Информационная безопасность лекции.              Лаборатория информационной безопасности

Рейтинг: / 3

Вступительная лекция, в которой описываются основные понятия из области информационной безопасности, решаемые там задачи, а также дан ответ на очень важный вопрос: почему вообще стоит заниматься защитой информации? Какая реальная практическая польза на реальных примерах из нашей жизни.

Кроме того, в лекции описаны базовые свойства систем защиты информации, жизненный цикл процессов ИБ (СЗИ), а также способы исследования бизнес-структуры объекта защиты. Вы узнаете, что такое доступность, целостность, конфиденциальность, аутентичность и многие другие понятия. Поймёте, какие бывают виды и источники угроз.

Предлагайте в комментариях свои идеи / мысли по улучшению курса, ставьте оценки (чтобы скачать лекцию и / или написать комментарий, нажмите на заголовок материала-лекции или на ссылку "Подробнее"). Буду рад.

Построение модели угроз и модели нарушителя (лекция 5)

Рейтинг: / 0

Данная лекция призвана систематизировать понимание процесса построения системы обеспечения информационной безопасности на предприятии и подробно описывает процесс построения модели угроз для коммерческих и государственных предприятий, а также построение модели нарушителя. Данные модели оказывают непосредственное влияние на выбор защитных мер и реальную эффективность Вашей системы защиты информации.

Информатизация социально-политической, экономической и военной деятельности страны и, как следствие, бурное развитие информационных систем сопровождаются существенным ростом посягательств на информацию как со стороны иностранных государств, так и со стороны преступных элементов и граждан, не имеющих доступа к ней. Несомненно, в создавшейся обстановке одной из первоочередных задач, стоящих перед правовым государством, является разрешение глубокого противоречия между реально существующим и необходимым уровнем защищенности информационных потребностей личности, общества и самого государства, обеспечение их ИБ.Предназначено для преподавателей и студентов вузов по специальности «Информационная безопасность», специалистов по безопасности, менеджеров и руководителей компаний.

А. В. Артемов - Информационная безопасность. Курс лекций читать онлайн

Рецензент:

кандидат экономических наук, доцент кафедры «Предпринимательство и маркетинг» ФГБОУ ВПО «Госуниверситет – УНПК» Н.А. Лебедева

А. В. Артемов, кандидат технических наук, доцент кафедры «Электроника, вычислительная техника и информационная безопасность» ФГБОУ ВПО «Госуниверситет – УНПК»

Информационная безопасность как определяющий компонент национальной безопасности россии

Учебные вопросы:

1. Место информационной безопасности в системе национальной безопасности России: понятие, структура и содержание.

2. Основные руководящие документы, регламентирующие вопросы информационной безопасности.

3. Современные угрозы информационной безопасности в России

Вопрос 1. Место информационной безопасности в системе национальной безопасности России: понятие, структура и содержание

Информатизация социально-политической, экономической и военной деятельности страны и, как следствие, бурное развитие информационных систем сопровождаются существенным ростом посягательств на информацию как со стороны иностранных государств, так и со стороны преступных элементов и граждан, не имеющих доступа к ней. Несомненно, в создавшейся обстановке одной из первоочередных задач, стоящих перед правовым государством, является разрешение глубокого противоречия между реально существующим и необходимым уровнем защищенности информационных потребностей личности, общества и самого государства, обеспечение их ИБ. При этом под информационной безопасностью (ИБ) личности, общества, государства и современных автоматизированных и телекоммуникационных систем понимается состояние защищенности информационной среды, соответствующей интересам (потребностям) личности, общества и государства в информационной сфере, при котором обеспечиваются их формирование, использование и возможности развития независимо от наличия внутренних и внешних угроз .

Информационная безопасность определяется способностью государства (общества, личности):

– обеспечить с определенной вероятностью достаточные и защищенные информационные ресурсы и информационные потоки для поддержания своей жизнедеятельности и жизнеспособности, устойчивого функционирования и развития;

– противостоять информационным опасностям и угрозам, негативным информационным воздействиям на индивидуальное и общественное сознание и психику людей, а также на компьютерные сети и другие технические источники информации;

– вырабатывать личностные и групповые навыки и умения безопасного поведения;

– поддерживать постоянную готовность к адекватным мерам в информационном противоборстве, кем бы оно ни было навязано.

Ни одна сфера жизни современного общества не может функционировать без развитой информационной структуры. Национальный информационный ресурс является сегодня одним из главных источников экономической и военной мощи государства. Проникая во все сферы деятельности государства, информация приобретает конкретное политическое, материальное и стоимостное выражение. На этом фоне все более актуальный характер приобретают вопросы обеспечения ИБ Российской Федерации как неотъемлемого элемента национальной безопасности, а защита информации превращается в одну из приоритетных государственных задач.

В любой стране ИБ придается особое значение. В своем развитии эта задача проходит множество этапов в зависимости от потребностей государства, возможностей, методов и средств добывания сведений (в частности, разведки), правового режима государства и реальных его усилий по обеспечению защиты информации.

Важным этапом становления и совершенствования такой системы в нашей стране явился период 70–80-х гг. С началом 70-х гг. в разведывательной деятельности ведущих стран мира началось широкомасштабное применение технических средств разведки. 80-е гг., ознаменовавшись бурным научно-техническим прогрессом, особенно в военной области, дали новые импульсы в дальнейшем наращивании возможностей технических средств иностранных разведок: до 70 % разведывательной информации добывалось в то время с помощью технических средств.

Сложившаяся обстановка потребовала совершенствования системы мер противоборства иностранным разведкам. Задачей государственной важности и одной из составных частей в общей системе мер по сохранению государственной и служебной тайны стало противодействие техническим разведкам.

К началу 90-х гг. произошли качественные изменения в военно-политической и научно-технической сфере, заставившие во многом пересмотреть государственную политику в области защиты информации в целом.

Во-первых, информационные технологии принципиально изменили объем и важность информации, обращающейся в технических средствах ее передачи и обработки. Во-вторых, в России отошла в прошлое фактическая государственная монополия на информационные ресурсы, в частности получило конституционное закрепление право гражданина искать, получать и распространять информацию. В-третьих, прежний административный механизм управления защитой информации стал неэффективен, в то же время необходимость межведомственной координации в этой сфере объективно возросла. В-четвертых, в связи с усиливающимся включением России в международное разделение труда, укреплением экономических, культурных, гуманитарных контактов с другими государствами многие режимно-ограничительные меры, облегчающие защиту информации, например система регионов, закрытых для посещения иностранными гражданами, стали неприемлемы.

В сложившихся условиях с учетом рассмотренных угроз ИБ личности, общества и государства важным является рассмотрение проблем и задач обеспечения ИБ являющейся неотъемлемой составной частью обеспечения национальной безопасности любого государства мирового сообщества на новом этапе своего развития – этапе формирования информационного общества. Известными характерными признаками такого общества является явная обусловленность экономического, социального, научного и всего развития страны широким внедрением новых информационных технологий, обеспечивающих эффективную информатизацию общества, которая, в свою очередь, обеспечивает информационную безопасность общества, в том числе обеспечивает его качественной информацией, информационными продуктами, услугами и знаниями, являющимися сегодня важнейшим стратегическим ресурсом страны. Информатизация личности, общества – это важнейшее, стратегическое направление деятельности государства, определяющее стабильное и безопасное социально-экономическое и политическое развитие и приоритеты во всех сферах, в том числе в информационной и видах деятельности в мировом сообществе. Подтверждением этому являются практические шаги ведущих стран мира и России, что подтверждается принятием ими ряда нормативных правовых актов и иных документов:

– 2000 г. – «Окинавская хартия глобального информационного общества» (от имени России подписана Президентом);

– 2000 г. Концепцией национальной безопасности Российской Федерации (утверждена Указом Президента, в ред. от 10.01.2000);

– 2000 г. – Федеральные целевые программы «Развитие единой образовательной информационной среды (2001–2005 годы)», «Электронная Россия»;

– 25 июля 2007 г. – программа «Стратегия развития информационного общества в России» (принята Советом Безопасности Российской Федерации);

– 2002 г. – Федеральная целевая программа «Электронная Россия на 2002–2010 годы» (утверждена Постановлением Правительства России от 28 января 2002 года № 65);

– 2007 г. «Стратегия развития информационного общества в России» (утверждена 25 июля 2007 года Советом Безопасности Российской Федерации) и другие.

