- •1.Моделирование – основные понятия. Классы моделей. Формализация описания предметной области.
- •Классы моделей
- •Формализация описания предметной области
- •2.Классы моделей и языки моделирования: основные характеристики, области применения.
- •3. Технология разработки моделей. Адекватность. Идентификация моделей по экспериментальным данным.
- •4.Системный подход. Основные понятия. Деятельность и проектирование. Анализ ситуации и формулировка целей.
- •5.Эвристические методы поиска.
- •6.Направленный поиск, методы и средства повышения эффективности поиска решений.
- •Методы и средства повышения эффективности направленного поиска
- •7. Анализ вариантов: суть этапа, объективные и субъективные измерительные шкалы, оценка вариантов.
- •8.Выбор на уровне параметров.
- •9.Выбор на уровне структуры.
- •11.Информационные системы и сети. Общая характеристика Системы информационного обмена. Типология ис. Задачи и функции ис. Информационные сети и их типология.
- •12.Информационные системы класса erp.
- •Особенности внедрения
- •Достоинства
- •14. Структурный подход к проектированию ис. Классификация структурных методологий.
- •15.Средства структурного проектирования: структурные карты Константайна, структурные карты Джексона.
- •16.Моделирование потоков данных: case – метод Баркера, подход Мартина, собственные методологии фирм – разработчиков программных систем.
- •17.Методология функционального моделирования sadt.
- •18.Общие понятия информационной технологии.
- •19.Этапы развития ит и их особенности.
- •21.Экспертные системы.
- •22.Модели информационных процессов.
- •Модель удаленного доступа к данным
- •Модель сервера базы данных
- •25.Протоколы передачи данных.
- •27.Каскадные таблицы стилей (css). Три способа вставки. Свойства текста, расположение элементов, псевдостили ссылок.
- •3 Способа вставки css стилей в страницу:
- •Псевдостили
- •Описание языка сценариев JavaScript
- •Работа с массивом
- •Строки и регулярные выражения
- •Регулярные выражения
- •Как же хранятся данные в реляционных базах данных?
- •32.Информационные технологии, обеспечивающие управление информационными ресурсами.
- •33.Технология поиска информации в Интернет.
- •36.Типы сетевых атак и средства их осуществления: пассивное прослушивание и пакетные анализаторы, сканирование и сетевые сканеры, взлом с использованием уязвимостей по и эксплойты.
- •37.Системы обнаружения вторжений
- •38.Механизмы обеспечения безопасности сети: защищаемый периметр и демилитаризованная зона, узловые и сетевые межсетевые экраны, фильтрация трафика. Обеспечение безопасности сетевого периметра
- •Использование демилитаризованной зоны сети
- •39.Безопасная аутентификация в сети.
- •40.Сетевое вредоносное по: сетевые черви (почтовые и пакетные) и троянские программы ("черные ходы", "шпионы", "прокси").
- •Объект защиты информации
- •Классификация злоумышленников
- •45.Жизненный цикл ис. Каскадная модель разработки ис. Спиральная модель разработки ис. Применимость моделей.
Объект защиты информации
Объектом защиты информации является компьютерная (информационная) система или автоматизированная система обработки информации (АСОИ). Информационная система – это организационно-упорядоченная совокупность информационных ресурсов, технических средств, технологий и персонала, реализующих информационные процессы в традиционном или автоматизированном режиме для удовлетворения информационных потребностей пользователей. Информационная безопасность АСОИ – состояние рассматриваемой автоматизированной системы, при котором она, с одной стороны, способна противостоять дестабилизирующему воздействию внешних и внутренних информационных уг- роз, а с другой ее наличие и функционирование не создает информационных угроз для элементов самой системы и внеш- ней среды. Информационная безопасность достигается проведением соответствующего уровня политики информационной безопасности. Под политикой информационной безопасности понимают совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты АСОИ от заданного множества угроз безопасности. Система защиты информации – совокупность правовых норм, организационных мер и мероприятий, технических, программных и криптографических средств и методов, обеспечивающих защищенность информации в системе в соответствии с принятой политикой безопасности.
42.Методы обеспечения информационной безопасности. Анализ угроз информационной безопасности. Классификация злоумышленников.
Одним из наиболее эффективных методов обеспечения информационной безопасности являются организационно-технические методы. Что такое организационно-технические методы обеспечения информационной безопасности? Прежде всего, создание и совершенствование системы обеспечения информационной безопасности, разработка, использование и совершенствование СЗИ и методов контроля их эффективности. Этот этап тесно связан с правовыми методами защиты информации, такими как лицензирование (деятельности в области защиты информации), сертификация средств защиты информации и применение уже сертифицированных, и аттестация объектов информатизации по требованиям безопасности информации. А так же организационно технические методы связаны с экономическими, включающими в себя разработку программ обеспечения информационной безопасности Российской Федерации, определение порядка их финансирования, совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков. Защита информации всегда является комплексным мероприятием. В совокупности, организационные и технические мероприятия позволяют предотвратить утечку информации по техническим каналам, предотвратить несанкционированный доступ к защищаемым ресурсам, что в свою очередь обеспечивает целостность и доступность информации при ее обработке, передаче и хранении. Так же техническими мероприятиями могут быть выявлены специальные электронные устройства перехвата информации, установленные в технические средства и защищаемое помещение. Основными объектами защиты являются речевая информация и информация обрабатываемая техническими средствами. Так же информация может быть представлена в виде физических полей, информативных электрических сигналов, носителей на бумажной, магнитной, магнито-оптической и иной основе. В связи с этим защите подлежат средства и системы информатизации, участвующие в обработке защищаемой информации (ОТСС), технические средства и системы, не обрабатывающие непосредственно информацию, но размещенные в помещениях, где она обрабатывается (ВТСС) и защищаемые помещения.
Анализ угроз информационной безопасности
Под угрозой (в общем смысле) обычно понимают потенциально возможное событие (воздействие, процесс или явление), которое может привести к нанесению ущерба чьим-либо интересам.
Рассмотрение возможных угроз информационной безопасности проводится с целью определения полного набора требований к разрабатываемой системе зашиты.
Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты АС. Кроме выявления возможных угроз, целесообразно проведение анализа этих угроз на основе их классификации по ряду признаков. Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. Угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.
Необходимость классификации угроз информационной безопасности АС обусловлена тем, что хранимая и обрабатываемая информация в современных АС подвержена воздействию чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Поэтому для защищаемой системы обычно определяют не полный перечень угроз, а перечень классов угроз.
Классификация возможных угроз информационной безопасности АС может быть проведена по следующим базовым признакам [63].
1. По природе возникновения: • естественные угрозы, вызванные воздействиями на АС объективных физических процессов или стихийных природных явлений; • искусственные угрозы безопасности АС, вызванные деятельностью человека.
2. По степени преднамеренности проявления: • угрозы, вызванные ошибками или халатностью персонала, например некомпетентное использование средств защиты, ввод ошибочных данных и т. п.; • угрозы преднамеренного действия, например действия злоумышленников.
3. По непосредственному источнику угроз: • природная среда, например стихийные бедствия, магнитные бури и пр.; • человек, например вербовка путем подкупа персонала, разглашение конфиденциальных данных и т. п.; • санкционированные программно-аппаратные средства, например удаление данных, отказ в работе ОС; • несанкционированные программно-аппаратные средства, например заражение компьютера вирусами с деструктивными функциями.
4. По положению источника угроз:
• вне контролируемой зоны АС, например перехват данных, передаваемых по каналам связи, перехват побочных электромагнитных, акустических и других излучений устройств; • в пределах контролируемой зоны АС, например применение подслушивающих устройств, хищение распечаток, записей, носителей информации и т. п.; • непосредственно в АС, например некорректное использование ресурсов АС.
5. По степени зависимости от активности АС: • независимо от активности АС, например вскрытие шифров криптозащиты информации; • только в процессе обработки данных, например угрозы выполнения и распространения программных вирусов.
6. По степени воздействия на АС: • пассивные угрозы, которые при реализации ничего не меняют в структуре и содержании АС, например угроза копирования секретных данных; • активные угрозы, которые при воздействии вносят изменения в структуру и содержание АС, например внедрение троянских коней и вирусов.
7. По этапам доступа пользователей или программ к ресурсам АС: • угрозы, проявляющиеся на этапе доступа к ресурсам АС, например угрозы несанкционированного доступа в АС; • угрозы, проявляющиеся после разрешения доступа к ресурсам АС, например угрозы несанкционированного или некорректного использования ресурсов АС.
8. По способу доступа к ресурсам АС: • угрозы, осуществляемые с использованием стандартного пути доступа к ресурсам АС, например незаконное получение паролей и других реквизитов разграничения доступа с последующей маскировкой под зарегистрированного пользователя; • угрозы, осуществляемые с использованием скрытого нестандартного пути доступа к ресурсам АС, например несанкционированный доступ к ресурсам АС путем использования недокументированных возможностей ОС.
9. По текущему месту расположения информации, хранимой и обрабатываемой в АС: • угрозы доступа к информации, находящейся на внешних запоминающих устройствах, например несанкционированное копирование секретной информации с жесткого диска; • угрозы доступа к информации, находящейся в оперативной памяти, например чтение остаточной информации из оперативной памяти, доступ к системной области оперативной памяти со стороны прикладных программ; • угрозы доступа к информации, циркулирующей в линиях связи, например незаконное подключение к линиям связи с последующим вводом ложных сообщений или модификацией передаваемых сообщений, незаконное подключение к линиям связи с целью прямой подмены законного пользователя с последующим вводом дезинформации и навязыванием ложных сообщений; • угрозы доступа к информации, отображаемой на терминале или печатаемой на принтере, например запись отображаемой информации на скрытую видеокамеру.
Преднамеренные угрозы связаны с целенаправленными действиями нарушителя. В качестве нарушителя может быть служащий, посетитель, конкурент, наемник и т. д.
Несанкционированный доступ — наиболее распространенный и многообразный вид компьютерных нарушений. Суть НСД состоит в получении пользователем (нарушителем) доступа к объекту в нарушение правил разграничения доступа, установленных в соответствии с принятой в организации политикой безопасности. НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке. НСД может быть осуществлен как штатными средствами АС, так и специально созданными аппаратными и программными средствами.
Основные каналы НСД, через которые нарушитель может получить доступ к компонентам АС и осуществить хищение, модификацию и/или разрушение информации:
• штатные каналы доступа к информации (терминалы пользователей, оператора, администратора системы; средства отображения и документирования информации; каналы связи) при их использовании нарушителями, а также законными пользователями вне пределов их полномочий; • технологические пульты управления; • линии связи между аппаратными средствами АС; • побочные электромагнитные излучения от аппаратуры, линий связи, сетей электропитания и заземления и др.
Распространённые нарушения: • перехват паролей; • «маскарад»; • незаконное использование привилегий.
Перехват паролей осуществляется специально разработанными программами. При попытке законного пользователя войти в систему программа-перехватчик имитирует на экране дисплея ввод имени и пароля пользователя, которые сразу пересылаются владельцу программы-перехватчика, после чего на экран выводится сообщение об ошибке и управление возвращается ОС.
Пользователь предполагает, что допустил ошибку при вводе пароля. Он повторяет ввод и получает доступ в систему. Владелец программы-перехватчика, получивший имя и пароль законного пользователя, может теперь использовать их в своих целях. Существуют и другие способы перехвата паролей.
