Защиты от несанкционированного доступа

Существует притча о самом надежном способе хранения информации: Информация должна быть в одном экземпляре на компьютере, который находится в бронированном сейфе, отключенный от всех сетей и обесточенный.

Понятно, что работать с такой информацией, мягко говоря, неудобно. В то же время хочется защитить программы и данные от несанкционированного доступа (НСД). А чтобы доступ был санкционированным, нужно определиться, кому что можно, а что нельзя.

Для этого нужно:

1. разбить на классы информацию, хранящуюся и обрабатывающуюся в компьютере;

2. разбить на классы пользователей этой информации;

3. поставить полученные классы информации и пользователей в определенное соответствие друг другу.

Доступ пользователей к различным классам информации должен осуществляться согласно системе паролей, в качестве которой могут выступать:

• обычные пароли;

• настоящие замки и ключи;

• специальные тесты идентификации пользователей;

• специальные алгоритмы идентификации ПЭВМ, дискеты, программного обеспечения.

Системы защиты информации от НСД обеспечивают выполнение следующих функций:

1. идентификация, т.е. присвоение уникальных признаков - идентификаторов, по которым в дальнейшем система производит аутентификацию;

2. аутентификация, т.е. установление подлинности на основе сравнения с эталонными идентификаторами;

3. разграничение доступа пользователей к ПЭВМ;

4. разграничение доступа пользователей по операциям над ресурсами (программы, данные и т.д.);

5. администрирование:

   1. определение прав доступа к защищаемым ресурсам,

   2. обработка регистрационных журналов,

   3. установка системы защиты на ПЭВМ,

   4. снятие системы защиты с ПЭВМ;

6. регистрация событий:

   1. входа пользователя в систему,

   2. выхода пользователя из системы,

   3. нарушения прав доступа;

7. реакция на попытки НСД;

8. контроль целостности и работоспособности систем защиты;

9. обеспечение информационной безопасности при проведении ремонтно-профилактических работ;

10. обеспечение информационной безопасности в аварийных ситуациях.

Права пользователей по доступу к программам и данным описывают таблицы, на основе которых и производится контроль и разграничение доступа к ресурсам. Доступ должен контролироваться программными средствами защиты. Если запрашиваемый доступ не соответствует имеющемуся в таблице прав доступа, то системы защиты регистрирует факт НСД и инициализирует соответствующую реакцию.

Билет 5

Принципы защиты информации

При создании программно-аппаратных СЗИ разработчики руководствуются основными принципами, установленными действующими государственными законами и нормативными документами по информационной безопасности, сохранению государственной тайны и обеспечению режима секретности работ, проводимых в автоматизированных системах.

Принцип обоснованности доступа.

Заключается в обязательном выполнении двух основных условий для предоставления доступа исполнителю (пользователю) к информации АС:

• исполнитель (пользователь) должен иметь достаточную "форму допуска" для доступа к информации данного уровня конфиденциальности - грифа секретности (мандатное условие);

• исполнителю (пользователю) необходим доступ к данной информации для выполнения его производственных функций (традиционное условие).

Эти условия рассматриваются, как правило, в рамках разрешительной системы доступа, в которой устанавливается: кто, кому, конца, какую информацию и для какого вида доступа может предоставить и при каких условиях.

Поскольку понятия "пользователь" и "информация" недостаточно формализованы в автоматизированных системах, то в целях автоматизации данных правил используются соответствующие им понятия в среде ЭВМ в виде активных программ и процессов для представления пользователей, носителей информации различной степени укрупненности для представления самой информации в виде сетей и подсетей ЭВМ, узлов сети (ЭВМ), внешних устройств ЭВМ (терминалов, печатающих устройств, различных накопителей, линий и каналов связи), томов, разделов и подразделов томов, файлов, записей, полей записей, оперативной памяти ЭВМ, разделов и подразделов оперативной памяти ЭВМ, буферов в оперативной памяти ЭВМ и т.д.

Тогда разрешительная система доступа предполагает определение для всех пользователей соответствующей программно-аппаратной среды или информационных и программных ресурсов (узлов сети, ЭВМ, внешних устройств ЭВМ, томов, файлов, записей, программ, процессов и т.п.), которые будут им доступны для конкретных операций (чтение, запись, модификация, удаление, выполнение и т.п.) с помощью заданных программно-аппаратных средств доступа (прикладных программ, утилит, процессов, пакетов прикладных программ, команд, задач, заданий, терминалов, ЭВМ, узлов сети и т.п.).

Правила распределения указанной среды между пользователями должны быть строго определены (формализованы) и соответствовать целям защиты информации с учетом действующих требований по обеспечению безопасности (режима секретности) и разрешительной системы доступа. Такие правила целесообразно представлять в виде математической модели, учитывающей динамику взаимодействия ресурсов в системе.