Информационная безопасность и защита информации Каранкевич а.А.

1. Обеспечение информационной безопасности: содержание и структура понятия. Организационно-правовое обеспечение защиты информации.

Безопасность информации - состояние защищенности информации, хранимой и обрабатываемой в автоматизированной системе, от негативного воздействия на нее с точки зрения нарушения ее физиче­ской и логической целостности (уничтожения, искажения) или несанк­ционированного использования.

Угрозы безопасности информации - события или дейст­вия, которые могут вызвать нарушение функционирования автоматизиро­ванной системы, связанное с уничтожением или несанкционированным использованием обрабатываемой в ней информации.

Уязвимость информации -возможность возникновения на каком-либо этапе жизненного цикла автоматизированной системы такого ее состояния, при котором создаются условия для реализации угроз безо­пасности информации.

Защищённость информации - поддержание на заданном уровне тех параметров находящейся в автоматизированной системе ин­формации, которые характеризуют установленный статус ее хранения, обработки и использования.

Защита информации - процесс создания и использования в автоматизированных системах специальных механизмов, поддерживаю­щих установленный статус ее защищенности.

Комплексная защита информации - целенаправленное регулярное применение в автоматизированных системах средств и мето­дов, а также осуществление мероприятий с целью поддержания заданного уровня защищенности информации по всей совокупности показателей и условий, являющихся существенно значимыми с точки зрения обеспече­ния безопасности информации.

Автоматизированная система- организованная сово­купность средств, методов и мероприятий, используемых для регулярной обработки информации в процессе решения определенного круга при­кладных задач.

Изначально защищённая информационная система- информационная технология, которая, с одной стороны, являет­ся унифицированной в широком спектре функциональных приложений, а с другой - изначально содержит все необходимые механизмы для обеспе­чения требуемого уровня защиты как основного показателя качества ин­формации.

Качество информации- совокупность свойств, обуславли­вающих пригодность информации удовлетворять определенные потреб­ности в соответствии с ее назначением.

Под информационной безопасностьюмы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.

Защита информации— это комплекс мероприятий, направленных на обеспечение информационной безопасности. На практике под этим понимается поддержание целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных.

Под управлением безопасностьючаще всего понимается автоматизация управления информационной безопасностью на основестандарта ISO 17799. В иных случаяхуправление безопасностьютрактуют как создание некой единой консоли для управления всеми подсистемами — от антивируса до систем обнаружения атак.

Вопросы защиты информационных ресурсов самым тесным обра­зом связаны не только с решением научно-технических проблем, но и с вопросами правового регулирования отношений в процессе информатиза­ции. Необходимость организационно-правового обеспечения защиты ин­формации вытекает из факта признания за информацией статуса товара, продукта общественного производства, установления в законодательном порядке права собственности на информацию.

Организационно-правовое обеспечение является многоаспектным понятием, включающим законы, решения, нормативы и правила. Причем, применительно к защите информации, обрабатываемой в автоматизиро­ванной системе, оно имеет ряд принципиальных специфических особен­ностей, обусловленных следующими обстоятельствами:

- представлением информации в непривычной и неудобочитаемой для человека двоичной форме;

- использованием носителей информации, записи на которых недос­тупны для простого визуального просмотра;

- возможностью многократного копирования информации без остав­ления каких-либо следов;

- легкостью изменения любых элементов информации без оставле­ния следов типа подчисток, исправления и т.п.;

- невозможностью традиционного скрепления документов традици­онными подписями со всеми нормативно-правовыми аспектами этих подписей;

- наличием большого числа нетрадиционных дестабилизирующих факторов, оказывающих влияние на защищенность информации.

Исходя из приведенных обстоятельств, комплекс вопросов, решае­мых организационно-правовым обеспечением, может быть сгруппирован в три класса:

- организационно-правовая основа защиты информации в АС;

- технико-математические аспекты организационно-правового обес­печения;

- юридические аспекты организационно-правового обеспечения защиты.

Из практических соображений ясно, что организационно-правовая основа защиты информации должна включать:

- определение подразделений и лиц, ответственных за организацию защиты информации;

- нормативно-правовые, руководящие и методические материалы (документы) по защите информации;

- меры ответственности за нарушение правил защиты;

- порядок разрешения спорных и конфликтных ситуаций по вопро­сам защиты информации.

Под технико-математическими аспектами организационно-правового обеспечения понимается совокупность технических средств, математических методов, моделей, алгоритмов и программ, с помощью которых в АС могут быть соблюдены все условия, необходимые для юри­дического разграничения прав и ответственности относительно регламен­тов обращения с защищаемой информацией. Основными из этих условий являются следующие:

- фиксация на документе персональных идентификаторов ("подпи­сей") лиц, изготовивших документ и (или) несущих ответственность за него;

- фиксация (при любой необходимости) на документе персональных идентификаторов ("подписей") лиц, ознакомившихся с содержанием со­ответствующей информации;

- невозможность незаметного (без оставления следов) изменения со­держания информации даже лицами, имеющими санкции на доступ к ней, т.е. фиксация фактов любого (как санкционированного, так и несанкцио­нированного) изменения информации;

- фиксация факта любого (как несанкционированного, так и санк­ционированного) копирования защищаемой информации.

