1. Актуальность защиты информации. Предпосылки кризиса систем защиты информации (сзи). Современные требования к сзи.

Применительно к информационным технологиям одним из аргументов консервативных оппонентов их популяризации является проблем безопасности этих технологий, или. если точнее, их не безопасности. Действительно, широкое внедрение популярных дешевых компьютерных систем массового применения спроса де­лает их чрезвычайно уязвимыми по отношению к деструктивным воздействиям.

Не останавливаясь на социальных, правовых и эко­номических аспектах проблемы, систематизируем науч­ные и технические предпосылки сложившейся ситуации с обеспечением безопасности информационных техноло­гий.

1. Современные компьютеры за последние годы стали приобретать гигантскую вычислительную мощь, но (что на первый взгляд парадоксально!) стали гораз­до проще в эксплуатации. Это означает, что пользо­ваться ими стало намного легче и что все большее ко­личество новых пользователей получает доступ к компьютерам. Средняя квалификация пользователей сни­жается, что в значительной мере облегчает задача зло­умышленникам, так как в результате «персонализации» средств вычислительной техники большинство пользо­вателей имеют личные рабочие станции и сами осуществляют их администрирование. Большинство из них не в состоянии постоянно поддерживать безопасность своих систем на высоком уровне, поскольку это требует соответствующих знаний, навыков, а также времени и средств. Повсеместное распространение сетевых технологий объединило отдельные машины в локальные сети, совместно использующие общие ресурсы, а приме­нение технологии «клиент—сервер» преобразовало та­кие сети в распределенные вычислительные среды. Безопасность сети зависит от безопасности всех ее ком­пьютеров, и злоумышленнику достаточно нарушить работу одного из них, чтобы скомпрометировать всю сеть.

Современные телекоммуникационные технологии объединили локальные сети в глобальные. Эго привело к появлению такого уникального явления, как Internet. Именно развитие Internet вызвало всплеск интереса к проблеме безопасности и заставило частично пересмотреть ее основные положения. Дело в том, что Internet (кроме всего прочего) обеспечивает широкие возмож­ности для осуществления нарушений безопасности сис­тем обработки информации всего мира. Если компью­тер. который является объектом атаки, подключен к Internet, то для злоумышленника не имеет большого значения, где он находится — в соседней комнате или на другом континенте.

2. Прогресс в области аппаратных средств сочетается с еще более бурным развитом программною обес­печения. Как показывает практика, большинство распространенных современных программных средств, (в первую очередь операционных систем), хотя их разра­ботчики и осуществляют определенные усилия в этом направлении, не отвечает даже минимальным требованиям безопасности. Главным образом, эго выражается в наличии изъянов в организации средств, отвечающих за безопасность, и различных «недокументированных» возможностей. После обнаружения многие изъяны ликвидируются с помощью обновления версий или дополнительных средств, однако то постоянство, с которым обнаруживаются все новые и новые изъяны, не может не вызывать опасений. Это означает, что большинство систем представляют злоумышленнику широкие возможности для осуществления нарушений.

3. На наших глазах практически исчезает различие между данными и исполняемыми программами за счет появления и широкого распространения виртуальных машин и интерпретаторов. Теперь любое развитое при­ложение от текстового процессора (MSWord — WordBasic) до браузера Internet (Netscape Navigator— Java) не просто обрабатывает данные, а интерпретирует интегрирован­ные в них инструкции специального языка программиро­вания, т. е. по сути дела является отдельной машиной. Это увеличивает возможности злоумышленников по созданию средств внедрения в чужие системы и затрудняет защиту, т.к. требует осуществлять контроль взаимодействий еще на одном уровне — уровне виртуальной машины или интерпретатора.

4. Имеет место существенный разрыв между теорети­ческими моделями безопасности, оперирующими абст­рактными понятиями типа объект, субъект и т. п. и со­временными информационными технологиями. Это приводит к несоответствию между моделями безопасности и их воплощением в средствах обработки информа­ции. Кроме того, многие средства защиты, например, средства борьбы с компьютерными вирусами и системы firewall вообще не имеют системной научной базы. Такое положение является следствием отсутствия общей тео­рии защиты информации, комплексных моделей безо­пасности обработки информации, описывающих меха­низмы действий злоумышленников в реальных системах, а также отсутствием систем, позволяющих эффективно проверить адекватность тех или иных решений в области безопасности. Следствием этого является то, что прак­тически все системы защиты основаны на анализе результатов успешно состоявшейся атаки, что предопределяет их отставание от текущей ситуации. В качестве примера можно привести распространенную практику закрытия «внезапно» обнаружившихся пробелов в сис­теме защиты. Кроме всего перечисленного, в этой облас­ти (особенно в нашей стране) отсутствует даже обще­принятая терминология. Теория и практика зачастую действуют в разных плоскостях.

5. В современных условиях чрезвычайно важным яв­ляется обоснование требований безопасности, создание нормативной базы не осложняющей задачи разработчи­ков. а, наоборот, устанавливающей обязательный уро­вень безопасности. Существует ряд международных стандартов, пытающихся решить эту проблему, однако вплоть до последнего времени они не могли претендо­вать на то, чтобы стать руководством к действию или хотя бы заложить фундамент безопасных информацион­ных технологий будущего.

