Тема 9. Інструментальні засоби інформаційної безпеки в Інтернет.
Інформаційна безпека в Інтернет. Комп’ютерні інциденти в Інтернет: технології виявлення, контролю і запобігання. Засоби захисту інформації в Інтернет. Використання електронного цифрового підпису. Ліцензування та сертифікація, нормативно-правові засади та стандарти захисту в Інтернет. Аутсорсинг інформаційної безпеки в Інтернет.
11.1. Інформаційна безпека в Інтернет.
Необхідність інформаційної безпеки в Інтернет пов’язана із самої природи мережевих служб, сервісу та послуг. Відомо, що основу будь-якої мережевої служби складає пара програм: сервер і клієнт, які працюють сумісно за встановленими правилами. Ці правила закріплені в протоколах мережевих служб. Як серверні, так і клієнтські програми, що реалізують мережеві протоколи, мають необхідні засоби для виконання дозволених операцій. Ті ж операції, що виходять за рамки затверджених протоколів враховуються, як небезпечними, а якщо вони до того ж виконуються несанкціоновано, тобто без дозволу протилежної сторони, то вони враховуються забороненими і складають адміністративне правопорушення або кримінальний злочин.
Протоколи – це стандарти. Нові протоколи створюються досить не часто, а застарілі діють дуже довго – іноді десятки років. За цей час інформаційні технології швидко розвиваються і виникає розрив між тим, що технічно можливо в Мережі, і тим, що дозволено застарілими протоколами.
Далеко не всі технології направлені на шкоду клієнту або серверу. Цей приклад наведений тільки для того, щоб було зрозуміло, що питання мережевої безпеки знаходяться в тонкому балансі між тим, що хочеться собі дозволити в Мережі і тим, що буде варто у змісті безпеки. Загальний принцип такий: чим складніше система, тим більш функціональні можливості вона надає, тим складніше забезпечити в ній контроль за відповідним рівнем безпеки.
Рівень безпеки, який повинен підтримуватися на конкретному комп’ютері, залежить від призначення комп’ютера. Якщо річ йде про комп’ютер навчального або довідкового використання, то рівень безпеки зводиться до регулярного обслуговування і захисту від комп’ютерних вірусів та інших шкідливих програм.
Для комп’ютерів, на яких зберігаються конфіденційні дані, повинен бути забезпечений достатній рівень безпеки. До конфіденційним даним належать не тільки таємні відомості, що мають характер державної таємниці, а звичайні персональні дані, наприклад, адреса людей, дані їх персонального обліку: паспортного, медичного, освітнього тощо. Якщо на підприємстві є фахівці, що займаються питаннями безпеки мереж, то вони можуть створити безпечне зберігання конфіденційних даних на комп’ютерах, які підключені до мережі. Але це дуже дороге і непросте дійство. Якщо на підприємстві або в організації такі фахівці відсутні, то не слід підключати до Мережі комп’ютери з конфіденційною інформацією.
Розглянемо , наприклад, навчальний заклад університетського типу. Його комп’ютери можуть знаходитися в навчальних лабораторіях, в бібліотеці, в адміністративних підрозділах. Якщо комп’ютери навчальних лабораторій мають вихід в Інтернет, то на них не повинно розміщуватися ніяких конфіденційних даних: ні адреса студентів, ні відомості про викладачів, ні відомості успішності. З іншої сторони, подібні дані можуть бути на комп’ютерах адміністративних підрозділів і, таким чином, підключити ці комп’ютери до Інтернету без спеціальних засобів захисту неприпустимо. Теж саме слід віднести до будь-яким державним і адміністративним установам, в яких є службові дані або дані персонального обліку.
На державних підприємствах і в комерційних структурах питанням інформаційної безпеки займаються спеціально підготовлені люди – системні адміністратори. В коло їх обов’язків входить регулярний моніторинг Мережі в пошуках відомостей про методи порушення режиму безпеки, встановлення перевірених програмних та апаратних засобів захисту, контроль над тим, які програми встановлюють користувачі та як вони їх експлуатують. Адміністрація комерційних підприємств кожен раз індивідуально підходить до питання про те що їм корисно: або запросити кваліфікованих фахівців із захисту даних і встановити дороге обладнання, або виділити для роботи в Мережі недорогі комп’ютери, на яких зовсім не зберігаються дані, безпека для яких потрібна.
На режимних підприємствах питання підключення того або іншого комп’ютера до Мережі розв’язується завжди індивідуально для кожного робочого місця. Тут мова не може йти про використання стандартні мережеві засоби типу тих, що входять до складу системи Windows. Для їх безпечного функціонування необхідно впроваджувати спеціальні технічні та програмні засоби захисту, вартість яких має інший порядок цифр.
Комп’ютерні інциденти в Інтернет.
Однією із важливих складових інформаційної безпеки Інтернет являються інциденти та потенційно небезпечні місця в системі захисту . Інформування про інциденти є важливою службою у суспільстві Інтернет. В цих повідомленнях описується різноманітні подробиці та інші вразливі місця в захисту, які можуть створити проблеми з безпекою систем і мереж. Деякі з них представляють інтерес для всіх, в той час як інші торкаються тільки користувачів продукції конкретного виробника.
