4-1 Електрона комерція / Тимошенко А.А. Защита информации в специализированных информационно-телекоммуникационных системах

По списку потенциальных угроз, уязвимых мест и связанных с ними рисков может быть

выполнена оценка текущей ситуации с обеспечением защищенности информации в ИТС и определены те угрозы (для тех или иных информационных активов), на предотвращение которых должны быть в первую очередь направлены усилия разработчиков СЗИ.

2.5 Реализация мероприятий по обеспечению защиты информации в ИТС

2.5.1 Реализация организационных мер защиты

Организационные меры защиты - это меры административного характера, регламентирующие процессы функционирования системы обработки информации, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз информации. Они включают:

-разработку правил обработки информации в ИТС;

-мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов ИТC (учет влияния стихии, пожаров, охрана помещений, организация защиты от установки прослушивающей аппаратуры и т.п.);

-мероприятия, осуществляемые при подборе и подготовке персонала (проверка новых сотрудников, ознакомление их с порядком работы с конфиденциальной информацией, с мерами ответственности за нарушение правил ее обработки; создание условий, при которых персоналу было бы невыгодно допускать злоупотребления и т.д.);

-организацию надежного пропускного режима;

-организацию учета, хранения, использования и уничтожения документов и носителей с конфиденциальной информацией;

-распределение атрибутов доступа (паролей, полномочий по доступу и т.п.);

82

-организацию подготовки и скрытого контроля за работой пользователей и персонала ИТС;

-мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения (сертификация используемых технических и программных средств, строгое санкционирование, рассмотрение и утверждение всех изменений, проверка их на соответствие требованиям защиты, документальное отражение изменений и т.п.).

Организационные меры защиты реализуются путем разработки соответствующих нормативных документов (положений, инструкций и т.п.) и административного контроля за выполнением персоналом (пользователями) ИТС требований данных документов.

Примерный перечень документов, которыми может регламентироваться порядок обработки информации в ИТС:

-положение о службе защиты информации в ИТС. Должно определять задачи, функции, штатную структуру, обязанности, права и ответственность сотрудников службы, порядок взаимодействия с другими подразделениями;

-план защиты информации в ИТС. Должен определять основные задачи защиты:

-классификацию информации, описание технологии ее обработки;

-модель нарушителя;

-модель угроз (формализованное или неформализованное описание способов реализации угроз в ИТС);

-политику безопасности обрабатываемой информации;

-перечень документов, в соответствии с которыми реализована защита информации в ИТС.

-порядок разработки, внедрения и модернизации прикладного программного обеспечения ИТС;

-правила выдачи идентификаторов и управления атрибутами доступа пользователей ИТС;

-правила классификации и классификатор информации и пользователей ИТС;

-инструкция о порядке резервирования информации;

-инструкция о порядке оперативного восстановления работоспособности ИТС;

-руководства пользователей СЗИ;

-инструкции о порядке ввода в действие СЗИ;

-инструкции о порядке модернизации СЗИ;

-инструкция по организации контроля за функционированием СЗИ.

Организационные меры играют значительную роль в обеспечении защищенности информации, обрабатываемой в ИТС. Эти меры необходимо использовать тогда, когда другие методы и средства защиты просто недоступны (отсутствуют или слишком дороги). Однако это вовсе не означает, что СЗИ необходимо и можно строить исключительно на основе организационных мер. Этим мерам присущи серьезные недостатки, такие как:

83

-низкая их надежность без соответствующей поддержки со стороны средств, реализующих физические и технических меры защиты (люди склонны к нарушению любых установленных правил, если только их можно нарушить);

-применение для защиты только организационных мер может привести к параличу функционирования ИТС и всей организации из-за ряда дополнительных неудобств, связанных с большим объемом рутинной формальной деятельности.

2.5.2 Реализация технических мер защиты

Защита информации в ИТС направлена на обеспечение защищенности обрабатываемой информации и ИТС в целом, т.е. такого состояния, в котором сохраняются заданные свойства информации и ИТС, ее обрабатывающей. Система указанных мер, обеспечивающая защиту информации в ИТС, называется СЗИ.

