Тема 7. Обеспечение информационной безопасности компьютерных информационных систем (кис)

Понятия, модель, технологии и обеспечение информационной безопасности компьютерных информационных систем (КИС).

Студент должен знать:

• основы технологии безопасности ИС;

• потенциальные опасности ИС;

• гарантии безопасности ИС;

• законодательную базу информатизации общества;

• характеристику организационных методов защиты информации;

• характеристику инженерно-технической защиты;

• методы и средства защиты информации от НСД;

• применение электронной цифровой подписи (ЭЦП).

Методические рекомендации

В процессе подготовки студентам необходимо изучить Федеральный закон «Об информации, информатизации и защите информации»: историю создания, назначение, характеристики статей. Придумайте или подберите из журналов, газет и др. литературы примеры применения данных статей. Учитывая полученные знания и собственный опыт, сделайте выводы, всегда ли КИС соответствует требованиям Закона? Ваши знания и анализ используйте для подготовки к экзамену.

Внимательно изучите модель безопасности информационной системы. Проанализируйте взаимодействие составляющих этой модели и выясните, соблюдение каких условий требуют гарантии безопасности. Какую роль в обеспечении безопасности, согласно модели, будет играть защита от НСД, вирусов? Проанализировав предлагаемую модель, подумайте, почему важно применять комплексную структуру безопасности для ИС, в том числе средства инженерно-технической защиты.

Рассмотрите, какие существуют опасности для КИС. Попробуйте расставить их в порядке возрастания угрозы. Противопоставьте каждой опасности необходимое средство защиты.

Базовыми понятиями безопасности информационных систем будем называть следующие:

Уязвимость — слабое место в системе, с использованием которого может быть осуществлена атака.

Риск — вероятность того, что конкретная атака будет осуществлена с использованием конкретной уязвимости. В конечном счете, каждая организация должна принять решение о допустимом для нее уровне риска. Это решение должно найти отражение в политике безопасности, принятой в организации.

Политика безопасности — правила, директивы и практические навыки, которые определяют то, как информационные ценности обрабатываются, защищаются и распространяются в организации и между информационными системами; набор критериев для предоставления сервисов безопасности.

Атака — любое действие, нарушающее безопасность информационной системы. Более формально можно сказать, что атака — это действие или последовательность связанных между собой действий, использующих уязвимости данной информационной системы и приводящих к нарушению политики безопасности.

Механизм безопасности — программное и/или аппаратное средство, которое определяет и/или предотвращает атаку.

Сервис безопасности — сервис, который обеспечивает задаваемую политикой безопасность систем и/или передаваемых данных, либо определяет осуществление атаки. Сервис использует один или более механизмов безопасности.

Собственник определяет множество информационных ценностей, которые должны быть защищены от различного рода атак. Атаки осуществляются с использованием различных уязвимостей в защищаемых ценностях. Основными нарушениями безопасности являются раскрытие информационных ценностей (потеря конфиденциальности), их неавторизованная модификация (потеря целостности) или неавторизованная потеря доступа к этим ценностям (потеря доступности).

Собственники информационных ценностей анализируют уязвимости защищаемых ресурсов и возможные атаки, которые могут иметь место в конкретном окружении. В результате такого анализа определяются риски для данного набора информационных ценностей. Этот анализ определяет выбор контрмер, который задается политикой безопасности и обеспечивается с помощью механизмов и сервисов безопасности. Следует учитывать, что отдельные уязвимости могут сохраниться и после применения механизмов и сервисов безопасности. Политика безопасности определяет согласованную совокупность механизмов и сервисов безопасности, адекватную защищаемым ценностям и окружению, в котором они используются.

На рис. 6 показана взаимосвязь рассмотренных выше понятий информационной безопасности.

Существуют ситуации, относящиеся к безопасности, которые не соответствуют описанной выше модели сетевой безопасности. Общую модель этих ситуаций можно проиллюстрировать следующим образом (см. рис. 7).

Рис. 6. Взаимосвязь основных понятий безопасности информационных систем.

Рис. 7. Модель безопасности информационной системы

Данная модель иллюстрирует концепцию безопасности информационной системы, с помощью которой предотвращается нежелательный доступ. Хакер, который пытается осуществить незаконное проникновение в системы, доступные по сети, может просто получать удовольствие от взлома, а может стараться повредить информационную систему и/или внедрить в нее что-нибудь для своих целей. Например, целью хакера может быть получение номеров кредитных карточек, хранящихся в системе.

