Защита в АС

Курс лекций

Защита в  АС

Программа курса: Защита в  АС

Раздел1 Введение в проблему безопасных АС:

Т1.1 Основные термины, определения, положения АС.

 

Деятельность, направленная на обеспечение  защищенного состояния объекта, -  «защита информации»

Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния

Безопасность информации (данных) определяется отсутствием недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и непреднамеренными воздействиями на данные и (или) на другие ресурсы автоматизированной информационной системы, используемые в автоматизированной системе

Кортеж защиты информации — это последовательность действий для достижения определённой цели.

 Безопасность автоматизированной  информационной системы[6] — состояние защищенности автоматизированной системы, при котором обеспечиваются конфиденциальность, доступность, целостность, подотчетность и подлинность её ресурсов

Система защиты АС представляет собой совокупность организационных мер (процессов информационной безопасности (ИБ)), а также технических и программных средств защиты информации.

Создание систем защиты ИС, обрабатывающих персональные данные, осуществляется в несколько этапов. На первом этапе проводится проектирование создаваемой системы – разрабатываются необходимые проектные, эксплуатационные и организационно-распорядительные документы по обеспечению информационной безопасности.

На втором этапе осуществляется внедрение системы защиты ИС. Проводится поставка необходимых средств обеспечения ИБ и их пусконаладка, обучение персонала компании по вопросам защиты информации, внедрение разработанных процессов ИБ (организационных мер). При создании систем защиты компания Открытые Технологии использует средства защиты информации как российских, так и зарубежных производителей, в том числе в требуемых законодательством случаях, имеющие сертификаты ФСТЭК/ФСБ России.

На завершающем этапе создания системы защиты ИС, в которой обрабатываются персональные данные, оценивается ее соответствие установленным требованиям по ИБ (внешний аудит) и выдаются документы, разрешающие осуществлять обработку персональных данных.

 

Классификация автоматизированных систем

Деление АС на соответствующие классы по условиям их функционирования с  точки зрения защиты информации необходимо в целях разработки и применения обоснованных мер по достижению требуемого уровня защиты информации. В соответствии с РД [1] распространяется на все действующие и проектируемые АС учреждений, организаций и предприятий, обрабатывающие конфиденциальную информацию.

Выбор методов и средств  защиты определяется важностью обрабатываемой информации, различием АС по своему составу, структуре, способам обработки информации, количественному и качественному составу пользователей и обслуживающего персонала.

РД предусматривает следующие этапы классификации АС:

разработка и анализ исходных данных;

выявление основных признаков АС, необходимых для классификации;

сравнение выявленных признаков АС с классифицируемыми;

присвоение АС соответствующего класса защиты информации от НСД.

Для проведения классификации  конкретной АС необходимо провести анализ следующих данных:

-перечень защищаемых информационных ресурсов АС и их уровень конфиденциальности;

-перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;

-матрицу доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;

-режим обработки данных в АС.

Определяющими признаками, по которым производится группировка АС в различные классы, являются:

-наличие в АС информации различного уровня конфиденциальности;уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;

-режим обработки данных в АС — коллективный или индивидуальный.

Указанным РД установлено девять классов защищенности АС от НСД к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС. Третья группа включает АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса — 3Б и 3А. Вторая группа включает АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса — 2Б и 2А. Первая группа включает многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов — 1Д, 1Г, 1В, 1Б и 1А.

 

1.4 Физическая защита объектов.

 

Система охраны - это совокупность технических средств, предназначенных для выполнения задач по охране объекта.

Технические средства охраны - вид техники, предназначенный для  использования силами охраны с целью  повышения надежности обнаружения  нарушителя и обеспечения санкционированного доступа на объект.

Нарушитель - это лицо или  группа лиц, несанкционированно проникающих  или проникших на объект охраны.

Объект охраны - участок  местности, с расположенными на нем  зданиями, сооружениями, помещения  здания, отдельные предметы, доступ к которым посторонних лиц запрещен.

Технические средства охраны:

Периметровые средства обнаружения:

стационарные 

мобильные

Объектовые средства обнаружения:

оптические 

Средства сбора и отображения  информации:

обнаружение проникновения

определенный контроль за системой охраны

регистрация факта срабатывания устройства обнаружения 

Средства управления доступом:

кодоблокировочные устройства

домофоны 

магнитные карты 

вертушки на КПП 

ворота 

шлагбаум 

Технические средства наблюдения:

телесистемы наблюдения

оптические устройства

приборы ночного видения 

Технические средства предупреждения:

плакаты

надписи

Технические средства воздействия:

электрозаграждения 

применение боевых отравляющих  веществ 

сигнальные мины

Проводные и кабельные линии.

Инженерные заграждения  и ограждения.

 К созданию на территории  некоторой замкнутой зоны с  установкой физической преграды  по периметру предъявляют следующие  требования:

Максимальная полнота  охвата контролируемой зоны.

Минимальная вероятность необнаруживаемого обхода преграды нарушителем.

Достаточные изобретательность  и чувствительность к присутствию, перемещению и другим действиям  нарушителя.

Возможность исключения мертвых  зон и простота размещения датчиков обнаружения.

Высокая надежность работы в заданных климатических условиях.

Устойчивость к естественным случайным помехам.

Удовлетворительное время  обнаружения нарушителя.

Достаточно быстрая и  точная диагностика места нарушения.

 

Средства вычислительной техники (СВТ), Комплекс средств автоматизации (КСА). Виды обеспечений, персонал, пользователи.

Безопасность информации. Свойства. Способы обеспечения.

Защищённые АС. Основные подсистемы защиты. Средства защиты информации (СрЗИ).