Основою всіх підрозділів реагування на інциденти є Координаційний центр CERT (CERT/CC) в Карнегі Меллон університеті в Пітсбурзі. CERT (Computer Emergency Response Team) – група реагування на порушення комп’ютерного захисту в мережі Інтернет в кооперації із Департаментом безпеки компанії Internet Worm збирає інформацію про інциденти, досліджують її та визначають необхідність розповсюдження. Другий аспект роботи з інцидентами полягає у реагуванні на них. Це необхідно, коли визначений несанкціонований доступ до мережі. Додаткова інформація про групи реагування на інциденти знаходиться в [ ]. Виявлення інцидентів і загроз вже на сімдесят процентів визначають можливість їх зменшення або знищення.
Загроза віддаленого адміністрування. Під віддаленим адмініструванням розуміється несанкціоноване управління віддаленим комп’ютером. віддалене адміністрування дозволяє брати чужий комп’ютер під своє управління. Це може дозволити копіювати і модифікувати дані, які на ньому знаходяться, встановлювати на ньому будь-які програми, у тому числі і шкідливі, використовувати чужий комп’ютер для злочинних дій на Мережі «від його імені».
Загроза активного змісту. Активний зміст – це активні об’єкти, що вбудовані у – сторінки. У порівнянні із пасивного змісту (текстів малюнків, аудіоклипів тощо), активні об’єкти включають в себе не тільки дані, а і програмний код. Агресивний програмний код, що попав на комп’ютер «жертви», здатен вести себе як комп’ютерний вірус або як агентська програма. Так, він може виконувати знищення даних, але може взаємодіяти із віддаленими програмами, виступаючі як засіб віддаленого адміністрування або готувати умови для його встановлення.
Загроза перехоплення або заміни даних на шляху транспортування.
З проникненням Інтернету в економіку дуже гостро постає загроза перехоплення або заміни даних на шляху транспортування. Так, наприклад, розрахунки електронними платіжними засобами (картками платіжних систем) припускають відправку покупцем конфіденційних даних про свою картку продавцеві. Якщо ці дані будуть перехоплені на одному із проміжних серверів, то не існує гарантії, що цими даними не скористався зловмисник. Крім того, через Інтернет передаються файли програм. Заміна цих файлів на шляхах транспортування може привести до того, що замість очикуємої програми клієнт отримує її аналог з «поширеними» властивостями.
Загроза втручання в особисте життя. В основу цієї загрози покладені комерційні інтереси рекламних організацій. Так, річний рекламний бюджет Інтернету складає декілька сот міл’ярдів доларів США. Бажання збільшити свої прибутки від реклами більшість компаній організують Web– вузли не стільки для того, щоб надавати клієнтам мережеві послуги, скільки для того, щоб збирати про них персональні відомості. Ці відомості узагальнюються, класифікуються та поставляються рекламним і маркетинговим службам. Процес збору персональної інформації є автоматизований, не потребує практично ніяких витрат і дозволяє без відома клієнтів дослідити їх переваги, смаки, вподобання.
Так, при відвідуванні будь-яких Web- сторінок нам на очі трапляються рекламні об’яви – баннери. Коли їх приймають, наш браузер встановлює зв’язок з їх власником (з рекламною системою) і таємно від нас реєструється в цій системі. Ми можемо не звертати увагу на цю рекламу і ніколи її не використовувати, але при переході від однієї Web- сторінки до другої ми створюємо свій психологічний портрет – профіль. За характером відвідування Web- сторінок віддалена служба здатна визначити стать, вік, рівень освіти, рід занять, сферу інтересів, рівень достатку і можливо характер хвороби особи, яка ніколи до них не зверталася. Достатньо десь зареєструватися під своїм ім’ям і прізвищем, і раніше зібрані абстрактні відомості перетворюються в конкретні дані – так створюються негласні персональні бази даних учасників роботи в Мережі не тільки на окремих осіб, а і на групи: родини, робочі групи, підприємства. Отримані дані можуть використовуватися як легально, так і нелегально.
Засоби захисту інформації в Інтернет.
З самого початку Інтернет створювалося як мережа, що є сталою у відношенні до різноманітних випадковостей: поломки обладнання, зрив кабелю та збої у живленні. На жаль, Інтернет і мережі, що входять до її складу, потребують допоміжних засобів для відбиття атак, які направлені проти власності користувачів, даних компанії та її безпеки. На сьогоднішній день існує велика кількість одиниць апаратного та програмного забезпечення для захисту мереж від зовнішнього втручання. При з’єднанні мережі з Інтернет основою безпеки цього з’єднання повинен бути брандмауер (firewall). Брандмауер – це комбінація апаратного і програмного забезпечення, що використовується для захисту мережі від побічного втручання.
Принцип дії брандмауера оснований на тому, що цій засіб контролює стан з’єднання на рівні нижче прикладного (на рівні з’єднання, мережевому, транспортному ) і, тим самим відчуває і фіксує ознаки роботи несанкціонованих засобів, які вбудовуються в систему на рівні підконтрольного користувачеві. До речі, брандмауер здатен від слідкувати діяльність засобів віддаленого адміністрування. Одночасно брандмауер може контролювати потоки даних (трафік) і виконувати їх фільтрацію.
Розглянемо простий приклад. Нехай два керівника підприємств обмінюються листами. Коли курівник написав лист, то він передає його секретарці для друку, а секретарка кур’єрові для доставки. В цій системі зв’язку існує тільки три рівні: прикладний (керівник), рівень представлення (секретар) та фізичний рівень (кур’єр).