Другим типом нежелательного доступа является размещение в вычислительной системе чего-либо, что воздействует на прикладные программы и программные утилиты, такие как редакторы, компиляторы и т.п. Таким образом, существует два типа атак:

1) Доступ к информации с целью получения или модификации хранящихся в системе данных.

2) Атака на сервисы, чтобы помешать использовать их.

Вирусы и черви — примеры подобных атак. Такие атаки могут осуществляться как локально, так и по сети. Сервисы безопасности, которые предотвращают нежелательный доступ, можно разбить на две категории:

1. Первая категория определяется в терминах сторожевой функции. Эти механизмы включают процедуры входа, основанные, например, на использовании пароля, что позволяет разрешить доступ только авторизованным пользователям. Эти механизмы также включают различные защитные экраны (firewalls), которые предотвращают атаки на различных уровнях стека протоколов TCP/IP, и, в частности, позволяют предупреждать проникновение червей, вирусов, а также предотвращать другие подобные атаки.

2. Вторая линия обороны состоит из различных внутренних мониторов, контролирующих доступ и анализирующих деятельность пользователей.

Одним из основных понятий при обеспечении безопасности информационной системы является понятие авторизации — определение и предоставление прав доступа к конкретным ресурсам и/или объектам.

В основу безопасности информационной системы должны быть положены следующие основные принципы:

1) безопасность информационной системы должна соответствовать роли и целям организации, в которой данная система установлена;

2) обеспечение информационной безопасности требует комплексного и целостного подхода;

3) информационная безопасность должна быть неотъемлемой частью системы управления в данной организации;

4) информационная безопасность должна быть экономически оправданной;

5) ответственность за обеспечение безопасности должна быть четко определена;

6) безопасность информационной системы должна периодически переоцениваться;

7) большое значение для обеспечения безопасности информационной системы имеют социальные факторы, а также меры административной, организационной и физической безопасности.

Таким образом, мы можем сделать следующие выводы:

I. Информационная система управления — совокупность информации, экономико-математических методов и моделей, технических, программных, других технологических средств и специалистов, предназначенная для обработки информации и принятия управленческих решений.

II. Недооценка проблем, связанных с безопасностью информации, приводит к огромному ущербу. Рост компьютерной преступности вынуждает заботиться об информационной безопасности.

III. Эксплуатация в российской практике однотипных массовых программно-технических средств создает в определенной мере условия для злоумышленников.

IV. Стратегия построения системы защиты информации должна опираться на комплексные решения, интеграцию информа­ционных технологий и систем защиты, использование передовых методик и средств, универсальные технологии защиты информации промышленного типа.

Значительное количество взаимосвязей между этими системам порождает необходимость использования различных защитных экранов, свойства которых в общем случае могут изменяться динамически.

При создании информационных систем и технологий, концепция технологии безопасности разрабатывается в первую очередь, затем разрабатывается и отлаживается информационный процесс, методы защиты ИС (в виде процедур проверки целостности, авторизации информации, обеспечения конфиденциальности, управления доступом и т.д.) и собственно средства защиты. При этом целостность и полнота защиты оцениваются отдельно от технологии. Даже если учитываются специфика технологии и какие-либо модели нарушителя, то и тогда подобный анализ никогда не бывает полным, так как основывается на том, что злоумышленник действует по неким нами придуманным правилам, в то время как он может действовать как угодно.

С позиции злоумышленника для организации атаки на ИС должна быть четко определена цель атаки в терминах системы в терминах ее объектов и протоколов. Причем цель может быть глобальной (тотальное уничтожение системы), либо локальной (обход конкретного элемента защиты).

Очевидно, что если отсутствует цель атаки, то не может быть осуществлена и сама атака. При проведении атаки злоумышленнику необходим четко сформулированный критерий успеха или неуспеха его воздействий на ИС на каждом из шагов (этапов) организованной атаки.

Почти всегда действия злоумышленника представляются в виде итерационного процесса исследования ИС, определения ее наиболее уязвимых мест и пробного воздействия на уязвимые места. С точки зрения злоумышленника, подобная схема наиболее рациональна, так как фактически она реализует экономичную схему с минимизацией затрат.

