Основные принципы построения систем защиты информации в АС 317
•вызывают дополнительные затраты ресурсов (машинного времени, полосы передачи
ит.д.);
•нарушают целостность хранимой и обрабатываемой информации;
•нарушают интересы законных пользователей;
•вызывают незапланированные затраты ресурсов на ведение дополнительного контроля, восстановление работоспособности систем, уничтожение последствий нарушения безопасности систем и т.д.
Стеоретической точки зрения, все угрозы АС, можно отнести к одному из следующих четырех типов.
Прерывание. При прерывании компонент системы утрачивается (например, в результате похищения), становится недоступным (например, в результате блокировки — физической или логической), либо теряет работоспособность.
Перехват. Злоумышленник получает доступ к АС. Примерами перехвата являются: незаконное копирование программ и данных; несанкционированное чтение данных из линии связи компьютерной сети и т.д.
Модификация. Злоумышленник не только получает доступ к компоненту, но и манипулирует с ним.
Подделка. Злоумышленник может добавить некоторый фальшивый процесс в систему для выполнения нужных ему, не учитываемых системой, действий, либо подложной записи в файлы системы или других пользователей.
Под защитой информации в АС понимается совокупность мероприятий, методов и средств, обеспечивающих решение следующих основных задач:
•проверка целостности информации;
•исключение несанкционированного доступа к ресурсам АС и хранящимся в ней программам и данным;
•исключение несанкционированного использования хранящихся в АС программ (т.е. защита программ от копирования).
Основные принципы построения систем защиты информации в АС
Опыт создания систем защиты информации (СЗИ) в АС позволяет выделить следующие основные принципы построения СЗИ.
1.Простота механизма защиты. Этот принцип общеизвестен, но не АСегда глубоко осознается. Действительно, некоторые ошибки, не выявленные при проектировании и эксплуатации, позволяют обнаружить неучтенные пути доступа. Необходимо тщательное тестирование программного обеспечения или аппаратных средств защиты, однако на практике такая проверка возможна только для простых и компактных схем.
318 Глава 17. Программные методы защиты
2.В нормальных условиях доступ к механизму защиты должен отсутствовать, и
для работы системы необходимо, чтобы выполнялись определенные условия, при которых доступ к механизму защиты становится невозможным. Кроме того, считается, что запрет доступа при отсутствии особых указаний обеспечивает высокую степень надежности механизма защиты. Ошибка в определении полномочий пользователя в системе защиты, основанной на использовании разрешений, приводит к расширению сферы запретов. Эту ошибку легче обнаружить и она не разрушит общего статуса защиты.
3.Все возможные каналы утечки должны быть перекрыты. Этот принцип предпола-
гает проверку полномочий любого обращения к любому объекту и является основой системы защиты. Защита управления доступом с учетом этого принципа должна решаться на общесистемном уровне. При этом следует учитывать такие режимы работы как: запуск, восстановление после сбоев, выключение и профилактическое обслуживание. Необходимо обеспечить надежное определение источника любого обращения к данным.
4.Механизм защиты можно не засекречивать. Не имеет смысла засекречивать дета-
ли реализации систем защиты, предназначенной для широкого использования. Эффективность защиты не должна зависеть от того, насколько опытны потенциальные нарушители. Открытость механизма защиты позволяет при необходимости сделать его предметом обсуждения среди специалистов, не затрагивая при этом интересов пользователей.
5.Разрешение полномочий. Этот принцип заключается в применении нескольких ключей защиты. Наличие нескольких ключей защиты в АС удобно в тех условиях, когда право на доступ определяется выполнением ряда условий.
6.Минимальные полномочия. Для любой программы и любого пользователя должен быть определен минимальный круг полномочий, необходимых для выполнения порученной работы. Вследствие этого в значительной мере уменьшается ущерб, причиняемый при сбоях и случайных нарушениях.
7.Максимальная обоснованность механизма защиты. В целях исключения обмена информацией между пользователями рекомендуется при проектировании схем защиты сводить к минимуму число общих для нескольких пользователей параметров и характеристик механизма защиты.
8.Психологическая привлекательность. Система защиты должна быть простой в эксплуатации. Естественно, чем точнее совпадает представление пользователя о системе защиты с ее фактическими возможностями, тем меньше ошибок возникает в процессе применения.
При построении систем возникают серьезные затруднения, связанные с большими затратами на их реализацию. Поэтому важным фактором при реализации систем защиты является их экономическая эффективность. Поэтому излишнее утяжеление системы дорогостоящими средствами защиты может сделать ее неконкурентоспособной.
