям связи, в том числе в качестве активного ретранслятора;
• злоумышленный вывод из строя механизмов защиты;
• маскировка под зарегистрированного пользователя и присвоение себе его полномочий;
• введение новых пользователей;

Каналы утечки информации:

1. оптические
2. акустические
3. электромагнитные
4. информационные

Защита от утечки информации по техническим каналам

• установка средств физической преграды защитного контура помещений, где ведется обработка информации (кодовые замки; охранная сигнализация – звуковая, световая, визуальная без записи и с записью на видеопленку);
• ограничение электромагнитного излучения путем экранирования помещений, где происходит обработка информации, листами из металла или специальной пластмассы;
• осуществление электропитания оборудования, отрабатывающего ценную информацию, от автономного источника питания или от общей электросети через специальные сетевые фильтры;
• применение, во избежание несанкционированного дистанционного съема информации, жидкокристаллических или плазменных дисплеев, струйных или лазерных принтеров соответственно с низким электромагнитным и акустическим излучением;
• использование автономных средств защиты аппаратуры в виде кожухов, крышек, дверец, шторок с установкой средств контроля вскрытия аппаратуры.

Билет №5 Методы и средства защиты информации. Содержание способов и средств обеспечения безопасности информации

К настоящему времени разработано много различных средств и методов защиты информации. Множество и разнообразие возможных средств защиты определяется, прежде всего, возможными способами воздействия на дестабилизирующие факторы или порождающие их причины.

Рассмотрим содержание способов и средств обеспечения безопасности.

Препятствие заключается в создании на пути возникновения или распространения дестабилизирующего фактора некоторого барьера, не позволяющего соответствующему фактору принять опасные размеры. Примерами являются блокировки, не позволяющие техническому устройству или программе выйти за опасные границы; создание физических препятствий на пути злоумышленников и т. п.

Управление есть определение на каждом шаге функционирования систем обработки информации таких управляющих воздействий на элементы системы, следствием которых будет решение  (или способствование решению) одной или нескольких задач защиты информации. Например, управление доступом на объект включает следующие функции защиты:

• идентификацию лиц, претендующих на доступ, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);
• опознавание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;
• проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);
• регистрацию (протоколирование) обращений к защищаемым ресурсам;
• реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка  предполагает такие преобразования информации, вследствие которых она становится недоступной для злоумышленников или такой доступ существенно затрудняется, а также комплекс мероприятий по уменьшению степени распознавания самого объекта. К маскировке относятся криптографические методы преобразования информации, скрытие объекта, дезинформация и легендирование, а также меры по созданию шумовых полей, маскирующих информационные сигналы.

Регламентация как способ защиты информации заключается в разработке и реализации в процессе функционирования объекта комплекса мероприятий, создающих такие условия, при которых существенно затрудняется проявление и воздействие угроз. К регламентации относится разработка таких правил обращения с конфиденциальной информацией и средствами ее обработки, которые позволили бы максимально затруднить получение этой информации злоумышленником.

Принуждение – такой метод защиты, при котором пользователи и персонал системы вынуждены будут соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной  или уголовной ответственности.

Побуждение есть способ защиты информации, при котором пользователи и персонал объекта внутренне (т.е. материальными, моральными, этическими, психологическими и другими мотивами) побуждаются к соблюдению всех правил обработки информации.

Рассмотренные способы обеспечение защиты информации реализуются с применением различных методов и средств.

1.1.  Организационно-административные  средства защиты

Данные средства сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам систем обработки данных, к регламентации деятельности персонала и др. Их цель – в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.

1.2. Технические средства  защиты

Технические средства защиты – это средства, в которых основная защитная функция реализуется некоторым техническим устройством. Данные средства призваны создать некоторую физически замкнутую среду вокруг объекта и элементов защиты.

1.3. Программные средства  и методы защиты

Данные средства активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях. Основные функции: разграничение и контроль доступа к ресурсам; регистрация и анализ протекающих процессов, событий, пользователей; предотвращение возможных разрушительных воздействий на ресурсы; криптографическая защита информации; идентификация и аутентификация пользователей и процессов и др.

