2. Уровни информационной безопасности

Административный уровень информационной безопасности. К административному уровню ИБ относятся действия общего характера, осуществляемые руководством организации. Главная цель этих мер заключается в разработке программы работ в области ИБ и обеспечении ее выполнения путем выделения необходимых ресурсов и контроля за состоянием дел. Политика безопасности (иначе говоря, стратегия организации в области ИБ) строится на основе анализа рисков, которые признаются реальными для информационной системы организации.

Управление рисками. Использование информационных систем связано с некоторой совокупностью рисков. Когда возможный ущерб неприемлемо велик, необходимо принимать экономически оправданные меры защиты. Периодическая переоценка рисков необходима для контроля эффективности деятельности в области ИБ и учета изменений обстановки. С количественной точки зрения уровень риска суть функция вероятности реализации соответствующей угрозы и размера возможного ущерба. Управление рисками включает в себя (пере)оценку рисков и выбор эффективных и экономичных защитных механизмов для нейтрализации рисков.

Процедурный уровень информационной безопасности. Рассмотрим меры безопасности, которые ориентированы на человека – самое слабое звено любой информационной системы. На процедурном уровне можно выделить следующие меры:

• обучение пользователей основам информационной безопасности;

• управление персоналом путем реализации двух принципов: разделения обязанностей и минимизации привилегий;

• физическая защита, основным принципом которой является непрерывность защиты во времени и пространстве;

• поддержание работоспособности компонентов КС, в том числе поддержание ПО и документации в актуальном состоянии, резервное копирование программ и данных, контроль за проведением регламентных работ;

• реагирование на нарушение политики информационной безопасности с целью локализации инцидента и уменьшения

• наносимого вреда, выявления нарушителя и предупреждения повторных нарушений;

• планирование восстановительных работ с целью подготовки к различного рода внештатным ситуациям, уменьшения ущерба в случае их возникновения и сохранение работоспособности КС хотя бы в минимальном объеме.

3. Методы оби: Криптографические методы оби.

В стандартных криптографических протоколах широко используется модель угроз уязвимой среды Долева–Яо, согласно которой злоумышленник может:

• перехватить любое сообщение, передаваемое по сети;

• являться законным пользователем и вступать в контакт с любым другим пользователем;

• получать сообщения от любого пользователя;

• посылать сообщения любому пользователю, маскируясь под любого другого пользователя.

Криптографические методы защиты информации являются предметом исследования современной криптологии, включающую в себя два основных раздела, цели которых прямо противоположны:

• криптографию, разрабатывающую способы преобразования (шифрования или хеширования) информации с целью ее защиты от злоумышленников, обеспечения ее секретности, аутентичности и неотслеживаемости;

• криптоанализ, связанный с оценкой надежности криптосистем, анализом стойкости шифров, разработкой способов их вскрытия.

В настоящее время стандартный способ доказательства высокой стойкости криптоалгоритмов заключается в формальном доказательстве того факта, что атака на алгоритм эквивалентна решению одной из хорошо известных трудноразрешимых задач.

Доказательство представляет собой эффективное математическое преобразование или последовательность преобразований, сводящих атаку на алгоритм к решению задачи-эталона.

Практическая стойкость – свойство алгоритма, доказанное путем формального сведения адаптивных атак к решению трудноразрешимых задач

Современная криптография в значительной степени основана на понятии вычислительной сложности. Задачи разделяются на два класса: разрешимые и трудноразрешимые. Криптографический алгоритм должен быть разработан так, чтобы стать разрешимым для законного пользователя и трудноразрешимым для атакующего. Математическая задача является эффективно разрешимой, если время, необходимое для ее решения, полиномиально зависит от ее размера. Криптографический протокол (процедура обмена данными между участниками) считается эффективным, если количество сеансов (раундов) связи ограничено полиномом малой степени: константой (степень 0) или линейной функцией (степень 1).

Поскольку система ОБИ функционирует во вражеском окружении, при этом даже законный пользователь может иметь злой умысел, ее разработчик должен учитывать множество дополнительных факторов. Выделим следующие.

1. Необходимо ясно формулировать все необходимые предположения. Система ОБИ взаимодействует с окружением, которое должно удовлетворять определенным условиям или предположениям. Их нарушение создает предпосылки для проведения атак на КС. Особенно трудно проверить предположение, не сформулированное явно. Иначе говоря, все предположения, на которых основана система ОБИ, должны быть явно указаны. Например, многие протоколы используют неявные предположения о том, что компьютер может генерировать качественные случайные числа. Однако на практике это часто бывает не так, в результате становится возможной атака на генераторы случайных чисел (low-entropy attack), формирующие ключевую информацию.