Вопрос 2. Основные руководящие документы, регламентирующие вопросы информационной безопасности

Рассматривая Концепцию национальной безопасности России, утвержденную Указом Президента РФ от 17.12.97 № 1300 (в ред. от 10.01.2000), которая отражает названную «Окинавскую хартию глобального информационного общества», можно утверждать, что в ней система национальных интересов России определяется совокупностью следующих основных интересов:

личности – состоят в реальном обеспечении конституционных прав и свобод, личной безопасности, в повышении качества и уровня жизни, в физическом, духовном и интеллектуальном развитии;

– общества – включают в себя упрочение демократии, достижение и поддержание общественного согласия, повышение созидательной активности населения и духовное возрождение России;

– государства – состоят в защите конституционного строя, суверенитета и территориальной целостности России, в установлении политической, экономической и социальной стабильности, в безусловном исполнении законов и поддержании правопорядка, в развитии международного сотрудничества на основе партнерства.

Концепция определяет национальные интересы России в информационной сфере.

Национальные интересы России обусловливают необходимость сосредоточения усилий общества и государства на решении определенных задач. Такими являются:

– соблюдение конституционных прав и свобод граждан в области получения информации и обмена ею;

– защита национальных духовных ценностей; – пропаганда национального, культурного наследия, норм морали и общественной нравственности;

– обеспечение права граждан на получение достоверной информации;

– развитие современных телекоммуникационных технологий. Планомерная деятельность государства по реализации этих задач позволит Российской Федерации стать одним из центров мирового развития в XXI в. В то же время недопустимо использование информации для манипулирования массовым сознанием. Необходима защита государственного информационного ресурса от утечки важной политической, экономической, научно-технической и военной информации.

В соответствии с данной Концепцией важнейшими задачами обеспечения ИБ являются:

– установление необходимого баланса между потребностью в свободном обмене информацией и допустимыми ограничениями ее распространения;

– совершенствование информационной структуры, ускорение развития новых информационных технологий и их широкое распространение, унификация средств поиска, сбора, хранения, обработки и анализа информации с учетом вхождения России в глобальную информационную инфраструктуру;

– разработка соответствующей нормативной правовой базы и координация, при ведущей роли Федерального агентства правительственной связи и информации при Президенте РФ, деятельности федеральных органов государственной власти и других органов, решающих задачи обеспечения ИБ;

– развитие отечественной индустрии телекоммуникационных и информационных средств, их приоритетное по сравнению с зарубежными аналогами распространение на внутреннем рынке;

– защита государственного информационного ресурса, прежде всего в федеральных органах государственной власти и на предприятиях оборонного комплекса.

Доктрина информационной безопасности Российской Федерации от 09.09.2001 № Пр-1895 представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения ИБ Российской Федерации . Она служит основой:

– для формирования государственной политики в области обеспечения ИБ Российской Федерации;

– подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения ИБ;

– разработки целевых программ обеспечения ИБ Российской Федерации.

По структуре Доктрина состоит из 4 разделов и 11 глав. В первом разделе «Информационная безопасность Российской Федерации» дается понятие ИБ, выделяются национальные интересы личности, общества и государства в информационной сфере . В Доктрине они уточнены более подробно, чем в Концепции национальной безопасности.

Стратегические и текущие задачи внутренней и внешней политики государства по обеспечению ИБ формируются на основе нижеперечисленных интересов в информационной:

– личности – заключаются в реализации конституционных прав человека и гражданина на доступ к информации, использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность;

– общества – заключаются в обеспечении интересов личности в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России;

– государства – заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Определяются виды угроз ИБ и их источники. Они также, в отличие от Концепции национальной безопасности, подробно уточнены.

Во втором разделе «Методы обеспечения информационной безопасности» :

– определяются общие методы обеспечения ИБ Российской Федерации;

– раскрываются особенности обеспечения ИБ Российской Федерации в различных сферах общественной жизни;

– определяется международное сотрудничество в сфере обеспечения ИБ.

В третьем разделе «Основные положения государственной политики обеспечения информационной безопасности Российской Федерации» содержатся:

– принципы обеспечения государственной политики;

– первоочередные мероприятия по реализации государственной политики обеспечения ИБ Российской Федерации.

Четвертый раздел «Организационная основа системы обеспечения информационной безопасности Российской Федерации» закрепляет основные функции системы обеспечения ИБ и ее организационную основу.

Лекции по информационной безопасности.

Лекция 1. Понятие информационной безопасности. Основные составляющие. Важность проблемы 4

Понятие информационной безопасности 4

Основные составляющие информационной безопасности 5

Важность и сложность проблемы информационной безопасности 6

Лекция 2: Распространение объектно-ориентированного подхода на информационную безопасность 8

О необходимости объектно-ориентированного подхода к информационной безопасности 8

Основные понятия объектно-ориентированного подхода 8

Применение объектно-ориентированного подхода к рассмотрению защищаемых систем 10

Недостатки традиционного подхода к информационной безопасности с объектной точки зрения 12

Лекция 3. Наиболее распространенные угрозы 14

Основные определения и критерии классификации угроз 14

Некоторые примеры угроз доступности 16

Вредоносное программное обеспечение 17

Лекция 4: Законодательный уровень информационной безопасности 22

Что такое законодательный уровень информационной безопасности и почему он важен 22

Обзор российского законодательства в области информационной безопасности 22

Правовые акты общего назначения, затрагивающие вопросы информационной безопасности 22

Лекция 5: Стандарты и спецификации в области информационной безопасности 35

Основные понятия 35

Механизмы безопасности 36

Классы безопасности 38

Информационная безопасность распределенных систем. Рекомендации X.800 40

Сетевые сервисы безопасности 40

Сетевые механизмы безопасности 41

Администрирование средств безопасности 42

Стандарт ISO/IEC 15408 "Критерии оценки безопасности информационных технологий" 43

Основные понятия 43

Функциональные требования 45

Требования доверия безопасности 46

Гармонизированные критерии Европейских стран 47

Интерпретация "Оранжевой книги" для сетевых конфигураций 48

Руководящие документы Гостехкомиссии России 50

Лекция 6. Административный уровень информационной безопасности 53

Основные понятия 53

Политика безопасности 53

Программа безопасности 56

Синхронизация программы безопасности с жизненным циклом систем 56

Лекция 7: Управление рисками 59

Основные понятия 59

Подготовительные этапы управления рисками 60

Подготовительные этапы управления рисками 61

Основные этапы управления рисками 62

Лекция 8: Процедурный уровень информационной безопасности 65

Основные классы мер процедурного уровня 65

Управление персоналом 65

Физическая защита 66

Поддержание работоспособности 68

Реагирование на нарушения режима безопасности 70

Планирование восстановительных работ 70

Лекция 9: Основные программно-технические меры 73

Основные понятия программно-технического уровня информационной безопасности 73

Особенности современных информационных систем, существенные с точки зрения безопасности 74

Архитектурная безопасность 75

Лекция 10: Идентификация и аутентификация, управление доступом 78

Идентификация и аутентификация 78

Основные понятия 78

Парольная аутентификация 79

Одноразовые пароли 80

Сервер аутентификации Kerberos 80

Идентификация/аутентификация с помощью биометрических данных 81

Управление доступом 82

Основные понятия 82

Ролевое управление доступом 84

Управление доступом в Java-среде 87

Возможный подход к управлению доступом в распределенной объектной среде 89

Лекция 11 Моделирование и аудит, шифрование, контроль целостности. Протоколирование и аудит 91

Основные понятия 91

Активный аудит 92

Основные понятия 92

Функциональные компоненты и архитектура 93

Шифрование 94

Контроль целостности 97

Цифровые сертификаты 98

Лекция 12: Экранирование, анализ защищенности. Экранирование 100

Основные понятия 100

Архитектурные аспекты 101

Классификация межсетевых экранов 103

Анализ защищенности 105

Лекция 13: Обеспечение высокой доступности 107

Доступность 107

Основные понятия 107

Основы мер обеспечения высокой доступности 108

Отказоустойчивость и зона риска 109

Обеспечение отказоустойчивости 110

Программное обеспечение промежуточного слоя 111

Обеспечение обслуживаемости 112

Лекция 14: Туннелирование и управлениe 114

Туннелирование 114

Управление 115

Основные понятия 115

Возможности типичных систем 116

Лекция 15: Заключение 119

Что такое информационная безопасность. Основные составляющие информационной безопасности. Важность и сложность проблемы информационной безопасности 119

Законодательный, административный и процедурный уровни 119

Программно-технические меры 122

Лекция 1. Понятие информационной безопасности. Основные составляющие. Важность проблемы

Под информационной безопасностью (ИБ) следует понимать защиту интересов субъектов информационных отношений

Понятие информационной безопасности

Словосочетание "информационная безопасность" в разных контекстах может иметь различный смысл.