Теоретические основы защиты информации:

Подсистема управления доступом. Идентификация и аутентификация. Разграничение доступа. Мандатные и дискреционные модели разграничения доступа.

Криптографическая подсистема.

Подсистема обеспечения целостности. Модели контроля целостности и резервирования данных. Подсистема антивирусной защиты.

Подсистема регистрации и учёта  событий.

Организационно-правовые аспекты  защиты информации в АС:

Ретроспектива работ и результатов  деятельности национальных и международных  организаций.

Доктрина информационной безопасности России. Перечень сведений конфиденциального характера. Федеральные стандарты и законодательство (Уголовный и Гражданский кодексы РФ).

Руководящие документы Гостехкомиссии Российской Федерации (РФ). Требования к АС, СВТ, межсетевым экраном (МЭ).

Новое поколение стандартов безопасности: ИСО/МЭК 15408-2002. ISO 17799.

Угрозы и уязвимости АС. Атаки. Обнаружение  атак:

Основные определения.

Классификация возможных угроз  информационным объектам корпоративной  системы. Цели, причины и источники  угроз, определение, идентификация. Уязвимости корпоративной системы и их анализ.

Типовые угрозы безопасности серверов, сетевых средств, автоматизированных рабочих мест (АРМ). Атаки. Фазы атак.

Потенциальные нарушители. Классификация, модели поведения и средства осуществления атак.

Устранение причин, источников и  последствий реализации угроз. Методы и средства.

Анализ и оценка текущего уровня защищенности корпоративной системы.

Проблемы проектирования, реализации и эксплуатации защищенных АС. Аттестация:

Эксплуатационный цикл АС, и его фазы.

Проектирование и развёртывание  защищённых автоматизированных систем.

Политики безопасности, реализации в подсистемах защиты информации.

Оценка затрат на информационную безопасность.

Администрирование безопасности информации АС – объекты, требования, задачи.

Структура систем АБИ АС. Современные  специальные продукты и общие  системы АБИ АС.

Аттестация защищенных АС по требованиям  Гостехкомиссии РФ.

 

Средства вычислительной техники (СВТ), Комплекс средств автоматизации (КСА). Виды обеспечений, персонал, пользователи.

Безопасность информации. Свойства. Способы обеспечения.

Безопасные АС. Основные подсистемы. Средства защиты информации (СЗИ).

Теоретические основы защиты информации:

Подсистема управления доступом. Идентификация  и аутентификация. Разграничение доступа. Мандатные и дискреционные модели разграничения доступа.

Криптографическая подсистема.

Подсистема обеспечения целостности. Модели контроля целостности и резервирования данных. Подсистема антивирусной защиты.

Подсистема регистрации и учёта событий.

Организационно-правовые аспекты  защиты информации в АС:

Ретроспектива работ и результатов  деятельности национальных и международных  организаций.

Доктрина информационной безопасности России. Перечень сведений конфиденциального характера. Федеральные стандарты и законодательство (Уголовный и Гражданский кодексы РФ).

Руководящие документы Гостехкомиссии Российской Федерации (РФ). Требования к АС, СВТ, межсетевым экраном (МЭ).

Новое поколение стандартов безопасности: ИСО/МЭК 15408-2002. ISO 17799.

Угрозы и уязвимости АС. Атаки. Обнаружение  атак:

Основные определения. Классификация  возможных угроз информационным объектам корпоративной системы. Цели, причины и источники угроз, определение, идентификация. Уязвимости корпоративной системы и их анализ.

Типовые угрозы безопасности серверов, сетевых средств, автоматизированных рабочих мест (АРМ).

Атаки. Фазы атак.

Потенциальные нарушители. Классификация, модели поведения и средства осуществления  атак.

Устранение причин, источников и последствий реализации угроз. Методы и средства.

Проблемы проектирования и реализации защищённых АС:

Введение в проблему. Эксплуатационный цикл АС и его фазы.

Уровни зрелости компании в аспекте  информационной безопасности.

Техническое проектирование и реализация систем защиты.

Встроенные и внешние механизмы  и продукты.

Оценка затрат на информационную безопасность.

Подсистема безопасности программных  продуктов фирмы Microsoft:

Подсистема безопасности операционных систем семейства Windows.

Построение подсистемы антивирусной защиты предприятия.

Построение подсистемы управления обновлениями.

Подсистема безопасности операционных систем семейства LINUX:

Подсистема управления доступом.

Подсистема регистрации и учёта.

Подсистема контроля целостности.

Надстройка безопасности ядра Linux-rsbac.

Проектирование и реализация защищённых корпоративных систем:

Используемое сетевое оборудование. Его классификация в соответствии с требованиями безопасности. Сетевые  протоколы с точки зрения безопасности АС. Сетевые атаки.

Защищённые архитектуры корпоративной  сети.

Архитектура построения безопасных сетей Cisco SAFE. Построение защиты сетевых средств  и сервисов.

Построение криптографической  системы.

Построение системы межсетевого  экранирования.

Построение системы обнаружения вторжений.

Аудит защищённой АС:

Определение и виды аудита.

Оценка уровня защищённости в соответствии с существующими стандартами.

Средства анализа защищённости.

Специфика эксплуатации защищенных АС. Администрирование безопасности информации АС:

Эволюция подходов к защите информации.

Комплексный подход к защите информации. Политика безопасности организации.

Виды деятельности администратора безопасности.

Функции и задачи администрирования  безопасности.

Пример защищённой корпоративной  системы.

 

2. Требования по защите информации  от НСД для АС

Руководящий документ 
Автоматизированные системы.  
Защита от несанкционированного доступа к информации  
Классификация автоматизированных систем и требования по защите информации