- •Основні теоретичні поняття криптології План
- •Основні терміни, визначення та предмет науки «криптологія»
- •Криптоаналіз
- •1 Основні терміни, визначення та предмет науки «криптологія»
- •2 Криптоаналіз
- •Контрольні запитання
- •Список літератури
- •Шифри перестановки План
- •2 Таблиці для шифрування
- •2.1 Таблиці для шифрування. Проста перестановка
- •2.2 Таблиці для шифрування. Одиночна перестановка по ключу
- •2.3 Таблиці для шифрування. Подвійна перестановка
- •2.4 Застосування магічних квадратів
- •Список літератури
- •Шифри простої заміни План
- •1 Полібіанський квадрат
- •2 Система шифрування Цезаря
- •Криптоаналіз шифру Цезаря
- •3 Аффінна система підстановок Цезаря
- •4 Система Цезаря із ключовим словом
- •5 Таблиці Трисемуса
- •Криптографічний аналіз системи одноалфавітної заміни
- •6 Біграмний шифр Плейфейра
- •7 Криптосистема Хілла
- •8 Система омофонів
- •Додаток а
- •Список літератури
- •Шифри складної заміни План
- •1 Шифр Гронсфельда
- •Криптоаналіз шифру Гронсфельда
- •2 Система шифрування Віженера
- •3 Шифр “Подвійний квадрат Уітстона”
- •4 Одноразова система шифрування
- •5 Шифрування методом Вернама
- •6 Роторні машини
- •7 Шифрування методом гамірування
- •Список літератури
- •Блочні шифри План
- •1 Алгоритм des
- •1 Алгоритм des
- •Обчислення значень ключів
- •Аналіз ефективності алгоритму des
- •Список літератури
- •Асиметричні криптосистеми План
- •Керування ключами План
- •1 Алгоритм шифрування Діффі - Хеллмана
- •Керування ключами
- •1 Алгоритм шифрування Діффі - Хеллмана
- •Контрольні питання
- •Список літератури
- •Криптографічні протоколи План
- •Контрольні запитання
- •Список літератури
- •Ідентифікація та перевірка істинності План
- •Інформаційна безпека План
- •1.2 Основні складові інформаційної безпеки
- •1.3 Важливість і складність проблеми інформаційної безпеки
- •2 Розповсюдження об’єктно-орієнтованого підходу на інформаційну безпеку.
- •2.1 Про необхідність об’єктно-орієнтованого підходу до інформаційної безпеки
- •2.2 Основні поняття об’єктно-орієнтованого підходу
- •2.3 Вживання об’єктно-орієнтованого підходу до розгляду систем, що захищаються
- •2.4 Недоліки традиційного підходу до інформаційної безпеки з об’єктної точки зору
- •2.5 Основні визначення і критерії класифікації загроз
- •Контрольні запитання
- •Список літератури
- •Інформаційна безпека Найпоширеніші загрози План
- •1 Найпоширеніші загрози доступності
- •1 Найпоширеніші загрози доступності
- •2 Деякі приклади загроз доступності
- •3 Шкідливе програмне забезпечення
- •4 Основні загрози цілісності
- •5 Основні загрози конфіденційності
- •Список літератури
- •1.2 Механізми безпеки
- •1.3 Класи безпеки
- •2 Інформаційна безпека розподілених систем. Рекомендації X.800
- •2.1 Мережні сервіси безпеки
- •2.2 Мережні механізми безпеки
- •2.3 Адміністрування засобів безпеки
- •3 Стандарт iso/iec 15408 "Критерії оцінки безпеки інформаційних технологій"
- •3.1 Основні поняття
- •3.2 Функціональні вимоги
- •3.3 Вимоги довір’я безпеці
- •4 Гармонізовані критерії європейських країн
- •5 Інтерпретація "Оранжевої книги" для мережних конфігурацій
- •Список літератури
- •Інформаційна безпека Управління ризиками План
- •2 Підготовчі етапи управління ризиками
- •3 Основні етапи управління ризиками
- •Список літератури
2.5 Основні визначення і критерії класифікації загроз
Загроза – це потенційна можливість певним чином порушити інформаційну безпеку.
Спроба реалізації загрози називається атакою, а той, хто робить таку спробу, - зловмисником. Потенційні зловмисники називаються джерелами загрози.
Частіше всього загроза є слідством наявності вразливих місць в захисті інформаційних систем (таких, наприклад, як можливість доступу сторонніх осіб до критично важливого устаткування або помилки в програмному забезпеченні).
Проміжок часу від моменту, коли з’являється можливість використовувати слабке місце, і до моменту, коли пропуск ліквідовується, називається вікном небезпеки, асоційованим з даним вразливим місцем. Поки існує вікно небезпеки, можливі успішні атаки на ІС.
Якщо йдеться про помилки до ПО, то вікно небезпеки "відкривається" з появою засобів використовування помилки і ліквідовується при накладенні латок, що її виправляють.
Для більшості вразливих місць вікно небезпеки існує порівняно довго (декілька днів, іноді - тижнів), оскільки за цей час повинні відбутися наступні події:
-
повинне стати відомо про засоби використовування пропуску в захисті;
-
повинні бути випущені відповідні латки;
-
латки повинні бути встановлені в ІС, що захищається.
Ми вже указували, що нові вразливі місця і засоби їх використовування з’являються постійно; це значить, по-перше, що майже завжди існують вікна небезпеки і, по-друге, що відстежування таких вікон повинне проводитися постійно, а випуск і накладення латок - якомога більш оперативно.
Відзначимо, що деякі загрози не можна вважати слідством якихось помилок або прорахунків; вони існують через саму природу сучасних ІС. Наприклад, загроза відключення електрики або виходу його параметрів за допустимі межі існує через залежність апаратного забезпечення ІС від якісного електроживлення.
Розглянемо найпоширеніші загрози, яким схильні сучасні інформаційні системи. Мати уявлення про можливі загрози, а також про вразливі місця, які ці загрози звичайно експлуатують, необхідно для того, щоб вибирати найекономічніші засоби забезпечення безпеки. Дуже багато міфи існують у сфері інформаційних технологій (пригадаємо все ту ж "Проблему 2000"), тому незнання в даному випадку веде до перевитрати засобів і, що ще гірше, до концентрації ресурсів там, де вони не особливо потрібні, за рахунок ослаблення дійсно уразливих напрямів.
Підкреслимо, що саме поняття "загроза" в різних ситуаціях часто потрактує по-різному. Наприклад, для підкреслений відкритої організації загроз конфіденційності може просто не існувати - вся інформація вважається загальнодоступною; проте в більшості випадків нелегальний доступ представляється серйозною небезпекою. Іншими словами, загрози, як і все в ІБ, залежать від інтересів суб’єктів інформаційних відносин (і від того, який збиток є для них неприйнятним).
Ми спробуємо поглянути на предмет з погляду типової (на наш погляд) організації. Втім, багато загроз (наприклад, пожежа) небезпечні для всіх.
Загрози можна класифікувати по декількох критеріях:
-
по аспекту інформаційної безпеки (доступність, цілісність, конфіденційність), проти якого загрози направлені в першу чергу;
-
по компонентах інформаційних систем, на які загрози націлені (дані, програми, апаратура, підтримуюча інфраструктура);
-
за способом здійснення (випадкові/навмисні дії природного/техногенного характеру);
-
по тому, що розташовує джерела загроз (внутри/вне даної ІС).
Як основний критерій ми використовуватимемо перший (по аспекту ІБ), привертаючи при необхідності інші.