Билет 31 Перечислите основные задачи “protection” и основные задачи “security” ис. Способы решения этих проблем в ис.

(флуд из старых ответов, в книге где-то тоже есть)

Security - пятая группа модели FCAPS. ИС всегда управляется софтом, и системные специалисты, которые пишут математическое обеспечение, делят проблему безопасности на 2 части:

1) protection - internal. Защита доступа - внутренняя проблема.

2) security - external (относительно софта и сетевой ОС). Внешняя проблема - дополнительная задача, для решения которой требуются множество других способов.

Protection - контроль доступа путем авторизации. Производится контроль доступа к ресурсам системы, прежде всего файловой, при помощи разграничения типов доступа. Любой процесс должен использовать только разрешенные ресурсы путем авторизации, то есть должен быть авторизован для решения определенных задач. А также этот процесс должен иметь доступ только к тем ресурсам, которые нужны ему в данный момент. В ОС это сделано следующим образом: всегда есть матрицы доступа, которые поддерживаются ядром ОС, и они диктуют процессу, какой домен security имеет право использовать процесс. То есть у каждого процесса в ОС есть всегда некие описания в этой матрице доступа, в которых говорится о правах доступа этого процесса. Также ОС выдает процессам привилегии. В любой ОС все, что связано с protection, должно делаться на самом низком уровне командами системных прерываний. Привилегия вызвать прерывание это и есть привилегия процесса. Таким образом, у пользователей появляются роли, которые позволяют им использовать привилегированные задачи.

Security – безопасность – предполагает аутентификацию - проверку того, что тот, кто в текущий момент чем-то занимается в ИС, действительно является тем, кому это разрешено.

Проблема Protection решается защитой контроля доступа, а проблема Security - совсем другая задача. Проблема аутентификации вне ОС, это проблема службы безопасности. Тотально Security достичь нельзя, это делается в определенных рамках.

Для решения проблемы security существует совокупность средств:

o Аппаратные средства реализуются в виде электронных или электрических устройств. Они могут быть встроены непосредственно в вычислительную технику или реализовываться автономно, например, электронные замки на дверях помещений.

o Программные средства выполняют функции защиты процессов обработки информации (например, сетевые экраны — фаерволлы). Обычно все программные продукты включают средства ААА (Авторизация пользователей, Аутентификация пользователей и Аудит системы).

o Организационные мероприятия представляют собой организационно-технические и организационно-правовые мероприятия, осуществляемые администратором системы в процессе установки или эксплуатации ИС. Организационные мероприятия являются наиболее действенными и существенными средствами. Они охватывают все этапы жизненного цикла ИС, а именно: строительство помещений, проектирование ИС, монтаж и настройка оборудования, эксплуатация системы. Организационные мероприятия включают ограничение доступа к частям объекта, где работает ИС, разграничение доступа к ресурсам, разработку документации и инструкций пользователям, сертификацию средств защиты, контроль выполнения правил.

o Законодательные нормы определяются законодательными актами страны, регламентирующими правила пользования и обработки информации и устанавливающими меры ответственности за нарушение этих правил. АС должен быть знаком с нормированием и стандартизацией процессов безопасности иностранными производителями.

o Морально-этические нормы реализуются в виде сложившихся норм, которые не являются обязательными, но приняты в профессиональных сообществах. Как правило, действуют в последнюю очередь.