Программные средства защиты информации 319
Программные средства защиты информации
Программными СЗИ называются специальные программы, входящие в состав программного обеспечения АС для решения в них (самостоятельно или в комплекте с дру-
гими средствами) задач защиты. Программные СЗИ являются непременной и важнейшей частью механизма защиты современных АС. Такая их роль определяется следующими достоинствами: универсальностью, гибкостью, простой реализацией, надежностью, возможностью модификации и развития.
При этом под универсальностью понимается возможность решения программными СЗИ большого числа задач защиты.
Под надежностью понимается высокая программная устойчивость при большой продолжительности непрерывной работы и удовлетворение высоким требованиям и достоверности управляющих воздействий при наличии различных дестабилизирующих факторов. Программные возможности изменения и развития программных СЗИ определяются самой их природой.
Существенным недостатком программных СЗИ является возможность их реализации только в тех структурных элементах АС, где имеется процессор, хотя функции защиты могут реализовываться, осуществляя безопасность других структурных элементов. Помимо того, программным СЗИ присущи следующие недостатки:
•необходимость использования времени работы процессора, что ведет к увеличению времени отклика на запросы и, как следствие, к уменьшению эффективности ее работы;
•уменьшение объемов оперативной памяти (ОП) и памяти на внешних запоминающих устройствах (ПВЗУ), доступной для использования функциональными задачами;
•возможность случайного или умышленного изменения, вследствие чего программы могут не только утратить способность выполнять функции защиты, но и стать дополнительными источниками угрозы безопасности;
•ограниченность из-за жесткой ориентации на архитектуру определенных типов ЭВМ (даже в рамках одного класса) — зависимость программ от особенностей базовой системы ввода/вывода, таблицы векторов прерывания и т.п.
Для организационного построения программных СЗИ наиболее характерной явля-
ется тенденция разработки комплексных программ, выполняющих целый ряд защитных функций, причем чаще всего в число этих функций входит опознавание пользователей, разграничение доступа к массивам данных, запрещение доступа к некоторым областям ОП и т.п. Достоинства таких программ очевидны: каждая из них обеспечивает решение некоторого числа важных задач защиты. Но им присущи и существенные недостатки, предопределяющие необходимость критической оценки сложившейся практики разработки и использования программных средств защиты. Первый и главный недостаток состоит в стихийности развития программ защиты, что, с одной стороны, не дает гарантий полноты имеющихся средств, а с другой — не исключает дублирования одних и тех же задач защиты. Вторым существенным недостатком является жесткая фиксация в каждом из комплексов программ защитных функций. Наконец, можно выделить еще
320 Глава 17. Программные методы защиты
один большой недостаток — ориентация подавляющего большинства имеющихся программных средств на конкретную среду применения (тип ЭВМ и операционную среду).
Отсюда вытекают три принципиально важных требования к формированию про-
граммных СЗИ: функциональная полнота, гибкость и унифицированность использования.
Что касается первого требования, то, как нетрудно убедиться, приведенный выше перечень программных средств составлен именно с таким расчетом, чтобы возможно более полно охватить все классы задач защиты.
Удовлетворение остальным двум требованиям зависит от форм и способов представления программ защиты. Анализ показал, что наиболее полно требованиям гибкости и унифицированности удовлетворяет следующая совокупность принципов: сквозное мо-
дульное построение, полная структуризация, представление на машинно-независимом языке.
Принцип сквозного модульного построения заключается в том, что каждая из программ любого уровня (объема) должна представляться в виде системы возможных модулей, причем каждый модуль любого уровня должен быть полностью автономным и иметь стандартные вход и выход, обеспечивающие комплексирование с любыми другими модулями. Нетрудно видеть, что эти условия могут быть обеспечены, если программные комплексы будут разрабатываться по принципу “сверху вниз”, т.е. в соответ-
ствии с принципом полной структуризации.
Представление на машинно-независимом языке предопределяет, что представление программных модулей должно быть таким, чтобы их с минимальными усилиями можно было включить в состав программного обеспечения любой АС. В настоящее время имеются алгоритмические языки высокого уровня, полностью соответствующие этим требованиям.
Общепринятой классификации программных СЗИ в настоящее время не существует. Однако при описании программ защиты обычно придерживаются деления их по функциональному признаку, т.е. по выполняемым функциям защиты. При этом по мере развития форм и способов использования вычислительной техники функции программной защиты расширяются.
С учетом названных принципов можно использовать классификацию, приведенную на рис. 17.1.