Под юридическими аспектами организационно-правового обеспе­чения защиты информации в АС понимается совокупность законов и дру­гих нормативно-правовых актов, с помощью которых достигаются сле­дующие цели:

- устанавливается обязательность соблюдения всеми лицами, имею­щими отношение к АС всех правил защиты информации;

- узакониваются меры ответственности за нарушение правил защиты;

- узакониваются (приобретают юридическую силу) технико-математические решения вопросов организационно-правового обеспече­ния защиты информации;

- узакониваются процессуальные процедуры разрешения ситуаций, складывающихся в процессе функционирования системы защиты.

Таким образом, вся совокупность вопросов, возникающих при ре­шении проблем организационно-правового обеспечения, может быть представлена в виде схемы.

Общее содержание организационно-правового обеспечения защиты информации.

2. Общий анализ угроз безопасности информации. Классификации угроз безопасности.

Виды угроз. Данный параметр является основополагающим, определяющим целевую направленность защиты информации.

Происхождение угроз. В таблице выделено два значения данного параметра: случайное и преднамеренное. Под случайным понимается такое происхождение угроз, которое обуславливается спонтанными и независящими от воли людей обстоятельствами, возникающими в АС в процессе ее функционирования. Сущность перечисленных событий (кроме стихийных бедствий, сущность которых ясна) определяется следующим образом:

- cтихийные бедствия и авариичреваты наиболее разрушительными последствиями для КС, т.к. последние подвергаются физическому разрушению, информация утрачивается или доступ к ней становится невозможен.

- отказ - нарушение работоспособности какого-либо элемента сис­ темы, приводящее к невозможности выполнения им основных своих функций;

- сбой - временное нарушение работоспособности какого-либо эле­мента системы, следствием чего может быть неправильное выполнение им в этот момент своей функции;

- ошибка - неправильное (разовое или систематическое) выполнение элементом одной или нескольких функций, происходящее вследствие специфического (постоянного или временного) его состояния;

- побочное влияние - негативное воздействие на систему в целом или отдельные ее элементы, оказываемое какими-либо явлениями, происходящими внутри системы или во внешней среде.

Системная классификация угроз безопасности информации

Параметры классификации	Значения параметров	Содержание значения параметра
I. Виды	1.1. Физическая целостность 1.2. Логическая структура 1.3. Содержание 1.4. Конфиденциальность 1.5. Право собственности	Уничтожение (искажение) Искажение структуры Несанкционированная мо­дификация Несанкционированное полу­чение Присвоение чужого права
2. Природа происхождения	2.1. Случайная 2.2. Преднамеренная	Отказы, сбои, ошибки, сти­хийные бедствия, побочные влияния Злоумышленные действия людей
3. Предпо­сылки по­явления	3.1. Объективные 3.2. Субъективные	Количественная недостаточ­ность элементов системы, качественная недостаточ­ность элементов системы Разведорганы иностранных государств, промышленный шпионаж, уголовные эле­менты, недобросовестные сотрудники
4. Источ­ники угроз	4.1. Люди 4.2. Технические устройства 4.3. Модели, алгоритмы, программы 4.4. Технологические схемы обработки 4.5. Внешняя среда	Посторонние лица, пользо­ватели, персонал Регистрации, передачи, хра­нения, переработки, выдачи Общего назначения, при­кладные, вспомогательные Ручные, интерактивные, внутримашинные, сетевые Состояние атмосферы, по­бочные шумы, побочные сигналы

3. Принципы защиты информации от несанкционированного доступа. Методы идентификации и аутентификации пользователей.

Закрытие каналов несанкцио­нированного получения информации должно начинаться с контроля дос­тупа пользователей к ресурсам АС, Задача эта решается на основе ряда основополагающих принципов.

ПРИНЦИП ОБОСНОВАННОСТИ ДОСТУПА. Данный принцип за­ключается в обязательном выполнении двух основных условий:

• пользова­тель должен иметь достаточную "форму допуска" для получения информа­ции требуемого им уровня конфиденциальности,

• эта информация необхо­дима ему для выполнения его производственных функций.

Заметим здесь, что в сфере автоматизированной обработки информации в качестве пользо­вателей могут выступать активные программы и процессы, а также носите­ли информации различной степени укрупненности. Тогда система доступа предполагает определение для всех пользователей соответствующей про­граммно-аппаратной среды или информационных и программных ресурсов, которые будут им доступны для конкретных операций.

ПРИНЦИП ДОСТАТОЧНОЙ ГЛУБИНЫ КОНТРОЛЯ ДОСТУПА. Средства защиты информации должны включать механизмы контроля доступа ко всем видам информационных и программных ресурсов АС, которые в соответствии с принципом обоснованности доступа следует разделять между пользователями.

ПРИНЦИП РАЗГРАНИЧЕНИЯ ПОТОКОВ ИНФОРМАЦИИ. Для предупреждения нарушения безопасности информации, которое, напри­мер, может иметь место при записи секретной информации на несекрет­ные носители и в несекретные файлы, ее передаче программам и процес­сам, не предназначенным для обработки секретной информации, а также при передаче секретной информации по незащищенным каналам и лини­ям связи, необходимо осуществлять соответствующее разграничение по­токов информации.