Итак, развитие аппаратных и программных средств. распространение локальных и глобальных сетей привели к возрастанию количества видов и способов осуществления нарушения безопасности информации, что создало предпосылки для изменения требований к средствам за­щиты. Рассмотрим изменение функций средств защиты в современной обстановке.

1. Управление доступом. Компьютерные системы те­перь напрямую интегрированы в информационные структуры современного общества; следовательно, управление доступом должно учитывать современные формы представления информации (гипертекст, мультимедиа и т. д.), а системы защиты должны обеспечивать безопасность на уровне информационных ресурсов, а не отдельных документов или сообщений.

2. Идентификация и аутентификация. Развитие сетей и Internet диктует необходимость добавления идентифи­кации и аутентификации удаленных пользователей. Причем, поскольку проблема стоит именно в глобаль­ном масштабе, эти средства должны обеспечивать иден­тификацию и аутентификацию объектов и субъектов, находящихся в разных частях планеты и функциони­рующих на различных аппаратных платформах и в раз­ных операционных системах.

3. Наконец, от защиты требуются совершенно новые функции, а именно) механизмы, обеспечивающие безо­пасность системы в условиях возможного появления в виде программ, осуществляющих деструктивные дейст­вия, компьютерных вирусов и автоматизированных средств взлома. На первый взгляд кажется, что проблема решается средствами разграничения доступа, однако это не так, что подтверждается известными случаями рас­пространения компьютерных вирусов в «защищенных» системах.

4. Для того чтобы быть жизнеспособными и не всту­пать в безнадежный конфликт с существующими инфор­мационными технологиями, системы безопасности должны по мере возможности сохранять совместимость с популярными в настоящее время системами.

2. УРОВНИ РАССМОТРЕНИЯ ВОПРОСОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ (ИБ). Предприятие как объект информатизации (категории), АС и СВТ. Состав типовой комплексной системы защиты информации на предприятии (КСЗИ): СКУД, ОТ, ОПС, ПЭШ, КС. Уровни секретности (ГТ: С, СС, ОВ) и конфиденциальности (К: служебная, коммерческая и общедоступная) информации. Политика безопасности предприятия (ISO 17799).

объект информатизации: Совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров; (ОИ = АС + территория + здание + охрана + персонал).

АС = СВТ + ПО + информация.

СВТ – средства вычислительной техники.

КСЗИ:

СКУД – система контроля и управления доступом на предприятии

ОТ – охранное телевидение

ОПС – охранная пожарная система

ПЭШ – противодействие экономическому шпионажу

КС – корпоративные сети

ГТ и К – см вопрос 38 конец.

Содержание политики безопасности

Политика безопасности — это документ "верхнего" уровня, в котором должно быть указано:

• ответственные лица за безопасность функционирования фирмы;

• полномочия и ответственность отделов и служб в отношении безопасности;

• организация допуска новых сотрудников и их увольнения;

• правила разграничения доступа сотрудников к информационным ресурсам;

• организация пропускного режима, регистрации сотрудников и посетителей;

• использование программно-технических средств защиты;

• другие требования общего характера.

Таким образом, политика безопасности — это организационно-правовой и технический документ одновременно. При ее составлении надо всегда опираться на принцип разумной достаточности и не терять здравого смысла.

Например, в политике может быть указано, что все прибывающие на территорию фирмы сдают мобильные телефоны вахтеру (такие требования встречаются в некоторых организациях). Будет ли кто-нибудь следовать этому предписанию? Как это проконтролировать? К чему это приведет с точки зрения имиджа фирмы? Ясно, что это требование нежизнеспособное. Другое дело, что можно запретить использование на территории мобильных телефонов сотрудникам фирмы, при условии достаточного количества стационарных телефонов.

Особое внимание в политике безопасности надо уделить разграничению зоны ответственности между службой безопасности и IT-службой предприятия. Зачастую сотрудники службы безопасности, в силу низкой технической грамотности, не осознают важности защиты компьютерной информации. С другой стороны, IT-сотрудники, являясь "творческими" личностями, как правило, стараются игнорировать требования службы безопасности. Кардинально решить эту проблему можно было бы, введя должность CEO по информационной безопасности, которому бы подчинялись обе службы.

В политике безопасности не надо детализировать должностные обязанности каких бы то ни было сотрудников (хотя приходилось видеть и такое). Эти обязанности должны разрабатываться на основе политики, но не внутри нее.

См. вопрос 7.

3. АНАЛИЗ ПРОБЛЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ (ЗИ) НА ПРЕДПРИЯТИИ. Системно-концептуальный подход. Условия реализации Концепции защиты информации в Российской Федерации. Надежность информации. Характер сохраняемой тайны. Виды защищаемой информации. Цели ЗИ: конфиденциальность, целостность и доступность.

Системно-концептуальный подход.

Сущность подхода:

• Все существенно значимые факторы должны рассматриваться как система, то есть во взаимной взаимосвязи.