Технические меры защиты – это меры по внедрению и использованию различного рода программных и программно-аппаратных средств которые выполняют (самостоятельно или в комплексе с другими средствами) различные функции защиты.

Сущность этапа реализации СЗИ заключается в выборе (разработке), установке и настройке средств защиты, необходимых для реализации зафиксированных в плане защиты правил обработки информации. Содержание этого этапа зависит от способа реализации различных функций защиты в средствах защиты. КСЗ — это совокупность программно-аппаратных средств, обеспечивающих реализацию политики безопасности информации. Любой компонент ИТС, который вследствие какого-либо воздействия способен вызвать нарушение политики безопасности, должен рассматриваться как часть КСЗ.

Основные этапы разработки КСЗ СЗИ в ИТС приведены на рис. 2.2.

84

Требования

обеспечения

Исходный код/

схемы

Реализация

Анализ соответствия и совместная проверка

Рис.2.2 Этапы процесса разработки КСЗ СЗИ в ИТС

2.5.2.1Базовые понятия. Услуги безопасности, механизмы защиты, средства защиты

Сточки зрения обеспечения защищенности информации КСЗ можно рассматривать как набор функциональных услуг. Каждая услуга представляет собой набор функций, позволяющих противостоять некоторому множеству угроз. Совокупность таких услуг определяет

функциональную спецификацию КСЗ и называется функциональным профилем защищенности информации.

2.5.2.1.1 Услуги безопасности

Услуга безопасности — совокупность функций КСЗ ИТС, обеспечивающих защиту от определенной угрозы или от множества угроз.

Существует определенный перечень услуг, которые на основании практического опыта признаны "полезными" для обеспечения защищенности информации. Требования к реализации данных услуг приведены в различных документах, например, стандартах ISO, НД ТЗИ 2.5-004-99.

85

2.5.2.1.2 Функции и механизмы защиты

Основными задачами средств защиты являются изоляция объектов ИТС внутри сферы управления, проверка всех запросов доступа к объектам и регистрация запросов и результатов их проверки и/или выполнения. С одной стороны, любая элементарная функция любой из услуг, реализуемых средствами защиты, может быть отнесена к функциям изоляции, проверки или регистрации. С другой стороны, любая из функций, реализуемых средствами защиты, может быть отнесена к функциям обеспечения конфиденциальности, целостности и доступности информации либо управляемости ИТС и наблюдаемости действий пользователей.

Механизмы защиты — конкретные процедуры и алгоритмы, используемые для реализации определенных функций и услуг безопасности.

Каждая функция может быть реализована одним или более механизмами, которые зависят от конкретной ИТС. В то же время одни и те же механизмы могут использоваться для реализации нескольких услуг. Реализация механизмов может быть абсолютно различной. Для реализации функций защиты могут использоваться программные или аппаратные средства, криптографические преобразования, различные методы проверки полномочий и т.п. Выбор методов и механизмов практически всегда остается за разработчиком. Единственным требованием остается, чтобы функции защиты были реализованы в соответствии с декларируемой политикой безопасности и требованиями гарантий корректности их реализации.

2.5.2.2 Услуги безопасности и механизмы защиты согласно стандартам ISO

2.5.2.2.1 Услуги безопасности согласно стандартам ISO

Стандартом ISO 7498-2 вводятся, а в стандартах ISO 10181-1 - 10181-7 подробно описываются следующие базовые услуги безопасности:

Конфиденциальность - услуга безопасности, которая позволяет обеспечить сохранение конфиденциальности информации путем защиты от "доступа или раскрытия со стороны неавторизованных лиц, объектов или процессов". Определяется четыре версии данной услуги:

-конфиденциальность (системы с установлением соединения);

-конфиденциальность (системы без установления соединения);

-конфиденциальность (отдельные информационные поля);

-конфиденциальность (трафик).

