Тема 4. Методы обеспечения информационной безопасности

⇐ ПредыдущаяСтр 5 из 10Следующая ⇒

Защита информационных ресурсов предприятия включает деятельность руководства, должностных лиц и структурных подразделений предприятия по принятию правовых, организационных и технических мер, направленных на:

- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;

- соблюдение конфиденциальности информации ограниченного доступа;

- реализацию права на доступ к информации.

Таким образом, обеспечение информационной безопасности есть совокупность деятельности по недопущению вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой, и субъектов, а также средств этой деятельности.

Деятельность по обеспечению информационной безопасности — комплекс планируемых и проводимых в целях защиты информационных ресурсов мероприятий, направленных на ликвидацию угроз информационной безопасности и минимизацию возможного ущерба, который может быть нанесен объекту безопасности вследствие их реализации.

Под субъектами обеспечения информационной безопасности понимаются государственные органы, предприятия, должностные лица, структурные подразделения, принимающие непосредственное участие в организации и проведении мероприятий по обеспечению информационной безопасности.

Средства осуществления деятельности по обеспечению информационной безопасности — это системы, объекты, способы, методы и механизмы, предназначенные для непосредственного решения задач обеспечения информационной безопасности.

Организационные меры обеспечения безопасности информации

Задачи по обеспечению информационной безопасности сводятся к минимизации ущерба, а также к прогнозированию и предотвращению угроз безопасности.

Защита информации представляет собой принятие организационных, аппаратно-программных и правовых мер, направленных на обеспечение целостности, конфиденциальности, доступности информации.

К организационным мерам относят:

- организацию охраны помещений и ЭВМ (система охраны включает в себя инженерные конструкции, охранную сигнализацию, средства наблюдения, систему доступа на объект и т.д.);

- организацию разграничения доступа к информационным ресурсам;

- контроль над качеством работы, профессиональный отбор, обучение и стимулирование персонала ЭВМ;

- организацию труда пользователей,

- обеспечение противопожарной защиты и температурно-влажностного режима;

- контроль износа и старения устройств, а также правильности их эксплуатации и т.д.

Аппаратно-программные меры обеспечения безопасности информации

Основными аппаратно-программными меры повышения сохранности информации являются:

- резервирование (дублирование) информации,

- блокировка ошибочных операций,

- идентификация и аутентификация пользователей,

- использование средств антивирусной защиты,

- применение межсетевых экранов,

- контентная фильтрация почтовых сообщений,

- криптографическое преобразование данных и др.

Резервирование информации является одним из самых эффективных методов обеспечения сохранности информации. Для записи резервных копий ценной информации используют различные виды дисков, флэш-накопители, другие компьютеры в сети.

Для блокировки ошибочных операций используются аппаратно-программные средства, с помощью которых может быть заблокирована запись в определенные области внешних запоминающих устройств. С этой же целью устанавливаются специальные атрибуты файлов, в том числе и атрибут, запрещающий запись в файлы; используется режим обязательного подтверждения выполнения опасных операций, таких как уничтожение файлов, разметка или форматирование носителей информации и др.

Идентификацияи аутентификация пользователей обеспечивает разграничение доступа к информации.

Идентификация позволяет субъекту назвать себя, т.е. представить системе некие уникальные признаки – идентификаторы. Посредством аутентификации вторая сторона устанавливает подлинность субъекта на основе сравнения с эталонными идентификаторами, т.е. убеждается, что субъект действительно тот, за кого он себя выдает.

Идентификаторами субъекта могут служить:

- секретная символьная информация (пароль, секретный ключ, личный идентификационный номер и т.п.);

- специальные устройства (например, личная пластиковая карточка);

- биометрические признаки (узор радужной оболочки и сетчатки глаз, отпечатки пальцев, форма и размеры лица, особенности голоса и т.д.).

Большое значение для обеспечения безопасности информации имеет использование антивирусных программ.

Брандмауэр, или файрвол, межсетевой экран(от нем. Brandmauer, англ. firewall – противопожарная стена) – система, предназначенная для предотвращения несанкционированного доступа к компьютеру из сети.

Брандмауэр анализирует данные, поступающие в компьютер из Интернета, и отправляемые компьютером в Интернет. Он выявляет информацию, поступающую из опасного источника или кажущуюся подозрительной, и блокирует ее прием.

На сегодняшний день существуют две основных категории брандмауэров:

- программные (например, брандмауэр Windows, Outpost Firewall PRO, ZoneAlarm Pro, ZoneAlarm Free Firewall);

- Программы, предназначенные для контентной фильтрации почтовых сообщений, отфильтровывают нежелательные сообщения в процессе приема электронной почты.

Большую роль в защите информации играет криптография.