• Итог изучения, рассмотрения вопросов, связанных с ИБ, должен быть не частным решением, а полной совокупностью взглядов и общих решений, которые необходимы для общего случая.

• Стойкость системы защиты определяется слабым звеном.

Условия реализации подхода:

• Законы, акты, стандарты, руководящие документы.

• Конструкторская и конструктивная составляющие.

• Организационные условия

Надежность информации – интегрированный показатель, который характеризует качество информации со следующих точек зрения:

1) физическая целостность

2) доверие к информации

3) безопасность информации

4) уверенность в том, что переданные пользователем данные не будет распространяться

Характер сохраняемой тайны:

1. Государственный интерес – ГТ, военная тайна, приоритетная информация

2. Экономический интерес – промышленная тайна, коммерческая тайна, банковская тайна

3. Общественный интерес (конфиденциальный) – общественных организаций, персональные данные

Виды защищаемой информации:

1) Исходные данные (от пользователя)

2) Производственные данные

3) Нормативно-справочная, служебная информация

4) Программы

5) Алгоритмы, которые лежат в основе программ

6) Методы и модели, которые используются при разработке алгоритмов

7) Постановки задач, на которых разрабатывались эти методы, алгоритмы и программы

8) Техническая, технологическая и иная документация

Цели ЗИ:

1) Предупреждение уничтожения или искажения (случайного или злоумышленного)

2) Несанкционированная модификация

3) Несанкционированное получение

4) Несанкционированное размножение

Конфиденциальность – защита специальных файлов. Разграничение доступа криптографическим методом (шифрование, управление доступом).

Целостность – множество методов. Электронные средства, бумажные носители (их сохранение), антивирусы.

Доступность – в любое время фирма в интересах бизнеса должна получить нужный документ. Например, ДОС – атака.

4. ПРИЧИНЫ, ВИДЫ И КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ. (ГОСТ Р 50922-96). Характеристика видов утечки информации: разглашение информации, несанкционированный доступ, получение защищаемой информации разведками. Характеристика каналов утечки информации: электромагнитный, акустический (виброакустический), визуальный и информационный.

Защита информации от утечки - деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкционированного доступа к защищаемой информации и от получения защищаемой информации [иностранными] разведками.

Защита информации от разглашения - деятельность по предотвращению несанкционированного доведения защищаемой информации до неконтролируемого количества получателей информации, не имеющих прав доступа.

Защита информации от несанкционированного доступа - защита информации от НСД: Деятельность по предотвращению получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации.

Заинтересованным субъектом, осуществляющим несанкционированный доступ к защищаемой информации, может выступать: государство, юридическое лицо, группа физических лиц, в том числе общественная организация, отдельное физическое лицо.

Защита информации от [иностранной] разведки - деятельность по предотвращению получения защищаемой информации [иностранной] разведкой.

Защита информации от [иностранной] технической разведки - деятельность по предотвращению получения защищаемой информации [иностранной] разведкой с помощью технических средств.

Защита информации от агентурной разведки - деятельность по предотвращению получения защищаемой информации агентурной разведкой.

Под техническими средствами приема, обработки, хранения и передачи информации (ТСПИ) понимают технические средства, непосредственно обрабатывающие конфиденциальную информацию. К таким средствам относятся: электронно-вычислительная техника, режимные АТС, системы оперативно-командной и громкоговорящей связи, системы звукоусиления, звукового сопровождения и звукозаписи и т.д.

При выявлении технических каналов утечки информации ТСПИ необходимо рассматривать как систему, включающую основное (стационарное) оборудование, оконечные устройства, соединительные линии (совокупность проводов и кабелей, прокладываемых между отдельными ТСПИ и их элементами), распределительные и коммутационные устройства, системы электропитания, системы заземления.

Отдельные технические средства или группа технических средств, предназначенных для обработки конфиденциальной информации, вместе с помещениями, в которых они размещаются, составляют объект ТСПИ. Под объектами ТСПИ понимают также выделенные помещения, предназначенные для проведения закрытых мероприятий.

Наряду с ТСПИ в помещениях устанавливаются технические средства и системы, непосредственно не участвующие в обработке конфиденциальной информации, но использующиеся совместно с ТСПИ и находящиеся в зоне электромагнитного поля, создаваемого ими. Такие технические средства и системы называются вспомогательными техническими средствами и системами (ВТСС). К ним относятся: технические средства открытой телефонной, громкоговорящей связи, системы пожарной и охранной сигнализации, электрификации, радиофикации, часофикации, электробытовые приборы и т.д.

В качестве канала утечки информации наибольший интерес представляют ВТСС, имеющие выход за пределы контролируемой зоны (КЗ), т.е. зоны, в которой исключено появление лиц и транспортных средств, не имеющих постоянных или временных пропусков

Кроме соединительных линий ТСПИ и ВТСС за пределы контролируемой зоны могут выходить провода и кабели, к ним не относящиеся, но проходящие через помещения, где установлены технические средства, а также металлические трубы систем отопления, водоснабжения и другие токопроводящие металлоконструкции. Такие провода, кабели и токопроводящие элементы называются посторонними проводниками.