1.4. Технологические средства  защиты информации

Данные средства представляют собой комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных.

1.5. Средства опознания  и разграничения доступа  к информации

В основу построения таких систем закладывается принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

1.6. Криптографический метод  защиты информации

Защита информации методом криптографического преобразования заключается в приведении ее к неявному виду путем преобразования составных частей информации (букв, цифр, слогов, слов) с помощью специальных алгоритмов либо аппаратных средств и кодов ключей. Ключ – это изменяемая часть криптографической системы, хранящаяся в тайне и определяющая, какое шифрующее преобразование из возможных выполняется в данном случае.

1.7. Правовые средства  защиты

К данным средствам относятся действующие в стране законы, нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушение; нормы поведения, соблюдение которых способствует защите информации.

• Федеральный Закон «Об информации, информатизации и защите информации».
• Федеральный Закон «Об участии в международном информационном обмене».
• Федеральный Закон «О связи».
• Закон Российской Федерации «О защите прав потребителей».
• Закон Российской Федерации «О сертификации продукции и услуг».
• Закон Российской Федерации «О федеральных органах правительственной связи и информации».
• Указ Президента Российской Федерации 1999 г. № 212 «Вопросы Государственной технической комиссии при Президенте Российской Федерации».
• Постановление Правительства Российской Федерации 2000 г № 326 «О лицензировании отдельных видов деятельности».
• Постановление Правительства Российской Федерации 1995 г. № 333 «О лицензировании деятельности предприятий и организаций по проведению работ, связанных с использованием сведений составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны».
• Решение Гостехкомиссии России и ФАПСИ 1994 г. № 10 «Положение о государственном лицензировании деятельности в области защиты информации».
• «Сборник руководящих документов по защите информации от несанкционированного доступа» Гостехкомиссии России, Москва, 1998 г.

 

Билет №6 Реализация методов и средств защиты информации

1.1.  Организационно-административные  средства защиты

Данные средства сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам систем обработки данных, к регламентации деятельности персонала и др. Их цель – в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Наиболее типичные организационно-административные средства:

• создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;
• изготовление и выдача специальных пропусков;
• мероприятия по подбору персонала, связанного с обработкой данных;
• допуск к обработке и передаче конфиденциальной информации только проверенных должностных лиц;
• организация учета использования и уничтожения документов (носителей) с конфиденциальной информацией;
• разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;

1.2. Технические средства  защиты

Технические средства защиты – это средства, в которых основная защитная функция реализуется некоторым техническим устройством. Данные средства призваны создать некоторую физически замкнутую среду вокруг объекта и элементов защиты. В этом случае используются такие мероприятия:

• установка средств физической преграды защитного контура помещений, где ведется обработка информации (кодовые замки; охранная сигнализация – звуковая, световая, визуальная без записи и с записью на видеопленку);
• ограничение электромагнитного излучения путем экранирования помещений, где происходит обработка информации, листами из металла или специальной пластмассы;
• осуществление электропитания оборудования, отрабатывающего ценную информацию, от автономного источника питания или от общей электросети через специальные сетевые фильтры;
• применение, во избежание несанкционированного дистанционного съема информации, жидкокристаллических или плазменных дисплеев, струйных или лазерных принтеров соответственно с низким электромагнитным и акустическим излучением;
• использование автономных средств защиты аппаратуры в виде кожухов, крышек, дверец, шторок с установкой средств контроля вскрытия аппаратуры.

1.3. Программные средства  и методы защиты

В настоящее время наибольший удельный вес в этой группе мер в системах обработки экономической информации составляют специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения с целью реализации задач по защите информации.

1.4. Технологические средства  защиты информации

 

Данные средства представляют собой комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных. Среди них:

• создание архивных копий носителей;
• ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;
• регистрация пользователей компьютерных средств в журналах;
• автоматическая регистрация доступа пользователей к тем или иным ресурсам;

1.5. Средства опознания  и разграничения доступа  к  информации

Ключевыми понятиями в этой системе являются "идентификация" и "аутентификация". Идентификация – это присвоение какому-либо объекту или субъекту уникального имени или образа. Аутентификация – это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого он себя выдает.