ПРИНЦИП ЧИСТОТЫ ПОВТОРНО ИСПОЛЬЗУЕМЫХ РЕСУР­СОВ. Данный принцип заключается в очистке ресурсов, содержащих кон­фиденциальную информацию, при их удалении или освобождении пользо­вателем до перераспределения этих ресурсов другим пользователям.

ПРИНЦИП ПЕРСОНАЛЬНОЙ ОТВЕТСТВЕННОСТИ. Каждый пользователь должен нести персональную ответственность за свою дея­тельность в системе, включая любые операции с конфиденциальной ин­формацией и возможные нарушения ее защиты, т.е. какие-либо случайные или умышленные действия, которые приводят или могут привести к не­санкционированному ознакомлению с конфиденциальной информацией, ее искажению или уничтожению, или делают такую информацию недоступной для законных пользователей.

ПРИНЦИП ЦЕЛОСТНОСТИ СРЕДСТВ ЗАЩИТЫ. Данный прин­цип подразумевает, что средства защиты информации в АС должны точно выполнять свои функции в соответствии с перечисленными принципами и быть изолированными от пользователей, а для своего сопровождения должны включать специальный защищенный интерфейс для средств кон­троля, сигнализации о попытках нарушения защиты информации и воз­действия на процессы в системе.

Реализация перечисленных принципов осуществляется с помощью так называемого "монитора обращений", контролирующего любые запро­сы к данным или программам со стороны пользователей (или их про­грамм) по установленным для них видам доступа к этим данным и про­граммам.

Практическое создание монитора обращений предполагает разработку конкретных правил разграни­чения доступа в виде так называемой модели защиты информации.

Структура монитора обращений

Под аутентификацией пользователя (субъекта)понимается установление его подлинности.

Под идентификацией— определение тождественности пользователя или пользовательского процесса, необходимое для управления доступом. После идентификации обычно производится аутентификация.

Под авторизацией (санкционированием)подразумевается предоставление разрешения доступа к ресурсу системы.

При входе в систему пользователь должен предъявить идентифицирующую информацию, определяющую законность входа и права на доступ. Эта информация проверяется, определяются полномочия пользователя (аутентификация), и пользователю разрешается доступ к различным объектам системы (авторизация).

Идентификация пользователей АС заключается в установлении и закреплении за каждым из них уникального идентификатора в виде номера, шифра, кода и т.п. Это связано с тем, что традиционный идентификатор вида фамилия-имя-отчество не всегда может быть использован в конкретной АС. Для целей идентификации в различных автоматизированных системах широко, например, применяются так называемый персональный идентификационный номер (PIN - Personal Identification Number), социальный безопасный номер (SSN - Social Security Number), личный номер, код безопасности и т.д.. Такие идентификаторы используются при построении различных систем разграничения доступа и защиты информации.

Аутентификация заключается в проверке подлинности пользователя по предъявленному им идентификатору, например, при входе в систему. Такая проверка должна исключать фальсификацию пользователей в системе и их компрометацию.

Проверка подлинности (аутентификация) может проводиться различными методами и средствами. В настоящее время в автоматизированных системах используются три основных способа аутентификации по следующим признакам:

- паролю или личному идентифицирующему номеру (пользователь "знает");

- некоторому предмету, который есть у пользователя (пользователь "имеет") – карты идентификации, на которые наносятся данные, персонифицирующие пользователя: персональный идентификационный номер, специальный шифр или код и т. п.;

- каким-либо физиологическим признакам, свойственным конкрет­ным лицам (пользователь "есть") – аутентификация по отпечаткам пальцев, по форме кисти руки, с помощью автоматического анализа подписи, по характеру голоса (анализ кратковременных сегментов речи, контурный анализ речи, статистическая оценка голоса) .

4. Программно-аппаратные средства обеспечения информационной безопасности: защита программ и данных, защита в сетях.

Аппаратные средства– это технические средства, используемые для обработки данных. Сюда относятся:

- Персональный компьютер(комплекс технических средств, предназначенных для автоматической обработки информации в процессе решения вычислительных и информационных задач).

- Периферийное оборудование(комплекс внешних устройств ЭВМ, не находящихся под непосредственным управлением центрального процессора).

- Физические носители машинной информации.

К аппаратным средствам защитыотносятся различные электронные, электронно-механические, электронно-оптические устройства. Наибольшее распространение получают следующие:

- специальные регистрыдля хранения реквизитов защиты: паролей, идентифицирующих кодов, грифов или уровней секретности;

- генераторы кодов, предназначенные для автоматического генерирования идентифицирующего кода устройства;

- устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации;

- специальные биты секретности, значение которых определяет уровень секретности информации, хранимой в ЗУ, которой принадлежат данные биты;

- схемы прерывания передачи информациив линии связи с целью периодической проверки адреса выдачи данных. Особую и получающую наибольшее распространение группу аппаратных средств защиты составляют устройства дляшифрования информации (криптографические методы).