2. Необходимо ясно формулировать все предполагаемые услуги по ОБИ, иначе говоря, четко указывать, для решения каких задач предназначен тот или иной алгоритм или протокол. Очень часто требуется уточнение и самих решаемых задач. Например, когда речь о конфиденциальности информации, может, помимо секретности, предполагаться наличие свойств невидимости или анонимности участников и неотслеживаемости информационных потоков. Неправильная идентификация задач, стоящих перед алгоритмом или протоколом, может привести соответственно к неправильному использованию криптографических примитивов.

3. Необходимо ясно выделять частные случаи математических задач, на которых основывается стойкость алгоритма или протокола. Например, существуют частные случаи трудноразрешимых задач, которые относительно просто решить. Если разработчик алгоритма или протокола не знает о существовании таких особых ситуаций или неточно описал их в спецификации, появляются предпосылки для успешной атаки. Необходимо знать математические особенности решаемой задачи и явно описывать потенциально опасные ситуации. Ясность и простота описания алгоритма или протокола существенно облегчают его анализ, при этом увеличивается вероятность его правильной реализации и соответственно уменьшается вероятность взлома.

Важной составляющей криптографических исследований является их публичная проверка. Криптографические алгоритмы, протоколы и системы в целом печально известны своей уязвимостью и подверженности ошибкам. После того как результаты криптографических исследований и разработок опубликованы, многочисленные эксперты начинают их испытывать. В результате вероятность, что в ходе таких проверок обнаружатся ошибки в проектировании или реализации, допущенные разработчиками, существенно возрастает. Если же алгоритм сохраняется в секрете, его в лучшем случае проверят несколько экспертов. При этом вероятность выявления ошибок снижается. Возможно ситуация, когда разработчик знает о существовании ошибки и может скрытно воспользоваться этим в своих интересах.

Современная наука предоставляет все необходимые алгоритмы, методы и средства, позволяющие построить систему защиты, затраты на взлом которой таковы, что у противника с ограниченными финансовыми и техническими возможностями для получения интересующей его информации остаются только два пути – использование, во-первых, человеческого фактора, а во-вторых, особенностей конкретной реализации (чаще программной) алгоритмов и протоколов удаленного взаимодействия. Именно такой вывод можно сделать, анализируя примеры реальных успешных атак на КС в защищенном исполнении. Известны лишь единичные случаи взлома с использованием исключительно математических методов. В то же время различных примеров взломов реальных систем так много, что их анализом вынуждены заниматься целые компании.

Система защиты в целом не может быть надежнее отдельных ее компонентов. Иными словами, для того чтобы преодолеть систему защиты, достаточно взломать или использовать для взлома самый ненадежный из ее компонентов. Очень часто причинами ненадежности реальных систем защиты являются особенности программной реализации.

Правило слабого звена. Система безопасности надежна настолько, насколько надежно ее самое слабое звено. Слабое звено всегда рвется первым, прочность остальных звеньев после этого уже не имеет значения. Чтобы повысить безопасность системы, необходимо улучшить ее самое слабое звено (ССЗ), иначе говоря, надо определить, из каких звеньев состоит система безопасности и какое из них самое слабое. Для этого необходимо построить и проанализировать иерархическую древовидную структуру, так называемое дерево атак.

С формальной точки зрения укрепление любого звена, кроме самого слабого, – пустая трата времени. На практике это не так:

• злоумышленник может не знать, какое звено самое слабое;

• ССЗ может различаться для разных типов злоумышленников;

• прочность звена зависит от навыков злоумышленника и имеющихся у него средств.

Таким образом, необходимо укреплять любое звено, которое в определенной ситуации может оказаться самым слабым.

Особенностью проектирования системы безопасности является противоборствующее окружение:

• противники умны, коварны и изворотливы;

• они играют не по правилам;

• их поведение непредсказуемо;

• неизвестно, кем является злоумышленник, какими знаниями, опытом и ресурсами он обладает, какова его цель и когда он собирается нападать;

• противник обладает преимуществом в несколько лет исследований и может воспользоваться новыми технологиями, которых не существовало на момент проектирования;

• при этом злоумышленнику, имеющему все перечисленные преимуществами, достаточно найти всего лишь одно слабое звено в атакуемой системе, в то время как разработчикам надо защищать ее всю.

Заниматься проектированием безопасных систем и уметь находить слабые места в собственных разработках сможет лишь тот, кто сам начнет думать, как злоумышленник.

При работе в области практической криптографии очень полезна параноидальная модель. Например, только такая модель должна использоваться при создании электронных платежных систем (ЭПС), объединяющих покупателей, продавцов и банки.

Для каждого участника ЭПС предполагается, что остальные участники объединились с целью его обмануть. Если криптосистема способна выстоять в такой ситуации, у нее есть шанс выжить в реальном мире.

Важно знать, от чего мы пытаемся защищаться. В чем состоит угроза? Так, например, большинство компаний защищают свои информационные системы (ИС) межсетевыми экранами (МЭ), в то время как наиболее разрушительные атаки обычно исходят изнутри. В этой ситуации МЭ бесполезны. Это пример неудачного составления модели угроз.