54.Наведіть основні види загроз безпеці інформації та методи її захисту.

Безпека інформації – це створення таких умов зберігання, оброблення і передавання інформації, за яких вірогідність її витікання, модифікації або руйнування задовольняє задані вимоги.

В якості джерел загроз можуть бути: дії суб'єкта (антропогенні джерела загроз); технічні засоби (техногенні джерела загрози); стихійні джерела.

Аналіз загроз інформаційної безпеки показує, що вони також можуть бути розділені на два види: внутрішні і зовнішні. Внутрішні загрози безпеки об'єкта захисту: некваліфікована корпоративна політика з організації інформаційних технологій та управління безпекою корпорації; відсутність належної кваліфікації персоналу по забезпеченню діяльності та управління об'єктом захисту; навмисні і ненавмисні дії персоналу щодо порушення безпеки; техногенні аварії та руйнування, пожежі.

Зовнішні загрози безпеки об'єкта захисту: негативні впливи недобросовісних конкурентів і державних структур; навмисні і ненавмисні дії зацікавлених структур та осіб (збір інформації, шантаж, спотворення іміджу, загрози фізичного впливу та інших); витік конфіденційної інформації з носіїв інформації та обумовлених каналів зв'язку; несанкціоноване проникнення на об'єкт захисту; несанкціонований доступ до носіїв інформації і обумовленим каналах зв'язку з метою розкрадання, спотворення, знищення, блокування інформації; стихійні лиха та інші форс-мажорні обставини; навмисні і ненавмисні дії системних інтеграторів і постачальників послуг із забезпечення безпеки, постачальників технічних і програмних продуктів, кадрів.

При комплексному підході до аналізу загроз ІБ об'єкта інформатизації необхідно провести: опис об'єкта; класифікацію джерел загроз; класифікацію вразливостей; класифікацію методів реалізації загроз; ранжування актуальних атак; класифікацію методів парирування загроз.

Структурований опис об'єкта інформатизації, представлене у вигляді типових структурних компонентів інформаційної системи та зв'язків між ними, що характеризують напрямки циркуляції і параметри потоків інформації в сукупності з текстовими поясненнями, дозволяє виявити точки можливого застосування погроз або розкрити існуючі уразливості.

Аналіз та оцінка можливостей реалізації загроз повинні бути засновані на побудові моделі загроз, класифікації, аналізі та оцінки джерел загроз, вразливостей і методів реалізації. Моделювання процесів порушення інформаційної безпеки може здійснюватися на основі розгляду логічного ланцюжка: загроза - джерело загрози - метод реалізації - уразливість - наслідки. Кожен компонент аналізованої логічного ланцюжка доцільно описується з необхідною подробицею.

Загрози класифікуються за можливості нанесення шкоди при порушенні цілей інформаційної безпеки; джерела загроз - за типом і місцем розташування носія загрози; вразливості - за належністю до джерела вразливостей, можливим проявам. Класифікація атак представляє собою сукупність можливих варіантів дій джерела загроз певними методами реалізації з використанням вразливостей, які призводять до реалізації цілей атаки. Мета атаки може не збігатися з метою реалізації загроз і бути спрямована на отримання проміжного результату, необхідного для досягнення надалі реалізації загрози. У випадку розбіжності цілей атаки з метою реалізації загрози сама атака розглядається як етап підготовки до вчинення дій, спрямованих на погрози, тобто як «підготовка до скоєння» протиправної дії. На основі проведеної класифікації, ранжирування, аналізу та визначення актуальних загроз, джерел загроз і вразливостей визначаються варіанти можливих атак, які дозволяють оцінити стан інформаційної безпеки та оптимізувати вибір методів парирування загроз.

Засоби і методи захисту інформації зазвичай ділять на дві великі групи: організаційні та технічні. Під організаційними маються на увазі законодавчі, адміністративні та фізичні, а під технічними - апаратні, програмні і криптографічні заходи, спрямовані на забезпечення захисту об'єктів, людей та інформації. З метою організації захисту об'єктів використовують системи охорони та безпеки об'єктів - це сукупність взаємодіючих радіоелектронних приладів, пристроїв і електроустаткування, засобів технічного та інженерного захисту, спеціально підготовленого персоналу, а також транспорту, що виконують названу функцію. При цьому використовуються різні методи, що забезпечують санкціонованим особам доступ до об'єктів і ІР. До них відносять аутентифікацію та ідентифікацію користувачів.

Аутентифікація - це метод незалежного від джерела інформації встановлення автентичності інформації на основі перевірки достовірності її внутрішньої структури ("це той, ким назвався?").