Програмные средства -это объективные формы представления совокупности данных и команд, предназначенных для функционирования компьютеров и компьютерных устройств с целью получения определенного результата, а также подготовленные и зафиксированные на физическом носителе материалы, полученные в ходе их разработок, и порождаемые ими аудиовизуальные отображения. К ним относятся:Программное обеспечение(совокупность управляющих и обрабатывающих программ). Состав:

- Системные программы(операционные системы, программы технического обслуживания);

- Прикладные программы(программы, которые предназначены для решения задач определенного типа, например редакторы текстов, антивирусные программы, СУБД и т.п.);

- Инструментальные программы(системы программирования, состоящие из языков программирования:TurboC,MicrosoftBasicи т.д. и трансляторов – комплекса программ, обеспечивающих автоматический перевод с алгоритмических и символических языков в машинные коды);

- Машинная информация владельца, собственника, пользователя.

К программным средствам защитыотносятся специальные программы, которые предназначены для выполнения функций защиты и включаются в состав программного обеспечения систем обработки данных. По функциональному назначению их можно разделить на следующие группы:

- идентификация технических средств (терминалов, устройств группового управления вводом-выводом, ЭВМ, носителей информации), задач и пользователей;

- определение прав технических средств (дни и время работы, разрешенные к использованию задачи) и пользователей;

- контроль работы технических средств и пользователей;

- регистрация работы технических средств и пользователей при обработки информации ограниченного использования;

- уничтожения информации в ЗУ после использования;

- сигнализации при несанкционированных действиях;

- вспомогательные программы различного назначения: контроля работы механизма защиты, проставления грифа секретности на выдаваемых документах.

Антивирусная защита.

Безопасность информации- один из важнейших параметров любой компьютерной системы. Для ее обеспечения создано большое количество программных и аппаратных средств. Часть из них занимается шифрованием информации, часть - разграничением доступа к данным. Особую проблему представляют собой компьютерные вирусы. Это отдельный класс программ, направленных на нарушение работы системы и порчу данных. Поэтому среди систем безопасности важнейшим направлением являетсяборьба с вирусами.

Защита данных в компьютерных сетях становится одной из самых открытых проблем в современных информационно-вычислительных системах. На сегодняшний день сформулировано три базовых принципа информационной безопасности, задачей которой является обеспечение:

- целостности данных - защита от сбоев, ведущих к потере информации или ее уничтожения;

- конфиденциальности информации;

- доступности информации для авторизованных пользователей.

Рассматривая проблемы, связанные с защитой данных в сети, возникает вопрос о классификации сбоев и несанкционированности доступа, что ведет к потере или нежелательному изменению данных. Это могут быть сбои оборудования(кабельной системы, дисковых систем, серверов, рабочих станций и т.д.),потери информации(из-за инфицирования компьютерными вирусами, неправильного хранения архивных данных, нарушений прав доступа к данным),некорректная работа пользователейи обслуживающего персонала. Перечисленные нарушения работы в сети вызвали необходимость создания различных видов защиты информации. Условно их можно разделить на три класса:

- средства физической защиты;

- программные средства(антивирусные программы, системы разграничения полномочий, программные средства контроля доступа);

-административные меры защиты(доступ в помещения, разработка стратегий безопасности фирмы и т.д.).

Одним из средств физической защиты являются системы архивирования и дублирования информации. В локальных сетях, где установлены один-два сервера, чаще всего система устанавливается непосредственно в свободные слоты серверов. В крупных корпоративных сетях предпочтение отдается выделенному специализированному архивационному серверу, который автоматически архивирует информацию с жестких дисков серверов и рабочих станций в определенное время, установленное администратором сети, выдавая отчет о проведенном резервном копировании. Наиболее распространенными моделями архивированных серверов являются Storage Express System корпорации Intel ARCserve for Windows.

Для борьбы с компьютерными вирусаминаиболее часто применяютсяантивирусные программы, реже -аппаратные средства защиты. Однако, в последнее время наблюдается тенденция к сочетанию программных и аппаратных методов защиты. Среди аппаратных устройств используются специальные антивирусные платы, вставленные в стандартные слоты расширения компьютера. Корпорация Intel предложила перспективную технологию защиты от вирусов в сетях, суть которой заключается в сканировании систем компьютеров еще до их загрузки. Кроме антивирусных программ, проблема защиты информации в компьютерных сетях решается введениемконтроля доступа и разграничением полномочий пользователя. Для этого используются встроенные средства сетевых операционных систем, крупнейшим производителем которых является корпорация Novell.

Для исключения неавторизованного проникновения в компьютерную сеть используется комбинированный подход - пароль + идентификация пользователя по персональному "ключу". "Ключ" представляет собой пластиковую карту (магнитная или со встроенной микросхемой - смарт-карта) или различные устройства для идентификации личности по биометрической информации - по радужной оболочке глаза, отпечаткам пальцев, размерам кисти руки и т.д. Серверы и сетевые рабочие станции, оснащенные устройствами чтения смарт-карт и специальным программным обеспечением, значительно повышают степень защиты от несанкционированного доступа.