Якщо секретарки двох керівників у зговорі (передруковуючи листи, вони щось дописують і щось стирають), а керівники про це не знають, то канал використовується несанкціоновано. Але про це можуть здогадатися кур’єри, якщо їм буде дозволено читати те, що вони доставляють. Спеціальним чином підготовлений кур’єр може надати сигнал керівникові про те, що їм знайдено незареєстроване з’єднання . Цим і займаються брандмауери.
Захист мережі від зовнішнього втручання. Брандмауер забезпечує можливість центрального управління безпекою мережі. Він будується на основі комп’ютера-бастіона, який є свого роду «парканом» для всіх комунікацій між мережею та Інтернет, і екрануючого маршрутизатора.
Комп’ютер-бастіон – це комп’ютер, який спеціально встановлений для захисту від атак на мережу. Іншими словами, ні один комп’ютер мережі не зможе отримати доступ до Інтернет інакше, ніж через комп’ютер-бастіон, і , з іншої сторони, ні один зовнішній (у відношенні до мережі) користувач не зможе мати доступ до мережі поза комп’ютера-бастіона.
Екрануючий маршрутизатор – це спеціальний комп’ютер або електронний пристрій, який фільтрує пакети на основі встановленого адміністратором критерії. Він дозволяє контролювати рух даних в мережі без зміни додатків клієнта або сервера. Основна його перевага стосується того, що він працює виключно на мережевому і транспортному рівнях моделі ISO/OSI. Однак, для того щоб дійсно захистити мережу від небажаних втручань зовні, брандмауер повинен захищати кожний рівень протоколу TCP/IP.
Основний недолік екрануючих маршрутизаторів стосується того, що вони виконують фільтрацію даних, основуючись на недостатньому обсязі даних. Обмеження, що накладаються на мережевий і канальний рівні, дозволяють отримати доступ тільки до IP-адресам, номерів портів і прапорам TCP. Відсутність контекстної інформації у маршрутизаторів може привести до проблем з фільтрацією таких протоколів як UDP. До того ж, адміністратори, що працюють з екрануючими маршрутизаторами, повинні пам’ятати , що у більшості приладів, які виконують фільтрацію пакетів, відсутній механізм аудиту і надання сигналу тривоги. Тому для захисту мереж адміністратори повинні додатково використовувати інші технології фільтрації пакетів разом з використанням брандмауерів. (Рис.)
Стек протоколів Брандмауери Рівень і сервери додатків посередники
|
Мережевий рівень Маршрутизатори та Канальний рівень інші фільтри пакетів
|
Фізичний рівень
Рис. . Використання маршрутизаторів і брандмауерів для фільтрації пакетів.
У брандмауерів існує ряд обмежень на рівні захисту. Це
- забезпечення цілісності даних. Більшість сучасних брандмауерів мають програмне забезпечення із захистом проти вірусів. Але у великих мережах звернення до брандмауеру для перевірки кожного пакету може суттєво знизити роботу мережі. Тому, пропонується виділити обмежений простір для всіх вхідних файлів. Потім вони у фоновому режимі будуть перевірятися на присутність вірусів.
- ідентифікація джерел даних. Користувач, що працює на незареєстрованому комп’ютері, може створити повідомлення, що видає себе за будь-кого іншого. Таким чином, брандмауер не надає ніяких засобів захисту від атак заміни.
- конфіденційність даних. Брандмауер не зможе забезпечити конфіденційність даних при роботі із зовнішніми мережами. Більшість брандмауерів надає засоби шифрування для пакетів, але при використанні цих засобів брандмауери отримувача та відправника повинні бути однакові. А це не завжди виконується.
Простішою програмою, що виконує функції брандмауера є програма ATGuard. Вона працює у фоновому режимі і займається перевіркою стану комунікаційних портів. У випадку спроби використання того або іншого порту вона повідомляє про них користувача. Якщо комунікація виконується з його відома, то він може дозволити створення ТСР- з’єднання. У протилежному випадку – видається заборона і виконуються міри з ідентифікації процесу запита. Можливо, що запит прийшов зовні (зловмисник шукає контакту із засобом віддаленого адміністрування щляхом сканування комунікаційних портів), а може бути із середині (засіб віддаленого адміністрування вже таємно працює на комп’ютері та робить спробу увійти до Мережі).
Проксі-сервери – це програмні засоби, що виконують посередницьку функцію. Але у порівнянні із брандмауерами вони не інспектори, а здебільш диспетчери. Спочатку проксі-сервери призначалися не для захисту комп’ютера або локальної мережі, а для оптимізації їх роботи в WWW.
Користувач комп’ютера адресує запит в Інтернет на постачання визначеного Web- ресурсу, але цей запит відправляється не до Мережі, а до проксі-серверу.
Проксі-сервер від свого імені адресує запит до Інтернету на постачання цього Web- ресурсу і отримує відклик віддаленого сервера.
Отриманий ресурс проксі-сервер передає на робоче станцію користувача.
При цьому у користувача з’являються наступні переваги:
віддалений сервер не знає точно, від кого поступив запит: з його точки зору він поступив від проксі-сервера (функція аноніманізації);
Web- сторінки, що проходять через проксі-сервер, запам’ятаються на ньому, і якщо будь-який інший користувач локальної мережі хоче звернутися до Web- ресурсу, то він отримує його не від віддаленого сервера, а від проксі-сервера, що значно швидше(функція прискорення завантаження);
елементи Web- сторінок, що проходять через проксі-сервер, можуть аналізуватися і фільтруватися (функція фільтрації);
за деякий час роботи на проксі-сервері накопичуються дані про відповідність доменних імен серверів Інтернета та їх ІР- адрес. Тому при повторному зверненні до тим же Web- ресурсам вже не потрібно шукати їх ІР- адрес в структурі системи DNS (функція прискорення підключення).
