Защита информации

Применение электронной  цифровой подписи позволяет:

• обеспечить аутентичность (подтверждение авторства) информации;

• обеспечить контроль целостности (в том числе истинности) информации;

• при использовании  многосторонней электронно-цифровой подписи  обеспечить аутентификацию лиц, ознакомившихся с информацией;

• решать вопрос о юридическом  статусе документов, получаемых из автоматизированной системы.

8. Криптографическое закрытие хранимых и передаваемых по каналам связи данных

 

Шифрование информации позволяет обеспечить конфиденциальность защищаемой информации при ее хранении или передаче по открытым каналам. На прикладном уровне шифрование применяется для закрытия секретной и конфиденциальной информации пользователей. На системном уровне - для защиты критичной информации операционной системы и системы защиты, предотвращения возможности несанкционированной подмены важной управляющей информации системы разграничения доступа (паролей пользователей, таблиц разграничения доступа, ключей шифрования данных и ЭЦП и т.п.).

Для защиты пакетов, передаваемых по указанным каналам связи, криптопреобразование может осуществляться как на прикладном уровне, так и на транспортном. В первом варианте закрытие информации, предназначенной для транспортировки, должно осуществляться на узле-отправителе (рабочей станции или сервере), а расшифровка т на узле-получателе. Причем преобразования могут производиться как на уровне приложений («абонентское шифрование»), так и на системном (канальном, транспортном) уровне (прозрачно для приложений - «туннелирование»).

Второй вариант предполагает использование специальных средств, осуществляющих криптопреобразования в точках подключения локальных сетей к каналам связи (сетям общего пользования), проходящим по неконтролируемой территории («канальное шифрование», «виртуальные частные сети»).

Криптографические средства могут быть реализованы как аппаратно, так и программно. Использование в системе защиты для различных целей нескольких однотипных алгоритмов шифрования нерационально. Оптимальным вариантом можно считать такую систему, в которой средства криптозащиты являются общесистемными, то есть выступают в качестве расширения функций операционной системы и включают алгоритмы шифрования всех типов (с секретными и открытыми ключами и т.д.).

3. Цели создания системы обеспечения информационной безопасности

Конечной целью создания системы обеспечения безопасности информационных технологий является предотвращение или минимизация ущерба (прямого или косвенного, материального, морального или иного), наносимого субъектам информационных отношений посредством нежелательного воздействия на информацию, ее носители и процессы обработки.

Основной задачей системы  защиты является обеспечение необходимого уровня доступности, целостности и  конфиденциальности компонентов (ресурсов) АС соответствующими множеству значимых угроз методами и средствами.

Обеспечение информационной безопасности - это непрерывный процесс, основой которого является управление, - управление людьми, рисками, ресурсами, средствами защиты и т.п. Люди - обслуживающий персонал и конечные пользователи АС, - являются неотъемлемой частью автоматизированной (то есть «человеко-машинной») системы. От того, каким образом они реализуют свои функции в системе, существенно зависит не только ее функциональность (эффективность решения задач), но и ее безопасность.

Рис. 1 Субъекты, влияющие на состояние информационной безопасности  

 

•сотрудников структурных подразделений (конечных пользователей АС), решающих свои функциональные задачи с применением средств автоматизации;

•программистов, осуществляющих разработку (приобретение и адаптацию) необходимых прикладных программ (задач) для автоматизации деятельности сотрудников организации;

•сотрудников подразделения внедрения и сопровождения ПО, обеспечивающих нормальное функционирование и установленный порядок инсталляции и модификации прикладных программ (задач);

•сотрудников подразделения эксплуатации ТС, обеспечивающих нормальную работу и обслуживание технических средств обработки и передачи информации и системного программного обеспечения;

•системных администраторов штатных средств защиты (ОС, СУБД и т.п.);

•сотрудников подразделения защиты информации, оценивающих состояние информационной безопасности, определяющих требования к системе защиты, разрабатывающих организационно-распорядительные документы по вопросам ОИБ (аналитиков), внедряющих и администрирующих специализированные дополнительные средства защиты (администраторов безопасности);

•руководителей организации, определяющих цели и задачи функционирования АС, направления ее развития, принимающих стратегические решения по вопросам безопасности и утверждающих основные документы, регламентирующие порядок безопасной обработки и использования защищаемой информации сотрудниками организации.  

Кроме того, на информационную безопасность организации могут  оказывать влияние посторонние лица и сторонние организации, предпринимающие попытки вмешательства в процесс нормального функционирования АС или несанкционированного доступа к информации как локально, так и удаленно.

