Тема 5.

Основные технологии построения защищаемых информационных систем. Виды защиты информации. Сферы из действия.

Меры защиты:

1. п

   Их принято рассматривать вместе

   равовые

2. организационные

3. технические

Организационно-правовое обеспечение защиты информации – совокупность законов и других нормативно-правовых актов и организационных решений, регламентирующих как общие законы защиты информации, так и организацию, формирование и функционирование конкретных объектов и систем.

Технические средства защиты – средства защиты, в которых основная защитная функция реализуется некоторым техническим устройством.

Достоинства:

-широкий круг решаемых задач;

-высокая надежность;

-возможность создания развитых комплексов системы защиты;

-гибкое реагирование на попытки несанкционированных действий;

-традиционность используемых методов осуществления средств защиты.

Недостатки:

-высокая стоимость многих средств;

-необходимо регулярно проводить регламентацию работ;

-возможность подачи ложных тревог.

Классификация методов защиты информации.

-препятствия (метод физического преграждения пути злоумышленникам к защищаемой информации);

-управление доступом (защита информации регулированием использования всех ресурсов информационной системы рассматриваемого объекта):

1) идентификация пользователей, персонала и ресурсов информационной системы;

2) аутентификация объекта или субъекта по предъявляемому им идентификатору (установлением подлинности);

3)проверка полномочий (по рабочим дням, времени, разрешенным ресурсам);

4)процедуры…

5)разрешение и создание условий работы в пределах установленного регламента;

6)регистрация обращений к защищенным ресурсам;

7)реагирование при попытках несанкционированного доступа;

-маскировка (метод защиты информации в информационной системе путем ее криптографического закрытия);

-регламентация (метод защиты информации, создающий такие условия системы обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму);

-метод принуждения (метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности);

-побуждение (метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения моральных и этических норм).

Применение правовых, организационных, инженерно-технических и криптографических методов защиты информации.

Организационная защита – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз.

Организационная защита обеспечивает:

• организацию охраны, режима, работу с кадрами, с документами

• использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз предпринимательской деятельности.

К основным организационным мероприятиям можно отнести:

• организацию режима и охраны

• организацию работы с сотрудниками

• организацию работы с документами и документационной информацией

• организацию использования технических средств сбора обработки, накопления и хранения конфиденциальной информации

• организацию работы по анализу внутренних и внешних угроз конфиденциальной информации и выработке мер по обеспечению ее защиты

• организацию работы по проведению систематического контроля за работой персонала с конфиденциальной информацией, порядком учета, хранения и уничтожения документов и технических носителей.

Инженерно-технические:

Средства защиты от несанкционированного доступа (НСД):

• средства авторизации

• мандатное управление доступом

• избирательное управление доступом

• управление доступом на основе ролей

• журналирование (так же называется Аудит).

Системы анализа и моделирования информационных потоков (CASE – системы)

Системы мониторинга сетей

• Системы обнаружения и предотвращения вторжений (IDS/IPS)

• Системы предотвращения утечек конфиденциальной информации (DPL-системы)

• Анализаторы протоколов

• Антивирусные средства.

Криптографические средства:

• Шифрование

• Цифровая подпись

• Системы резервного копирования

Системы бесперебойного питания:

• Источники бесперебойного питания

• Резервирование нагрузки

• Генераторы напряжения.

Системы аутентификации:

• Пароль

• Ключ доступа (физический или электронный)

• Сертификат

• Биометрия.

Средства предотвращения взлома корпусов и краж оборудования.

Средства контроля доступа в помещениях.

Инструментальные средства анализа систем защиты

- мониторинговый программный продукт.

Криптографические способы защиты:

1. Требования к шифрам

К шифрам, предназначенным для закрытия информации в ЭВМ и автоматизированных системах, предъявляется ряд требований, в том числе: достаточная стойкость (надежность закрытия), простота шифрования и расшифрования от способа внутримашинного представления информации, нечувствительность к небольшим ошибкам шифрования, возможность внутримашинной обработки зашифрованной информации, незначительная избыточность информации за счет шифрования и ряд других.

