На основе каких принципов строится современная подсистема информационной безопасности?
Понятие ПИБ включает в себя весь комплекс средств и мер по защите инф-ии в ИТС.
Типовая ПИБ строится с учетом следующих принципов:
1. Применяемые в ПИБ средства и технологии защиты должны обладать свойствами модульности, масштабируемости, открытости и возможности адаптации системы к различным условиям функционирования.
2. ПИБ ИТС должна предполагать полную независимость функционирования каждого из комплексов защиты. Нарушение функционирования любого компонента не должно приводить к изменению других характеристик защиты, тем более к отказу всей системы.
3. Применяемые средства и технологии должны обеспечивать открытость архитектуры, наращиваемость, а также предоставлять интерфейс для подключения внешних систем защиты инф-ии.
Охарактеризуйте угрозы информационной безопасности для локальных рабочих станций.
Потенц-х нарушителей можно разделить на след. категории:
• Зарегистрированные пользователи ЛРС
• Имеющие доступ к штатным средствам управления ЛРС (клавиатура, устройства считывания инф-ии и т.д.)
• Пользователи, не имеющие физического доступа к ЛРС
При этом нарушители обычно ставят перед собой следующие цели:
• Компрометация секретной инф-ии, в том числе и инф-ии, относящейся к работе средств защиты инф-ии ЛРС (ключевая инф-я, пароли пользователей и т.д.)
• Изменение и уничтожение любой секретной инф-ии
• Нарушение работоспособности всей системы в целом и ее отдельных компонентов
Под нарушением имеются в виду не только умышленные действия, но и неумышленные нарушения и ошибки обслуживающего персонала.
Обобщенный перечень угроз можно классифицировать по следующим признакам:
1. По признаку доступа:
• С доступом к ПО
• С доступом только к аппаратным ресурсам
• Без доступа к ЛРС
Доступ к ПО подразумевает, что нарушитель имеет возможность взаимодействовать с установленным ПО, которое доступно для модификации и анализа. Доступ к аппаратному обеспечению подразумевает воздействие нарушителя на аппаратную часть с целью введения ее в режим, нарушающий надежное функционирование средств защиты инф-ии. Отсутствие доступа к ЛРС подразумевает, что нарушитель имеет возможность воздействовать на систему только через каналы передачи инф-ии, возникающие в ходе работы ЛРС. В качестве таких каналов можно отметить:
• Электромагнитный канал
• Цепи заземления и питания
• Виброакустический канал
Например, электромагнитный канал возникает вследствие появленя электромагнитного излучения от ЛРС. Данное излучение модулируется в соответствии с процессами обработки инф-ии, среди которых могут быть и процессы, обрабатывающие секретную инф-ю.
2. По характеру проявления:
• Активнее
• Пассивные
Активные проявления характеризуются тем, что нарушитель является инициатором негативных воздействий на систему (воздействия могут быть как умышленными, так и неумышленными), пассивные же угрозы заключаются в анализе инф-ии, возникающей в ходе функционирования ЛРС.
3. По используемым в ходе реализации угрозы средствам:
• С использованием штатных средств, входящих в состав ЛРС
• С использованием дополнительных угроз
Приведите общую схему построения системы аудита.
Аудит связан с действиями, затрагивающими безопасность системы. К их числу относятся:
• Вход в систему (успешный или нет)
• Выход из системы
• Обращение к удаленной системе
• Операции с файлами (открыть, закрыть, переименовать, удалить)
• Смена привилегий или иных атрибутов безопасности (режима доступа и .т.д)
Полный перечень, подлежащий регистрации, зависит от выбранной политики безопасности и от общей спецификации сиситемы.
Под протоколированием события необходимо записывать:
• Дату и время события
• Уникальный идентификатор
• Отмечать пользователя, являющегося инициатором действия
• Тип события
• Результат действия (успех или неудача)
• Источник запроса (например, имя терминала)
• Имена затронутых объектов (например, файлов)
• Описания изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта)
• Метки безопасности субъектов и объектов события
При такой организации система аудита может фиксировать все события, связанные с функционированием прикладного и системного ПО. Анализ реализации подсистем аудита в современных ОС показывает, что ядро системы взаимодействует с прикладным ПО (работа которого подлежит аудиту) через интерфейс обращений к данному сервису ОС и является наиболее удобным местом для осуществления мониторинга и аудита. Ядро ОС при обращении к нему прикладного ПО фиксирует события, подлежащие аудиту, а подсистема аудита заносит их в журнал событий, хранящийся на жестком диске.
Генерировать события может и прикладное ПО, но, в отличие от ядра ОС, данные действия не заносятся напрямую в журнал событий, а передаются в ядро системы, которое отправляет их в буфер (отведенный под запись событий) и впоследствии фиксирует в журнал событий. При осуществлении записи или чтения в данный буфер, производится его блокировка с целью запрещения одновременного чтения из него и записи в него.К каждому событию, помещенному в буфер, дописывается метка времени, последовательный номер и идентификатор процесса, породившего данное событие.