Необходимо также четко понимать критерии оценки информационной безопасности. Анализ состояния дел в области обеспечения информационной безопасности ИС показывает, что в большинстве ведущих зарубежных стран сложилась вполне сформировавшаяся концепция и архитектура обеспечения информационной безопасности ИС, основу которой оставляют:

• достаточно четко очерченная система концептуальных взглядов на проблему обеспечения информационной безопасности ИС;

• весьма развитый арсенал технических средств защиты, производимых на собственной промышленной базе;

• значительное число фирм, включающих в свой состав ведущих ученых и специалистов в области информационной безопасности ИС и специализирующихся на решении вопросов информационной безопасности;

• наличие значительного практического опыта с обеспечением защиты ноу-хау в вопросах практического обеспечения информационной безопасности ИС.

Под информационной безопасностью принято понимать степень защищенности информационных ресурсов (ИР) и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям ИР и поддерживающей инфраструктуры. Однако информационная безопасность не сводится исключительно к защите ИР. Субъект информационных отношений может пострадать непосредственно от процесса информатизации.

С этой точки зрения под технологией безопасности следует понимать свойство процесса информатизации, характеризующее состояние защищенности личности, общества и государства от возможных негативных последствий информатизации. Кроме того, субъект информационных отношений может понести убытки не только от недостаточной степени защищенности ИР, но и от повреждения ИС, вызвавшего задержку в функционировании критических систем или перерыв в обслуживании клиентов в коммерческих структурах из чего совершенно очевидно, что технология безопасности должна иметь двунаправленный характер:

1) необходимо гарантировать непрерывность и корректность функционирования ИС, обеспечивающих безопасность людей и экологической обстановки;

2) необходимо обеспечивать защиту ИР, обрабатываемых в этих системах.

Требования по обеспечению технологии безопасности в различных информационных системах могут существенно отличаться, однако они всегда направлены на достижение трех основных свойств:

1) целостности — информация, на основе которой принимаются решения, должна быть достоверной и точной, защищенной от искажения, уничтожения и (или) несанкционированной модификации (изменения содержания);

2) доступности (готовности) — информация и соответствующие автоматизированные службы должны быть доступны, готовы к работе всегда, когда в них возникает необходимость;

3) конфиденциальности — информация ограниченного пользования должна быть доступна только тому, кому она предназначена,

Важное звено мероприятий по реализации политики безопасности ИТ — это сертификация продуктов и аттестация систем информационных технологий на соответствие требованиям безопасном информации.

Для создания эффективной системы обеспечения информационной безопасности необходимо достаточно корректно построить иерархическую систему показателей эффективности, точно соответствующих целям и задачам формируемой системы. На сегодня существует два способа выбора критериев защищенности информации:

1) определение минимального набора необходимых для защиты информации функций, соответствующего конкретному классу защищенности в соответствии с принятыми стандартами;

2) определение профиля защиты, в котором учитываются особенности решения задач защиты информации в организации (в соответствии с международными стандартами ИСО 15408, ИСО 17799, германским стандартом ВS1).

Более гибкий применительно к построению современных систем защиты информации — второй способ, что подтверждается мировой практикой. Он связан с необходимостью объединения в единой системе множества технических средств и программ, используемых в открытых вычислительных системах или сетях. Термин «открытые» следует понимать таким образом, что соответствующая определенным стандартам вычислительная система будет открыта для взаимосвязи с любой другой системой, которая соответствует тем же стандартам. Это, в частности, относится и к механизмам защиты информации от несанкционированного доступа (НСД).

Таким образом, информационная безопасность подразумевает гарантийные требования информационной безопасности.

Под гарантированной информационной безопасностью понимается безопасность компьютерной системы или сети, контролируемая на всех этапах ее жизненного цикла. Гарантии безопасности ИС требуют соблюдения ряда условий:

• выполнения работ по анализу и управлению риском ИС;

• разработки организационных документов, регламентирующих состав и содержание работ по проектированию, эксплуатации и сопровождению ИС и средств ее защиты;

• наличия сертифицированных средств защиты и доказательства их достаточности для защищаемой ИС;

• подтверждения безопасности на всех этапах жизненного цикла ИС.

