книги / Основы информационной безопасности
..pdfвателями сети, возможно, находящимися на большом расстоянии друг от друга, сильно повышается риск несанкционированного доступа, так как в сети его можно осуществить проще и незаметнее.
Расширение зоны контроля. Администратор или оператор отдельной системы или подсети должен контролировать деятельность пользователей, находящихся вне пределов его досягаемости.
Комбинация различных программно-аппаратных средств. Со-
единение нескольких систем в сеть увеличивает уязвимость всей системы в целом, поскольку каждая информационная система настроена навыполнениесвоихспецифическихтребованийбезопасности, которые могут оказаться несовместимыми с требованиями на других системах.
Неизвестныйпараметр. Легкаярасширяемостьсетейведетктому, что определить границы сети подчас бывает сложно, так как один и тот же узел может быть доступен для пользователей различных сетей. Более того, для многих из них не всегда можно точно определить, сколько пользователей имеют доступ к определенному узлу сети и кто они.
Множество точек атаки. В сетях один и тот же набор данных или сообщение могут передаваться через несколько промежуточных узлов, каждый из которых является потенциальным источником угрозы. Кроме того, ко многим современным сетям можно получить доступ с помощью коммутируемых линий связи и модема, что во много раз увеличивает количество возможных точек атаки.
Сложность управления и контроля доступа к системе. Многие атаки на сеть могут осуществляться без получения физического доступа к определенному узлу – с помощью сети из удаленных точек. В этом случае идентификация нарушителя может оказаться очень сложной, кроме того, время атаки может оказаться слишком малым для принятия адекватных мер.
С одной стороны, сеть – это единая система с едиными правилами обработки информации, а с другой – совокупность обособленных систем, каждая из которых имеет свои собственные правила обработки информации. Поэтому с учетом двойственности характера сети атака на сеть может осуществляться с двух уровней: верхнего и нижнего (возможна и их комбинация).
Приверхнемуровнеатакинасетьзлоумышленникиспользуетсвойства сети для проникновения на другой узел и выполнения определен-
271
ных несанкционированных действий. При нижнем уровне атаки на сеть злоумышленник использует свойства сетевых протоколов для нарушения конфиденциальности или целостности отдельных сообщений или потока в целом. Нарушение потока сообщений может привести к утечке информации и даже потере контроля над сетью.
Различают пассивные и активные угрозы нижнего уровня, специфические для сетей.
Пассивные угрозы (нарушение конфиденциальности данных, циркулирующих в сети) – это просмотр и/или запись данных, передаваемых по линиям связи. К ним относятся:
–просмотр сообщения;
–анализ графика – злоумышленник может просматривать заголовки пакетов, циркулирующих в сети, и на основе содержащейся в них служебной информации делать заключения об отправителях и получателях пакета и условиях передачи (время отправления, класс сообщения, категория безопасности, длина сообщения,
объем трафика и т. д.).
Активные угрозы (нарушение целостности или доступности ресурсов и компонентов сети) – несанкционированное использование устройств, имеющих доступ к сети для изменения отдельных сообщений или потока сообщений. К ним относятся:
–отказ служб передачи сообщений – злоумышленник может уничтожать или задерживать отдельные сообщения или весь поток сообщений;
–«маскарад» – злоумышленник может присвоить своему узлу или ретранслятору чужой идентификатор и получать или отправлять сообщения от чужого имени;
–внедрение сетевых вирусов – передача по сети тела вируса с его последующей активизацией пользователем удаленного или локального узла;
–модификация потока сообщений – злоумышленник может выбо-
рочно уничтожать, модифицировать, задерживать, переупорядочивать и дублировать сообщения, а также вставлять поддельные сообщения.
Угрозы коммерческой информации. В условиях информатизации особую опасность представляют также такие способы несанкциониро-
272
ванного доступа к конфиденциальной информации, как копирование,
подделка, уничтожение.