Проксі-сервер забезпечує неявний захист даних. По-перше, проксі-сервер може бути налаштований адміністрацією підприємства так, щоб обмежувати доступ співробітників вузьким колом Web- ресурсів при виконанням їм отриманих завдань. По-друге, проксі-сервер, як посередник, здатен контролювати інформаційний зміст даних, що проходять через нього. Він може блокувати файли і архіви, що містять комп’ютерні віруси, а також відомості, які неприпустимі з еточної, політичної та релігійної точок зору. І, наприкінці, проксі-сервер дозволяє сховати внутрішню структуру і архітектуру від зовнішнього аналізу. Це дуже важливий момент, оскільки віддаленим атакам на інформаційні системи, як правило, здійснюється попереднє дослідження їх програмного і технічного забезпечення. Знання версій програм, що забезпечують роботу локальної мережі, дозволяє зловмисникам виявляти їх вразливості і експлуатувати їх за допомогою спеціальних програм – експлоітів.
Простішою програмою, що виконує функції проксі-сервера, є програма interMute. Програма працює у фоновому режимі і займається перевіркою змісту Web- ресурсу, що надходить. Так, вона дозволяє блокувати надходження до комп’ютера маркерів cookie і аналізує елементи оформлення Web- сторінок.
Використання електронного цифрового підпису.
Електронний цифровий підпис (ЕЦП) має не фізичну, а логічну природу. ЕЦП – це просто послідовність символів, що дозволяє однозначно зв’язати автора документа, зміст документа і власника ЕЦП. Логічний характер електронного підпису робить його незалежним від матеріальної природи документу. За допомогою ЕЦП можна помічати, а потім аутентифікувати документи, які мають електронну основу (виконані на магнітних, оптичних, кристалічних та інших носіях, розповсюджені в комп’ютерних мережах тощо).
Основні властивості ЕЦП.
При використанні сертифікованих засобів ЕЦП захисні властивості електронного підпису вище ніж ручні. Більш того, їм можна надати об’єктивну оцінку, яка базується не на гіпотезі про унікальні біометричні параметри людини, а на строгому математичному аналізі.
Тут і далі – засоби ЕЦП – програмні та апаратні засоби обчислювальної техніки, що призначені для створення електронного цифрового підпису і роботи з ним.
З можливостей об’єктивної оцінки захисних властивостей виходить властивість масштабіруємости . Так, наприклад, у цивільному документообігу можливо використання простіших засобів ЕЦП, у службовому документообігу – сертифікованих засобів, а для обмежених реквізитів – спеціальні засоби ЕЦП.
Незалежність ЕЦП від носія дозволяє використовувати його в електронному документообігу. При використанні ЕЦП можливі договірні відносини між віддаленими юридичними фізичними суб’єктами поза прямого або опосередненого фізичного контакту між ними. Ця властивість ЕЦП лежить в основі електронної комерції.
Логічна природа ЕЦП дозволяє розрізняти копії одного документу і зробити їх рівнозначними.
В основі механізму роботи засобів ЕЦП лежать криптографічні засоби, а це дозволяє розширити функціональні можливості підпису. В електронний документ, що підписаний ЕЦП, не можна внести зміни, непорушивши підпис. Факт невідповідності підпису змісту документу знаходиться програмними засобами і учасник електронної справи отримує сигнал про неадекватність документу і підпису.
Всі стадії обслуговування ЕЦП (створення, використання, посвідчення і перевірка) автоматизовані, що значно підвищує ефективність документообігу.
Для ефективного використання ЕЦП необхідні спеціальне технічне, організаційне і правове забезпечення.
Використання електронного цифрового підпису в договірних відносинах між віддаленими сторонами відповідає двом основним моделям електронної комерції: Виробник – Виробник, Виробник – Споживач. Особливо це стосується взаємовідносин в умовах відмови від підпису під час умов справи. Тут виникає потреба у засобах об’єктивної ідентифікації партнерів. Якщо такі засоби відсутні або невдосконалені, то договорні сторони отримують можливість відмови від своїх обов’язків, які слідкують із умов договору. Важливо мати на увазі, що відмова може мати виправдення, якщо партнер встановив зловживання своїми реквізитами зі сторони не уповноваженими особами або факт одностороннього внесення змін в зміст договору.
В самому простому вигляді електронний цифровий підпис – це деякі відомості про себе, наприклад, прізвище, ім’я, по батькові та посада, що зашифровані особистим ключем. Кожний, хто володіє відкритим ключем, зможе цю інформацію прочитати і з’ясувати автора повідомлення. Однак на практиці в ЕЦП включають не тільки відомості про відправника, але додаткові дані. Тобто ЕЦП може бути підвернена фальсифікації. Щоб фальсифікувати ЕЦП зловмисник повинен тим або іншим чином отримати доступ до закритого ключа. В таких випадках говорять про компрометацію закритого ключа, з якого випливає компрометація електронного підпису. Закритий ключ може бути скомпрометований різними способами – традиційними і нетрадиційними. Традиційні способи компрометації зв’язані, як правило з крадіжкою та іншими протизаконними діями. Нетрадиційні методи компрометації основані на реконструкції закритого ключа за початковими даними, які отримані легально, наприклад, за відкритим ключем. На жаль зараз довести незаконність дій за реконструкції чужого закритого ключа дуже складно, а в деяких випадках практично неможливо. На практиці процес реконструкції впирається у існування спеціальних апаратних і програмних засобів, а також у величезні витрати часу обчислення.
