25. Моделирование (протоколирование) и аудит.

Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе. У каждого сервиса свой набор возможных событий, но в любом случае их можно разделить на внешние, внутренние (вызванные действиями самого сервиса) и клиентские (вызванные действиями пользователей и администраторов).

Аудит - это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически (например, раз в день).

Оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации называется активным.

Реализация протоколирования и аудита решает следующие задачи:

- обеспечение подотчетности пользователей и администраторов;

- обеспечение возможности реконструкции последовательности событий;

-обнаружение попыток нарушений информационной безопасности;

- предоставление информации для выявления и анализа проблем.

При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию:

- дата и время события;

- уникальный идентификатор пользователя - инициатора действия;

- тип события;

- результат действия (успех или неудача);

- источник запроса (например, имя терминала);

- имена затронутых объектов (например, открываемых или удаляемых файлов);

- описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).

Характерная особенность протоколирования и аудита - зависимость от других средств безопасности. Идентификация и аутентификация служат отправной точкой подотчетности пользователей.

Логическое управление доступом защищает конфиденциальность и целостность регистрационной информации.

Активный аудит

Задача активного аудита - выявлять подозрительную активность и предоставлять средства для автоматического реагирования на нее.

Активность разделяют на атаки, направленные на незаконное получение полномочий, и на действия, выполняемые в рамках имеющихся полномочий, но нарушающие политику безопасности.

Сигнатура атаки - это совокупность условий, при выполнении которых атака считается имеющей место, что вызывает заранее определенную реакцию.

Применительно к средствам активного аудита различают ошибки первого и второго рода: пропуск атак и ложные тревоги, соответственно.

Достоинства сигнатурного метода - высокая производительность, малое число ошибок второго рода, обоснованность решений. Основной недостаток - неумение обнаруживать неизвестные атаки и вариации известных атак.

26. Шифрование. Методы. Основные принципы создания шрифтов.

Защита информации - совокупность мероприятий, методов и средств, обеспечивающих: 1)исключение НСД к ресурсам ЭВМ, программам и данным; 2)проверку целостности информации; 3)исключение несанкционированного использования программ (защита программ от копирования). К алгоритмам шифрования предъявляются определенные требования: 1)высокий уровень защиты данных против дешифрования и возможной модификации; 2)защищенность информации должна основываться только на знании ключа и не зависеть от того, известен алгоритм или нет (правило Киркхоффа); 3)малое изменение исходного текста или ключа должно приводить к значительному изменению шифрованного текста (эффект "обвала"); 4)область значений ключа должна исключать возможность дешифрования данных путем перебора значений ключа; 5)экономичность реализации алгоритма при достаточном быстродействии; 6)стоимость дешифрования данных без знания ключа должна превышать стоимость данных.

Алгоритмы шифрования делятся на два больших класса: симметричные (AES, ГОСТ, Blowfish, CAST, DES) и асимметричные (RSA, El-Gamal). Симметричные алгоритмы шифрования используют один и тот же ключ для зашифровывания информации и для ее расшифровывания, а асимметричные алгоритмы используют два ключа - один для зашифровывания, другой для расшифровывания.

Если зашифрованную информацию при симметричном шифровании необходимо передавать в другое место, то в этом надо передавать и ключ для расшифровки. Слабое место здесь - это канал передачи данных - если он не защищенный или его прослушивают, то ключ для расшифрования может попасть к злоумышленику. Системы на ассиметричных алгоритмах лишены этого недостатка. Поскольку каждый участник такой системы обладает парой ключей: Открытым и Секретным Ключом.

Стойкость алгоритма шифрования. Алгоритм шифрования считается стойким до тех пор, пока не будет доказано обратное. Таким образом, если алгоритм шифрования опубликован, существует более 5 лет, и для него не найдено серьезных уязвимостей, можно считать, что его стойкость подходит для задач защиты секретной информации.

Взлом алгоритма шифрования. Считается, что криптосистема раскрыта, если злоумышленник сможет вычислить секретный ключ, а также выполнить алгоритм преобразования, эквивалентный исходному криптоалгоритму. И чтобы этот алгоритм был выполним за реальное время.