4. Задачи, решаемые средствами защиты информации от НСД

На технические средства зашиты от НСД возлагают решение  следующих основных задач:

• защиту от вмешательства в процесс функционирования АС посторонних лиц (возможность использования автоматизированной системы и доступ к ее ресурсам должны иметь только зарегистрированные установленным порядком пользователи - сотрудники подразделений организации);
• разграничение доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам АС (обеспечение возможности доступа только к тем ресурсам и выполнения только тех операций с ними, которые необходимы конкретным пользователям АС для выполнения ими своих служебных обязанностей);
• регистрацию действий пользователей при использовании защищаемых ресурсов АС в системных журналах и периодический контроль корректности действий пользователей системы путем анализа содержимого этих журналов сотрудниками подразделений компьютерной безопасности;
• оперативный контроль за работой пользователей системы и оперативное оповещение администратора безопасности о попытках несанкционированного доступа к ресурсам системы;
• защиту от несанкционированной модификации (обеспечение неизменности, целостности) используемых в АС программных средств, а также защиту системы от внедрения несанкционированных программ, включая компьютерные вирусы и вредоносные «программы-закладки»;
• защиту хранимой, обрабатываемой и передаваемой по каналам связи информации ограниченного распространения от несанкционированного разглашения, искажения подмены или фальсификации;
• обеспечение аутентификации абонентов, участвующих в информационном обмене (подтверждение подлинности отправителя и получателя информации);
• гибкое управление всеми защитными механизмами.

Системы защиты от НСД должны обладать высокой надежностью, универсальностью, возможностями реализации современных технологий защиты, невысокими требованиями к ресурсам защищаемых компьютеров, широкими возможностями по управлению механизмами защиты, должны работать с разнообразными средствами аппаратной поддержки защитных функций, и ориентироваться на наиболее распространенные операционные системы.

5. Основные организационные мероприятия по созданию комплексной системы защиты

 

Организационные меры являются той основой, которая объединяет различные меры защиты в единую систему. Они включают:

1. разовые (однократно  проводимые и повторяемые только  при полном пересмотре принятых решений) мероприятия;

2. мероприятия, проводимые  при осуществлении или возникновении  определенных изменений в самой  защищаемой АС или внешней  среде (по необходимости);

3. периодически проводимые (через определенное время) мероприятия; 

• распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);
• анализ системных журналов (журналов регистрации), принятие мер по обнаруженным нарушениям правил работы;
• пересмотр правил разграничения доступа пользователей к ресурсам АС организации;
• осуществление анализа состояния и оценки эффективности мер и применяемых средств защиты и разработка необходимых мер по совершенствованию (пересмотру состава и построения) системы защиты.

• мероприятия по обеспечению) достаточного уровня физической защиты всех компонентов АС (противопожарная охрана, охрана помещений, пропускной режим, обеспечение сохранности и физической целостности СВТ, носителей информации и т.п.).
• мероприятия по непрерывной поддержке функционирования и управлению (администрированию) используемыми средствами защиты;
• организацию явного и скрытого контроля за работой пользователей и персонала системы;
• контроль за реализацией выбранных мер защиты в процессе проектирования, разработки, ввода в строй, функционирования, обслуживания и ремонта АС;
• постоянно (силами службы безопасности) и периодически (с привлечением сторонних специалистов) осуществляемый анализ состояния и оценка эффективности мер и применяемых средств защиты.

4. постоянно (непрерывно  или дискретно в случайные  моменты времени) проводимые мероприятия.

2. ОБЕСПЕЧЕНИЕ КОМПЛЕКСНОЙ БЕЗОПАСНОСТИ

 

Существует несколько  особенностей в построении комплексной  защиты, которая основывается на модели адаптивного управления безопасностью  и строится в несколько этапов:

1. Разработка политики безопасности.
2. Установка и настройка технических средств.
3. Обучение сотрудников.
4. Периодический аудит.
5. Информационное обеспечение.

Использование модели адаптивной безопасности сети позволяет контролировать практически все угрозы, и своевременно реагировать на них высокоэффективным способом, позволяющим устранить уязвимости, которые могут привести к реализации угрозы, и проанализировать условия, приводящие к появлению уязвимостей. Эта модель также позволяет уменьшить злоупотребления в сети, повысить осведомленность пользователей, администраторов и руководство компании о событиях безопасности в сети.

Современная система  защиты информации состоит из традиционных средств защиты, а так же средств  для обнаружения уязвимостей  и атак.

К традиционным средствам защиты корпоративной сети относятся:

1. Межсетевые экраны (МСЭ)

• разграничение доступа внешних пользователей к внутренним корпоративным ресурсам;
• контроль доступа сотрудников к ресурсам сети Internet;
• разграничение доступа между внутренними сегментами корпоративной сети;

Недостатки МСЭ:

• не защищает от авторизованных пользователей;
• не гарантирует 100%-ой защиты от атак;
• не может защитить трафик, не проходящий через него;
• не обеспечивает полной защиты от «мобильного кода» (Java, ActiveX и т.п.);
• не защищает от неправильной конфигурации.

2. Использование контроля  доступа 

3. Использование аутентификации

4. Использование криптографической  защиты

Таким образом, традиционные средства защиты:

• предотвращают, а не упреждают;
• не защищают от внутренних угроз;
• не позволяют оценивать свою эффективность;
• являются статическими, не учитывающему динамику изменений сетевого окружения.

Средства для обнаружения  уязвимостей и атак:

1. Средства для анализа  защищенности:

• на уровне сети (Internet Scanner);
• на уровне операционной системы (System Scanner);
• на уровне приложений (Database Scanner).

2. Средства для обнаружения  атак: