- •Вопросы к экзамену по защите информации.
- •Реальная эффективность Экономический аспект
- •Технический аспект
- •Основные причины проблем
- •Системность при защите информации
- •Качество и его подтверждение
- •Модели разграничения доступа
- •Снифферы пакетов
- •Отказ в обслуживании (Denial of Service - DoS)
- •Парольные атаки
- •Атаки типа Man-in-the-Middle
- •Атаки на уровне приложений
- •Сетевая разведка
- •Злоупотребление доверием
- •Переадресация портов
- •Несанкционированный доступ
- •Вирусы и приложения типа "троянский конь"
- •8.3. Обеспечение целостности информации в пэвм
- •3. Разграничение доступа к элементам защищаемой информации.
- •IpSec в работе
- •Технические средства пространственного и линейного зашумления.
- •Механизм применения разрешений
- •Порядок применения разрешений
- •Владение папкой или файлом
- •Возможности применения криптографических методов в асод
- •Основные требования к криптографическому закрытию информации в асод.
- •Методы криптографического преобразования данных.
- •Усложненные замены или подстановки (таблица Вижинера)
- •Борьба со спамом и вирусами
- •Основные методы и средства защиты от атак на электронную переписку
- •«Сильные» криптоалгоритмы
- •Защита корпоративной почтовой системы
- •Государственная система защиты информации
- •Лицензирование
- •Сертификация средств защиты и аттестование объектов информатизации
- •Аттестация
- •Основные цели планирования
- •4.1.2. Отечественная нормативно-правовая база, под действие которой подпадают ас различного назначения
- •6.2.1.2. Свойства нечетких множеств.
- •6.2.1.3 Операции над нечеткими множествами.
- •6.2.2. Нечеткие отношения
- •Оранжевая книга Национального центра защиты компьютеров сша (tcsec)
- •1. Концепция безопасности системы защиты
- •2. Гарантированность системы защиты
- •Гармонизированные критерии Европейских стран (itsec)
- •Концепция защиты от нсд Госкомиссии при Президенте рф
- •Рекомендации х.800
- •Действие 1. С чего начинать?
- •Установить перечень персональных данных, обрабатываемых на предприятии
- •Способы обработки персональных данных?
- •Определить состав и объем обрабатываемых персональных данных?
- •Провести предварительную классификацию информационных систем пДн
- •Полученные результаты и способы защиты персональных данных
- •Действие 2. Подача уведомления в уполномоченный орган Обработка персональных данных без уведомления.
- •Подача уведомления в Роскомнадзор.
- •Действие 3. Организационные меры защиты персональных данных
- •Действие 4. Техническая защита персональных данных
- •Действие 5. Выбор исполнителя
- •Выполнение работ своими силами
- •Привлечение специализированной организации
- •Асимметричные алгоритмы
2. Гарантированность системы защиты
Гарантированность - «мера доверия, которая может быть оказана архитектуре и реализации системы. Гарантированность может проистекать как из тестирования, так и из проверки (формальной или нет) общего замысла и исполнения системы в целом и ее компонентов. Гарантированность показывает, насколько корректны механизмы, отвечающие за проведение в жизнь выбранной концепции безопасности. Гарантированность можно считать пассивным компонентом защиты, надзирающим за самими защитниками» [12].
Гарантированность - это мера уверенности, с которой можно утверждать, что для проведения в жизнь сформулированной концепции безопасности выбран подходящий набор средств и что каждое из этих средств правильно исполняет отведенную ему роль. В «Оранжевой книге» рассматриваются два вида гарантированности - операционная и технологическая. Операционная гарантированность относится к архитектурным и реализационным аспектам системы, в то время как технологическая - к методам построения и сопровождения.
2.1. Операционная гарантированность - это способ убедиться в том, что архитектура системы и ее реализация действительно проводят в жизнь избранную концепцию безопасности и включают в себя проверку следующих элементов:
архитектуры системы;
целостности системы;
анализа тайных каналов передачи информации;
надежного администрирования;
надежного восстановления после сбоев.
Архитектура системы должна способствовать реализации мер безопасности или прямо поддерживать их. Примеры подобных архитектурных решений в рамках аппаратуры и операционной системы - разделение команд по уровням привилегированности, защита различных процессов от взаимного влияния за счет выделения каждому своего виртуального пространства, особая защита ядра ОС. В принципе меры безопасности не обязательно должны быть заранее встроены в систему - достаточно принципиальной возможности дополнительной установки защитных продуктов надежности компонентов.
Целостность системы в данном контексте означает, что аппаратные и программные компоненты надежной вычислительной базы работают должным образом и что имеется аппаратное и программное обеспечение для периодической проверки целостности.
Анализ тайных каналов передачи информации - тема, специфичная для режимных систем, когда главное - обеспечить конфиденциальность информации. Тайным называется канал передачи информации, не предназначенный для обычного использования. Обычно тайные каналы используются не столько для передачи информации от одного злоумышленника к другому, сколько для получения злоумышленником сведений от внедренного в систему «троянского коня».
Надежное администрирование в трактовке «Оранжевой книги» означает, что должны быть логически выделены три роли - системного администратора, системного оператора и администратора безопасности. Физически эти обязанности может выполнять один человек, но в соответствии с принципом минимизации привилегий в каждый момент времени он должен выполнять только одну из трех ролей. Конкретный набор обязанностей администраторов и оператора зависит от специфики организации.
Надежное восстановление после сбоев - метод обеспечения гарантированности, при котором должна быть сохранена целостность информации, в частности целостность меток безопасности. Надежное восстановление включает в себя два вида деятельности - подготовку к сбою (отказу) и собственно восстановление. Подготовка к сбою - это и регулярное выполнение резервного копирования, и выработка планов действий в экстренных случаях, и поддержание запаса резервных компонентов. Восстановление, вероятно, связано с перезагрузкой системы и выполнением ремонтных и/или административных процедур.
2.2. Технологическая гарантированность охватывает весь жизненный цикл системы, т.е. этапы проектирования, реализации, тестирования, внедрения и сопровождения. Все перечисленные действия должны выполняться в соответствии с жесткими стандартами, чтобы обезопаситься от утечки информации и нелегальных «закладок».
Критерии, изложенные в «Оранжевой книге», позволили специалистам ранжировать информационные системы защиты информации по степени надежности. В этом документе определяются четыре уровня безопасности (надежности) - D, С, В и А. Уровень D предназначен для систем, признанных неудовлетворительными. В настоящее время он содержит две подсистемы управления доступом. По мере перехода от уровня С к А к надежности систем предъявляются все более жесткие требования. Уровни С и В подразделяются на классы (C1, C2, B1, B2, В3) с постепенным возрастанием надежности. Таким образом, всего имеется шесть классов безопасности - С1, С2, В1, В2, ВЗ, А1. Чтобы система в результате процедуры сертификации могла быть отнесена к некоторому классу, ее концепция безопасности и гарантированность должны удовлетворять разработанной системе требований, соответствующей этому классу.