2. Методы шифрования

2.1. Шифрование заменой (подстановкой)

В этом, наиболее простом методе символы шифруемого текста заменяются другими символами, взятыми из одного (одно- или моноалфавитная подстановка) или нескольких (много- или полиалфавитная подстановка) алфавитов. Такой шифр имеет низкую стойкость. Зашифрованный текст имеет те же статистические характеристики, что и исходный.

2.1. Шифрование методом перестановки

Символы шифруемого текста переставляются по определенным правилам внутри шифруемого блока символов.

Слабость шифрования простой перестановкой обуславливается тем, что при большой длине шифруемого текста в зашифрованном тексте могут появиться закономерности символов ключа.

2.3. Шифрование с помощью датчика псевдослучайных чисел.

Принцип шифрования заключается в генерации гаммы шифра с помощью датчика псевдослучайных чисел (ПСЧ) и наложении полученной гаммы (гаммирование) на открытые данные обратимым образом (например, при использовании логической операции «исключающее ИЛИ»).

2.4. Шифрование аналитическим преобразованием

Шифруемый текст преобразуется по некоторому аналитическому правилу (формуле)

2.5. Комбинированные методы

Наибольшее распространение получили следующие комбинации:

Подстановка + гаммирование;

Перестановка + гаммирование

Гаммирование + гаммирование;

Подстановка + перестановка.

Типичным примером комбинированного шифра является национальный стандарт США криптографического закрытия данных (DES)

2.5.1. Стандарт DES (Data Encryption Standard)

Суть алгоритма (алгоритм разработан для блока данных длиной 64 бит) заключается в преобразовании, которое состоит из серии перестановок (правая половина блока становится левой половиной «следующего» блока), операций запутывания (из правой половины блока длиной 32 бит формируется код длиной 48 бит, а каждый бит ключа размножается и превращается в подключ длиной 48 бит) и логических операций (с помощью функции ИСКЛЮЧАБЩЕЕ ИЛИ производится обработка кода длиной 48 бит и подключа такой же длины, затем из получившегося сегмента длиной 48 бит выбираются 32 бит и, наконец, с помощью функции ИСКЛЮЧАЮЩЕЕ ИЛИ производится совместная обработка отобранных на втором этапе 32 бит и левой половины блока длиной 32 бит). Этот процесс перестановок в половине блока, повторных операций запутывания и многократных логических операций выполняется 16 раз, тк ключ состоит из 16 бит, каждый из которых генерирует 16 подключей (за счет выполнения операций запутывания).

Недостатки метода в малой длине блока и ключа, что недостаточно для таких задач, как национальная безопасность. Свое развитие DES получил в ГОСТ 281478-89 (отечественный стандарт на шифрование данных), который увеличил длину ключа до 256 бит и допустил произвольные перестановки.

2.6. Шифры с открытым ключом

В таких системах для шифрования данных используется 1 ключ, а для расшифрования – другой. Первый ключ не является секретным и может быть опубликован для пользования всеми пользователями системы, которые зашифровывают данные. Для расшифрования данных получатель зашифрованной информации использует второй клюю, который является секретным. Ключ расшифрования не может быть определен из ключа зашифрования.

2.6.1 Шифр Райвеста – Шамира – Алдемана

Первой и наиболее известной криптографической системой с открытым ключом была предложенная в 1978 году так называемая система RSA. Ее название происходит от первых букв фамилий авторов, которые придумали ее во время совместных исследований в массачусетском технологическом институте в 1977 г. Она основана на трудности разложения очень больших целых чисел на простые сомножители. Международная сеть электронного перечисления платежей SWIFT уже требует от банковских учреждений, пользующихся ее услугами, применения именно этой криптографической системы. Он является очень перспективным, поскольку для зашифрования информации не требуется передачи ключа другим пользователям. К числу достоинств следует отнести очень высокую криптостойкость, довольно простую аппаратную и программную реализацию.