
- •«Методы и средства защиты компьютерной информации»
- •1. Информационная безопасность. Базовые свойства защищаемой информации.
- •2. Методы обеспечения информационной безопасности.
- •3. Угрозы информационной безопасности. Классификация угроз. Методы перечисления угроз.
- •4. Структура системы защиты от угроз нарушения конфиденциальности информации.
- •5. Организационные меры и меры обеспечения физической безопасности.
- •6. Идентификация и аутентификация. Базовая схема идентификации и аутентификации.
- •7. Методы аутентификации.
- •8. Особенности парольных систем аутентификации. Основные угрозы безопасности парольных систем.
- •9. Основные рекомендации при практической реализации парольных систем.
- •10. Методы хранения паролей. Передача паролей по сети.
- •11. Разграничение доступа. Дискреционный и мандатный методы разграничения доступа. Матрица доступа.
- •12. Разграничение доступа. Ролевое управление.
- •13. Криптографические методы обеспечения конфиденциальности информации.
- •1. Симметричные криптосистемы.
- •2. Асимметричные криптосистемы.
- •14. Защита внешнего периметра. Межсетевое экранирование.
- •1. Фильтры пакетов.
- •2. Шлюзы сеансового уровня
- •3. Шлюзы прикладного уровня
- •4. Межсетевые экраны экспертного уровня.
- •15. Защита внешнего периметра. Системы обнаружения вторжений(ids).
- •16. Защита внешнего периметра. Системы предотвращения вторжений(ips).
- •15. Протоколирование и аудит.
- •18. Принцип обеспечения целостности информации.
- •19. Криптографические методы обеспечения целостности информации. Цифровые подписи.
- •20. Криптографические методы обеспечения целостности информации. Криптографические хэш-функции.
- •21. Криптографические методы обеспечения целостности информации. Коды проверки подлинности.
- •22. Построение системы защиты от угроз нарушения доступности. Получение информации. Дублирование каналов связи, дублирование шлюзов и межсетевых экранов.
- •23. Построение системы защиты от угроз нарушения доступности. Обработка информации. Дублирование серверов. Использование кластеров.
- •24. Построение системы защиты от угроз нарушения доступности. Хранение информации. Резервное копирование информации. Создание raid – массивов. Зеркалирование серверов.
- •25. Формальная теория защиты информации. Основные определения. Аксиомы.
- •26. Монитор безопасности обращений.
- •27. Модель Харрисона-Руззо-Ульмана. Элементарные операции. Теоремы.
- •28. Модель Белла-ЛаПадулы. Основная теорема безопасности Белла-ЛаПадулы.
- •29. Модель целостности Кларка-Вилсона.
- •30. Модель целостности Биба.
- •31. Совместное использование моделей безопасности.
- •32. Ролевое управление доступом. Критерий безопасности системы при применении ролевой модели.
- •33. Скрытые каналы передачи информации. Методы к выявлению скрытых каналов передачи информации.
- •34. Стандарты к информационной безопасности. Классификация.
- •35. «Оранжевая книга». Группы классов защищенности.
- •1. Политика безопасности
- •2. Подотчётность
- •3. Гарантии
- •36. Руководящие документы Гостехкомисии России.
- •37. Рд: «Концепция защиты свт и ас от несанкционированного доступа к информации».
- •38. Рд: «свт. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».
- •39. Рд: «ас. Защита от несанкционированного доступа к информации. Классификация ас и требования по защите информации».
- •1. Подсистема управления доступом
- •2. Подсистема регистрации и учёта
- •3. Криптографическая подсистема
- •4. Подсистема обеспечения целостности
- •40. Рд: «свт. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».
- •41. Рд: «Защита от несанкционированного доступа к информации. Программное обеспечение Средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей».
- •2. Контроль исходного состояния программного обеспечения.
- •3. Статический анализ исходных текстов программ.
- •4. Динамический анализ исходных текстов программ
- •5. Отчётность
- •42. «Общие критерии». Основные положения.
- •43. «Общие критерии». Структура и содержание профиля защиты.
- •44. «Общие критерии». Структура и содержание задания по безопасности.
- •45. «Общие критерии». Функциональные требования безопасности.
- •46. «Общие критерии». Требования доверия. Основные понятия и классификация требований доверия безопасности
- •47. Стандарты в области управления информационной безопасности. Iso/iec 17799:2005; iso/iec 27001:2005; bs 7799-3:2006. Основные положения.