Концепция обеспечения гарантии состоит в том, что угрозы безопасности информационных систем и требования по осуществлению политики безопасности организации должны быть:

• ясно сформулированы, а предложенные меры обеспечения безопасности — доказуемо достаточны для решения задач безопасности;

• приняты меры по снижению вероятности наличия в системе уязвимых мест и возможности преднамеренного их использования или непреднамеренной активизации;

• приняты меры по обеспечению возможности обнаружения и ликвидации уязвимых мест, уменьшения степени проявления их признаков и (или) для получения сведений о том, что уязвимые места использовались или активизировались.

Обеспеченность гарантии проверяется путем оценки (активного исследования) экспертами конечного продукта или системы информационных технологий и документации к ним с возрастающей концентрацией внимания на увеличение объема, глубины и строгости доводимых исследований.

Концепция предполагает, что могут быть нарушители, которые будут активно искать и использовать возможности нарушить политику безопасности как в корыстных целях, так и в действиях, активизирующих уязвимые места, нанося этим ущерб организации. При обработке критичной информации и при применении недостаточно одежных (с позиции безопасности) продуктов или систем существует значительный риск снижения безопасности. Этот риск обусловлен сбоями информационных технологий, которые могут привести не только к нарушениям безопасности, но и к значительным материальным потерям.

Необходимо предпринять меры по нейтрализации или предотвращению возможности появления уязвимых мест, которые потенциально могут быть в продуктах и системах информационных технологий.

Уязвимые места должны быть:

• устранены — необходимо предпринять активные шаги, чтобы выявить, ликвидировать или нейтрализовать уязвимые места, которые могут быть использованы нарушителями;

• минимизированы — следует предпринять активные шаги, чтобы сократить до приемлемого остаточного уровня потенциальное влияние на безопасность использования любого уязвимого места в системе;

• контролируемы — должна быть предусмотрена возможность принятия активных шагов по выявлению любой попытки использовать оставшиеся уязвимые места, для того чтобы принять меры по ограничению величины возможного ущерба.

Гарантия — основа уверенности в том, что продукт или система удовлетворяют своим задачам безопасности. Уровень гарантии определяется путем активного исследования. Активное исследование — это оценка продукта или системы информационных технологий с целью определения их фактических свойств безопасности.

Итак, под технологией безопасности следует понимать свойство процесса информатизации, характеризующее состояние защищенности личности, общества и государства от возможных негативных последствий информатизации. Кроме того, субъект информационных отношений может понести убытки не только от недостаточной степени защищенности, но и от повреждения ИС, вызвавшего задержку в функционировании критических систем или перерыв в обслуживании клиентов в коммерческих структурах.

Таким образом, защиту ИС необходимо планировать так, чтобы время, затрачиваемое на взлом, было больше или равно времени актуальности защищаемой информации, а также жизненного цикла системы защиты.

Подобный вывод объясняет то, что очень часто атаки организуются либо через персонал, либо уволенными («обиженными») сотрудниками, поэтому защищенной является такая система, в которой соблюдается главное условие — динамичность архитектуры системы защиты и непрерывность её модификации.

Высокие темпы информатизации, а также социально-экономические изменения в обществе, происшедшие в последние годы, требовали законодательного регулирования отношении, складывающихся в области информационных технологий. Эта проблема во многом была решена принятием Госу­дарственной Думой РФ 25 января 1995 года Федерального закона «Об инфор­мации, информатизации и защите информации». В законе даны определения основных терминов: информация; информатизация; информационные систе­мы; информационные ресурсы; конфиденциальная информация; собственник и владелец информационных ресурсов; пользователь информации. Государ­ство гарантирует права владельца информации, независимо от форм собственности, распоряжаться ею в пределах, установленных законом. Владелец информации имеет право защищать свои информационные ресурсы, устанавливать режим доступа к ним. В законе определены права и обязанности граждан и государства по доступу к информации. В нем установлен общий порядок разработки и сертификации информационных систем, технологий, средств их обеспечения, а также порядок лицензирования деятельности в сфере информационных технологий. В этом законе определены цели и режи­мы защиты информации, а также порядок защиты прав субъектов в сфере информационных процессов и информатизации.