Засіб ЕЦП – це програмне і /або апаратне забезпечення, що призначене для генерації пари ключів (закритого і відкритого) і автоматизованого їх використання при шифруванні або дешифруванні електронного підпису. Оскільки до алгоритмам, на основі яких діє засіб ЕЦП, залежить надійність і сталість документообігу, то до засобів ЕЦП пред’являються спеціальні вимоги. Так, в Україні діяльність по розробці засобів ЕЦП відноситься до ліцензуємим видам діяльності. Обмежено також використання готових засобів ЕЦП. В державних і комерційних організаціях дозволяється використовувати тільки засоби ЕЦП, на яких видана ліцензія в уповноважених державних органах.
При існуванні в локальній мережі сервера Microsoft Exchange є доступ до декількох способів захисту даних від несанкціонованого доступу. До слід віднести: цифровий підпис повідомлень, що гарантують їх дійсність; шифрування повідомлень; приховування окремих особистих відомостей від осіб, що мають доступ до вашим папкам; відправка особистих повідомлень, що не підлягають зміни; заборона доступу до загальним папкам з Інтернету. Якщо повідомлення повинно бути відправлено у зашифрованому вигляді, його шифрують за допомогою відкритого ключа отримувача. Для цього необхідно мати копію цього ключа. Звичайно цей ключ вибирається із повідомлення, отриманого від даного кореспондента. Він автоматично запам’ятовується програмою і в подальшому використовується для шифрування повідомлень, які прочитати зможе тільки отримувач.
Для обміну захищеними повідомленнями в локальній мережі необхідно виконати настроювання параметрів безпеки на рівні сервера Microsoft Exchange. Для цього необхідно відкрити діалогове вікно Настройка безопасности на сервере Exchange (Сервис→Параметры →Безопасность→ Получить цифровую подпись →Настройка безопасности на сервере Exchange ). В поле Цифровое удостоверение слід ввести реєстраційне імя, в полі Секретный ключ – код, що призначений адміністратором сервера. В поля Пароль і Подтверждение вводять одну і теж комбінацію символів. В і сервера автоматично поступить запит підтвердження паролю і часу його зберігання системою Outlook. Потім у надходженому повідомлені Корневое хранилище удостоверений необхідно натиснути кнопку Да. Після цього створене цифрове посвідчення буде назавжди використовуватися Microsoft Exchange Server при посиланні повідомлень, роботі з папками, документами і файлами.
Нормативно-правові засади та стандарти захисту в Інтернет.
Проблеми захисту інформаційних ресурсів безпосередньо зв’язані з питаннями правового регулювання відношень в процесі інформатизації. Необхідність організаційно-правового забезпечення захисту інформації виходить з факту визнання за інформацією статусу товару, продукту суспільного виробництва, встановлення в законодавчому порядку права власності на інформацію.
Розробка і впровадження законодавчої бази інформатизації неможливо без активної державної інформаційної політики, яка направлена на побудову за єдиним змістом організаційно-правового механізму управління інформаційними процесами. Цей механізм повинен бути ув’язаний з науково-технічною базою інформатизації.
Організаційно-правове забезпечення захисту інформації являється багатоаспектним поняттям, що складається із законів, рішень, нормативів і правил. Воно має ряд специфічних особливостей, які зв’язані з наступними обставинами:
представлення інформації у бінарній формі;
носії інформації представлені так, що неможливо візуально переглядати записи;
множинне копіювання неможливе без залишку будь-яких ознак;
легкість зміни будь-яких елементів інформації;
неможливість нормативно-правового аспекту підпису документів;
існування величезної кількості дестабілізуючих факторів, що впливають на захищеність інформації.
Всі ці обставини породжують перелік питань, які повинні розв’язати
організаційно-правове забезпечення. Слід виділити три класи:
організаційно-правова основа захисту інформації в АС;
техніко-математичні аспекти організаційно-правового забезпечення;
юридичні аспекти організаційно-правового забезпечення захисту.
Практична діяльність показує, що організаційно-правова основа захисту
інформації повинна включати: визначення підрозділів та посад, що відповідають за організацію захисту інформації; нормативно-правові та методичні матеріали щодо захисту інформації; міри відповідальності за порушення правил захисту; технологія розв’язання конфліктних і суперечних питань стосовно захисту інформації.
Техніко математичні аспекти організаційно-правового забезпечення представляють собою сукупність технічних засобів, математичних методів, моделей, алгоритмів і програм, за допомогою яких в АС можуть бути виконані всі умови юридичного обмеження прав і відповідальності відносно регламентів обігу інформації, що захищається. До таких умов слід віднести: фіксація на документі персональних ідентифікаторів (підписів) осіб, що виготовили документ і несуть за нього відповідальність; фіксація (при будь-якої необхідності) на документі персональних ідентифікаторів (підписів) осіб, що ознайомилися зі змістом відповідної інформації; неможливість зміни змісту інформації особами, які мають право на доступ до неї – фіксація фактів будь-якої (як санкціонованої, так і несанкціонованої) зміни інформації; фіксація фактів будь-якої (як санкціонованої, так і несанкціонованої) процедури копіювання захищаємої інформації.
