12. Методи підсилення захисту універсальних операційних систем від нсд. Вимоги до додаткових засобів захисту.

Операционная система является важнейшим программным компонентом любой вычислительной машины, поэтому от уровня реализации политики безопасности в каждой конкретной ОС во многом зависит и общая безопасность информационной системы.

Операционная система MS-DOS является ОС реального режима микропроцессора Intel, а потому здесь не может идти речи о разделении оперативной памяти между процессами. Все резидентные программы и основная программа используют общее пространство ОЗУ. Защита файлов отсутствует, о сетевой безопасности трудно сказать что-либо определенное, поскольку на том этапе развития ПО драйверы для сетевого взаимодействия разрабатывались не фирмой MicroSoft, а сторонними разработчиками.

Семейство операционных систем Windows 95, 98, Millenium – это клоны, изначально ориентированные на работу в домашних ЭВМ. Эти операционные системы используют уровни привилегий защищенного режима, но не делают никаких дополнительных проверок и не поддерживают системы дескрипторов безопасности. В результате этого любое приложение может получить доступ ко всему объему доступной оперативной памяти как с правами чтения, так и с правами записи.

Поколение операционных систем Windows NT, 2000 уже значительно более надежная разработка компании MicroSoft. Они явялются действительно многопользовательскими системами, надежно защищающими файлы различных пользователей на жестком диске (правда, шифрование данных все же не производится и файлы можно без проблем прочитать, загрузившись с диска другой операционной системы – например, MS-DOS). Данные ОС активно используют возможности защищенного режима процессоров Intel, и могут надежно защитить данные и код процесса от других программ, если только он сам не захочет предоставлять к ним дополнительного доступа извне процесса.

Операционная система UNIX изначально разрабатывалась как сетевая и многопользовательская, а потому сразу же содержала в себе средства информационной безопасности. Практически все широко распространенные клоны UNIX прошли долгий путь разработки и по мере модификации учли все открытые за это время способы атак. Достаточно себя зарекомендовали : LINUX (S.U.S.E.), OpenBSD, FreeBSD, Sun Solaris. Естественно все сказанное относится к последним версиям этих операционных систем. Основные ошибки в этих системах относятся уже не к ядру, которое работает безукоризненно, а к системным и прикладным утилитам. Наличие ошибок в них часто приводит к потере всего запаса прочности системы.

На любой компьютер, подключенный к интернету, независимо от типа соединения - телефонное, широкополосное или беспроводное - следует установить защитный экран (firewall), который оградил бы ПК от сетевых атак и программ-мошенников, передающих данные с вашего компьютера кому-то в сеть. Программные защитные экраны воюют против внутренних врагов - вирусов, "троянских" и шпионских программ, если таковым все-таки удастся проникнуть в ПК

13. Формування моделі загроз. Оцінка ризиків.

Модель загроз – абстрактне, формалізоване або неформалізоване описання методів та засобів здійснення загроз. Загроза – будь-який потенційно можливий негативний вплив, будь-яка обставина або подія, які можуть призвести до порушення політики безпеки.

До можливих загроз відносяться такі:

5. стихійні лиха, техногенні катастрофи. Боротьба: резервне обладнання.

6. Відмова обладнання.

Боротьба: резервування обладнання та інформації, діагностика, правильний вибір постачальника.

7. Наслідки помилок проектування. Боротьба: а) „правильний” вибір спеціалістів з побудови КСЗІ (ліцензій); б) експертиза.

8. Навмисні і ненавмисні дії політики безпеки.

Теоретично, якщо немає помилок персоналу і проектування, навмисні порушення політики безпеки неможливі. Однак історія свідчить, що ніяка система захисту не може протистояти цілеспрямованим діям озброєного сучасною технікою порушника.

Для визначення ймовірності загроз необхідно розглянути 2 питання:

1. рівень збитків, який завдає підприємству здійснення цієї загрози. Цим повинна займатися група економістів на чолі з адміністрацією.

2. Як часто трапляється та чи інша загроза. Цю оцінку повинні робити ІТ-спеціалісти.

Користуючись спеціальними таблицями здійснюють наступі дії:

1. під час створення політики безпеки задається максимально допустимий рівень інтегрального ризику підприємства, який можна отримати за виділені фінансові ресурси.

2. Якщо інтегральний рівень ризику перевищує це значення, то необхідно зменшити ризик в кожному рядочку, починаючи з максимального.

3. Після зменшення максимальних ризиків, переходять до наступного рядочка (небезпеки).