- •Информационная безопасность. Базовые свойства защищаемой информации.
- •Методы обеспечения информационной безопасности.
- •Угрозы информационной безопасности. Классификация угроз. Методы перечисления угроз.
- •Структура системы защиты от угроз нарушения конфиденциальности информации.
- •Организационные меры и меры обеспечения физической безопасности.
- •Идентификация и аутентификация. Базовая схема идентификации и аутентификации.
- •Методы аутентификации.
- •Особенности парольных систем аутентификации. Основные угрозы безопасности парольных систем.
- •Основные рекомендации при практической реализации парольных систем.
- •Методы хранения паролей. Передача паролей по сети.
- •Разграничение доступа. Дискреционный и мандатный методы разграничения доступа. Матрица доступа.
- •Разграничение доступа. Ролевое управление доступом.
- •Криптографические методы обеспечения конфиденциальности информации.
- •Защита внешнего периметра. Межсетевое экранирование.
- •Защита внешнего периметра. Системы обнаружения вторжений(ids).
- •Защита внешнего периметра. Системы предотвращения вторжений(ips).
- •Протоколирование и аудит.
- •Принципы обеспечения целостности информации.
- •Криптографические методы обеспечения целостности информации. Цифровые подписи.
- •Криптографические методы обеспечения целостности информации. Криптографические хэш-функции.
- •Криптографические методы обеспечения целостности информации. Коды проверки подлинности.
- •Построение систем защиты от угроз нарушения доступности. Получение информации. Дублирование каналов связи, дублирование шлюзов и межсетевых экранов.
- •Построение систем защиты от угроз нарушения доступности. Обработка информации. Дублирование серверов. Использование кластеров.
- •Построение систем защиты от угроз нарушения доступности. Хранение информации. Резервное копирование информации. Создание raid-массивов. Зеркалирование серверов.
- •Формальная теория защиты информации. Основные определения. Аксиомы.
- •1. Чтение.
- •2. Запись.
- •Монитор безопасности обращений.
- •Модель Харрисона – Руззо – Ульмана. Элементарные операции. Теоремы.
- •3. Передача права чтения по отношению к файлу.
- •1. Создание субъекта
- •2. Получение прав доступа
- •3. Передача прав доступа
- •Модель Белла-ЛаПадулы. Основная теорема безопасности Белла-ЛаПадулы.
- •Модель целостности Кларка-Вилсона.
- •Модель целостности Биба.
- •Совместное использование моделей безопасности.
- •Ролевое управление доступом. Критерий безопасности системы при применении ролевой модели.
- •Скрытые каналы передачи информации. Методы к выявлению скрытых каналов передачи инф-ии.
- •Стандарты в информационной безопасности. Классификация.
- •«Оранжевая книга». Группы классов защищенности.
- •1. Политика безопасности
- •2. Подотчётность
- •3. Гарантии
- •I. Группа d – минимальная защита.
- •II. Группа c - дискреционная защита.
- •3. Группа b – мандатная защита
- •4. Группа a – верифицированная защита
- •Руководящие документы Гостехкомиссии России.
- •Рд: «Концепция защиты свт и ас от несанкционированного доступа к информации».
- •Рд: «свт. Защита от несанкционированного доступа к инф-ии. Показатели защищенности от несанкционированного доступа к инф-ии».
- •8. Идентификация и аутентификация.
- •Рд: «ас. Защита от несанкционированного доступа к инф-ии. Классификация ас и требования по защите инф-ии».
- •II группа – классы 2б и 2а
- •1. Подсистема управления доступом
- •2. Подсистема регистрации и учёта
- •3. Криптографическая подсистема
- •1. Контроль состава и содержания документации
- •2. Контроль исходного состояния программного обеспечения.
- •3. Статический анализ исходных текстов программ.
- •4. Динамический анализ исходных текстов программ
- •5. Отчётность
- •3.4.1. Введение
- •3.4.2. Основные идеи «Общих критериев»
- •1. Потребители.
- •2. Разработчики
- •3. Оценщики
- •2. Угрозы безопасности
- •3. Политики безопасности
- •3.5.1. Общие положения
- •3.6. Выводы
- •50) Шифры замены. Моноалфавитные шифры. Шифр с подстановкой Цезаря.