Управление доступом - услуга безопасности, которая позволяет "предотвратить неавторизованное использование ресурсов, включая предотвращение использования ресурсов недопустимым способом".

-управление доступом;

86

Целостность - услуга безопасности, которая позволяет обеспечить сохранение целостности данных или связанных с ними атрибутов от "несанкционированной модификации, удаления, создания, вставки или повтора". Определяется пять версий данной услуги:

-целостность с восстановлением (системы с установлением соединения);

-целостность без восстановления (системы с установлением соединения);

-целостность отдельных информационных полей (системы с установлением соединения);

-целостность (системы без установления соединения);

-целостность отдельных информационных полей (системы без установления соединения). Причастность - услуга безопасности, определяемая как "предотвращение возможности

отказа одним из реальных участников коммуникационного взаимодействия факта его полного или частичного участия в передаче данных". Определяется две версии данной услуги:

-причастность к отправке;

-причастность к получению;

Доступность – определяется как услуга безопасности, с помощью которой может быть обеспечено заданное "качество" функционирования ресурсов ИТС.

-доступность;

Кроме этого, вводятся такие дополнительные услуги безопасности:

Аутентификация – определяется как услуга безопасности, которая позволяет гарантировать требуемый уровень идентичности некой сущности (объекта). Определяется две версии данной услуги:

-аутентификация одноуровневых объектов (сущностей), дополняет услуги:

-управление доступом;

-аудит;

-аутентификация источника данных, дополняет услуги:

-целостность;

-конфиденциальность,

-причастность;

-аудит.

Аудит - услуга безопасности, которая позволяет обеспечить наблюдаемость ИТС (свойство

ИТС, позволяющее фиксировать деятельность пользователей и процессов, использование информационных объектов, а также однозначно устанавливать идентификаторы причастных к

определенным событиям пользователей и процессов с целью предотвращения нарушения установленных правил доступа к информации и/или обеспечения ответственности за определенные действия) – обеспечивает анализ адекватности функционирования системы

87

реализуемой политике безопасности, учет и регистрацию действий пользователей по использованию ресурсов, учет попыток нанесения ущерба обрабатываемой информации.

-аудит, дополняет услуги:

-конфиденциальность,

-управление доступом;

-целостность;

-причастность;

-аутентификация одноуровневых объектов (сущностей);

-аутентификация источника данных.

2.5.2.2.2 Механизмы защиты согласно стандартам ISO

Для реализации указанных услуг стандарты ISO 7498-2, 10181-1 - 10181-7 определяют следующие механизмы защиты: управление доступом, шифрование, управление маршрутом, заполнение трафика, цифровая подпись, контроль целостности с использованием кода контроля целостности (ККЦ), контроль целостности по контексту, обеспечение целостности путем репликации данных, обеспечение целостности путем повтора сообщений, нотаризация (заверение), аутентификация, регистрация и аудит.

1. Управление доступом – предоставление права доступа к ресурсу в соответствии со специальной таблицей правил.

Управление доступом на основе списков управления доступом (access control list, ACL). Список управления доступом - перечень пользователей и/или процессов с указанием их

прав доступа к информационному объекту ИТС, с которым связан этот перечень. Обеспечивает очень избирательную настройку прав доступа.

Управление доступом на основе полномочий (capabilities).

Полномочия - перечень прав пользователя или процесса на выполнение определенных действий над (с) определенными объектами ИТС.

Управление доступом на основе меток доступа.

Метка доступа - атрибут доступа, отражающий категорию доступа объекта ИТС. Категория доступа (security level) — комбинация иерархических и неиерархических атрибутов доступа, отражающая уровень критичности (например, конфиденциальности) информации или полномочий пользователя по доступу к такой информации.. Уровень доступа (access level) — иерархическая часть категории доступа пассивного объекта. Уровень допуска (clearance) — иерархическая часть категории доступа пользователя или процесса, которая определяет максимальный уровень доступа пассивного объекта, к которому может получить доступ пользователь или процесс.