Важной составляющей правового регулирования в области информационных технологий является установление ответственности граждан за противоправное действие при работе в КС. Преступления, совершенные с использованием КС или причинившие ущерб владельцам компьютерных систем, получили название компьютерных преступлений. В нашей стране 1 января 1997 года введен в действие новый Уголовный кодекс РФ. В него впервые включена глава № 28, в которой определена уголовная ответственность за преступления в области компьютерных технологий.

В статье 272 предусмотрены наказания за неправомерный доступ к компьютерной информации. Статья 273 устанавливает ответственность за создание, использование и распространение вредоносных (вредительских) программ для ЭВМ. В статье 274 определена ответственность за нарушение правил эксплуатации ЭВМ, системы ЭВМ пли их сети.

Возглавляет государственные органы обеспечения информационной безопасности Президент РФ. Он руководит Советом безопасности и утверждает указы, касающиеся обеспечения безопасности информации в государстве.

Общее руководство системой информационной безопасности, наряду с другими вопросами государственной безопасности страны, осуществляют Президент и Правительство Российской Федерации.

Органом исполнительной власти, непосредственно занимающимся вопросами государственной безопасности, является Совет Безопасности при Президенте РФ. В состав Совета Безопасности входит Межведомственная комиссия по информационной безопасности. Комиссия готовит указы Президента, выступает с законодательной инициативой, координирует деятельность руководителей министерств и ведомств в области информационной безопасности государства.

Рабочим органом Межведомственной комиссии по информационной безопасности является государственная техническая комиссия при Президенте РФ.

Федеральное агентство правительственной связи и информации при Президенте Российской Федерации (ФАПСИ) обеспечивает правительственную связь и информационные технологии государственного управления. Агентство осуществляет сертификацию всех средств, используемых для организации правительственной связи и информатизации государственного управления, а также лицензирует все предприятия, учреждения и организа­ции, занимающиеся производством таких средств. Кроме того, в исключительном велении ФАПСИ находятся вопросы сертификации и лицензирования в области криптографической зашиты информации.

В министерствах и ведомствах создаются иерархические структуры обеспечения безопасности информации, которые, как правило, совпадают с организационной структурой министерства (ведомства). Называться они могут по-разному, но функции выполняют сходные.

Организационные методы защиты информации включают меры, мероприятия и действия, которые должны осуществлять должностные лица в процессе создания и эксплуатации компьютерных информационных систем (КИС) управления для обеспечения заданного уровня безопасности информации, они тесно связаны с правовым регулированием в области безопасности информации. В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях (независимо от форм собственности) для защиты информации созда­ются специальные службы безопасности. Эти службы подчиняются, как правило, руководству учреждения. Руководители служб организуют создание и функционирование систем за­щиты информации. На организационном уровне решаются следующие зада­чи обеспечения безопасности информации в КИС:

• организация работ по разработке системы защиты информации;

• ограничение доступа на объект и к ресурсам КИС;

• разграничение доступа к ресурсам КИС;

• планирование мероприятий;

• разработка документации;

• воспитание и обучение обслуживающего персонала и пользователей;

• сертификация средств защиты информации;

• лицензирование деятельности по защите информации;

• аттестация объектов защиты;

• совершенствование системы защиты информации;

• оценка эффективности функционирования системы защиты информации;

• контроль выполнения установленных правил работы в КИС.

Организационные методы являются стержнем комплексной системы защиты информации в КИС. Только с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты информации в единую комплексную систему. Конкретные организационные методы защиты информации будут приводиться при рассмотрении парирования угроз безопасности информации.

В настоящее время для получения конфиденциальной информации злоумыш­ленниками, в том числе и промышленными шпионами, используются самые разнообразные средства и способы проникновения на объекты, разработанные на осно­ве последних достижений науки и техники, с использованием новейших технологий в области миниатюризации в интересах скрытного их использования. Для противо­действия этому натиску службы безопасно­сти оснащаются необходимой аппаратурой, не уступающей по надежности и функциональным возможностям аппаратуре зло­умышленников.

Методы защиты информации от большинства угроз базируются на инженерных и технических мероприятиях. Инженерно-техническая защита — это совокупность специальных органов, технических средств и мероприятий, функционирующих совместно для выполнения определенной задачи по защите информации.

