Перелік скорочень

АБС – автоматизована банківська система;

АРМ – автоматизовані робочі місця;

АСОД – автоматизовані системи обробки даних;

АСУ – автоматизовані системи управління;

ДЕ – дескриптори;

ДЗ – джерело завади;

ЕЦП – електронний цифровий підпис;

ЕМЗ – електромагнітна завада;

ЗІ – захист інформації;

ІБ – інформаційна безпека;

ІС – інформаційна система;

КНОІ – канали несанкціонованого одержання інформації;

МЕ – міжмережевий екран;

НЕМЗ – ненавмисна електромагнітна завада;

ОС – операційна система;

ОЦКК – обчислювальний центр колективного користування;

ПЕВМН – побічні електромагнітні віпромінювання і наведення;

ПЗ – програмне забезпечення;

ПЗ ПШ – програмне забезпечення проміжного шару;

ПЗП – постійний запам’ятовуючий пристрій;

ППЦІ – причини порушення цілісності інформації;

ПРД – правила розмежування доступу;

РЗ – рецептор завади;

РКД – рольове керування доступом;

СУБД – системи управління базами даних;

ТЗ – технічний захист.

ВСТУП

З тих пір, як людина навчилася говорити і записувати мову, вона одержує і береже, викрадає і захищає інформацію. Бурхливий розвиток техніки, технології, інформатики в останнє десятиріччя викликало ще більш бурхливий розвиток технологічних пристроїв і систем розвідки. У створенні пристроїв і систем ведення розвідки вкладалися і вкладаються величезні кошти в усіх розвинених країнах.

Для чого потрібна інформація, яка буває інформація і як її збирають – ці питання дуже важливі.

Багатосторонній аналіз теоретичних і практичних робіт показує, що в даний час виникла необхідність реалізації концепції захисту інформації. Реалізація її дозволяє забезпечити необхідний рівень захищеності інформації.

Мета заходів в області інформаційної безпеки – захистити інтереси суб’єктів інформаційних відносин. Інтереси ці різноманітні, але всі вони концентруються навколо трьох основних аспектів:

• доступність;

• цілісність;

• конфіденційність.

Перший крок при побудові системи ІБ організації – ранжування й деталізація цих аспектів.

Важливість проблематики ІБ пояснюється двома основними причинами:

• цінністю накопичених інформаційних ресурсів;

• критичною залежністю від інформаційних технологій.

Руйнування важливої інформації, крадіжка конфіденційних даних, перерва у роботі внаслідок відмови – все це виливається у великі матеріальні втрати, завдає шкоди репутації організації. Проблеми з системами керування або медичними системами загрожують здоров'ю й життю людей.

Сучасні інформаційні системи складні й, виходить, небезпечні вже самі по собі, навіть без обліку активності зловмисників. Постійно виявляються нові уразливі місця в програмному забезпеченні. Доводиться брати до уваги надзвичайно широкий спектр апаратного й програмного забезпечення, численні зв'язки між компонентами.

Змінюються принципи побудови корпоративних ІС. Використовуються численні зовнішні інформаційні сервіси; надаються зовні власні; отримало широкого поширення явище, позначене російським словом "аутсорсинг", коли частина функцій корпоративної ІС передається зовнішнім організаціям. Розвивається програмування з активними агентами.

Підтвердженням складності проблематики ІБ є паралельний (і досить швидкий) ріст витрат на захисні заходи й кількості порушень ІБ у сполученні з ростом середнього збитку від кожного порушення. (Остання обставина – ще один довід на користь важливості ІБ.)

Успіх в області інформаційної безпеки може принести тільки комплексний підхід, що уособлює в собі заходи чотирьох рівнів:

• законодавчого;

• адміністративного;

• процедурного;

• програмно-технічного.

Проблема ІБ – не тільки (і не стільки) технічна; без законодавчої бази, без постійної уваги керівництва організації й виділення необхідних ресурсів, без заходів керування персоналом і фізичного захисту вирішити її неможливо. Комплексність також ускладнює проблематику ІБ; необхідна взаємодія фахівців з різних галузей.

Як основний інструмент боротьби зі складністю пропонується об’єктно-орієнтований підхід. Інкапсуляція, успадкування, поліморфізм, виділення граней об'єктів, варіювання рівня деталізації – все це універсальні поняття, знання яких необхідно всім фахівцям з інформаційної безпеки.

Законодавчий рівень є найважливішим для забезпечення інформаційної безпеки. Необхідно всіляко підкреслювати важливість проблеми ІБ; сконцентрувати ресурси на найважливіших напрямках досліджень; скоординувати освітню діяльність; створити й підтримувати негативне відношення до порушників ІБ – все це функції законодавчого рівня.

На законодавчому рівні особливої уваги заслуговують правові акти й стандарти.

Головне завдання засобів адміністративного рівня – сформувати програму робіт в області інформаційної безпеки й забезпечити її виконання, виділяючи необхідні ресурси й контролюючи стан справ.

Основою програми є політика безпеки, що відбиває підхід організації до захисту своїх інформаційних активів.