По мере расширения деятельности предприятий, роста численности абонентов и появления новых филиалов, возникает необходимость организации доступа удаленных пользователей (групп пользователей) к вычислительным или информационным ресурсам к центрам компаний. Для организации удаленного доступа чаще всего используются кабельные линии и радиоканалы. В связи с этим защита информации, передаваемой по каналам удаленного доступа, требует особого подхода. В мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным "перехват" данных при незаконном подключении "хакера" к одной из линий. Используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует невозможность расшифровки "перехваченных" данных. Мосты и маршрутизаторы удаленного доступа могут быть запрограммированы таким образом, что удаленным пользователям не все ресурсы центра компании могут быть доступны.

5. Программно-аппаратные средства обеспечения информационной безопасности: защита в операционных системах, защита в СУБД.

Защита в ОС:

Межсетевые экраныбыли и являютсябазовым средством обеспечения сетевой безопасности. Впервые они появились в конце 80-х годов. С их помощью решалась задача разделения компьютерных сетей.

В развитии технологии межсетевого экранирования можно отметить две основные тенденции. Первая — тенденция к «ожелезиванию».Помимо снижения временных и финансовых затрат,«ожелезивание» способствует и повышению надежности.Идентичные изделия взаимозаменяемы, легко образуют кластеры для балансировки нагрузки, пригодны для «холодного» и «горячего» резервирования.

Вторая тенденция в развитии межсетевых экранов — их переклассификацияиз средств коллективной защиты в персональные. Название «персональный межсетевой экран» плотно вошло в обиход и уже не кажется абсурдным. Более того, межсетевые экраны теперь встраиваются в отдельные приложения, например в ПО Web-серверов.

Средства построения VPNВ этом сегменте средств защиты продолжается борьба за повышениепроизводительности процессов шифрования. Этого требует рост телекоммуникационных возможностей: скоростными каналами с пропускной способностью в 1 Гбит между сетями территориально распределенных подразделений компании уже никого не удивить.

Второе направление, в котором развивается данная технология — «мобильность» клиента. Под этим понимается не только внедрение соответствующего функционала в карманные компьютеры, смартфоны и телефоны, но и создание клиентов, не требующих предварительной установки какого-либо софта. Такой клиент может загружаться как скрипт, например во время посещения защищенного раздела корпоративного сайта. Достоинство — возможность доступа из любого интернет-кафе, с любого компьютера, недостаток — ключ шифрования генерируется на основе пароля.

Антивирусы- самое распространенное средство защиты — от отдельных компьютеров домашних пользователей до огромных корпоративных сетей. Корпоративная сеть нуждается в централизованном управлении, обновлении и пр. Кроме того, в ней установлено огромное количество прикладных программ, которые тоже необходимо защищать. Сегодня многие компании, даже имеющие системы антивирусной защиты на рабочих станциях, добавляют в их функциизащиту шлюзов. Параллельное использование двух антивирусов, имеющих разные базы сигнатур и разные методы обнаружения вирусов, позволяет быть уверенным в действительно высоком уровне защиты.

Обнаружение атак

Системы обнаружения атак прошли достаточно интересный путь. В начале 80-х годов обнаружение атак заключалось в ручном анализе журналов регистрации событий. Следующий виток развития и опять интеграция: обнаружение атак тесно связывается с системами анализа защищенности. Эта технология получила собственное название — система корелляции событий.

Корреляция событий позволяет сосредоточить внимание администратора безопасности только на значимых событиях, способных нанести реальный ущерб инфраструктуре компании. Система не будет отвлекать администратора сообщениями о тех атаках, которые не опасны для данной сети (например, направлены на Unix-сервер, которого просто нет в защищаемой сети), или о тех, которые обнаружены в трафике, но блокированы access-листами коммутационного оборудования.

Контроль содержимого

Последний всплеск интереса к системам контроля содержимого был вызван проблемами распространения спама. Однако основное предназначение средств контроля содержимого — это все-такипредотвращение утечки конфиденциальной информациии пресечениенецелевого использования Интернета.

Одна из приоритетных задач производителей подобных средств, — сделать так, чтобы работа системы контроля содержимого не ощущалась пользователем. Ведь анализ больших объемов трафика — ресурсоемкая задача. Здесь в ход идут различные схемы распределения вычислений — от расстановки отдельно стоящих, но централизованно управляемых и реализующих единую политику безопасности серверов в подразделениях компании, до кластеризации и распараллеливания вычислений.

Управление безопасностью

Под управлением безопасностью чаще всего понимается автоматизация управления информационной безопасностьюна основе стандарта ISO 17799. В иных случаях управление безопасностью трактуют как создание некой единой консоли для управления всеми подсистемами — от антивируса до систем обнаружения атак.

Обеспечение безопасности корпоративных баз данных- сегодня одна из самых актуальных тем. Показательно, что согласно собранным данным, защите периметра сети уделяется втрое больше внимания, чем защите от внутренних возможных нарушений.

Существует три большие группы пользователей СУБД, которых условно можно назвать

-операторами;

-аналитиками;

-администраторами.