В Доктрине информационной безопасности Российской Федерации термин "информационная безопасность " используется в широком смысле. Имеется в виду состояние защищенности национальных интересов в информационной сфере.

В Законе РФ "Об участии в международном информационном обмене" информационная безопасность определяется аналогичным образом – как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства.

В данном курсе наше внимание будет сосредоточено на хранении, обработке и передаче информации вне зависимости от того, на каком языке (русском или каком-либо ином) она закодирована, кто или что является ее источником и какое психологическое воздействие она оказывает на людей. Поэтому термин "информационная безопасность " будет использоваться в узком смысле.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования ин- формационных технологий.

Из этого положения можно вывести два важных следствия:

Трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов может существенно различаться. Для иллюстрации достаточно сопоставить режимные государственные организации и учебные институты.

ИБ не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

Возвращаясь к вопросам терминологии, отметим, что термин "компьютерная безопасность" (как эквивалент или заменитель ИБ) представляется нам слишком узким. Компьютеры – только одна из составляющих информационных систем.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Эта инфраструктура имеет самостоятельную ценность, но нас будет интересовать лишь то, как она влияет на выполнение информационной системой предписанных ей функций.

Обратим внимание, что в определении ИБ перед существительным – "ущерб" стоит прилагательное "неприемлемый". Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Основные составляющие информационной безопасности

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Иногда в число основных составляющих ИБ включают защиту от несанкционированного копирования информации, но, на наш взгляд, это слишком специфический аспект с сомнительными шансами на успех, поэтому мы не станем его выделять.

Поясним понятия доступности, целостности и конфиденциальности:

Доступность – это возможность за приемлемое время получить требуемую информационную услугу.

Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Наконец, конфиденциальность – это защита от несанкционированного доступа к информации.

Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям. становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, мы выделяем её как важнейший элемент информационной безопасности.

Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).

Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в, буквальном смысле, смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации.

Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности; К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.

Если вернуться к анализу интересов различных категорий субъектов информационных отношений, то почти для всех, кто реально использует ИС, на первом месте стоит доступность. Практически не уступает ей по важности целостность – какой смысл в информационной услуге, если она содержит искаженные сведения?

Наконец, конфиденциальные моменты есть также у многих организаций (даже в упоминавшихся выше учебных институтах стараются не разглашать сведения о зарплате сотрудников) и отдельных пользователей (например, пароли).

Важность и сложность проблемы информационной безопасности

Для иллюстрации этого ограничимся несколькими примерами.

В Доктрине информационной безопасности Российской Федерации (здесь, подчеркнем, термин "информационная безопасность" используется в широком смысле) защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.

По распоряжению президента США Клинтона (от 15 июля 1996 года, номер 13010) была создана Комиссия по защите критически важной инфраструктуры как от физических нападений, так и от атак, предпринятых с помощью информационного оружия. В начале октября 1997 года при подготовке доклада президенту глава вышеупомянутой комиссии Роберт Марш заявил, что в настоящее время ни правительство, ни частный сектор не располагают средствами защиты от компьютерных атак, способных вывести из строя коммуникационные сети и сети энергоснабжения.

Американский ракетный крейсер "Йорктаун" был вынужден вернуться в порт из-за многочисленных проблем с программным обеспечением, функционировавшим на платформе Windows NT 4.0 (Government Computer News, июль 1998). Таким оказался побочный эффект программы ВМФ США по максимально широкому использованию коммерческого программного обеспечения с целью снижения стоимости военной техники.

Заместитель начальника управления по экономическим преступлениям Министерства внутренних дел России сообщил, что российские хакеры с 1994 по 1996 год предприняли почти 500 попыток проникновения в компьютерную сеть Центрального банка России. В 1995 году ими было похищено 250 миллиардов рублей (ИТАР-ТАСС, AP, 17 сентября 1996 года).

Как сообщил журнал Internet Week от 23 марта 1998 года, потери крупнейших компаний, вызванные компьютерными вторжениями, продолжают увеличиваться, несмотря на рост затрат на средства обеспечения безопасности. Согласно результатам совместного исследования Института информационной безопасности и ФБР, в 1997 году ущерб от компьютерных преступлений достиг 136 миллионов долларов, что на 36% больше, чем в 1996 году. Каждое компьютерное преступление наносит ущерб примерно в 200 тысяч долларов.

В середине июля 1996 года корпорация General Motors отозвала 292860 автомобилей марки Pontiac, Oldsmobile и Buick моделей 1996 и 1997 годов, поскольку ошибка в программном обеспечении двигателя могла привести к пожару.

В феврале 2001 года двое бывших сотрудников компании Commerce One, воспользовавшись паролем администратора, удалили с сервера файлы, составлявшие крупный (на несколько миллионов долларов) проект для иностранного заказчика. К счастью, имелась резервная копия проекта, так что реальные потери ограничились расходами на следствие и средства защиты от подобных инцидентов в будущем. В августе 2002 года преступники предстали перед судом.

Одна студентка потеряла стипендию в 18 тысяч долларов в Мичиганском университете из-за того, что ее соседка по комнате воспользовалась их общим системным входом и отправила от имени своей жертвы электронное письмо с отказом от стипендии.

Понятно, что подобных примеров множество, можно вспомнить и другие случаи - недостатка в нарушениях ИБ нет и не предвидится. Чего стоит одна только "Проблема 2000" - стыд и позор программистского сообщества!

При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасности есть составная часть информационных технологий - области, развивающейся беспрецедентно высокими темпами. Здесь важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие жить в темпе технического прогресса.

К сожалению, современная технология программирования не позволяет создавать безошибочные программы, что не способствует быстрому развитию средств обеспечения ИБ. Следует исходить из того, что необходимо конструировать надежные системы (информационной безопасности) с привлечением ненадежных компонентов (программ). В принципе, это возможно, но требует соблюдения определенных архитектурных принципов и контроля состояния защищенности на всем протяжении жизненного цикла ИС.

Приведем еще несколько цифр. В марте 1999 года был опубликован очередной, четвертый по счету, годовой отчет "Компьютерная преступность и безопасность-1999: проблемы и тенденции" (Issues and Trends: 1999 CSI/FBI Computer Crime and Security Survey). В отчете отмечается резкий рост числа обращений в правоохранительные органы по поводу компьютерных преступлений (32% из числа опрошенных); 30% респондентов сообщили о том, что их информационные системы были взломаны внешними злоумышленниками; атакам через Internet подвергались 57% опрошенных; в 55% случаях отмечались нарушения со стороны собственных сотрудников. Примечательно, что 33% респондентов на вопрос "были ли взломаны ваши Web-серверы и системы электронной коммерции за последние 12 месяцев?" ответили "не знаю".

В аналогичном отчете, опубликованном в апреле 2002 года, цифры изменились, но тенденция осталась прежней: 90% респондентов (преимущественно из крупных компаний и правительственных структур) сообщили, что за последние 12 месяцев в их организациях имели место нарушения информационной безопасности; 80% констатировали финансовые потери от этих нарушений; 44% (223 респондента) смогли и/или захотели оценить потери количественно, общая сумма составила более 455 млн. долларов. Наибольший ущерб нанесли кражи и подлоги (более 170 и 115 млн. долларов соответственно).