Авторизація - в ​​інформаційних технологіях це надання певних повноважень особі або групі осіб на виконання деяких дій в системі обробки даних. ("Чи має право виконувати цю діяльність?"). За допомогою авторизації встановлюються і реалізуються права доступу до ресурсів.

Ідентифікація - це метод порівняння предметів або осіб за їх характеристиками, шляхом розпізнавання з предметів або документів, визначення повноважень, пов'язаних з доступом осіб в приміщення, до документів і т.д. ("Це той, ким назвався і має право виконувати цю діяльність?").

У сучасних інформаційних технологіях для ефективного використання цих методів, крім фізичних заходів охорони об'єктів, широко застосовуються програмно-технічні засоби, засновані на використанні біометричних систем, криптографії та ін

Ефективність захисту інформації в значній мірі залежить від своєчасності виявлення і виключення впливів на неї, а, при необхідності, відновлення програм, файлів, інформації, працездатності комп'ютерних пристроїв і систем. Важливою складовою виконання подібні дії є програмні та технічні засоби захисту.

Програмні засоби захисту - це найпоширеніший метод захисту інформації в комп'ютерах та інформаційних мережах. Зазвичай вони застосовуються при утрудненні використання деяких інших методів і засобів. Перевірка автентичності користувача звичайно здійснюється операційною системою. Користувач ідентифікується своїм ім'ям, а засобом аутентифікації служить пароль.

Програмні засоби захисту представляють комплекс алгоритмів і програм спеціального призначення і загального забезпечення роботи комп'ютерів та інформаційних мереж. Вони націлені на: контроль і розмежування доступу до інформації, виняток несанкціонованих дій з нею, управління охоронними пристроями і т.п. Програмні засоби захисту мають універсальністю, простотою реалізації, гнучкістю, адаптивністю, можливістю налаштування системи та ін

Широко застосовуються програмні засоби для захисту від комп'ютерних вірусів. Для захисту машин від комп'ютерних вірусів, профілактики і "лікування" використовуються програми-антивіруси, а також засоби діагностики та профілактики, що дозволяють не допустити потрапляння вірусу в комп'ютерну систему, лікувати заражені файли і диски, виявляти і запобігати підозрілі дії. Антивірусні програми оцінюються по точності виявлення та ефективному усунення вірусів, просте використання, вартість, можливості працювати в мережі.

Найбільшою популярністю користуються програми, призначені для профілактики зараження, виявлення та знищення вірусів. Серед них вітчизняні антивірусні програми DrWeb (Doctor Web) І. Данилова і AVP (Antiviral Toolkit Pro) Є. Касперського. Вони мають зручним інтерфейсом, засобами сканування програм, перевірки системи при завантаженні і т.д. У Росії використовуються і закордонні антивірусні програми.

Абсолютно надійних програм, які гарантують виявлення і знищення будь-якого вірусу, не існує. Тільки багаторівнева оборона здатна забезпечити найбільш повний захист від вірусів. Важливим елементом захисту від комп'ютерних вірусів є профілактика. Антивірусні програми застосовують одночасно з регулярним резервуванням даних та профілактичними заходами. Разом ці заходи дозволяють значно знизити ймовірність зараження вірусом.

Основними заходами профілактики вірусів є:

1) застосування ліцензійного програмного забезпечення;

2) регулярне використання декількох постійно оновлюваних антивірусних програм для перевірки не тільки власних носіїв інформації при перенесенні на них сторонніх файлів, але і будь-яких "чужих" дискет і дисків з будь-якою інформацією на них, в т.ч. і переформатований;

3) застосування різних захисних засобів при роботі на комп'ютері в будь-інформаційному середовищі (наприклад, в Інтернеті).Перевірка на наявність вірусів файлів, отриманих по мережі;

4) періодичне резервне копіювання найцінніших даних і програм.

Одним з найбільш відомих способів захисту інформації є її кодування (шифрування, криптографія). Воно не рятує від фізичних впливів, але в решті випадків служить надійним засобом. Код характеризується: завдовжки - числом знаків, що використовуються при кодуванні та структурою - порядком розташування символів, використовуваних для позначення класифікаційної ознаки. Засобом кодування служить таблиця відповідності (наприклад кодова таблиця ASCII).

Загальні методи криптографії існують давно. Вона вважається потужним засобом забезпечення конфіденційності і контролю цілісності інформації. Поки альтернативи методам криптографії немає. Стійкість криптоалгоритму залежить від складності методів перетворення.Питаннями розробки, продажу і використання засобів шифрування даних і сертифікації засобів захисту даних займається Гостехкомиссией РФ. Якщо використовувати 256 і більше розрядні ключі, то рівень надійності захисту даних складе десятки і сотні років роботи суперкомп'ютера. Для комерційного застосування досить 40 -, 44-розрядних ключів.