Под операторамив предложенной классификации мы понимаем в основном тех, кто либо заполняет базу данных, либо выполняют задачи, связанные с обработкой информации.

Под аналитикамимы понимаем тех, ради кого, собственно, создается эта база данных: логистики, маркетологи, финансовые аналитики и прочие. Эти люди по роду своей работы получают обширнейшие отчеты по собранной информации.

Термин "администратор" говорит сам за себя. Эта категория людей может только в общих чертах представлять, что хранится и обрабатывается в хранилище данных. Но они решают ряд важнейших задач, связанных с жизнеобеспечением системы, ее отказо- и катастрофоустойчивости.

Указанные группы различаются еще и по способу взаимодействия с СУБД.

Основные проблемы с безопасностью приходятся на две оставшиеся категории пользователей.

Проблема с аналитиками заключается в том, что они работают с СУБД на уровне ядра. Они должны иметь возможность задавать и получать всевозможные выборки информации из всех хранящихся там таблиц. Включая и запросы общего типа "select * *".

С администраторами дело обстоит ненамного лучше. Начиная с того, что в крупных информационных системах их число сопоставимо с числом аналитиков. И хотя абсолютно полными правами на СУБД наделены лишь два-три человека, администраторы, решающие узкие проблемы (например резервное копирование данных), все равно имеют доступ ко всей информации, хранящейся в СУБД.

Между аналитиками и администраторами на первый взгляд нет никакой разницы: и те и другие имеют доступ ко всей обрабатываемой информации. Но все же отличие между этими группами есть, и состоит оно в том, что аналитики работают с данными, используя некие стандартные механизмы и интерфейсы СУБД, а администраторы могут получить непосредственный доступ к информации, например на физическом уровне, выполнив лишний раз ту же операцию по резервному копированию данных.

В любой СУБД есть встроенные возможности по разграничению и ограничению доступана уровне привилегий пользователей.

1. Но возможность эта существует только чисто теоретически. Кто хоть раз имел дело с администрированием большой СУБД в большой организации, хорошо знает, что на уровне групп пользователей что-либо разграничить слишком сложно, ибо даже, помимо многообразия организационных ролей и профилей доступа, в дело вмешиваются проблемы обеспечения индивидуального доступа, который вписать в рамки ролей практически невозможно.

2. Очень часто обработка данных ведется не самим пользователем, а созданным и запущенным в СУБД скриптом. Так, например, поступают для формирования типовых или периодических отчетов. В этом случае скрипт запускается не от имени пользователя, а от имени системной учетной записи, что серьезно затрудняет понимание того, что же на самом деле происходит в базе данных. Притом сам скрипт может содержать практически любые команды, включая пресловутое "select * *". В ходе работы скрипт может сформировать новый массив данных, в том числе и дублирующий все основные таблицы. В итоге пользователь получит возможность работать с этим набором данных и таким образом обходить установленные нами средства аудита.

Попытка использовать для разграничения доступа криптографиютакже обречена на провал:

• долго,

• ресурсоемко

• опасно с точки зрения повреждения данных и их последующего восстановления.

• возникают проблемы с обработкой информации, ибо индексироваться по зашифрованным полям бесполезно.

• некоторым администраторам все равно придется дать "ключи от всех замков".

В результате, если перед компанией стоит задача по сохранению своих корпоративных СУБД, то ее нельзя разрешить простым ограничением и разграничением доступа к информации.

Задачу необходимо формулировать так: мы должны знать, кто, когда получает доступ к данным и к каким.

Попытка решить поставленную задачу средствами СУБДстолкнется с вычислительными ресурсами серверов, поскольку помимо обработки данных им придется вести полноепротоколирование своих действий. Но самое неприятное будет заключаться в том, что если за кражу информации возьмется один из администраторов, то его полномочий, скорее всего, хватит и на затирание следов своей деятельности в журналах регистрации.

Именно поэтому необходимо использовать внешние средства аудита.

Производители средств защиты готовы нам помочь средствами, которые способны контролировать и все входящие запросы и выборки данных на запуск скриптов для обработки информации, и обращения к отдельным таблицам. Подобные средства представляют собой некоторый сервис, работающий на сервере с установленной СУБД и контролирующий все обращения к базе.

1. крупные хранилища данных работают под управлением специализированных ОС. Цены на решения для таких СУБД "кусаются".

2. администраторы начинают сильно переживать, что лишний установленный сервис если и не затормозит работу, то по крайней мере станет дополнительным "очагом нестабильности" системы в целом.

Когда нет возможности сломать этот стереотип, на помощь могут прийти средства сетевого контроля.По сути они представляют собой специализированные снифферы, которые контролируют и детально разбирают протоколы взаимодействия с базами данных. Ставятся либо непосредственно перед сервером баз данных, либо на входе в сегмент сети, где располагаются сразу несколько серверов с СУБД.

• сетевого может быть извлечена как информация о сделанных запросах,

• непосредственно та информация, которая была направлена пользователю.