Столь же тревожные результаты содержатся в обзоре InformationWeek, опубликованном 12 июля 1999 года. Лишь 22% респондентов заявили об отсутствии нарушений информационной безопасности. Наряду с распространением вирусов отмечается резкий рост числа внешних атак.

Увеличение числа атак - еще не самая большая неприятность. Хуже то, что постоянно обнаруживаются новые уязвимые места в программном обеспечении (выше мы указывали на ограниченность современной технологии программирования) и, как следствие, появляются новые виды атак.

Так, в информационном письме Национального центра защиты инфраструктуры США (National Infrastructure Protection Center, NIPC) от 21 июля 1999 года сообщается, что за период с 3 по 16 июля 1999 года выявлено девять проблем с ПО, риск использования которых оценивается как средний или высокий (общее число обнаруженных уязвимых мест равно 17). Среди "пострадавших" операционных платформ - почти все разновидности ОС Unix, Windows, MacOS, так что никто не может чувствовать себя спокойно, поскольку новые ошибки тут же начинают активно использоваться злоумышленниками.

В таких условиях системы информационной безопасности должны уметь противостоять разнообразным атакам, как внешним, так и внутренним, атакам автоматизированным и скоординированным. Иногда нападение длится доли секунды; порой прощупывание уязвимых мест ведется медленно и растягивается на часы, так что подозрительная активность практически незаметна. Целью злоумышленников может быть нарушение всех составляющих ИБ - доступности, целостности или конфиденциальности

Лекция 2: Распространение объектно-ориентированного подхода на информационную безопасность 1

В этой лекции закладываются методические основы курса. Кратко формулируются необходимые понятия объектно-ориентированного подхода, в соответствии с ним выделяются уровни мер в области ИБ с небольшим числом сущностей на каждом из них.

О необходимости объектно-ориентированного подхода к информационной безопасности

Попытки создания больших систем еще в 60-х годах вскрыли многочисленные проблемы программирования, главной из которых является сложность создаваемых и сопровождаемых систем . Результатами исследований в области технологии программирования стали сначала структурированное программирование , затем объектно-ориентированный подход.

Объектно-ориентированный подход является основой современной технологии программирования, испытанным методом борьбы со сложностью систем. Представляется естественным и, более того, необходимым, стремление распространить этот подход и на системы информационной безопасности, для которых, как и для программирования в целом, имеет место упомянутая проблема сложности.

Сложность эта имеет двоякую природу. Во-первых, сложны не только аппаратно-программные системы, которые необходимо защищать, но и сами средства безопасности. Во-вторых, быстро нарастает сложность семейства нормативных документов, таких, например, как профили защиты на основе "Общих критериев", речь о которых впереди. Эта сложность менее очевидна, но ею также нельзя пренебрегать; необходимо изначально строить семейства документов по объектному принципу.

Любой разумный метод борьбы со сложностью опирается на принцип "devide et impera" - "разделяй и властвуй". В данном контексте этот принцип означает, что сложная система (информационной безопасности) на верхнем уровне должна состоять из небольшого числа относительно независимых компонентов. Относительная независимость здесь и далее понимается как минимизация числа связей между компонентами. Затем декомпозиции подвергаются выделенные на первом этапе компоненты, и так далее до заданного уровня детализации. В результате система оказывается представленной в виде иерархии с несколькими уровнями абстракции.

Важнейший вопрос, возникающий при реализации принципа "разделяй и властвуй", - как, собственно говоря, разделять. Упоминавшийся выше структурный подход опирается на алгоритмическую декомпозицию , когда выделяются функциональные элементы системы. Основная проблема структурного подхода состоит в том, что он неприменим на ранних этапах анализа и моделирования предметной области, когда до алгоритмов и функций дело еще не дошло.

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ 1. Основы информационной безопасности

Интенсивное развитие компьютерных средств и информационных технологий повышают требования к обеспечению информационной безопасности.

Под информационной безопасностью (ИБ) будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздей ствий естественного или искусственного характера, которые могут нанести ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуре.

Средства и методы поддержки ИБ должны обеспечивать;

доступность - информация, ресурсы, сервисы, средства взаимодействия и связи должны быть доступны и готовь к работе всегда, когда возникает необходимость;

целостность - сохранение структуры информации и/или ее содержания в процессе передачи и хранения. Целостность можно подразделить на статическую - неизменность информационных объектов, и динамическую - корректное выполнение транзакций. Средства контроля динамической целостности применяются в частности при анализе потока ф инансовых сообщений

с целью выявления кражи, переупорядочения или дублирования отдельных сообщений;

конфиденциальность - обеспечение доступа к информации только ограниченному кругу субъектов информацией системы (пользователям, процессам, программам).

Доступность информации (ресурсов ИС) предполагает что субъекты, имеющие права доступа, могут беспрепятственно их реализовывать.

Под доступом к информации понимается возможности, получения информации и ее использование (ознакомлений обработка, копирование, модификация или уничтожение) Различают санкционированный и несанкционированный доступ к информации.

Санкционированный доступ к информации - это доступ, не нарушающий установленные правила разграничения доступа.Несанкционированный доступ характеризуется нарушением установленных правил разграничения доступа и является наиболее распространенным видом компьютерных нарушений.

Права доступа - совокупность правил, регламентирующих порядок и условия доступа субъекта к информации, ее носителям и другим ресурсам ИС, установленных правовыми документами или собственником, владельцем информации.

Разграничение доступа - с одной стороны, правила, ограничивающие действия субъектов ИС над ее ресурсами, с другой - деятельность по реализации этих правил.

Атака на информационную систему - это действие, предпринимаемое злоумышленником с целью поиска и использования той или иной уязвимости системы. Таким образом, атака - это реализация угрозы безопасности. Подугрозой информационной безопасности понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств. Комплекс мер, направленных на обеспечение ИБ, должен гарантировать защиту информации и минимизировать риски ее искажения.

Важнейшей составляющей процесса обеспечения ИБ является проведение квалифицирова н- ного аудита безопасности ИС, что позволяет своевременно выявить существующие недостатки и объективно оценить соответствие обеспечения информационной безопасности требуемому уровню решаемых задач организации. Оценка качества безопасности ИС выполняется специализированными аудиторскими организациями.

Защита информации - деятельность, направленная на сохранение государственной, служебной, коммерческой или личной тайны, на сохранение носителей информации любого содержания.

Политика безопасности - это совокупность норм и правил, определяющих принятые в организации меры по обеспечению безопасности информации, связанной с деятельно стью организации. Цель ее формулирования для ИС - изложение взглядов руководства организации на сущность угроз информационной безопасности. Политика безопасности должна быть оформлена документально на нескольких уровнях управления: на уровне высшего руководства - подготавливается и утверждается документ, в котором определены цели политики безопасности, структура и перечень решаемых задач и ответственные за реализацию политики; администраторами без-

опасности ИС детализируется документ с учетом принципов деятельности организации, важн о- сти целей и наличия ресурсов.

Политика безопасности обычно состоит из двух частей: общих принципов и конкретных правил работы с ИС для различных категорий пользователей.

В руководство по компьютерной безопасности, разработанное Национальным институтом стандартов и технологий США {National Institute of Standards and Technology - NIST), реко-

мендовано включать в описание политики безопасности следующие разделы:

1. Предмет политики - определяются цели и указываются причины разработки политики, область ее применения, задачи, термины и определения.

2. Описание позиции организации - описываются ресурсы ИС, перечень допущенных к ресурсам лиц и процессов, порядок получения доступа к ресурсам.

3. Применимость - порядок доступа к данным ИС, ограничения или технологические цепочки, применяемые при реализации политики безопасности.

4. Роли и обязанности - определяются ответственные должностные лица и их обязанности в отношении разработки и внедрения элементов политики.

5. Соблюдение политики - описываются права и обя 3 аности пользователей ИС, недопустимые действия при осуществлении доступа к информационным ресурсам и наказать за нарушения режимных требований, технология фиксации фактов нарушения политики безопасности

и применения административных мер воздействия к нарушителям.