Юридичні аспекти організаційно-правового забезпечення захисту інформації в АС представляють собою сукупність законів і нормативно-правових актів за допомогою яких досягаються наступні цілі: обов’язкове виконання правил захисту інформації всіма особами, які мають відношення до АС; узаконення мір відповідальності за порушення правил захисту; набувати юридичної сили техніко-математичні рішення питань організаційно-правового забезпечення захисту інформації; набувають законності процесуальні процедури ситуацій, що виникають в процесі функціонування системи захисту.
Проблема інформаційної безпеки характерна для багатьох країн світу. Серед відомих з них вже накопичений значний досвід розв’язання питань організаційно-правового забезпечення захисту інформації, який слід враховувати при створенні вітчизняної політики інформаційної безпеки:
інформування населення країни і фахівців о сутності проблеми інформаційної безпеки та шляхів її розв’язання;
єдиний підхід до визначення основних понять стосовно проблеми захисту;
встановлення і розвиток техніко-математичних основ розв’язання проблеми організаційно-правового забезпечення захисту інформації;
розробка і затвердження стандартів в області інформаційної безпеки;
створення законодавчої системи, яка необхідна для забезпечення захисту інформації.
До недавнього часу всі роботи по проблемі захисту інформації в
Україні були закриті. Тому було декілька причин: загальний низький рівень масової інформатизації та комп’ютеризації, недостатній перелік друкованих видань з даної проблеми, відсутність кваліфікованих спеціалістів з політики інформаційної безпеки, дуже слабке законодавство в цій сфері (Додаток 1).
Оскільки в Україні кількість законів про захист інформації дійсно невелика, то слід навести стислий зміст кожного із них.
Закон «Про інформацію» №2657 від 02.10.1992 р. декларує загальні принципи отримання, використання, розповсюдження і зберігання інформації, закріпляє право особистості на інформацію у всіх сферах життя. Визначає статуси учасників інформаційних відношень, регулює доступ до інформації та забезпечує її охорону, захищає особистість і суспільство від недостовірної інформації.
Закон «Про державну таємницю» №3855-12 від 21.01.1994 р. регламентує інформаційні відношення, які зв’язані з доступом до державній таємній інформації.
Закон «Про захист інформації в автоматизованих системах» №81/94-ВС від 05.07.1994 р. надає визначення основних термінів в сфері автоматизованих систем (АС), регламентує відношення між сторонами в процесі обробки інформації в АС, порядок міждержавних відношень в сфері захисту інформації в АС:
суб’єктами відношень в процесі обробки інформації в АС є власник інформації, власник АС, користувач інформації, користувач АС;
після процесу обробки інформації в АС, отриманий продукт є власністю користувача АС, який її обробляв, якщо інше не передбачене договором між ним і власником інформації;
якщо власником обробляємої інформації є держава, то власник АС повинен забезпечити захист інформації стосовно державним стандартам;
власник АС є її адміністратором і організатором роботи користувачів АС. Власник АС зобов’язаний інформувати власника інформації і користувача АС про методи спілкування з АС, а також методи захисту інформації в його системі;
захист інформації в АС забезпечується програмними, апаратними та іншими засобами, які повинні бути сертифіковані, якщо з їх допомогою планується обробляти державну інформацію таємного характеру;
особи, які звинувачені у втраті інформації внаслідок невірної побудови систем захисту АС, несуть дисциплінарну, адміністративну, карну відповідальність або матеріально компенсують нанесені збитки.
Положення «Про технічний захист інформації в Україні» (затверджено Указом Президента України від 27.09.1999р. №1229/99) розкриває порядок технічного захисту інформації (ТЗІ), що є важливою для держави, суспільства і особистості, охорона яких забезпечується державою у відповідності з законодавством. Під ТЗІ розуміється діяльність, що направлена на забезпечення інженерно-технічними мірами конфіденційності, цілісності та доступності інформації.
Положення «Про порядок здійснення криптографічного захисту інформації в Україні» затверджено Указом Президента України від 22.05.1998р. №505 (зі змінами, що внесені Указами від 15.09.98р. №1019 і №1229 від 27.09.99р.) визначає порядок виконання криптографічного захисту інформації та обмеженим доступом, розповсюдження якої може причинити шкоду державі, суспільству або особистості.
Інструкція «Про умови і правила проведення підприємницької діяльності (ліцензовані умови), які зв’язані з розробкою, виготовленням, завозом, вивозом, реалізацією і використанням засобів криптографічного захисту інформації, а також з наданням послуг криптографічного захисту інформації, і контроль за їх виконанням » затверджена Ліцензійною палатою України і Департаменту спеціальних телекомунікаційних систем і захисту інформації Служби безпеки України №104/81 від 17.11.98р.
В Російській Федерації в протилежність України існує «Доктрина информационной безопасности Российской Федерации», прийнятий базовий закон стосовно інформаційної безпеки «Об информации, информатизации и защите информации», а також спеціальні закони «О государственной тайне», «О правовой охране программ ЭВМ и баз данных», «О правовой охране топологий микросхем», «О международном информационном обмене». Питання правового забезпечення захисту інформації знайшли відображення в законі Російської Федерації «О безопасности», який прийнятий у 1992 році.