• Таким образом мы сможем контролировать аналитиков, но не администраторов, и в этом заключается наибольшая трудность при использовании описываемых средств. Ведь администраторы имеют доступ к серверам баз данных не только через стандартные интерфейсы, но и, например, через средства удаленного администрирования. Тут способны помочь лишь жесткие административные ограничения: все манипуляции с сервером и СУБД - только локально. При проведении такой жесткой политики администраторы скорее всего будут сопротивляться и кивать на оперативность разрешения проблем, но чаще всего эти доводы бывают слишком притянуты за уши.

Защититься от физического доступа к базам данныхтакже возможно только

• путем введения жестких регламентов съема и хранения информации и слежения за отступлениями от этих регламентов. К примеру, изготовление лишней резервной копии.

• Если процессы происходят по сети, с несанкционированными всплесками сетевого трафика по силам справиться средствам обнаружения и предотвращения атак.

• отдельно надо побеспокоиться о безопасном хранении самих резервных копий. В идеале физический доступ к ним должен быть строго ограничен, а администратор, отвечающий за процесс, должен либо настроить расписание, либо иметь возможность только запустить этот процесс и контролировать его прохождение без доступа к резервным носителям информации.

6. Концептуальная модель безопасности информации. Концепция комплексной системы защиты информации от несанкционированного доступа.

Понимая информационную безопасность как "состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций", правомерно определить угрозы безопасности информации, источники этих угроз, способы их реализации и цели, а также иные условия и действия, нарушающие безопасность. При этом, естественно, следует рассматривать и меры защиты информации от неправомерных действий, приводящих к нанесению ущерба. Практика показала, что для анализа такого значительного набора источников, объектов и действий целесообразно использовать методы моделирования, при которых формируется как бы "заместитель" реальных ситуаций. При этом следует учитывать, что модель не копирует оригинал, она проще. Модель должна быть достаточно общей, чтобы описывать реальные действия с учетом их сложности. Можно предложить следующие компоненты модели информационной безопасности на первом уровне декомпозиции. Компонентами концептуальной модели безопасности информации могут быть следующие:

• объекты угроз;

• угрозы;

• источники угроз;

• цели угроз со стороны злоумышленников;

• источники информации;

• способы неправомерного овладения конфиденциальной информацией (способы доступа);

• направления защиты информации;

• способы защиты информации;

• средства защиты информации.

Объектом угроз информационной безопасности выступают сведения о составе, состоянии и деятельности объекта защиты (персонала, материальных и финансовых ценностей, информационных ресурсов). Угрозы информации выражаются в нарушении ее целостности, конфиденциальности, полноты и доступности. Источниками угроз выступают конкуренты, преступники, коррупционеры, административно-управленческие органы. Источники угроз преследуют при этом следующие цели: ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба.

Неправомерное овладение конфиденциальной информацией возможно за счет ее разглашения источниками сведений, за счет утечки информации через технические средства и за счет несанкционированного доступа к охраняемым сведениям. Источниками конфиденциальной информации являются люди, документы, публикации, технические носители информации, технические средства обеспечения производственной и трудовой деятельности, продукция и отходы производства. Основными направлениями защиты информации являются правовая, организационная и инженерно-техническая защиты информации как выразители комплексного подхода к обеспечению информационной безопасности. Средствами защиты информации являются физические средства, аппаратные средства, программные средства и криптографические методы. Последние могут быть реализованы как аппаратно, программ-но, так и смешанно-программно-аппаратными средствами. В качестве способов защиты выступают всевозможные меры, пути, способы и действия, обеспечивающие упреждение противоправных действий, их предотвращение, пресечение и противодействие не-санкционированному доступу. В обобщенном виде рассмотренные компоненты в виде концептуальной модели безопасности информации приведены на следующей схеме.

Концепция безопасности является основным правовым документом, определяющим защищенность предприятия от внутренних и внешних угроз.

Анализ состояния дел в сфере защиты информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура защиты, основу которой составляют:

• весьма развитый арсенал технических средств защиты информации, производимых на промышленной основе;

• значительное число фирм, специализирующихся на решении вопросов защиты информации;

• достаточно четко очерченная система взглядов на эту проблему;

• наличие значительного практического опыта и др.

И, тем не менее, как свидетельствует отечественная и зарубежная печать, злоумышленные действия над информацией не только не уменьшаются, но и имеют достаточно устойчивую тенденцию к росту. Опыт показывает, что для борьбы с этой тенденцией необходима стройная и целенаправленная организация процесса защиты информационных ресурсов. Причем в этом должны активно участвовать профессиональные специалисты, администрация, сотрудники и пользователи, что и определяет повышенную значимость организационной стороны вопроса.

Опыт также показывает, что:

• обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования и развития системы защиты, непрерывном контроле ее состояния, выявлении ее узких и слабых мест и противоправных действий;

• безопасность информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты во всех структурных элементах производственной системы и на всех этапах технологического цикла обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объединяются в единый целостный механизм - систему защиты информации (СЗИ). При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий;

• никакая СЗИ не может обеспечить требуемого уровня безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех установленных правил, направленных на ее защиту.