2. Критерии оценки информационной безопасности

Первые исследования в области обеспечения безопасности данных в ИС были вызваны потребностями военной сферы, где проблема безопасности стоит особенно остро. Начало было положено исследованиями вопросов защиты компьютерной информации, проведенными в конце 70-х - начале 80-х гг. XX в. Национальным центром компьютерной безопасности Министерства обороны США. Результатом этих исследований явилась публикация в 1983 г. документа под названием «Критерии оценки надежных компьютерных систем», по цвету обложки получившего название«Оранжевая книга». Этот документ стал первым стандартом в области создания защищенных компьютерных систем и впоследствии основой организации системы их сертификации по критериям защиты информации.

В 1999 г. ИСО приняла стандарт (ISO 15408) под названием «Общие критерии оценки безопасности информационных технологий» (сокращенно - Common Criteria), который способствовал унификации национальных стандартов в области оценки безопасности информационных технологий на основе взаимного признания сертификатов. Этот документ содержит обобщенное и формализованное представление знании и опыта, накопленного в области обеспечения информационной безопасности.

Стандарт ISO 15408 определяет инструменты оценки безопасности ИТ и порядок их использования, ряд ключевых понятий, лежащих в основе концепции оценки защищенно сти продуктов ИТ: профиля защиты, задания по безопасности и объекта оценки.

Профиль защиты - документ, содержащий обобщенный стандартный набор функциональных требований и требований доверия для определенного класса продуктов или систем (например, профиль защиты может быть разработан на межсетевой экран корпоративного уровня, систему электронных платежей), описания угроз безопасности и задач защиты, обоснования соответствия между угрозами безопасности, задачами защиты и требованиями безопасности.

Задание по безопасности - документ, содержащий требования безопасности для конкретного объекта оценки и специфицирующий функции безопасности и меры доверия.

Под объектом оценки понимается произвольный продукт информационных технологий или вся ИС в целом (КИС предприятия, процессы обработки данных, подготовки решений и выработки управляющих воздействий; программные коды, исполняемые вычислительными средствами в процессе функционирования КИС; данные в БД; информация, выдаваемая потребителям и на исполнительные механизмы; коммуникационная аппаратура и каналы связи; периферийные устройства коллективного пользования; помещения и др.).

В данном стандарте представлены две категории требований безопасности: функциональные (определяют совокупность функций объекта оценки, обеспечивающих его безопасность) и требования адекватности (свойство объекта оценки, дающее определенную степень уверенности в том,

что механизмы его безопасности достаточно эффективны и правильно реализованы) механизмов безопасности.

Безопасность в данном стандарте рассматривается не статично, а в привязке к жизненному циклу объекта. Использование стандарта позволяет:

сравнивать между собой результаты различных сертификационных испытаний ИС и контролировать качество оценки безопасности;

единообразно использовать имеющиеся результаты и методики оценок различных стран;

определять общий набор понятий, структур данных и язык для формулирования вопросов и утверждений относительно ИБ;

потенциальным пользователям ИС, опираясь на результаты сертификации, определить, удовлетворяет ли данный программный продукт или система их требованиям безопасности;

постоянно улучшать существующие критерии, вводя новые концепции и уточняя содержание имеющихся критериев.

В разных странах дополнительно разработаны отраслевые стандарты, нормативные документы и спецификации по обеспечению информационной безопасности, которые применяются национальными организациями при разработке программных средств, ИС и обеспечения качества и безопасности их функционирования.

3. Классы безопасности информационных систем

В соответствии с «Оранжевой книгой» политика безопасности должна включать в себя следующие элементы:

Произвольное управление доступом - метод разграничения доступа к объектам, основанный на учете личности субъекта (группы, в которую оп входит). Некоторое лицо (владелец объекта) может по своему усмотрению предоставлять другим субъектам или отбирать у них права доступа к объекту;

Безопасность повторного использования объектов - дополнительные средства, предохраняющие от случайного или преднамеренного извлечения конфиденциальной информации из оперативной памяти, дисковых блоков и магнитных носителей в целом;

Метки безопасности, состоящие из уровня секретности и списка категорий;

Принудительное управление доступом основано на сопоставлении меток безопасности субъекта и объекта: метка субъекта описывает его благонадежность, метка объекта - степень конфиденциальности содержащейся в нем информации. После фиксации меток безопасности субъектов и объектов оказываются зафиксированными и права доступа.

В «Оранжевой книге» дано определение безопасной системы - это система, которая посредством специальных механизмов защиты контролирует доступ к информации таким образом, что только имеющие соответствующие полномочия лица или процессы, выполняющиеся от их имени, могут получить доступ на чтение, запись, создание или удаление информации. В ней выделены основные классы защищенности - D, С, В, А.

В класс D попадают системы, оценка которых выявила их несоответствие требованиям всех других классов.

Класс С1: ИС должна управлять доступом именованных пользователей к именованным объектам; пользователи должны идентифицировать себя до выполнения каких-либо контролируемых ИС действий; ИС должна быть защищена от внешних воздействий и от попыток слежения за ходом работы; должна обеспечиваться корректность функционирования аппаратных и пр о- граммных средств путем периодической проверки; должен быть описан подход к безопасности, используемый разработчиком, и применение его при реализации ИС.

Класс С2 (в дополнение к требованиям класса С1): все объекты должны подвергаться контролю доступа; каждый пользователь системы должен уникальным образом идентифицироваться; каждое регистрируемое действие должно ассоциироваться с конкретным пользователем; предусмотрена ликвидация всех следов внутреннего использования объектов ИС; ИС должна созд а- вать, поддерживать и защищать журнал регистрационной информации, относящейся к дост у- пу к объектам, контролируемым ИС; тестирование должно подтвердить отсутствие очевидных недостатков в механизмах изоляции ресурсов и защиты регистрационной информации.

Класс В1 (в дополнение к требованиям класса С2): каждый хранимый объект ИС должен иметь отдельную идентификационную метку; ИС должна обеспечить реализацию принудитель-

ного управления доступом к хранимым объектам, взаимную изоляцию процессов путем разделения их адресных пространств; должна существовать неформальная или формальная модель политики безопасности.

Класс В2 (в дополнение к требованиям класса В1): должна быть предусмотрена возможность регистрации событий, связанных с организацией тайных каналов обмена информа цией; ИС должна быть внутренне структурирована и демонстрировать устойчивость к попыткам проникновения; тесты должны подтверждать действенность мер по уменьшению пропускной способности тайных каналов передачи информации.

Класс ВЗ (в дополнение к требованиям класса В2): для управления доступом должны использоваться списки управления доступом с указанием разрешенных режимов; должна быть предусмотрена возможность регистрации появления или накопления событий, несущих угрозу политике ИБ; администратор безопасности должен извещаться о попытках нарушения политики безопасности, а система в случае продолжения попыток должна пресекать их наименее болезненным способом; должны существовать процедуры и/или механизмы, позволяющие произвести восстановление после сбоя или иного нарушения работы без ослабления защиты; должна быть продемонстрирована устойчивость ИС к попыткам проникновения.

Класс А1 (в дополнение к требованиям класса ВЗ): тестирование должно продемонстрировать, что реализация ИС соответствует формальным спецификациям; механизм управления ИБ должен распространяться на весь жизненный цикл и все компоненты системы, имеющие отношение к обеспечению безопасности.

4. Угрозы информационной безопасности

Угрозы информационной безопасности делятся на два типа - естественные и искусственные. Естественные угрозы обусловливаются природными факторами (наводнения, землетрясения и другие стихийные бедствия), последствиями техногенных катастроф (пожары, взрывы и др.). Чаще всего ИС страдают отискусственных угроз (преднамеренных). Знание возможных угроз и уязвимых мест информационной системы необходимо для того, чтобы выбрать наиболее эффективные средства обеспечения безопасности.

Угроза характеризуется следующими параметрами: источник угрозы, метод воздействия, уязвимые места, которые могут быть использованы, ресурсы (активы), которые могут пострадать.

Источники угроз безопасности могут находиться как внутри информационной системы (внутренние), так и вне ее (внешние). Для одной и той же угрозы (например, кражи) методы противодействия для внешних и внутренних источников будут разными.

