9. Ролевая модель управления доступом

Управление доступом на основе ролей — права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли.

Преимущества:

• Простота администрирования

• Иерархия ролей

• Принцип наименьшей привилегии

• Разделение обязанностей

Как правило, данный подход применяется в системах защиты СУБД, а отдельные элементы реализуются в сетевых операционных системах. Ролевой подход часто используется в системах, для пользователей которых четко определен круг их должностных полномочий и обязанностей.

Правила определяют порядок предоставления доступа субъектам компьютерной системы в зависимости от имеющихся (или отсутствующих) у него ролей в каждый момент времени.

10. Методы идентификации и аутентификации в ис

Идентификация – процесс сообщения субъектом своего имени или номера, с целью отличить данный субъект от других субъектов.

Аутентификация или проверка подлинности – процедура проверки соответствия субъекта и того, за кого он пытается себя выдать, с помощью некой уникальной информации, в простейшем случае – с помощью имени и пароля.

Технологии идентификации:

• штрих-код

• радиочастотная идентификация

• биометрическая идентификация

• карты с магнитной полосой

Технологии аутентификации:

• многоразовые пароли

• одноразовые пароли

• цифровой сертификат

• смарт-карта

• USB-ключ

11. Журналирование и аудит

Журналирование – процесс записи информации о происходящих с каким-то объектом (или в рамках какого-то процесса) событиях.

Аудит – анализ накопленной информации.

Решаемые задачи:

• обеспечение подотчетности пользователей и администраторов;

• обеспечение возможности реконструкция последовательности событий;

• обнаружение попыток нарушений информационной безопасности;

• выявление и анализ проблем.

Активный аудит – оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации.

Задачи активного аудита:

• оперативно выявлять подозрительную активность

• предоставлять средства для автоматического реагирования на нее.

Методы активного аудита:

• статистический метод (выявление нетипичного поведения)

• сигнатурный метод

12. Защита информации в компьютерных сетях

Особенности:

• разделение совместно используемых ресурсов

• расширение зоны контроля

• комбинация различных программно-аппаратных средств

• неизвестный периметр

• множество точек атаки

• сложность управления и контроля доступа к системе

Цели защиты:

• обеспечение целостности информации

• предупреждение несанкционированной модификации информации, ее получения и размножения

• обеспечение доступности информации

Угрозы безопасности:

• Прослушивание каналов

• Умышленное уничтожение или искажение информации

• Присвоение злоумышленником своему узлу или ретранслятору чужого идентификатора

• Преднамеренный разрыв линии связи

• Внедрение сетевых вирусов

Задачи защиты:

• аутентификация одноуровневых объектов

• контроль доступа

• маскировка данных

• контроль и восстановление целостности

• арбитражное обеспечение