Копирование. При несанкционированном доступе к конфиденциальной информации копируют: документы, содержащие интересующую злоумышленника информацию; технические носители; информацию, обрабатываемую в автоматизированных информационных системах, используются следующие способы копирования: светокопирование, фотокопирование, термокопирование, ксерокопирование и электронное копирование.
Подделка. В условиях конкуренции подделка, модификация и имитация приобретают большие масштабы. Злоумышленники подделывают доверительные документы, позволяющие получить определенную информацию, письма, счета, бухгалтерскую и финансовую документацию, ключи, пропуска, пароли, шифры и т. п. В автоматизированных информационных системах к подделке относят, в частности, такие злонамеренные действия, как фальсификация (абонент-получатель подделывает полученное сообщение, выдавая его за действительное в своих интересах), маскировка (абонент-отправитель маскируется под другого абонента с целью получения им охраняемых сведений).
Уничтожение. Особую опасность представляет уничтожение информации в автоматизированных базах данных и базах знаний. Уничтожается информация на магнитных носителях с помощью компактных магнитов и программным путем (логические бомбы). Значительное место в преступлениях против автоматизированных информационных систем занимают саботаж, взрывы, разрушения, вывод из строя соединительных кабелей, систем кондиционирования.
6.6. Уровни информационной безопасности
Для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней: законодательного (законы, нормативные акты, стандарты и т. п.); административного(действияобщегохарактера, предпринимаемыеруководствоморганизации); процедурного (конкретные меры безопасности, имеющие дело с людьми); программно-технического (конкретные технические меры).
Законодательный уровень. Законодательный уровень является важнейшим для обеспечения информационной безопасности. Большинство
273
людей не совершают противоправных действий не потому, что это технически невозможно, а потому, что это осуждается и (или) наказывается обществом, потому, что так поступать не принято.
На законодательном уровне реализуются две группы мер. Первая – направлена на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности. Вторая группа мер – это группа, включающая направляющие и координирующие меры, которые способствуют повышению образованности общества в области информационной безопасности, помогают в разработке и распространении средств обеспечения информационной безопасности.
Основные направления деятельности на законодательном уровне: разработка новых законов с учетом интересов всех категорий субъектов информационных отношений; ориентация на созидательные, а не карательные законы; интеграция в мировое правовое пространство; учет современного состояния информационных технологий.
Административный уровень. Основой мер административного уровня является политика безопасности. Под политикой безопасности понимается совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. Политика безопасности определяет стратегию в области информационнойбезопасности, атакжетумерувниманияиколичестворесурсов, которую руководство считает целесообразным выделить. Стандарт 887799:1995 рекомендует включать в документ, характеризующий политику безопасности любой организации, следующие разделы:
–вводный, подтверждающий озабоченность высшего руководства проблемами информационной безопасности;
–организационный, содержащий описание подразделений, комиссий, группит. д., отвечающихзаработывобластиинформационной безопасности;
–классификационный, описывающий имеющиеся в организации материальные и информационные ресурсы и необходимый уровень их защиты;
–штатный, характеризующий меры безопасности, применяемые к персоналу (описание должностей с точки зрения информационной безопасности, организация обучения и переподготовки пер-
274
сонала, порядок реагирования на нарушения режима безопасности и т. п.);
–освещающий вопросы физической защиты;
–управляющий раздел, описывающий подход к управлению компьютерами и компьютерными сетями;
–описывающий правила разграничения доступа к производственной информации;
–характеризующий порядок разработки и сопровождения систем;
–описывающий меры, направленные на обеспечение непрерывной работы организации;
–юридический, подтверждающий соответствие политики безопасности действующему законодательству.