Однією з важливих проблем інформаційної безпеки є організація захисту електронних даних та електронних документів. Для їх кодування, з метою задоволення вимог забезпечення безпеки даних від несанкціонованих впливів на них, використовується електронний цифровий підпис (ЕЦП).

Цифровий підпис послідовність символів. Вона залежить від самого повідомлення і від секретного ключа, відомого тільки підписувачу це повідомлення. Перший вітчизняний стандарт ЕЦП з'явився в 1994 році. Питаннями використання ЕЦП в Росії займається Федеральне агентство з інформаційних технологій (ФАІТ).

Технічні засоби захисту використовуються в різних ситуаціях, входять до складу фізичних засобів захисту та програмно-технічних систем, комплексів і пристроїв доступу, відеоспостереження, сигналізації та інших видів захисту. У найпростіших ситуаціях для захисту персональних комп'ютерів від несанкціонованого запуску і використання наявних на них даних пропонується встановлювати пристрої, що обмежують доступ до них, а також працювати зі знімними жорсткими магнітними і магнитооптическими дисками, самозагрузчик компакт дисками, флеш-пам'яттю і ін

Для охорони об'єктів з метою захисту людей, будівель, приміщень, матеріально-технічних засобів та інформації від несанкціонованих впливів на них, широко використовують системи та заходи активної безпеки. Загальноприйнято для охорони об'єктів застосовувати системи управління доступом (СУД). Подібні системи зазвичай являють собою автоматизовані системи та комплекси, що формуються на основі програмно-технічних засобів.

У більшості випадків для захисту інформації, обмеження несанкціонованого доступу до неї, в будівлі, приміщення і до інших об'єктів доводиться одночасно використовувати програмні і технічні засоби, системи і пристрої.

В якості технічного засобу захисту застосовують різні електронні ключі, наприклад, HASP (Hardware Against Software Piracy), що представляють апаратно-програмну систему захисту програм і даних від нелегального використання і піратського тиражування. Електронні ключі Hardlock використовуються для захисту програм і файлів даних. До складу системи входить власне Hardlock, крипто-карта для програмування ключів та програмне забезпечення для створення захисту додатків і пов'язаних з ними файлів даних.

До основних програмно-технічним заходам, застосування яких дозволяє вирішувати проблеми забезпечення безпеки ІР, відносяться:

- Аутентифікація користувача та встановлення її ідентичності;

- Управління доступом до БД;

- Підтримка цілісності даних;

- Захист комунікацій між клієнтом і сервером та ін.

Підтримка цілісності даних передбачає наявність не тільки програмно-апаратних засобів підтримки їх в робочому стані, але й заходи щодо захисту та архівації ІР, дублювання їх і т.п. Найбільшу небезпеку для інформаційних ресурсів, особливо організацій, представляє несанкціоноване вплив на структуровані дані - БД. З метою захисту інформації в БД найважливішими є наступні аспекти інформаційної безпеки (європейські критерії):

• умови доступу (можливість отримати деяку необхідну інформаційну послугу);

• цілісність (несуперечність інформації, її захищеність від руйнування і несанкціонованого зміни);

• конфіденційність (захист від несанкціонованого прочитання).

Ці аспекти є основоположними для будь-якого програмно-технічного забезпечення, призначеного для створення умов безпечного функціонування даних у комп'ютерах і комп'ютерних інформаційних мережах. Контроль доступу - це процес захисту даних і програм від їх використання об'єктами, які не мають на це права.

Управління доступом служить для контролю входу / виходу працівників і відвідувачів організації через автоматичні прохідні (турнікети, арочні металодетекторами). Контроль їх переміщення здійснюється за допомогою систем відеоспостереження. В управління доступом входять пристрої і (або) системи огорожі для обмеження входу на територію (охорона периметрів). Використовуються також методи візуалізації (пред'явлення вахтеру відповідних документів) та автоматичної ідентифікації вхідних / виходять працівників та відвідувачів.

До заходів, які забезпечують збереження традиційних і нетрадиційних носіїв інформації і, як наслідок, самої інформації відносять технології штрихового кодування. Ця відома технологія широко використовується при маркуванні різних товарів, у тому числі документів, книг і журналів.