Инженерно-техническая защита использует следующие средства:

• физические средства;

• аппаратные средства;

• программные средства;

• криптографические средства.

Физические средства включают в себя различные инженерные средства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и защищающие персонал (личные средства безопасности), материальные средства и финансы, информацию от противоправных действий.

По уровню физической защиты все зоны и производственные помещения могут быть подразделены на три группы:

• тщательно контролируемые зоны с защитой высокого уровня;

• защищенные зоны;

• слабо защищенные зоны.

К первой группе относятся, как правило, серверные комнаты, помещения с сетевым и связным оборудованием, архив программ и данных.

Ко второй группе относятся помещения, где расположены рабочие места администраторов, контролирующих работу сети, а также периферийное оборудование ограниченного пользования.

В третью группу входят помещения, в которых оборудованы рабочие места пользователей и установлено периферийное оборудование общего пользования.

К аппаратным средствам относятся приборы, устройства, приспособления и другие технические решения, используемые в интересах обеспечения безопасности.

Программные средства — это специальные программы, программные комплексы и системы защиты информации в информационных системах различного назначения и средствах обработки данных.

Криптографические средства — это специальные математические и алгоритмические средства защиты информации, передаваемой по сетям связи, хранимой и обрабатываемой на компьютерах с использованием методов шифрования.

Очевидно, что такое деление средств безопасности информационных систем достаточно условно, так как на практике очень часто они и взаимодействуют и реализуются в комплексе в виде программно-аппаратной реализации с широким использованием алгоритмов закрытия информации.

По результатам анализа рисков с использованием средств оптимизации формируются требования к системе безопасности конкретного предприятия и объекта в конкретной обстановке. Завышение требований приводит к неоправданным расходам, занижение — к возрастанию вероятности реализации угроз.

В общем случае система физической безопасности должна включать в себя следующие подсистемы:

• управления доступом (с функцией досмотра);

• обнаружения проникновения, аварийной и тревожной сигнализации;

• инженерно-технической защиты (пассивной защиты);

• отображения и оценки обстановки;

• управления в аварийных и тревожных ситуациях;

• оповещения и связи в экстремальных ситуациях;

• обеспечения личной безопасности персонала.

При построении системы физической безопасности, удовлетворяющей сформулированным требованиям, выбираются и объединяются средства противодействия из числа указанных ниже:

• здания и строительные препятствия, мешающие действиям злоумышленника и задерживающие его;

• аппаратура тревожной сигнализации, обеспечивающая обнаружение попыток проникновения и несанкционированных действий, а также оценку их опасности;

• системы связи, обеспечивающие сбор, объединение и передачу тревожной информации и других данных;

• системы управления, необходимые для отображения и анализа тревожной информации, а также для реализации ответных действий оператора и управления оборонительными силами;

• персонал охраны, выполняющий ежедневные программы безопасности, управление системой и ее использование в нештатных ситуациях;

• процедуры обеспечения безопасности, предписывающие определенные защитные мероприятия, их направленность и управление ими.

В свою очередь, технические методы защиты информации подразделяются на:

• аппаратные;

• программные;

• аппаратно-программные.

Направления обеспечения безопасности информации:

• защита от несанкционированного доступа к информации в компьютерных системах и сетях;

• антивирусная защита;

• обеспечение высокой структурной скрытности сообщений на основе криптографических методов.

Несанкционированный доступ к информации — это запланированное ознакомление, обработка, копирование, применение различных вирусов, в том числе разрушающих программных продуктов, а также модификация или уничтожение информации в нарушение установленных правил разграничения доступа.

Технические средства, реализующие функции защиты можно разделить на встроены и внешние.

К встроенным средствам защиты персонального компьютера и программного обеспечения относятся средства парольной защиты BIOS, операционной системы, СУБД. Данные средства могут быть откровенно слабыми — например, парольная защита Windows.

Внешние средства призваны подменить встроенные средства с целью усиления защиты, либо дополнить их недостающими функциями.

К ним можно отнести:

• аппаратные средства доверенной загрузки;

• аппаратно-программные комплексы разделения полномочий пользователей на доступ;

• средства усиленной аутентификации сетевых соединений.