Политика безопасности строится на основе анализа рисков, которые признаются реальными для информационной системы конкретной организации. Когда риски проанализированы и определена стратегия защиты, составляется программа, реализация которой должна обеспечить информационную безопасность. Под эту программу выделяются ресурсы, назначаются ответственные, определяется порядок контроля выполнения программы и т. п. Административный уровень – белое пятно в отечественной практике информационной безопасности. Нет законов, обязывающих организации иметь политику безопасности. Ни одно изведомств, курирующихинформационнуюбезопасность, непредлагает типовых разработок в данной области. Ни одно учебное заведение не готовит специалистов по составлению политики безопасности. Мало кто из руководителей знает, что такое политика безопасности, еще меньшее число организаций такую политику имеют. В то же время без подобной основы прочие меры информационной безопасности повисают в воздухе, онинемогутбытьвсеобъемлющими, систематическими иэффективными. Например, меры защиты от внешних хакеров и от собственных обиженных сотрудников должны быть совершенно разными, поэтому в первую очередь необходимо определиться, какие угрозы чреваты нанесением наибольшегоущерба. Отметимвэтойсвязи, чтопостатистике наибольший ущерб происходит от случайных ошибок персонала, обусловленных неаккуратностью или некомпетентностью, поэтому в первую очередь важны не хитрые технические средства, а меры обучения, тренировка персонала и регламентирование его деятельности.
275
Разработка политики безопасности требует учета специфики конкретных организаций. Бессмысленно переносить практику режимных государственных организаций на коммерческие структуры, учебные заведения или персональные компьютерные системы. В этой области целесообразно предложить, во-первых, основные принципы разработки политики безопасности, а во-вторых, – готовые шаблоны для наиболее важных разновидностей организаций. Анализ ситуации на административном уровне информационной безопасности еще раз показывает важность созидательного, а не карательного законодательства. Можно потребовать от руководителей наличия политики безопасности (и в перспективе это правильно), но сначала нужно разъяснить, научить, показать, для чего она нужна и как ее разрабатывать.
Процедурный уровень. К процедурному уровню относятся меры безопасности, реализуемые людьми. Можно выделить следующие группы процедурных мер, направленных на обеспечение информационной безопасности:
–управление персоналом;
–физическая защита;
–поддержание работоспособности;
–реагирование на нарушения режима безопасности;
–планирование восстановительных работ.
Программно-технический уровень. Львиная доля активности в области информационной безопасности приходится на программнотехнический уровень. Согласно современным воззрениям в рамках информационныхсистемдолжныбытьдоступныпокрайнеймереследующие механизмы безопасности:
–идентификация и проверка подлинности (аутентификация) пользователей;
–управление доступом;
–протоколирование и аудит;
–криптография;
–межсетевое экранирование;
–обеспечение высокой доступности.
Кроме того, информационной системой в целом и механизмами безопасности в особенности необходимо управлять. И управление, и механизмы безопасности должны функционировать в разнородной,
276
распределенной среде, построенной, как правило, в архитектуре клиент/сервер. Это означает, что упомянутые средства должны опираться на общепринятые стандарты, быть устойчивыми к сетевым угрозам, учитывать специфику отдельных сервисов.
6.7. Средства обеспечения информационной безопасности
Совокупность средств, обеспечивающих выживание системы в информационном конфликте, принято называть средствами обеспечения информационной безопасности.
Понятие «информационная безопасность» включает три составляющие:
–первая: защита информации и информационных систем от несанкционированного использования противоборствующей стороной;
–вторая: защитаинформациииинформационныхсистемотразрушения (в результате физического и программного воздействия);
–третья: защита от информации (дезинформации, избыточной информации или информационного шума, информации, скрытно воздействующей на установки, мотивации, алгоритмы функцио-
нирования организационно-технических, социальных, самообучающихся систем и систем управления).
Первая и вторая составляющие обеспечения информационной безопасности направлены на то, чтобы не позволить потенциальному агрессору развить разнообразие алгоритмов достижения целей агрессии. Третья составляющая направлена на расширение разнообразия собственных алгоритмов реализации целевых функций.
Как определить меру информационной безопасности той или иной информационной системы?
Один из подходов заключается в формировании перечня функций, операций и средств обеспечения информационной безопасности. Суть подхода состоит в том, чтобы такой перечень был как можно более полным. Тогда система, реализующая эти функции и операции, а также оснащенная необходимыми средствами, может считаться защищенной.