«Маскарад» — это выполнение каких-либо действий одним пользователем от имени другого пользователя, обладающего соответствующими полномочиями. Целью «маскарада» является приписывание каких-либо действий другому пользователю либо присвоение полномочий и привилегий другого пользователя. Примерами реализации «маскарада» являются: • вход в систему под именем и паролем другого пользователя (этому «маскараду» предшествует перехват пароля); • передача сообщений в сети от имени другого пользователя.
«Маскарад» особенно опасен в банковских системах электронных платежей, где неправильная идентификация клиента из-за «маскарада» злоумышленника может привести к большим убыткам законного клиента банка.
Незаконное использование привилегий. Большинство систем защиты устанавливают определенные наборы привилегий для выполнения заданных функций. Каждый пользователь получает свой набор привилегий: обычные пользователи — минимальный, администраторы — максимальный. Несанкционированный захват привилегий, например посредством «маскарада», приводит к возможности выполнения нарушителем определенных действий в обход системы защиты
Рассматривают три основных вида угроз.
Угрозы нарушения конфиденциальности, направленные на разглашение конфиденциальной или секретной информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда получен НСД к некоторой закрытой информации, хранящейся в компьютерной системе или передаваемой от одной системы к другой.
Угрозы нарушения целостности информации, хранящейся в компьютерной системе или передаваемой по каналу связи, которые направлены на ее изменение или искажение, приводящее к нарушению ее качества или полному уничтожению. Целостность информации может быть нарушена умышленно, а также в результате объективных воздействий со стороны среды, окружающей систему. Эта угроза особенно актуальна для систем передачи информации — компьютерных сетей и систем телекоммуникаций. Умышленные нарушения целостности информации не следует путать с ее санкционированным изменением, которое выполняется полномочными лицами с обоснованной целью (таким изменением, например, является периодическая коррекция некоторой БД).
Угрозы нарушения работоспособности (отказ в обслуживании), направленные на создание таких ситуаций, когда определенные преднамеренные действия либо снижают работоспособность АС, либо блокируют доступ к некоторым ее ресурсам. Например, если один пользователь системы запрашивает доступ к некоторой службе, а другой предпринимает действия по блокированию этого доступа, то первый пользователь получает отказ в обслуживании. Блокирование доступа к ресурсу может быть постоянным или временным.
Эти виды угроз можно считать первичными или непосредственными, поскольку реализация этих угроз ведет к непосредственному воздействию на защищаемую информацию.
Преодоление защиты также представляет собой угрозу, поэтому для защищенных систем можно рассматривать четвертый вид угрозы — угрозу раскрытия параметров АС, включающей в себя подсистему защиты. На практике любое проводимое мероприятие предваряется этапом разведки, в ходе которого определяются основные параметры системы, ее характеристики и т. п. Результатом этого этапа является уточнение поставленной задачи, а также выбор наиболее оптимального технического средства.
Угрозу раскрытия параметров АС можно считать опосредованной угрозой. Последствия ее реализации не причиняют какой-либо ущерб обрабатываемой информации, но дают возможность реализовать первичные или непосредственные угрозы, перечисленные выше.
При рассмотрении вопросов защиты АС целесообразно использовать четырехуровневую градацию доступа к хранимой, обрабатываемой и защищаемой АС информации. Такая градация доступа поможет систематизировать как возможные угрозы, так и меры по их нейтрализации и парированию, т. е. поможет систематизировать весь спектр методов обеспечения защиты, относящихся к информационной безопасности. Это следующие уровни доступа: • уровень носителей информации; • уровень средств взаимодействия с носителем; • уровень представления информации; • уровень содержания информации.
К основным направлениям реализации злоумышленником информационных угроз относятся: • непосредственное обращение к объектам доступа; • создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты; • модификация средств защиты, позволяющая реализовать угрозы информационной безопасности; • внедрение в технические средства АС программных или технических механизмов, нарушающих предполагаемую структуру и функции АС.
Для достижения требуемого уровня информационной безопасности АС необходимо обеспечить противодействие различным техническим угрозам и минимизировать возможное влияние «человеческого фактора».