Аппаратные средства доверенной загрузки представляют собой изделия, иногда называемые «электронным замком», чьи функции заключаются в надежной идентификации пользователя, а также в проверке целостности программного обеспечения компьютера.

Одна из основных задач защиты от несанкционированного доступа — обеспечение надежной идентификации пользователя и возможности проверки подлинности любого пользователя сети, которого можно однозначно идентифицировать по тому, что он:

• знает;

• имеет;

• из себя представляет.

Гарантированная проверка личности пользователя является задачей различных механизмов идентификации и аутентификации, т.е. проверки личности пользователя.

Каждому пользователю или группе сети назначается определенный отличительный признак — идентификатор и он сравнивается с утвержденным перечнем. Однако только заявленный идентификатор в сети не может обеспечить защиту от несанкционированного подключения без проверки личности пользователя.

Для борьбы с атаками вирусов существует специализированное программное обеспечение. Защищать они могут КИС следующими методами:

• по коду вируса, специфическому программному коду вируса, включенному в базу антивируса;

• эвристический анализ — метод обнаружения вредоносных программ, при котором антивирусная программа контролирует все действия, выполняемые проверяемой программой. В ходе эвристического анализа отслеживаются потенциально опасные действия, характерные для вирусов и вредоносных программ других типов. Контролируя действия проверяемых программ, эвристический анализатор современных антивирусов способен обнаружить новые, неизвестные вирусы еще до того, как эти вирусы начали действовать. Тем не менее, эвристический анализ не дает полной гарантии обнаружения любых новых вирусов. Кроме того, эвристический анализатор может принять «безобидную» программу за вредоносную. Это происходит в тех случаях, когда программа выполняет какие-либо действия, характерные для вирусов или вредоносных программ другого типа. Все современные антивирусные программы используют эвристический анализ для поиска новых и неизвестных вирусов.

Для обнаружения и удаления компьютерных вирусов разработано много различных программ. Основные антивирусные программы на сегодняшний день это NOD32, Norton Antivirus, Kaspersky, DRWeb, Panda Antivirus и многие другие.

Разделить антивирусные программы можно на те, которые помогают предотвратить заражение и те, которые помогают вылечить уже заражённую систему. К первой группе относятся такие программные продукты как NOD32, Norton Antivirus, Kaspersky, DRWeb.

Ко второй утилиты типа AVZ Зайцева, Mcafee Rootkit Detective и другие.

Соединение хотя бы двух компьютеров, позволяющее осуществлять передачу данных между ними, уже является сетью. После подключения к глобальной или локальной сети Ваш компьютер автоматически становится потенциальной целью сетевых мошенников. Не стоит полагать, что если Вас не знают, Вы не являетесь сотрудником крупной фирмы или просто состоятельным человеком, то никому до Вас нет дела. Для людей, осуществляющих преступную деятельность в интернете, достаточно получить возможность использовать любой компьютер, подключенный к сети. Для того чтобы это не произошло с КИС необходимо использовать брандмауэр.

Брандмауэр (применительно к Интернету и Интранету (LAN)) — это система защиты средств технического, программного и информационного обеспечения компьютерной сети от несанкционированного доступа и различного рода действий, связанных с нарушением их штатной работы или состояния. Строится на гибком использовании механизмов разрешающего и запрещающего действия, работа которых основана на принципах фильтрации данных.

В составе защитного экрана могут использоваться:

• экранирующий шлюз — часть защитного экрана, управляющая отдельными видами сервиса и обеспечивающая безопасное обслуживание ими. Реализует связь между корпоративными и открытыми сетями. Состоит из программ, поддерживающих распространенные виды сервиса сетей Интернета (WWW, FTP, Gopher и др.), называемые сервисными агентами. В процессе сеанса экранирующий шлюз производит детальную аутентификацию пользователей и только после этого разрешает или запрещает им связь с сетью. Преимущество экранирующих шлюзов - высокая надежность; недостатки - повышенная сложность (в том числе работы для пользователей), узкая специализация, требующая установки для каждого нового сервиса дополнительных агентов, и сравнительно небольшая скорость передачи данных;