- •51) Шифры замены. Полиалфавитные шифры. Шифр с подстановками Виженера.
- •52) Кодирование в автоключевой системе Виженера.
- •53) Система одноразового шифрования. Шифр Вернама.
- •54) Поточные шифры. Регистры сдвига с обратной связью.
- •55) Поточный шифр а5.
- •56) Методы продукционного шифрования. Сеть Фейстеля.
- •57) Стандарты шифрования данных des и aes.
- •58) Односторонние функции. Ключевой обмен Диффи-Хеллмана.
3. Группа b – мандатная защита
Система обеспечивает мандатное управление доступом с использованием меток безопасности, поддержку модели и политики безопасности. Предполагается наличие спецификаций на функции ядра безопасности. Реализуется концепция монитора безопасности обращений, контролирующего все события в системе.
- Класс B1 – защита с применением меток безопасности
Помимо выполнения всех требований к классу C2, система должна поддерживать маркировку данных и мандатное управление доступом. При экспорте из системы информация должна подвергаться маркировке.
- Класс B2 – структурированная защита
Ядро безопасности должно поддерживать формально определённую и чётко документированную модель безопасности, предусматривающую дискреционное и мандатное управление доступом, которое
распространяется на все субъекты. Должен осуществляться контроль скрытых каналов передачи информации. В структуре ядра безопасности должны быть выделены элементы, критичные с точки зрения безопасности. Интерфейс ядра безопасности должен быть чётко определён, а его архитектура и реализация должны быть выполнены с учётом возможности проведения тестовых испытаний. Управление безопасностью должно осуществляться администратором безопасности.
- Класс B3 – домены безопасности
Ядро безопасности должно поддерживать монитор безопасности обращений, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Ядро безопасности содержит исключительно подсистемы, отвечающие за реализацию функций защиты, и является достаточно компактным для обеспечения возможности эффективного тестирования. Средства аудита должны включать механизмы оповещения администратора о событиях, имеющих значение для безопасности системы. Необходимо наличие средств восстановления работоспособности системы.
4. Группа a – верифицированная защита
Группа характеризуется применением формальных методов верификации корректности функционирования механизмов управления доступом. Требуется дополнительная документация, демонстрирующая, что архитектура и реализация ядра безопасности отвечает требованиям безопасности.
Функциональные требования совпадают с классом B3, однако на всех этапах разработки АС требуется применение формальных методов верификации систем защиты.
Разработка и публикация «Оранжевой книги» стали важнейшей вехой в становлении теории информационной безопасности. Такие базовые понятия, как «политика безопасности», «монитор безопасности обращений» или «администратор безопасности» впервые в открытой литературе появились именно в «Оранжевой книге». В то же время с течением времени стали проявляться многочисленные недостатки «Оранжевой книги» и предложенного подхода к классификации АС в целом. Во многом
её устаревание было связано с принципиальными изменениями аппаратной базы средств вычислительной техники, произошедшими с 1983 г. – и прежде всего, с распространением распределённых вычислительных систем и сетей, особенности которых в «Оранжевой книге» никак не учитываются. Не нашли отражения в «Оранжевой книге» и вопросы обеспечения доступности информации. Наконец, с усложнением АС всё больше стала проявляться принципиальная ограниченность «табличного» подхода к классификации систем по требованиям безопасности информации, когда автоматизированная система должна быть отнесена к одному из классов защищённости исходя из выполнения фиксированного набора требований к функциональным характеристикам – такой подход принципиально не позволяет учесть особенности системы и является недостаточно гибким.
Стараясь не отстать от развивающихся информационных технологий, разработчики «Оранжевой книги» вплоть до 1995 г. выпустили целый ряд вспомогательных документов, известных как «Радужная серия». Эти документы содержали рекомендации по применению положений «Оранжевой книги» для различных категорий автоматизированных систем, а также вводили ряд дополнительных требований. Наибольший интерес в «Радужной серии» представляют три документа: «Интерпретация для защищённых сетей», «Интерпретация для защищённых СУБД» и «Руководство по управлению паролями». В настоящее время «Оранжевая книга» не используется для оценки автоматизированных систем и представляет интерес исключительно с исторической точки зрения.