Самыми частыми и опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки пользователей, операторов, системных администраторов и других лиц, обслуживающих ИС. Иногда такие ошибки приводят к прямому ущербу (неправильно введенные данные, ошибка в программе, вызвавшая остановку или разрушение системы) и/или созданию «слабых» мест, которыми могут воспользоваться злоумышленники. Согласно данным Национального института стандартов и технологий США, 55 % случаев нарушения безопасности информационной системы являются следствием непреднамеренных ошибок (рис. 7.1). Работа в сети Интернет делает этот фактор достаточно актуальным, причем источником ущерба могут быть действия как отдельных пользователей и организаций, так и технологии сети Интернет, что особенно опасно.

Большой ущерб наносят кражи и подлоги, где в большинстве расследованных случаев виновниками оказывались штатные сотрудники организаций, отлично знакомые с режимом работы и защитными мерами.

Преднамеренные попытки получения несанкционированного доступа через внешние коммуникации занимают в настоящее время около 10 % всех возможных нарушений. В сети Интернет почти каждый интернет-сервер по нескольку раз в день подвергается попыткам проникновения.

Угрозы информационной безопасности можно разделить:

на конструктивные - основной целью несанкционированного доступа является получение копии конфиденциальной информации;

деструктивные - несанкционированный доступ приводит к потере (изменению) данных или прекращению сервиса.

В общем случае источники угроз определить нелегко. Они могут варьироваться от неавторизованных вторжений злоумышленников до компьютерных вирусов.

Классификация угроз информационной безопасности приведена в табл. 7.1.

Утечка конфиденциальной информации - это бесконтрольный выход конфиденциальной информации за пределы ИС или круга лиц, которым она была доверена по службе. Пути утечки конфиденциальной информации: разглашение, уход информации по различным техническим каналам, несанкционированный доступ.

Появляется множество вредоносных программ, что не позволяет разработать постоянные и надежные средства защиты от них. Разновидности вредоносных программ (компьютерных вирусов):

Вид среды обитания: файловые вирусы, загрузочные вирусы, файлово-загрузочные вирусы.

Способ запуска на выполнении: нерезидентные вирусы, резидентные вирусы.

Способ маскировки: немаскирующиеся вирусы, маскирующиеся вирусы (самошифрующиеся, невидимые и мутирующие).

Способ распространения: троянские программы, программы-репликаторы («черви») и захватчик паролей.

Источниками угроз могут выступать: сама ИС (нарушение информационного обслуживания - задержка предоставления информационных ресурсов абоненту, вызывающая нераци о- нальные действия пользователя); пользователи при незаконном захвате привилегий.

На угрозы ИБ влияют различные факторы:

политические: изменение геополитической обстановки, информационная экспансия, изменение политической системы, системы управления, нарушение информационных связей в результате образования новых государств, стремление стран к более тесному сотрудничеству, низкая общая правовая и информационная культура в обществе;

экономические: переход к рыночной экономике, критическое состояние отраслей промышленности, расширяющаяся кооперация с зарубежными странами;

организационно-технические: недостаточная нормативно-правовая база в сфере информационных отношений, рост объемов информации, передаваемой по каналам связи, обострение криминогенной обстановки и др.

В последнее время широкое распространение получила компьютерная преступность - любые незаконные, неправомерные, неэтичные действия, связанные с автоматической обработкой

и передачей данных. Существенными причинами активизации компьютерных преступлений являются:

переход от традиционной «бумажной» технологии хранения и передачи сведений на электронную при недостаточном развитии технологий защиты информации;

объединение вычислительных систем, создание глобальных сетей и расширение доступа к информационным ресурсам;

усложнение программных средств и связанное с этим уменьшение их надежности и увеличение числа уязвимых мест.

Превращение компьютерной преступности в мировое явление потребовало международного сотрудничества и совместного противодействия компьютерным преступникам. В этих Целях совершенствуется правовая база, в частности, вслед за европейскими странами в рамках СНГ заключаются межгосударственные договоры и соглашения, направленные на борьбу с компьютерной преступностью. Страны СНГ обязуется сотрудничать в целях обеспечения эффективного предупреждения, выявления, пресечения, раскрытия и расследования преступлений в сфере компьютерной информации, обеспечивать гармонизацию национального законодатель ства в области борьбы с преступлениями в сфере компьютерной информации. Преступление в сфере компьютерной информации - уголовно наказуемое деяние, предметом посягательства которого является компьютерная информация.

По соглашению стран СНГ в качестве уголовно наказуе мых признаются совершаемые умышленно действия:

неправомерный доступ к охраняемой законом компьютерной информации, если это повлекло уничтожение, блокирование, модификацию, копирование информации, нарушение работы компьютера или сети;

создание, использование или распространение вредо носных программ;

нарушение правил эксплуатации компьютера или сети имеющим доступ лицом, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации и причинение существенного вреда или тяжкие последствия;

незаконное использование компьютерных программ и баз данных, являющихся объектами авторского права, присвоение авторства, если это причинило существенный ущерб.

Сотрудничество осуществляется в формах обмена информацией; запросов о проведении опе- ративно-розыскных мероприятий; планирования и проведения скоординированных мероприятий и операций по предупреждению, выявлению, пресечению, раскрытия и расследования преступлений в сфере компьютерной информации; создания информационных систем, обеспечивающих выполнение задач по предупреждению, выявлению, пресечению, раскрытию и расследованию преступлений в сфере компьютерной информации; проведения совместных научных исследований по представляющим взаимный интерес проблемам борьбы с преступлениями в сфере компьютерной информации; обмена нормативными правовыми актами, научно-технической литературой по борьбе с преступлениями в сфере компьютерной информации и др.

5. Методы и средства защиты информации

Выделяют два подхода к обеспечению ИБ:

фрагментарный -- направлен на противодействие четко определенным угрозам в заданных условиях (например,средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т.п.). Его достоинством является высокая избирательность к конкретной угрозе. Существенным недостатком - отсутствие единой защищенной среды обработки информации, небольшое видоизменение угрозы ведет к потере эффективности защиты;

комплексный - ориентирован на создание защищенной среды обработки информации, объединяющей в единый комплекс разнородные меры противодействия угрозам, что позволяет гарантировать определенный уровень безопасности и является несомненным достоинством комплексного подхода. К недостаткам этого подхода относят: ограничения на свободу действий пользователей, чувствительность к ошибкам установки и настройки средств защиты, сложность управления. Данный подход использует большинство государственных и крупных коммерческих предприятий и учреждений.

Защиту информации следует рассматривать как регулярный процесс, осуществляемый путем

комплексного использования технических, программных средств и организационных мероприятий на всех этапах разработки, испытаний и эксплуатации ИС. Требования по защите, предъявляемые к информационной системе, должны рассматриваться как часть общих функциональных требований к ней. В мировой практике используется понятие комплексная система защиты - совокупность законодательных, организационных и технических мер, направленных на выявление, отражение и ликвидацию различных видов угроз безопасности.

Комплексная информационная безопасность - такое состояние условий функционирования человека, объектов, технических средств и систем, при котором они надежно защищены от всех возможных видов угроз в ходе непрерывного процесса подготовки, хранения, передачи и обработки информации.

Корпоративные проекты информационной безопасности разрабатываются при объедине-

нии различных ИС и их компонент, подсистем связи, подсистем обеспечения безо пасности в единую информационную систему с общими техническими средствами, каналами связи, ПО и базами данных, что предполагает обязательную непрерывность процесса обеспечения безопасности как во времени (в течение всей жизни ИС), так и в пространстве (по всему технологическому циклу деятельности) с обязательным учетом всех возможных видов угроз.

Современные комплексные системы защиты осуществляют полный спектр управления всеми процессами, происходящими в ИС. Они позволяют:

собирать информацию со всех устройств идентификации и контроля, обрабатывать ее и управлять исполнительными устройствами;

собирать и обрабатывать информацию с оборудования охранных систем сигнализации, систем видеонаблюдения, пожаротушения, вентиляции, энергосбережения и др.;

создавать журналы учета состояния этих систем и происхождения изменений, демонстр и- ровать оператору состояние систем и аварийные ситуации;

контролировать состояние всей структуры в режиме реального времени при подключении информационных каналов, связывающих главный объект с филиалами или другими объектами.

Для обеспечения ИБ используются следующие методы: законодательные (законы, нормативные акты, стандарты и т.п.); административно-организационные (действия общего характера, предпринимаемые руководством организации,- и конкретные меры безопасности, направленные на работу с людьми); программно-технические.

