Руководящие материалы представляют семь критериев защиты кс:

1. Защита КС основывается на положениях существующих законов, стандартов и нормативно-методических документов по защите информации.

2. Защита средств вычислительной техники обеспечивается комплексом программно-технических средств.

3. Защита КС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.

4. Защита КС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.

5. Программно-технические средства не должны существенно ухудшать основные функциональные характеристики КС (надежность, производительность, возможность изменения конфигурации).

6. Оценка эффективности средств защиты, учитывающей всю совокупность технических характеристик, включая технические решения и практическую реализацию средств защиты.

7. Защита КС должна предусматривать контроль эффективности средств защиты от НСД, который может быть периодическим или включаться по мере необходимости пользователем или контролирующими органами.

59. Политика безопасности в компьютерных системах

Политика безопасности — качественное выражение свойств защищенности в терминах, представляющих систему. Политика безопасности для конкретной КС не должна быть чрезмерной — ужесточение защиты приводит к усложнению доступа пользователей к КС и увеличению времени доступа. Политика безопасности должна быть адекватна предполагаемым угрозам, и обеспечивать заданный уровень защиты.

Политика безопасности включает:

• множество субъектов;

• множество объектов;

• множество возможных операций над объектами;

• множество разрешенных операций для каждой пары субъект- объект, являющееся подмножеством множества возможных состояний.

Существуют два типа политики безопасности: дискретная (дискреционная) и мандатная (полномочная).

Основой дискретной политики безопасности является дискреционное управление доступом, которое определяется двумя свойствами:

• все субъекты и объекты должны быть идентифицированы;

• права доступа субъекта к объекту определяются на основе некоторого задаваемого набора правил.

К достоинствам дискретной политики безопасности можно отнести относительно простую реализацию соответствующих механизмов защиты. К ее недостаткам относится статичность модели, не учитывающая динамику изменений состояния КС.

Мандатная модель политики безопасности основывается на том, что:

• все субъекты и объекты должны быть идентифицированы;

• задан линейно упорядоченный набор меток секретности;

• каждому объекту присвоена метка секретности, определяющая ценность содержащейся в ней информации — его уровень секретности;

• каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему — его уровень доступа.

Мандатная политика, назначением метки секретности объекту, однозначно определяет круг субъектов, имеющих права доступа к нему.

60. Способы и средства нарушения конфиденциальности информации. Основные методы реализации угроз информационной безопасности. Типичные приёмы атак на компьютерные системы

К основным направлениям реализации злоумышленником информационных угроз на локальной, изолированной или включенной в сеть КС можно отнести следующие:

1. Непосредственное обращение к объектам доступа. (подсмотр пароля, ндежда на ошибки в политеке безопасности)

2. Создание программных и технических средств, выполняющих обращение к объектам доступа. (Подбор паролей, просмотр жёсткого диска и т.д.)

3. Модификация средств защиты, позволяющая реализовать угрозы информационной безопасности. (подмена файлов подсистемы с целью изменения ее реакции на права доступа к объектам).

4. Внедрение в технические средства программных или технических механизмов, нарушающих структуру и функции КС.(клавиатурные шпионы, перепрограммирование ПЗУ)