• пакетный фильтр, экранирующий маршрутизатор — маршрутизатор, обеспечивающий передачу данных по адресу, установленному системным администратором, а не по указанному в пакете. Это позволяет построить зону так называемой статической маршрутизации, включив в нее наиболее безопасные почтовые серверы. Фильтры этого типа оперируют наиболее полными данными о топологии сети и направлениях передачи информации. Недостатки: сложность определения факта их "взлома", отсутствие возможности гибкой оптимизации маршрутов передачи данных с учетом содержания сообщений, их количественных и других показателей;

• транспортный фильтр — фильтр, управляющий сеансами связи. Во время открытия информационного канала и обмена сообщениями он может проверять соответствие адресов, записывать необходимые данные в системный журнал, контролировать количественные показатели передаваемых сообщений и выполнять другие действия транспортного назначения. Наиболее распространенные критерии, используемые для блокировки связи: адресные данные (подсети или порта отправителя и/или получателя данных), вид сервиса, время его запроса или предоставления и т. д. Достоинства: возможности реализации более полного контроля передаваемых данных, предупреждения о нападении, нахождения ошибок управления и конфигурации экранов, отслеживания подделки адресов, а также блокировки при необходимости вызова соответствующего сервиса

Брандмауэр — в информатике — программный и/или аппаратный барьер между двумя сетями, позволяющий устанавливать только авторизованные межсетевые соединения. Брандмауэр защищает соединяемую с Интернет корпоративную сеть от проникновения извне и исключает возможность доступа к конфиденциальной информации.

Статья 434 Гражданского кодекса Российской Федерации определяет, что заключение любого юридического договора может быть осуществлено не только в письменной форме, путем составления печатного документа, подписанного сторонами, но и путем обмена документами посредством электронной связи, позволяющей достоверно установить, что документ исходит от стороны по договору. В этом случае целесообразно использовать одну из операций криптографии — цифровую электронную подпись.

Электронная цифровая подпись — это последовательность символов, полученная в результате криптографического преобразования исходной информации с использованием закрытого ключа и позволяющая подтверждать целостность и неизменность этой информации, а также ее авторство путем применения открытого ключа.

Для шифрования электронной подписи используются ранее названный алгоритм RSA, а также DSA (национальный стандарт США) и Schnorr (алгоритм Klaus Schnorr); в России применяются алгоритмы шифрования электронной подписи по ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» и Нотариус (Нотариус-AM, Нотариус-S).

Вопросы и задания для самоконтроля:

Объясните базовые понятия безопасности информационных систем. Поясните взаимосвязь основных понятий безопасности информационных систем. Поясните общую модель безопасности информационной системы. Назовите и объясните типы атак, приведите примеры. Назовите категории сервисов безопасности, поясните. Что такое авторизация? Назовите основные принципы, составляющие основу безопасности информационной системы. Поясните выводы по безопасности информационных систем. Что определяет выбор контрмер на возможные атаки информационной системы? Почему целостность и полнота защиты оцениваются отдельно от технологии? Опишите атаку с точки зрения злоумышленника. Что составляет основу концепции и архитектуры обеспечения информационной безопасности ИС? Что принято понимать под информационной безопасностью? Что принято понимать под технологией безопасности? Назовите способы выбора критериев защищенности информации. Что понимается под гарантированной информационной безопасностью? Соблюдение каких условий требуют гарантии безопасности ИС? В чем состоит концепция обеспечения гарантии безопасности ИС, что она предполагает? Как проверяется обеспеченность гарантии безопасности ИС? Что следует понимать под технологией безопасности? Расскажите об обеспечении информационной безопасности на государственном уровне. Дайте общие характеристики организационных методов защиты информации в компьютерных системах. Что понимают под инженерно-технической защитой? Какие средства использует инженерно-техническая защита, расскажите о каждом поподробнее? Какие подсистемы должна включать в общем случае система физиче ской безопасности? Что может входить в состав системы физической безопасности? Какие направления обеспечения безопасности информации Вы знаете? Что такое несанкционированный доступ к информации (НСД)? Расскажите о внешних и встроенных технических средствах, реализующих функции безопасности. Что такое аутентификация пользователя? Для чего нужна антивирусная программа? На какие группы условно разделяют антивирусы? Расскажите о методах, которые используют антивирусы для обнаружения вирусов. Что такое брандмауэр? Что может использоваться в составе защитного экрана? Расскажите об электронной цифровой подписи.

Литература: основная: (2–5); дополнительная: (1, 5, 6).