К законодательным методам относят комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности.

Административно-организационные методы. - администрация организации должна созна-

вать необходимость поддержания режима безопасности и выделять на эти цели соответствующие ресурсы; основой защиты является политика безопасности и комплекс организационных мер (управление персоналом, физическая защита, поддержание работоспособности, реагирование на нарушения режима безопасности, планирование восстановительных работ). В лю бой организации должен существовать набор регламентов, определяющих действия персонала в соответствующих ситуациях.

Программно-технические методы и средства:

защищенные виртуальные частные сети для защиты информации, передаваемой по открытым каналам связи;

межсетевые экраны для защиты корпоративной сети от внешних угроз при подключении к общедоступным сетям связи;

управление доступом на уровне пользователей и защита от несанкционированного доступа к информации;

гарантированная идентификация пользователей путем применения токенов (смарт-карты, touch-memory, ключи для USB-портов и т.п.) и других средств аутентификации;

защита информации на файловом уровне (шифрование файлов и каталогов) для обеспечения ее надежного хранения;

защита от вирусов с использованием специализированных комплексов антивирусной профилактики и защиты;

обнаружение вторжений и активного исследования защищенности информационных ресурсов;

криптографическое преобразование данных для обеспечения целостности, подлинности и конфиденциальности информации.

В настоящее время для организации защищенных VPN-каналов широко используется комплекс стандартов сети Интернет - IPSec (IP Security), поддержка которого является обязательным условием для перспективных VPN-продуктов. Средства VPN предприятия могут эффективно поддерживать защищенные каналы трех типов: с удаленными и мобильными сотрудниками (защищенный удаленный доступ), сетями филиалов предприятий (защита intranet), сетями предприятий-партнеров (защита extranet).

Для защиты VPN применяются межсетевые экраны, которые реализуют следующую схему доступа:

Доступ контролируется в одной точке, располагающейся на пути соединения внутренней сети с сетью Интернет или другой публичной сетью, являющейся источником потенциальных угроз;

Все субъекты доступа делятся на группы по IP-адресам (внутренние и внешние пользователи); внешним пользователям разрешается для доступа к внутренним ресурсам сети использовать один-два сервиса, например электронную почту, а трафик остальных сервисов отсекается.

Применение нескольких межсетевых экранов в пределах одной внутр енней сети требует организации их скоординированной работы на основе единой политики доступа, что позволяет корректно обрабатывать пакеты пользователей независимо от того, через какую точку доступа проходит их маршрут.

При предоставлении информации в сети для гарантированной идентификации пользователей необходим специальный механизм, состоящий из следующих процедур:

идентификация - распознавание пользователя по его идентификатору (имени), который пользователь сообщает сети по запросу, сеть проверяет его наличие в своей базе данных;

аутентификация - проверка подлинности заявленного пользователя, которая позволяет достоверно убедиться, что пользователь именно тот, кем себя объявляет (пароль);

сурсов сети, т.е. устанавливается сфера действия пользователя и доступные ему ресурсы. Эффективным средством повышения надежности защиты данных на основе гарантированной

идентификации пользователя являются электронные токены, которые хранят персональные данные пользователя системы.

Антивирусная защита должна устанавливаться в узлах, на которых информация хранится, обрабатывается и передается в открытом виде.

Постоянные изменения ИС (реконфигурация программных средств, подключение новых рабочих станций и т.п.) могут привести к появлению новых угроз и уязвимых мест в системе защиты. В связи с этим особенно важно своевременное их выявление и внесение изменений в соответствующие настройки системы информационной безопасности, для чего используются средства обнаружения вторжений, которые дополняют защитные функции межсетевых экранов. Межсетевые экраны пытаются отсечь потенциально опасный трафик и не пропустить его в защищаемые сегменты, в то время как средства обнаружения вторжений анали зируют результирующий трафик в защищаемых сегментах и выявляют атаки на ресурсы сети или потенциально опасные действия и могут использоваться в незащищенных сегментах, например перед межсетевым экраном, для получения общей картины об атаках, которым подвергается сеть извне.

Особую роль в программно-технических методах защиты информации играют криптографические преобразования данных и электронная цифровая подпись.

Криптографический алгоритм, или шифр, - это математическая формула, описывающая

процессы зашифрования и расшифрования. Для того чтобы зашифровать открытый текст, криптоалгоритм работает в сочетании с ключом - словом, числом или фразой. Одно и то же сообщение одним алгоритмом, но с разными ключами будет преобразовывать ся в разный шифротекст. Защищенность шифротекста целиком зависит от стойкости криптоалгоритма и секретности ключа.

В традиционной криптографии один и тот же ключ используется как для зашифрования, так и для расшифрования данных (рис. 7.2). Такой ключ называется симметричным ключом (закрытым). Data Encryption Standart (DES) - пример симметричного алгоритма, широко применявшегося на Западе с 70-х гг. XX в. в банковской и коммерческой сферах. Алгоритм шифрования был реализован в виде интегральной схемы с длиной ключа в 64 бита. В настоящее время стандарт DES сменяется стан-

дартом Advanced Encryption Standard (AES). где длина ключа до 256 битов.

Симметричное шифрование обеспечивает скорость выполнения криптографических операций, но имеет два существенных недостатка, во-первых, большое количество необходимых ключей (каждому пользователю отдельный ключ); во-вторых, сложности передачи закрытого ключа.

Для установления шифрованной связи с помощью симметричного алгоритма отправителю и получателю нужно предварительно согласовать ключ и держать его в тайне. Если они находятся в географически удаленных местах, то должны прибегнуть к помощи доверенного посредника, чтобы избежать компрометации ключа в период транспортировки. Злоумышленник, перехвативший ключ, сможет читать, изменять и подделывать любую информацию, зашифрованную или заверенную этим ключом.

Проблема управления ключами была решена криптографией с открытым ключом, или асимметричным, концепция которой была предложена в 1975 г. В этой схеме применяется пара ключей; открытый, который зашифровывает данные, и соответствующий ему закрытый - их расшифровывает. Тот, кто зашифровывает данные, распространяет свой открытый ключ по всему свету, в то время как закрытый держит в тайне. Любой человек с копией открытого ключа может зашифровать данные, но прочитать данные сможет только тот, у кого есть закрытый ключ (рис. 7.3).

Хотя открытый и закрытый ключ математически связаны, однако вычисление закрытого ключа из открытого практически невыполнимо.

Асимметричное шифрование позволяет людям, не имеющим договоренности о безопасности, обмениваться секретными сообщениями. Необходимость отправителю и получателю согласовывать тайный ключ по специальному защищенному каналу полностью отпала. Все коммуникации затрагивают только открытые ключи, тогда как закрытые хранятся в безопасности. Примерами криптосистем с открытым ключом являются Elgamal, RSA, Diffie-Hellman, DSA и др.

Использование криптосистем с открытым ключом предоставляет возможность создания электронных цифровых подписей (ЭЦП). Электронная цифровая подпись - это реквизит электронного документа, предназначенный для удостоверения источника данных и защиты электронного документа от подделки. Цифровая подпись позволяет получателю сообщения убедиться в аутентичности источника информации (в том, кто является автором информации), проверить, была ли информация изменена (искажена), пока находилась в пути. Таким образом, цифровая подпись является средством аутентификации и контроля целостности данных и служит той же цели, что печать или собственноручный автограф на бумажном листе. Сравнительные характеристики Цифровой и обычной подписей приведены в табл. 7.3.

Простой способ генерации цифровых подписей показан на рис. 7.4.

Вместо шифрования информации открытым ключом информация шифруется собственным закрытым с одновременной генерацией открытого ключа. Если информация может быть расшифрована открытым ключом автора документа, то этим подтверждается авторство. В противном случае подпись считается поддельной

Для того чтобы не зашифровывать весь текст и затем пересылать его в зашифрованном виде, при формировании ЭЦП используется новый компонент - односторонняя хэш-функция, которая выбирает фрагмент произвольной длины, называемый прообразом (сообщение любого размера) и генерирует строго зависящий от прообраза код фиксированной длины. Хэш-функция гарантирует, что если информация будет каким-либо образом изменена, то в результате получится совершенно иное хэш-значение (дайджест сообщения). Полученный дайджест зашифровывается закрытым ключом отправителя и представляет собой электронную подпись, которая может прикрепляться к документу и передаваться вместе с исходным сообщением или же передаваться отдельно от него. При получении сообщения заново вычисляется дайджест подписанных данных, расшифровывается ЭЦП открытым ключом отправителя, тем самым сверяется целостность данных и их источник. Если вычисленный и получен ный с сообщением дайджесты совпадают, то информация после подписания не была изменена.