В Державній Думі Російської Федерації продовжується робота над законодавством в області захисту персональних даних. Про це свідчить законодавче закріплення в Росії інституту комерційної таємниці.
Найбільш розвинуте законодавство у сфері інформаційної безпеки діє у США. Так, у таблиці 1 наведені основні законодавчі акти США за останні три роки.
Таблиця 1
Законодавчі акти інформаційної безпеки США
Назва файлу |
Документ, що міститься у файлі |
1.pdf |
Меморандум Офісу Президента США для керівників міністерств та відомств щодо Закону про реформування інформаційної безпеки уряду ("MEMORANDUM FOR HEADS OF EXECUTIVE DEPARTMENTS AND AGENCIES. Subject: Reporting Instructions for the Government Information Security Reform Act and Updated Guidance on Security Plans of Action and Milestones"). Липень 2002 р. |
2.pdf |
Матеріали слухання у Палаті представників Конгресу США Закону про інформаційну безпеку (текст Закону та його обговорення) – "H.R. 3844, THE FEDERAL INFORMATION SECURITY MANAGEMENT ACT OF 2002". Травень 2002 р. |
2a.pdf |
Стислий опис Закону про інформаційну безпеку (Federal Information Security Management Act of 2002). |
3.pdf |
Матеріали слухання у Палаті представників Конгресу США питання "Інформаційна безпека у федеральному уряді за досвідом одного року існування Закону про інформаційну безпеку ("INFORMATION SECURITY IN THE FEDERAL GOVERNMENT: ONE YEAR INTO THE FEDERAL INFORMATION SECURITY MANAGEMENT ACT"). Березень 2004 р. |
4.pdf |
"Коментарі до Закону щодо інформаційної безпеки, що пропонується" ("Comments on the Proposed Government Information Security Act of 1999") – виступ Директора офісу урядових та оборонних інформаційних систем (Governmentwide and Defense Information Systems) перед членами сенатського Комітету з питань відносин між урядовими структурами. Березень 2000 р. |
5.pdf |
Проект Закону США "E-Government Act of 2002". Грудень 2002 р. |
6.pdf |
Закон США "E-Government Act of 2002". Січень 2003 р. |
7.pdf |
"Інформаційна безпека. Прогрес зроблений, але виклики забезпечення безпеки федеральних систем та критичних інфраструктур залишаються" ("Information Security. Progress Made, But Challenges Remain to Protect Federal Systems and the Nation’s Critical Infrastructures") – виступ Директора офісу з питань інформаційної безпеки перед членами відповідного Комітету Палати представників Конгресу США. Квітень 2003 р. |
8.pdf |
Закон США "Homeland Security Act of 2002". Листопад 2002 р. |
9.pdf |
Закон США "USA PATRIOT ACT" ("Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism"). Жовтень 2001 р. |
10.pdf |
Спеціальне видання Національного Інституту стандартів та технології (США) 800-35 "Guide to Information Technology Security Services. Recommendations of the National Institute of Standards and Technology". Жовтень 2003 р. |
11.pdf |
Спеціальне видання Національного Інституту стандартів та технології (США) 800-50 "Building an Information Technology Security Awareness and Training Program". Жовтень 2003 р. |
12.pdf |
Спеціальне видання Національного Інституту стандартів та технології (США) 800-64 "Security Considerations in the Information System Development Life Cycle. Recommendations of the National Institute of Standards and Technology". Червень 2004 р. |
13.pdf |
Доповідь Служби досліджень Конгресу США "Таємність проти відкритості: пропонуємі зміни для збалансування потреб" ("Secrecy Versus Openness: New Proposed Arrangements for Balancing Competing Needs"). Жовтень 2004 р. |
14.pdf |
Спеціальне доповнене видання Національного Інституту стандартів та технології (США) 800-27 "Engineering Principles for Information Technology Security. A Baseline for Achieving Security". Червень 2004 р. |
Як бачимо з таблиці, законодавство США охопичує такі напрямки:
визначення і закріплення державної політики в області інформатизації;
забезпечення розвинутого виробництва, технологій:
боротьбу з монополізмом і стимуляцію пріоритетних шляхів;
організація інформаційних систем;
захист прав громадян на інформацію, захист інформації про громадян;
регулювання прав розробників програм для ЕОМ.
Таким чином, Україна повинна використовувати досвід провідних країн у сфері інформаційної безпеки для створенні власної законодавчої бази.
Організаційно-правове забезпечення цифрового підпису
Однією із основних задач створення техніко-математичної бази організаційно-правового забезпечення захисту інформації є розробка ефективних і надійних методів фіксації в пам’яті ЕОМ такого аналога підпису людини, який би міг бути легко реалізований сучасними засобами обчислювальної техніки та виконував би всі основні функції конкретного підпису. На думку багатьох фахівців більш надійним шляхом для розв’язання цієї задачі являється використання спеціальних методів криптографічного перетворення інформації – системи цифрового підпису. А область застосування цифрового підпису має широке коло – від проведення фінансових і банківських беcпаперових операцій до контролю за виконанням міждержавних договорів та охорони авторських прав.
При передачі повідомлень по телекомунікаційним мережам проблема цифрового підпису є дуже актуальною. Тому що тут виникають найбільш можливі зловживання:
відмова, коли абонент-відправник через деякий час відмовляється від переданого повідомлення;
фальсифікація, коли абонент-одержувач підробляє повідомлення;
зміна, коли абонент-одержувач вносить зміни до повідомлення;
маскування, коли абонент-відправник маскується під іншого абонента.