С учетом накопленного опыта можно определить систему защиты информации как организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз. С позиций системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

• непрерывной. Это требование проистекает из того, что злоумышленники только и ищут возможность, как бы обойти защиту интересующей их информации;

• плановой. Планирование осуществляется путем разработки каждой службой детальных планов защиты информации в сфере ее компетенции с учетом общей цели предприятия (организации);

• целенаправленной. Защищается то, что должно защищаться в интересах конкретной цели, а не все подряд;

• конкретной. Защите подлежат конкретные данные, объективно подлежащие охране, утрата которых может причинить организации определенный ущерб;

• активной. Защищать информацию необходимо с достаточной степенью настойчивости;

• надежной. Методы и формы защиты должны надежно перекрывать возможные пути неправомерного доступа к охраняемым секретам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреплены;

• универсальной. Считается, что в зависимости от вида канала утечки или способа несанкционированного доступа его необходимо перекрывать, где бы он ни проявился, разумными и достаточными средствами, независимо от характера, формы и вида информации;

• комплексной. Для защиты информации во всем многообразии структурных элементов должны применяться все виды и формы защиты в полном объеме. Недопустимо применять лишь отдельные формы или технические средства.

Комплексный характер защиты проистекает из того, что защита - это специфическое явление, представляющее собой сложную систему неразрывно взаимосвязанных и взаимозависимых процессов, каждый из которых в свою очередь имеет множество различных взаимообусловливающих друг друга сторон, свойств, тенденций.

Зарубежный и отечественный опыт показывает, что для обеспечения выполнения столь многогранных требований безопасности система защиты информации должна удовлетворять определенным условиям:

• охватывать весь технологический комплекс информационной деятельности;

• быть разнообразной по используемым средствам, многоуровневой с иерархической последовательностью доступа;

• быть открытой для изменения и дополнения мер обеспечения безопасности информации;

• быть нестандартной, разнообразной. При выборе средств защиты нельзя рассчитывать на неосведомленность злоумышленников относительно ее возможностей;

• быть простой для технического обслуживания и удобной для эксплуатации пользователями;

• быть надежной. Любые поломки технических средств являются причиной появления неконтролируемых каналов утечки информации;

• быть комплексной, обладать целостностью, означающей, что ни одна ее часть не может быть изъята без ущерба для всей системы. К системе безопасности информации предъявляются также определенные требования:

• четкость определения полномочии и прав пользователей на доступ к определенным видам информации;

• предоставление пользователю минимальных полномочий, необходимых ему для выполнения порученной работы;

• сведение к минимуму числа общих для нескольких пользователей средств защиты;

• учет случаев и попыток несанкционированного доступа к конфиденциальной информации;

• обеспечение оценки степени конфиденциальной информации;

• обеспечение контроля целостности средств защиты и немедленное реагирование на их выход из строя. Система защиты информации как любая система должна иметь определенные виды собственного обеспечения, опираясь на которые она будет выполнять свою целевую функцию. С учетом этого СЗИ может иметь:

• правовое обеспечение. Сюда входят нормативные документы, положения, инструкции, руководства, требования которых являются обязательными в рамках сферы их действий;

• организационное обеспечение. Имеется в виду, что реализация защиты информации осуществляется определенными структурными единицами - такими, как служба защиты документов; служба режима, допуска, охраны; служба защиты информации техническими средствами; информационно-аналитическая деятельность и др.;

• аппаратное обеспечение. Предполагается широкое использование технических средств, как для защиты информации, так и для обеспечения деятельности собственно СЗИ;

• информационное обеспечение. Оно включает в себя сведения, данные, показатели, параметры, лежащие в основе решения задач, обеспечивающих функционирование системы. Сюда могут входить как показатели доступа, учета, хранения, так и системы информаци-онного обеспечения расчетных задач различного характера, связан-ных с деятельностью службы обеспечения безопасности;

• программное обеспечение. К нему относятся различные информационные, учетные, статистические и расчетные программы, обеспечивающие оценку наличия и опасности различных каналов утечки и путей несанкционированного проникновения к источникам конфиденциальной информации;

• математическое обеспечение. Предполагает использование математических методов для различных расчетов, связанных с оценкой опасности технических средств злоумышленников, зон и норм необходимой защиты;

• лингвистическое обеспечение. Совокупность специальных языковых средств общения специалистов и пользователей в сфере защиты информации;

• нормативно-методическое обеспечение. Сюда входят нормы и регламенты деятельности органов, служб, средств, реализующих функции защиты информации, различного рода методики, обеспечивающие деятельность пользователей при выполнении своей работы в условиях жестких требований защиты информации.

Удовлетворить современные требования по обеспечению безопасности предприятия и защиты его конфиденциальной информации может только система безопасности. Под системой безопасности будем понимать организованную совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия и государства от внутренних и внешних угроз.

Как и любая система, система информационной безопасности имеет свои цели, задачи, методы и средства деятельности, которые согласовываются по месту и времени в зависимости от условий.

7. Компьютерные вирусы. Структура, виды и классификация компьютерных вирусов, методы и средства борьбы с вирусами.

8. Шифрование данных. Задачи шифрования. Виды и способы шифрования данных.