Основные информационные угрозы

Аутентификация, Авторизация, Аудит

Аутентификация — процедура проверки подлинности, например: проверка подлинности пользователя путём сравнения введённого им пароля с паролем в базе данных пользователей; подтверждение подлинности электронного письма путём проверки цифровой подписи письма по ключу проверки подписи отправителя; проверка контрольной суммы файла на соответствие сумме, заявленной автором этого файла.

Авторизация (от англ. authorization — разрешение, уполномочивание) — предоставление определённому лицу или группе лиц прав на выполнение определённых действий; а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий.

Аудит – слежение за потреблением ресурсов пользователем.

Целостность данных

Целостность информации (также целостность данных) — термин в информатике и теории телекоммуникаций, который означает, что данные полны, условие того, что данные не были изменены при выполнении любой операции над ними, будь то передача, хранение или представление.

В телекоммуникации целостность данных часто проверяют, используя MAC-код сообщения (Message authentication code).

В криптографии и информационной безопасности целостность данных в общем — это данные в том виде, в каком они были созданы. Примеры нарушения целостности данных:

• злоумышленник пытается изменить номер аккаунта в банковской транзакции, или пытается подделать документ.

• случайное изменение при передаче информации или при неисправной работе жесткого диска.

• искажение фактов средствами массовой информации с целью манипуляции общественным мнением.

В теории баз данных целостность данных означает корректность данных и их непротиворечивость. Обычно она также включает целостность связей, которая исключает ошибки связей между первичным и вторичным ключом. К примеру, когда существуют дочерние записи-сироты, которые не имеют связи с родительскими записями.

Пример проверки целостности данных в криптографии — это использование хеш-функции, к примеру MD5. Такая функция преобразует совокупность данных в последовательность чисел. Если данные изменятся, то и последовательность чисел, генерируемая хеш-функцией тоже изменится.

Конфиденциальность

Конфиденциальность (от англ. confidence — доверие) — необходимость предотвращения утечки (разглашения) какой-либо информации. С точки зрения этимологии, слово «конфиденциальный» происходит от латинского confidentia — доверие и в современном русском языке означает «доверительный, не подлежащий огласке, секретный». Слово «секрет», которое также необходимо рассмотреть, заимствовано из французского secret — «тайна». Интересно, что в знаменитом словаре В. Даля также названы аналогичные значения : «конфиденциальная» — «откровенная, по особой доверенности, неоглашаемая, задушевная»; «тайна» — «кто чего не знает, то для него тайна, все сокрытое, неизвестное, неведомое». Таким образом, можно сделать вывод о равнозначности понятий конфиденциальная информация, тайна и секрет.^[1]

В настоящее время в российском законодательстве нет четкого определения понятия «конфиденциальная информация». В, утратившем силу, федеральном законе № 24 «Об информации информатизации и защите информации» говорится, что конфиденциальная информация — документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации

Доступность

Доступность информации (ресурсов информационной системы) — избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.

Определения понятия

Доступность (информации [ресурсов автоматизированной информационной системы]) - состояние информации (ресурсов автоматизированной информационной системы), при котором субъекты, имеющие право доступа, могут реализовывать их беспрепятственно. Примечание. К правам доступа относятся: право на чтение, изменение, копирование, уничтожение информации, а также права на изменение, использование, уничтожение ресурсов.

Доступность (документа) - свойство документа, состоящее в том, что форма представления документа обеспечивает физическую возможность измерения заданных параметров этого представления документа (содержания, атрибутов, технологии) заданными средствами в заданных точках за конечное время.

Доступ к информации - возможность получения информации и ее использования

Доступ (в автоматизированной информационной системе) - получение возможности ознакомления с информацией, ее обработки и (или) воздействия на информацию и (или) ресурсы автоматизированной информационной системы с использованием программных и (или) технических средств. Примечание. Доступ осуществляется субъектами доступа, к которым относятся лица, а также логические и физические объекты

Аутентификация: имя/пароль, одноразовые пароли

Одноразовый пароль (англ. one time password, OTP) — это пароль, действительный только для одного сеанса аутентификации. Действие одноразового пароля также может быть ограничено определённым промежутком времени. Преимущество одноразового пароля по сравнению со статическим состоит в том, что пароль невозможно использовать повторно. Таким образом, злоумышленник, перехвативший данные из успешной сессии аутентификации, не может использовать скопированный пароль для получения доступа к защищаемой информационной системе. Использование одноразовых паролей само по себе не защищает от атак, основанных на активном вмешательстве в канал связи, используемый для аутентификации

Синхронизированные по времени

Синхронизированные по времени одноразовые пароли обычно связаны с физическими аппаратными токенами (например, каждому пользователю выдаётся персональный токен, который генерирует одноразовый пароль). Внутри токена вcтроены точные часы, которые синхронизированы с часами на сервере. В этих OTP системах, время является важной частью алгоритма создания пароля так как генерация нового пароля основывается на текущем времени, а не на предыдущем пароле или секретном ключе.

Аутентификация: биометрические методы

Биометрическая аутентификация - процесс доказательства и проверки подлинности заявленного пользователем имени, через предъявление пользователем своего биометрическогообраза и путем преобразования этого образа в соответствии с заранее определенным протоколом аутентификации.

Аутентификация: обладание предметом, многофакторная

В последнее время всё чаще применяется, так называемая, расширенная или многофакторная аутентификация. Она построена на совместном использовании нескольких факторов аутентификации. Это значительно повышает защищенность системы.

Аудит. Журнал событий, лог файлы, мониторинг производительности.

Файл регистрации, протокол, журнал или лог (англ. log) — файл с записями о событиях в хронологическом порядке. Различают регистрацию внешних событий и протоколирование работы самой программы - источника записей (хотя часто всё записывается в единый файл).

Лог-файлы сервера — специальные файлы, в которых протоколируются определённые действия пользователя или программы на сервере.^[1] Например, в лог-файлы веб-сервера записывается информация, откуда пришёл тот либо иной посетитель, когда и сколько времени он провел на сайте, что там смотрел и скачивал, какой у него браузер и какой IP-адрес у его компьютера. Каждая запись в лог-файле соответствует определенному хиту, так как сервер может фиксировать именно запрос к одному из элементов сайта.

Проанализировав лог-файлы, можно получить сводные цифры активности пользователей, изучить закономерности поведения групп пользователей и оценить эффективность рекламной кампании. Часто используемые данные (статистика) могут записываться сразу в базу данных (а не только в лог-файл). Например, так работают биллинговые системы учёта.

Социальная инженерия

Социальная инженерия (инжиниринг) - это метод управления действиями человека без использования технических средств.

Принципы и техники социальной инженерии

Существует несколько распространенных техник и видов атак, которыми пользуются социальные инженеры. Все эти техники основаны на особенностях принятия людьми решений, известных как когнитивные (см. также Когнитивность) предубеждения. Эти предрассудки используются в различных комбинациях, с целью создания наиболее подходящей стратегии обмана в каждом конкретном случае. Но общей чертой всех этих методов является введение в заблуждение, с целью заставить человека совершить какое-либо действие, которое не выгодно ему и необходимо социальному инженеру. Для достижения поставленного результата, злоумышленник использует целый ряд всевозможных тактик: выдача себя за другое лицо, отвлечение внимания, нагнетание психологического напряжения и т.д. Конечные цели обмана так же могут быть весьма разнообразными.