Розробка політики й програми безпеки починається з аналізу ризиків, першим етапом якого, у свою чергу, є ознайомлення з найпоширенішими загрозами.

Головні загрози – внутрішня складність ІС, ненавмисні помилки штатних користувачів, операторів, системних адміністраторів й інших осіб, що обслуговують інформаційні системи.

На другому місці по розміру збитку стоять крадіжки й підробки.

Реальну небезпеку представляють пожежі й інші аварії підтримуючої інфраструктури.

У загальному числі порушень росте частка зовнішніх атак, але основний збиток як і раніше наносять "свої".

Для переважної більшості організацій досить загального знайомства з ризиками; орієнтація на типові, апробовані рішення дозволить забезпечити базовий рівень безпеки при мінімальних інтелектуальних і поміркованих матеріальних витратах.

Розробка програми й політики безпеки може бути прикладом використання поняття рівня деталізації. Вони повинні підрозділятися на кілька рівнів, що трактують питання різного ступеня специфічності. Важливим елементом програми є розробка й підтримка в актуальному стані карти ІС.

Безпеку неможливо додати до системи; її потрібно закладати із самого початку й підтримувати до кінця.

Заходи процедурного рівня орієнтовані на людей (а не на технічні засоби) і підрозділяються на наступні види:

• керування персоналом;

• фізичний захист;

• підтримка працездатності;

• реагування на порушення режиму безпеки;

• планування відновлювальних робіт.

На цьому рівні застосовуються важливі принципи безпеки:

• безперервність захисту в просторі й часі;

• поділ обов'язків;

• мінімізація привілеїв.

Тут також застосовуються об'єктний підхід і поняття життєвого циклу. Перший дозволяє розділити контрольовані сутності (територію, апаратуру й т.д.) на відносно незалежні підоб'єкти, розглядаючи їх з різним ступенем деталізації й контролюючи зв'язок між ними.

Поняття життєвого циклу корисно застосовувати не тільки до інформаційних систем, але й до співробітників. На етапі ініціації повинен бути розроблений опис посади з вимогами до кваліфікації й виділених комп'ютерних привілеїв; на етапі установки необхідно провести навчання, у тому числі з питань безпеки; на етапі виведення з експлуатації варто діяти акуратно, не допускаючи завдання збитків скривдженими співробітниками.

Інформаційна безпека багато в чому залежить від акуратного ведення поточної роботи, що включає:

• підтримку користувачів;

• підтримку програмного забезпечення;

• конфігураційне керування;

• резервне копіювання;

• керування носіями;

• документування;

• регламентні роботи.

Елементом повсякденної діяльності є відстеження інформації в області ІБ; як мінімум, адміністратор безпеки повинен підписатися на список розсилання по нових пробілах у захисті (і вчасно ознайомлюватися з вхідними повідомленнями).

Потрібно, однак, заздалегідь готуватися до неординарних подій, тобто до порушень ІБ. Заздалегідь продумана реакція на порушення режиму безпеки переслідує три головні цілі:

• локалізація інциденту й зменшення нанесеної шкоди;

• виявлення порушника;

• попередження повторних порушень.

Виявлення порушника – процес складний, але перший і третій пункти можна й потрібно ретельно продумати й відпрацювати.

У випадку серйозних аварій необхідне проведення відбудовних робіт. Процес планування таких робіт можна розділити на наступні етапи:

• виявлення критично важливих функцій організації, установлення пріоритетів;

• ідентифікація ресурсів, необхідних для виконання критично важливих функцій;

• визначення переліку можливих аварій;

• розробка стратегії відбудовних робіт;

• підготовка до реалізації обраної стратегії;

• перевірка стратегії.

Програмно-технічні заходи, тобто заходи, спрямовані на контроль комп'ютерних сутностей – устаткування, програм й/або даних, утворюють останній і найважливіший рубіж інформаційної безпеки.

На цьому рубежі стають очевидними не тільки позитивні, але й негативні наслідки швидкого прогресу інформаційних технологій. По-перше, додаткові можливості з'являються не тільки у фахівців з ІБ, але й у зловмисників. По-друге, інформаційні системи увесь час модернізуються, перебудовуються, до них додаються недостатньо перевірені компоненти (у першу чергу програмні), що утрудняє дотримання режиму безпеки.

Заходи безпеки доцільно розділити на наступні види:

• превентивні, перешкоджаючі порушенням ІБ;

• заходи виявлення порушень;

• локалізуючі, звужуючі зону впливу порушень;

• заходи щодо виявлення порушника;

• заходи відновлення режиму безпеки.

У продуманій архітектурі безпеки всі вони повинні мати місце.

Із практичної точки зору важливими також є наступні принципи архітектурної безпеки:

• безперервність захисту в просторі й часі, неможливість оминути захисні засоби;

• наслідування визнаним стандартам, використання апробованих рішень;

• ієрархічна організація ІС із невеликою кількістю сутностей на кожному рівні;

• посилення найслабшої ланки;

• неможливість переходу в небезпечний стан;

• мінімізація привілеїв:

• поділ обов'язків:

• ешелонованість оборони;

• розмаїтість захисних засобів;

• простота й керованість інформаційної системи.