- •Международные стандарты
- •Основные положения стандарта Понятие информационной безопасности
- •48. Методы шифрования. Симметричное шифрование. Блочное шифрование. Поточное шифрование.
- •49. Блочные шифры. Шифры перестановок. Шифры замены.
- •50. Шифры замены. Моноалфавитные шифры. Шифр с подстановкой Цезаря.
- •51. Шифры замены. Полиалфавитные шифры. Шифр с подстановками Виженера.
- •Кодирование в автоключевой системе Виженера (Лаба 2).
- •Система одноразового шифрования. Шифр Вернама (Лаба 3).
- •Поточные шифры. Регистры сдвига с обратной связью (Лаба 4).
- •Поточный шифр а5 (Лаба 2).
- •Методы продукционного шифрования. Сеть Фейстеля.
- •Стандарты шифрования данных des и aes.
- •Односторонние функции. Ключевой обмен Диффи-Хеллмана.
8. Особенности парольных систем аутентификации. Основные угрозы безопасности парольных систем.
- Относительная простота реализации. реализация механизма не требует привлечения дополнительных аппаратных средств.
- Традиционность. Механизмы парольной защиты являются привычными для большинства пользователей АС и не вызывают
психологического отторжения – в отличие, например, от сканеров рисунка сетчатки глаза.
В то же время для парольных систем защиты характерен парадокс, затрудняющий их эффективную реализацию: стойкие пароли мало пригодны для использования человеком. Стойкость пароля возникает по мере его усложнения; но чем сложнее пароль, тем труднее его запомнить.
Угрозы безопасности парольных систем. В общем случае пароль может быть получен злоумышленником одним из трёх
основных способов:
1. За счёт использования слабостей человеческого фактора .: подглядывание, подслушивание, шантаж, угрозы, наконец, использование чужих учётных записей с разрешения их законных владельцев.
2. Путём подбора. При этом используются следующие методы:
- Полный перебор. Данный метод позволяет подобрать любой пароль вне зависимости от его сложности, однако для стойкого пароля время, необходимое для данной атаки, должно значительно превышать допустимые временные ресурсы злоумышленника.
- Подбор по словарю. Значительная часть используемых на практике паролей представляет собой осмысленные слова или выражения. Существуют словари наиболее распространённых паролей, которые во многих случаях позволяют обойтись без полного перебора.
- Подбор с использованием сведений о пользователе. Основывается на том факте, что если политика безопасности системы предусматривает самостоятельное назначение паролей пользователями, то в подавляющем большинстве случаев в качестве пароля будет выбрана некая персональная информация, связанная с пользователем АС.
3. За счёт использования недостатков реализации парольных систем. - эксплуатируемые уязвимости сетевых сервисов, реализующих те или иные компоненты парольной системы защиты, или же недекларированные возможности соответствующего программного или аппаратного обеспечения.
9. Основные рекомендации при практической реализации парольных систем.
При построении системы парольной защиты необходимо учитывать специфику АС и руководствоваться результатами проведённого анализа рисков.
1. Установление минимальной длины пароля. Регламентация минимально допустимой длины пароля затрудняет для злоумышленника реализацию подбора пароля путём полного перебора.
2. Увеличение мощности алфавита паролей.
3. Проверка и отбраковка паролей по словарю. позволяет затруднить подбор паролей по словарю за счёт отбраковки заведомо легко паролей.
4. Установка максимального срока действия пароля. Срок действия пароля ограничивает промежуток времени, который злоумышленник может затратить на подбор пароля. Тем самым, сокращение срока действия пароля уменьшает вероятность
его успешного подбора.
5. Установка минимального срока действия пароля. Предотвращает попытки пользователя незамедлительно сменить новый пароль на предыдущий.
6. Отбраковка по журналу истории паролей. предотвращает повторное использование паролей – возможно, ранее скомпрометированных.
7. Ограничение числа попыток ввода пароля.
8. Принудительная смена пароля при первом входе пользователя в систему. В случае, если первичную генерацию паролей для всех пользователь осуществляет администратор, пользователю может быть предложено сменить первоначальный пароль при первом же входе в систему – в этом случае новый пароль не будет известен администратору.
9. Задержка при вводе неправильного пароля.
10. Запрет на выбор пароля пользователем и автоматическая генерация пароля. позволяет гарантировать стойкость сгенерированных паролей –у пользователей возникнут проблемы с запоминанием паролей.