88

Контекстно-зависимое управление доступом – управление доступом на основе информации, содержащейся в запросе на доступ к информационному объекту (время, адрес инициатора запроса, маршрут прохождения запроса и т.п.).

2.Шифрование – использование криптографических преобразований для приведения данных к нечитаемому виду. Различают шифрование с использованием:

-симметричных алгоритмов (в этом случае для зашифрования и расшифрования данных используется один и тот же секретный ключ);

-несимметричных алгоритмов (в этом случае для зашифрования данных используется открытый ключ, а для расшифрования - парный ему секретный ключ).

3.Управление маршрутом – выбор специального пути передачи сообщения для исключения контроля за его следованием от отправителя к получателю. Реализуется в средствах

маршрутизации сообщений оконечной или промежуточной систем с использованием специальных меток.

4.Заполнение трафика – генерация случайного трафика, заполнение информативных пакетов дополнительной информацией, передача пакетов через промежуточные узлы или в ненужном направлении. Оба типа пакетов (информативный и случайный) могут при этом дополняться как до фиксированной, так и до случайной длины.

5.Цифровая подпись – использование криптографических преобразований на основе несимметричных алгоритмов для подтверждения источника происхождения сообщения. Предполагает использование двух типов криптографических ключей:

-секретного (личного) ключа – для выработки цифровой подписи;

-открытого (публичного) ключа – для проверки цифровой подписи.

6.Контроль целостности по ККЦ – механизм проверки/ подтверждения целостности сообщения с использованием специальной контрольной величины, являющейся функцией передаваемых в сообщении данных. Использование данного механизма предполагает выполнение операций выработки и проверки ККЦ.

7.Контроль целостности по контексту – механизм проверки/ подтверждения целостности сообщения, предполагающий проверку наличия в определенной части сообщения определенных, наперед известных данных (например, временной метки или номера пакета). Используется для проверки целостности потока данных (сообщений).

8.Обеспечение целостности путем репликации данных – механизм обеспечения целостности данных с восстановлением, предполагающий:

-наличие сделанных заранее нескольких копий данных, разнесенных по разным хранилищам;

-обнаружение нарушения целостности путем выполнения сравнения данных из разных источников;

89

-восстановление (выбор достоверных данных) с использованием пороговых критериев.

9.Обеспечение целостности путем повтора сообщений - механизм обеспечения целостности данных с восстановлением, включающий:

-обнаружение нарушения целостности с использованием механизмов контроля целостности;

-оповещение источника данных о нарушении и повтор сообщения до тех пор, пока целостность данных не будет обеспечена.

10.Нотаризация (заверение) – подтверждение характеристик передаваемых данных при помощи третьей (доверенной) стороны. Предполагает использование специальных протоколов обмена сообщениями, как правило, реализуется с использованием несимметричных криптографических алгоритмов.

11.Аутентификация – подтверждение при помощи специальных (в т.ч. криптографических) процедур подлинности участников взаимодействия.

Аутентификация пользователей (основные принципы):

-что-то знаю;

-чем-то владею;

-обладаю неотъемлемыми характеристиками;

-на основе информации от доверенной третьей стороны.

12.Регистрация и аудит – механизмы, используемые для реализации контроля действий объекта (сущности) на основании зарегистрированной информации. Включают:

-контроль поведения на основе заранее определенного "профиля";

-контроль на наличие некоторых типов событий в течение определенного периода времени;

-контроль на отсутствие некоторых типов событий в течение определенного периода времени.

Различные механизмы защиты могут применяться на различных уровнях протоколов эталонной модели ВОС. Связь между услугами безопасности, механизмами защиты и

применимость различных механизмов на тех или иных уровнях протоколов эталонной модели ВОС приведена в таблицах 2.13 и 2.14.

90

Таблица 2.13. Связь между услугами обеспечения безопасности и используемыми механизмами согласно ISO 7498-2, 10181