Центральним для програмно-технічного рівня є поняття сервісу безпеки. До числа таких сервісів входять:

• ідентифікація й аутентифікація;

• керування доступом;

• протоколювання й аудит;

• шифрування;

• контроль цілісності;

• екранування;

• аналіз захищеності;

• забезпечення відмовостійкості;

• забезпечення безпечного відновлення;

• тунелювання;

• керування.

Ці сервіси повинні функціонувати у відкритому мережевому середовищі з різнорідними компонентами, тобто бути стійкими до відповідних загроз, а їхнє застосування повинне бути зручним для користувачів й адміністраторів. Наприклад, сучасні засоби ідентифікації/аутентифікації повинні бути стійкими до пасивного й активного прослуховування мережі й підтримувати концепцію єдиного входу в мережу.

Виділимо найважливіші моменти для кожного з перерахованих сервісів безпеки:

1. Кращими є криптографічні методи аутентифікації, реалізовані програмним або апаратно-програмним способом. Парольний захист став анахронізмом, біометричні методи мають потребу в подальшій перевірці в мережевому середовищі.

2. В умовах, коли поняття довіреного програмного забезпечення відходить у минуле, стає анахронізмом і найпоширеніша – похідна (дискреційна) – модель керування доступом. У її термінах неможливо навіть пояснити, що таке "троянська" програма. В ідеалі при розмежуванні доступу повинна враховуватися семантика операцій, але поки для цього є тільки теоретична база. Ще один важливий момент – простота адміністрування в умовах великої кількості користувачів, і ресурсів, і безперервних змін конфігурації. Тут може допомогти рольове керування. Протоколювання й аудит повинні бути всепроникаючими й багаторівневими, з фільтрацією даних при переході на більш високий рівень. Це необхідна умова керованості. Бажане застосування засобів активного аудиту, однак потрібно усвідомлювати обмеженість їхніх можливостей і розглядати ці засоби як один з рубежів ешелонованої оборони, причому не найнадійніший. Варто конфігурувати їх таким чином, щоб мінімізувати кількість фіктивних тривог і не робити небезпечних дій при автоматичному реагуванні.

Усе, що пов'язано до криптографією, складно не стільки з технічної, скільки з юридичної точки зору; для шифрування це складніш у декілька разів. Даний сервіс є інфраструктурним, його реалізація повинна мати місце на всіх апаратно-програмних платформах і задовольняти жорстким вимогам, які стосуються не тільки безпеки, але й продуктивності. Поки ж єдиним доступним виходом є застосування вільно розповсюджуваного ПЗ.

Надійний контроль цілісності також базується на криптографічних методах з аналогічними проблемами й методами їхнього вирішення. Можливо, прийняття Закону про електронний цифровий підпис змінить ситуацію на краще, буде розширений спектр реалізацій. На щастя, до статичної цілісності є й не криптографічні підходи, засновані на використанні запам'ятовуючих пристроїв, дані на які доступні тільки для читання. Якщо в системі розділити статичну й динамічну складові й помістити першу в ПЗП або на компакт-диск, можна в зародку придушити загрози цілісності. Розумно, наприклад, записувати реєстраційну інформацію на пристрої з одноразовим записом; тоді зловмисник не зможе "приховати сліди".

Аналіз захищеності – це інструмент підтримки безпеки життєвого циклу. Схожість його з активним аудитом – еврестичність, необхідність практично безперервного відновлення бази знань і роль не найнадійнішого, але необхідного захисного рубежу, на якому можна розташувати вільно розповсюджуваний продукт.

Місія забезпечення інформаційної безпеки складна, у багатьох випадках нездійсненна, проте завжди шляхетна.

Абсолютний характер вимог повноти всіх загроз інформації, потенційно можливих у сучасних умовах і методику формування цієї повної множини загроз, а також можливість застосування експертних методів оцінки – все це необхідно щодо інформаційної безпеки.

Знання причин порушення цілісності інформації і каналів несанкціонованого доступу до неї, зокрема природних і штучних завад, комп’ютерних вірусів дозволяє зрозуміти механізми захисту інформації.

Вивчення матеріалу викладенного у підручнику дозволяють студентам засвоїти підходи до розуміння проблем інформаційної безпеки.

Автори врахували усі зауваження, які вони отримали після виходу першого видання.

Автори також висловлюють щиру подяку доктору юридичних наук, професору Кузьмічову Володимиру Сергійовичу (Київський національний університет внутрішніх справ), доктору політичних наук, професору Сосніну Олександру Васильовичу (дипломатична академія України при Міністерстві закордонних справ України) та доктору технічних наук, професору Козловському Валерію Вікторовичу (Інститут спеціального зв’язку та захисту інформації Національного технічного університету «КПІ») за уважне та доброзичливе рецензування та зауваження, яке сприяло значному поглибленню та покращенню другого видання підручника.

Крім того, автори висловлюють подяку за співробітництво та слушні зауваження співробітникам Служби безпеки України та Державної служби спеціального зв’язку та захисту інформації.