Одним із засобів для забезпечення захисту кожної з сторін може бути створення і підтримка протоколу обміну. Цей протокол повинен містити обов’язкові положення:
відправник вносить свій цифровий підпис у повідомлення, яке передається;
одержувач повинен мати можливість переконатися, що одержаний у складі повідомлення підпис є вірним підписом відправника;
одержання вірного підпису відправника можливо тільки при використанні закритої інформації, що належить відправнику;
підпис повинна мати залежність від часу.
Аналіз вітчизняних та закордонних літературних джерел і публікацій в області криптології свідчить про інтенсивні розробки у цьому напрямку - особливо для систем масового використання.
Слід виділити два наступних положення:
введення відповідальності за інформаційні злочини;
власник має право на законних умовах захищати свою інформацію, при цьому він самостійно обирає методи забезпечення безпеки.
Тому необхідність в захисту інформації призвела до розробки різноманітних стандартів, методів, рекомендацій тощо.
Публікації, які присвячені темі захисту інформації, можна розділити на наступні групи:
рекомендації, щодо аналізу безпеки комп’ютерних систем;
рекомендації, щодо розробки протоколів аутентифікації;
стандарт, щодо використанню і управлінню паролями в системах з обмеженим доступом;
криптографічні стандарти;
стандарти шифрування DES і EES;
стандарт управління ключами;
стандарт hash-функції SHS;
стандарт електронного підпису DSS;
стандарт створення генератору паролів користувача APG;
стандарт на розробку криптографічних модулів.
Як відомо, політика безпеки представляє собою набір законів, правил і норм поведінки, що використовуються при організації обробки, передачі та захисту інформації. Тому вона повинна включати такі основні елементи:
добровільне управління доступом – передача власнику інформації визначених прав доступу до неї кожного суб’єкту або групи;
безпека повторного використання об’єктів (контроль за окремими фрагментами таємної інформації, що залишилася після обробки в оперативній пам’яті комп’ютера, монітора і периферійних пристроїв, а також на магнітних носіях, гарантоване знищення системних контекстів та ідентифікаторів суб’єктів, які раніше використовувалися);
мітки безпеки суб’єктів і об’єктів (складаються з рівнів таємності та класів інформації);
примусове управління доступом;
звітність(взаємна ідентифікація і аутентифікація системи і суб’єкта; аудит (протоколювання і аналіз реєстраційної інформації, наприклад, операцій з інформаційними об’єктами, входом і виходом із системи, зміна привілеїв доступу тощо)).
Для гарантування заданої політики безпеки необхідна технічна
перевірка наступних елементів:
архітектури системи (захист ядра системи, взаємний захист процесів, існування засобів управління доступом, мінімізація привілеїв);
цілісність системи (вірність функціонування окремих компонентів системи);
аналіз таємних каналів передачі інформації (виявлення неспецифічних шляхів передачі та зберігання таємної інформації, наприклад, виміри часу проведення операцій в системі, розшифровка електромагнітного та акустичного фону у приміщенні тощо);
надійне адміністрування (відокремлення ролей системного адміністратора, системного оператора і адміністратора безпеки, що визначають права доступу і відповідальність відповідних суб’єктів);
надійне поновлення після збоїв (підготовка до звоїв – резервування, резервне копіювання інформації та періодичний контроль цілісності – і надійне поновлення із зберіганням міток доступу та знищення фрагментів зруйнованої таємної інформації);
існування експлуатаційної документації для всіх ролей користувачів- суб’єктів, проектної документації по архітектурі та реалізації системи, комплект системних тестів.
Щоб не допустити несанкціонованого доступу до закритої інформації
можуть використовуватися технічні, програмні та криптографічні засоби, які отримали найбільше розповсюдження у зв’язку з легкістю їх реалізації та високою надійністю. В сучасних системах пропонуються наступні моделі:
матриці доступу (для кожної пари суб’єкт-об’єкт в матриці існує клітина, в якій задаються права суб’єкту на даний об’єкт; такими правами можуть бути: права на читання, модифікацію та знищення об’єкту, а в більш складних системах до даної множини додаються права на адміністрування, виконання програми тощо);
використання списків доступу. Цей підхід є модифікацією використання матриці доступу але більш економний ніж попередній. В залежності від характеру запиту на доступ можуть використовуватися або списки прав суб’єктів , або списки об’єктів для заданого суб’єкту;
використання міток таємності. Цей метод дозволяє управляти доступом в множині об’єктів і суб’єктів, що швидко змінюються. Тому він є найбільш ефективним для складних розподільних систем. Сутність методу полягає у присвоєнні кожному інформаційному об’єкту і суб’єкту (користувачу, пристрою зовнішньої пам’яті, каналу передачі інформації, процесу і т.д.) мітки рівня і категорії доступу. Рівень L представляє собою число, що визначає конфіденційність інформації та ступень довіри суб’єкту. Рівень L(S) доступу суб’єкту S є достатнім для доступу до об’єктам О з рівнем таємності L(O), якщо виконується нерівність L(S)
Категорії об’єкту C(O)
– це множина класів інформації, до
якого належить даний об’єкт. Для кожного
суб’єкту задається множина категорій,
до яких йому може бути дозволений
доступ. Таким чином, необхідною умовою
доступу є не порожня множина C(O)
C(S).
ЛІТЕРАТУРА