Если в процессе формирования ЭЦП применяется стойкая односторонняя хэш-функция, то нет никакого способа взять чью-либо подпись с одного документа и прикрепить ее к другому или же любым образом изменить подписанное сообщение. Малейшее изменение в подписанном документе будет обнаружено в процессе сверки ЭЦП (рис. 7.5).

Процесс информатизации современного общества приводит к резкому увеличению ценности определенной информации и убытков, которые могут иметь место в случае ее утечки, моди­фикации или уничтожения. В связи с этим особенно актуаль­ной становится проблема обеспечения информационной без­опасности.

Понятие безопасности в информационной сфере является весьма широким. В общем смысле под информационной безопас­ностью понимают защищенность информации от попыток не­санкционированного ее получения, модификации, разрушения и задержек доступа. Информационная безопасность должна обес­печивать достижение следующих целей:

Целостность данных - защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;

Конфиденциальность информации;

К числу причин, приводящих к потере или нежелательному изменению информации можно отнести следующие:

1) Несанкционированный доступ к данным (случайный или умышленный):

Копирование, искажение, уничтожение или подделка ин­формации;

Ознакомление посторонних лиц с конфиденциальной ин­формацией.

2) Некорректная работа программного обеспечения, приводя­щая к потере или порче данных:

Ошибки в прикладном или сетевом ПО;

Заражение систем компьютерными вирусами.

3) Технические сбои оборудования, вызванные:

Отключением электропитания;

Отказом дисковых систем и систем архивации данных;

Нарушением работы серверов, рабочих станций, сетевых карт, модемов;

Сбоями кабельной системы.

4) Ошибки обслуживающего персонала или пользователей.

5) Неправильное хранение информации.

В вычислительной технике понятие безопасности является весьма широким. Оно подразумевает и надежность работы компьютера, и сохранность ценных данных, и защиту информации от внесения в нее изменений неуполномоченными лицами, и сохранение тайны переписки при электронной связи. Разумеется, во всех цивилизованных странах на страже безопасности граждан стоят законы, но в сфере вычислительной техники правоприменительная практика пока развита недостаточно, а законотворческий процесс не успевает за развитием технологий. Поэтому надежность работы компьютерных систем во многом опирается на меры самозащиты.

Безопасность информационной системы - это система организационных и технических мероприятий, нацеленных на предотвращение угроз, то есть событий или действий, нарушающих нормальное функционирование компьютерной системы или права граждан, предприятий и государства на обладание информацией.

Мероприятия, обеспечивающие безопасность компьютерной системы, должны предусматривать все возможные угрозы и обычно включают в себя физическую защиту сервера, средства восстановления систем и данных после отказов и средства защиты от несанкционированного доступа.

Конечно, универсального решения проблемы информацион­ной безопасности, исключающего все перечисленные причины: физическую защиту данных и системных программ, защиту от несанкционированного доступа к данным, передаваемым по ли­ниям связи и находящимся на накопителях, - нет.

В настоящее время разработаны и успешно применяются различные методы и средства, позволяющие свести к минимуму риск потери или нежелательной модификации данных. Однако единого подхода к их классификации не существует.

Так, например, выделяют юридические, технические и орга­низационные аспекты обеспечения безопасности информации .

К юридическим мерам относятся: разработка нормативных актов, подразумевающих административную и уголовную ответ­ственность за хищение информации, нарушение авторских прав программистов и все те виды компьютерных преступлений, ко­торые были оговорены ранее.

К техническим мерам относятся: защита от несанкциониро­ванного доступа к системе; программные средства борьбы с ви­русами; резервное копирование и архивирование особо важных документов; организация локальных вычислительных сетей с возможностью перераспределения ресурсов, в случае выхода из строя отдельных звеньев; установка систем защиты от сбоев в сети электропитания; а также оснащение помещений системой охранной сигнализации.

Под организационными мерами понимается в первую очередь подбор сотрудников компании, а также обеспечение того, чтобы непроверенные лица не допускались к охраняемой информации. Сюда относится, например, оборудование помещений системой кодовых замков, чтобы в данную комнату мог войти только че­ловек, который знает код, открывающий дверь.

Существуют и другие подходы к классификации средств за­щиты информации:

- средства физической защиты: средства защиты кабельной системы, систем электропитания, средства архивации, дис­ковые массивы и т. д.

Физическая защита, в частности, включает в себя:

а) обеспечение безопасности помещений, где установлены серверы с учетом требований к надежности зданий, температуре и влажности, наличию средств пожаротушения;

б) мероприятия по ограничению физического доступа к компьютерным системам и сетевой инфраструктуре посторонних лиц, которые могут остановить, перезагрузить и даже переустановить сервер, украсть жесткие диски, установить разведывательную аппаратуру и программное обеспечение.

в) средства защиты от сбоев в электропитании – от источников бесперебойного питания до мероприятий по эффективному заземлению и защите от ударов молний.

- программные средства защиты: антивирусные программы, системы разграничения полномочий, программные средст­ва контроля доступа;

Программные средства и методы защиты активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях, реализуя такие функции за­щиты, как разграничение и контроль доступа к ресурсам; регист­рация и анализ протекающих процессов, событий, пользователей; предотвращение возможных разрушительных воздействий на ре­сурсы; криптографическая защита информации; идентификация и аутентификация пользователей и процессов и др.

В настоящее время наибольший удельный вес в этой группе мер в системах обработки экономической информации составля­ют специальные пакеты программ или отдельные программы , включаемые в состав программного обеспечения с целью реали­зации задач по защите информации.

- технологические средства защиты информации - это комплекс мероприятий, органично встраиваемых в технологические про­цессы преобразования данных. Среди них:

Создание архивных копий носителей;

Ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;

Регистрация пользователей компьютерных средств в жур­налах;

Автоматическая регистрация доступа пользователей к тем или иным ресурсам;

Разработка специальных инструкций по выполнению всех технологических процедур и др.

- к правовым и морально-этическим мерам и средствам защиты относятся действующие в стране законы, нормативные акты, рег­ламентирующие правила обращения с информацией и ответствен­ность за их нарушение; нормы поведения, соблюдение которых способствует защите информации.

- административные меры защиты: контроль доступа в поме­щения, разработку стратегии безопасности фирмы, планов действий в чрезвычайных ситуациях и т. д.

Организационно-административные средства защитысводят­ся к регламентации доступа к информационным и вычислитель­ным ресурсам, функциональным процессам систем обработки дан­ных, к регламентации деятельности персонала и др. Их цель - в наибольшей степени затруднить или исключить возможность ре­ализации угроз безопасности. Наиболее типичные организацион­но-административные средства:

Создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;

Изготовление и выдача специальных пропусков;

Мероприятия по подбору персонала, связанного с обработ­кой данных;

Допуск к обработке и передаче конфиденциальной инфор­мации только проверенных должностных лиц;

Хранение магнитных и иных носителей информации, представляющих определенную тайну, а также регистрационных журналов в сейфах, недоступных для посторонних лиц;

Организация защиты от установки прослушивающей аппа­ратуры в помещениях, связанных с обработкой информации;

Организация учета использования и уничтожения докумен­тов (носителей) с конфиденциальной информацией;

Разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;

Разграничение доступа к информационным и вычислитель­ным ресурсам должностных лиц в соответствии с их функциональ­ными обязанностями.

Любая из рассмотренных классификаций достаточно услов­на. Современные технологии развиваются в направлении синте­за различных средств защиты, и достижение требуемого уровня безопасности возможно лишь при оптимальном сочетании орга­низационных, программных, аппаратных, физических и других методов защиты, т. е. в случае реализации системного подхода к решению проблемы информационной безопасности.