В організаціях застосовують посвідчення, перепустки, читацькі квитки тощо, в тому числі у вигляді пластикових карт або ламінованих карток, що містять ідентифікують користувачів штрих-коди. Для перевірки штрих-кодів використовують скануючі пристрої зчитування бар-кодів - сканери. Вони перетворять лічене графічне зображення штрихів в цифровий код. Крім зручності, штрих-коди мають і негативними якостями: дорожнеча використовуваної технології, витратних матеріалів та спеціальних програмно-технічних засобів; відсутність механізмів повного захисту документів від стирання і пропажі.

Для захисту інформації в інформаційних комп'ютерних мережах використовують спеціальні програмні, технічні та програмно-технічні засоби. З метою захисту мереж і контролю доступу в них використовують: фільтри пакетів, що забороняють встановлення з'єднань, що перетинають кордони мережі, що захищається; фільтруючі маршрутизатори, що реалізують алгоритми аналізу адрес відправлення та призначення пакетів в мережі; шлюзи прикладних програм, перевіряючі права доступу до програм.

Як пристрій, що перешкоджає отриманню зловмисником доступу до інформації, використовують Firewalls (англ. "вогненна стіна" або "захисний бар'єр" - брандмауер). Такий пристрій розташовують між внутрішньою локальною мережею організації та Інтернетом. Воно обмежує трафік, присікає спроби несанкціонованого доступу до внутрішніх ресурсів організації. Це зовнішня захист. Сучасні брандмауери можуть "відсікати" від користувачів корпоративних мереж незаконну і небажану для них кореспонденцію, передану по електронній пошті. При цьому обмежується можливість отримання надлишкової інформації і так званого "сміття" (спаму).

Іншим технічним пристроєм ефективного захисту в комп'ютерних мережах є маршрутизатор. Він здійснює фільтрацію пакетів даних для передачі. У результаті з'являється можливість заборонити деяким користувачам до певного "хосту", програмно здійснювати детальний контроль адрес відправників та одержувачів. Так само можна обмежити доступ всім або певним категоріям користувачів до різних серверів, наприклад, провідним поширення протиправної або антисоціальної інформації (пропаганда сексу, насильства тощо).

Захист може здійснюватися не тільки в глобальній мережі або локальної мережі організації, але і окремих комп'ютерів. Для цієї мети створюються спеціальні програмно-апаратні комплекси.

Таким чином, методів парирування загроз досить багато. Найбільш важливими є наступні:

• економічні: запровадження системи коефіцієнтів і надбавок; страхування обладнання та інформації; відшкодування збитків і компенсація збитку.

• організаційні: фізичний захист та організація охорони; підбір і робота з персоналом; організація інструктажу персоналу; вибір і робота з партнерами; контроль виконання вимог по захисту; протипожежна охорона; організація взаємодії з компетентними органам.

Для комплексного захисту інформації, об'єктів і людей на різних підприємствах рекомендується розробляти та впроваджувати відповідні заходи. Комплексно заходи щодо забезпечення збереження та захисту інформації, об'єктів і людей включають організаційні, фізичні, соціально-психологічні заходи та інженерно-технічні засоби захисту. Організаційні заходи передбачають об'єднання всіх складових безпеки. У всьому світі основну загрозу інформації організації представляють її співробітники, що опиняються психічно неврівноваженими, скривдженими або незадоволеними характером їх роботи, зарплатою, відносинами з колегами і керівниками.

Соціально-психологічні заходи також відносяться до організаційних. Вони включають регулярне проведення організаційних заходів щодо недопущення негативних впливів і явищ, по створенню працівникам комфортних умов і нормального психологічного клімату. З цією метою у штат деяких організацій входить психолог.

Фізичні заходи примикають до організаційних. Вони полягають у застосуванні людських ресурсів, спеціальних технічних засобів та пристроїв, що забезпечують захист від проникнення зловмисників на об'єкт, несанкціонованого використання, псування або знищення ними матеріальних і людських ресурсів. Такими людськими ресурсами є особи відомчої або позавідомчої охорони і вахтери, окремі, призначувані керівництвом організації, співробітники.

В якості технічних засобів використовуються грати на вікна, огородження, металеві двері, турнікети, металодетекторами та ін. Програмно-технічні засоби включають різні системи обмеження доступу на об'єкт, сигналізації та відеоспостереження.

Для комплексного забезпечення безпеки об'єкти обладнуються системами зв'язку, диспетчеризації, оповіщення, контролю і управління доступом; охоронними, пожежними, телевізійними і інженерними пристроями і системами; охоронної, пожежної сигналізацією і автоматикою. Успішному забезпечення безпеки сприяють завчасні заходи щодо виявлення та ідентифікації можливих загроз (впізнання, передбачення, оцінка, зменшення шкідливого впливу на людину / середовище проживання).