Для обеспечения информационной безопасности необходимо в первуюочередьвыявитьвсеугрозы. Сделатьэтоможно, проведятристадии анализа: анализ требований к информационной безопасности; анализ
277
способов обеспечения информационной безопасности; анализ возможных реализаций функций, операций и средств обеспечения информационной безопасности.
Первая стадия (выработка требований) включает анализ уязвимых элементов системы; оценку угроз (выявление проблем, которые могут возникнуть из-за наличия уязвимых элементов); анализ риска (прогнозирование возможных последствий, которые могут вызвать эти проблемы).
Вторая стадия (определение способов обеспечения информационной безопасности) предусматривает ответы на следующие вопросы: какие угрозы должны быть устранены и в какой мере; какие ресурсы системы должны быть защищены и в какой степени; с помощью каких средств может быть реализована эта защита; какие должны быть выделены экономические ресурсы на обеспечение информационной безопасности системы и как они соотносятся с полным экономическим потенциаломсистемы? Должнабытьувязанаэквифинальностьинформационной системы и подсистемы обеспечения ее безопасности.
Третья стадия (определение функций, процедур и средств обеспечения информационной безопасности, реализуемых в виде некоторых операций по защите системы). Для того, чтобы реализовать и эффективно использовать операции защиты, необходимы дополнительные действия по обеспечению их поддержки, относящиеся к специфической функции управления информационной безопасностью.
Управление информационной безопасностью – это контроль за распространением информации в системе. Он осуществляется для обеспечения функционирования средств и операций безопасности и фиксации событий, связанных с нарушением защиты.
Вопросы для самоконтроля к главе 6
1.Дайте понятие информатизации и информационной сферы.
2.Что называется информационной системой?
3.Виды и классификация угроз информационным системам.
4.Методы защиты информационных систем.
5.Перечислитесредстваобеспечениябезопасностиинформационным системам.
278
6.Перечислите основные элементы информационной безопасности информационных систем.
7.Дайте характеристику категориям информационной безопасности информационных систем (доступность, целостность, конфиденциальность).
8.Что понимается под термином «доступность»?
9.Что понимается под термином «конфиденциальность»?
10.Что понимается под термином «целостность»?
11.Дайте краткую характеристику угрозам конфиденциальности, целостности и доступности.
12.Перечислите причины угроз конфиденциальности, целостности и доступности.
13. Перечислите и дайте краткую характеристику способам несанкционированного доступа к конфиденциальной информации.
279
ГЛАВА 7
ПРИЧИНЫ, ВИДЫ, КАНАЛЫ УТЕЧКИ И ИСКАЖЕНИЯ ИНФОРМАЦИИ
7.1. Утечка защищаемой информации
Если в результате деятельности злоумышленников по добыванию защищаемой информации им удается получить доступ и владение этой информацией, то их соперник (собственник или владелец информации) утрачивает монополию на владение и использование защищаемой им информации и тем самым лишается всех преимуществ и выгод по ее использованию.
Утрата собственником (владельцем) защищаемой информации, ее монопольного использования расценивается обычно как утечка этой информации.
Основным признаком утечки информации может считаться факт завладения защищаемой информацией субъектом, от которого она защищается. Весь смысл организации защиты информации состоит в предотвращениинесанкционированного завладения защищаемойинформацией именно определенными субъектами – это могут быть конкуренты, соперники, действительный или потенциальный противник.
Информация защищается и от посторонних лиц, но лишь потому, что появление защищаемой информации в среде, не регламентированной режимными рамками, увеличивает вероятность завладения этой информацией теми лицами, от которых она защищается.
В процессе деятельности владельца информации по ее защите может складываться ситуация, при которой защищаемая информация поразличным причинам выходит извладения субъектов, являющихся ее собственниками или которым эта информация была доверена или стала известна по службе или работе, то есть эта защищаемая информация выходит за пределы охраняемой специальными режимами сферы обращения, утрачивается контроль за ее обращением и распространением.
Какие же последствия могут наступить для собственника информации?
280