Криптография(от греч. kryptos – тайный и grapho – пишу) – наука о математических принципах, средствах и методах преобразования информации для защиты ее от несанкционированного доступа, а также обеспечения целостности информации, подлинности авторства и невозможности отказа от авторства.

С помощью криптографии возможно, например, шифрование данных и реализация электронной подписи.

Шифрование— это процесс преобразования открытого сообщения в шифрованное сообщение (криптограмму) с помощью определенных правил, содержащихся в ключе.

В зависимости от структуры используемых ключей методы шифрования подразделяются на две группы:

- симметричноешифрование (зашифрование и расшифрование проводится с использованием одного и того же секретного ключа);

- асимметричное шифрование (зашифрование и расшифрование проводится с использованием ключевой пары, состоящей из открытого и закрытого ключа).

Правовые меры обеспечения безопасности информации

К правовым мерам безопасности информации относятся:

- разработка норм ответственности за компьютерные правонарушения и преступления,

- защита авторских прав программистов,

- совершенствование систем уголовного и гражданского законодательства РФ в сфере обеспечения информационной безопасности.

Программы являются объектом охраны авторского права, т.е. у любой программы есть автор и именно он определяет права на ее использование третьими лицами. Об этом свидетельствует Раздел VII «Права на результаты интеллектуальной деятельности и средства индивидуализации» Части 4 Гражданского Кодекса РФ и Федеральный Закон «Об информации, информационных технологиях и о защите информации».

Для оповещения о своих правах разработчик программы должен указать в заголовке:

- знак © Copyright,

- наименование (имя) правообладателя, год первого выпуска программы в свет.

Например: © ФГБОУ ВПО «Ульяновская ГСХА им. П. А. Столыпина, 2013.

Программы по их юридическому статусу можно разделить на три категории:

- бесплатные (англ. Freeware) — программы, лицензионное соглашение которых не требует каких-либо выплат правообладателю;

- условно-бесплатные (англ. Shareware) — программы, распространяемые бесплатно с целью продвижения их на рынке, и представляющие собой чаще всего ограниченную по возможностям, сроку действия версию или версию с встроенным напоминанием о необходимости оплаты использования программы;

- коммерческие (англ. Commercial Software) — программы, распространяемые за деньги, с четко оговоренными правами на их использование и гарантиями производителя.

Современные АИС обладают следующими основными признаками:

· наличием информации различной степени конфиденциальности;

· необходимостью криптографической защиты информации различной степени конфиденциальности при передаче данных;

· иерархичностью полномочий субъектов доступа и программ к АРМ, файл-серверам, каналам связи и информации системы;

· организацией обработки информации в диалоговом режиме, в режиме разделения времени между пользователями и в режиме реального времени;

· обязательным управлением потоками информации как в локальных сетях, так и при передаче по каналам связи на далекие расстояния;

· необходимостью регистрации и учета попыток несанкционированного доступа, событий в системе и документов, выводимых на печать;

· обязательным обеспечением целостности программного обеспечения и информации в АИС;

· наличием средств восстановления системы защиты информации;

· обязательным учетом магнитных носителей;

· наличием физической охраны средств вычислительной техники и магнитных носителей.

Организационные мероприятия и процедуры, используемые для решения проблемы безопасности информации, решаются на всех этапах проектирования и в процессе эксплуатации АИС.

Существенное значение при проектировании придается предпроектному обследованию объекта. На этой стадии выполняются следующие действия:

· устанавливается наличие секретной (конфиденциальной) информации в разрабатываемой АИС и оценивается уровень конфиденциальности;

· определяются режимы обработки информации, состав комплекса технических средств, общесистемные программные средства и т.д.;

· анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;

· определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта автоматизации в обработке информации, характер взаимодействия между собой и со службой безопасности;

· определяются мероприятия по обеспечению режима секретности на стадии обработки.

Создание базовой системы защиты информации в АИС основывается на следующих принципах:

· Комплексный подход к построению системы защиты при ведущей роли организационных мероприятий, означающий оптимальное сочетание программных аппаратных средств и организационных мер защиты и подтвержденный практикой создания отечественных и зарубежных систем защиты.

· Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление пользователям минимума строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автоматизированной обработки доступной им конфиденциальной информации.

· Полнота контроля и регистрации попыток несанкционированного доступа, т.е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в АИС без ее предварительной регистрации.

· Обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или непреднамеренных ошибок пользователей и обслуживающего персонала.

· Обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов контроля работоспособности механизмов защиты.

· «Прозрачность» системы защиты информации для общего и прикладного программного обеспечения и пользователей АИС.

· Экономическая целесообразность использования системы защиты, т.е. стоимость разработки и эксплуатации систем защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации АИС без системы защиты информации.

Тема 5. Основы криптографии

Телекоммуникационные системы, активно развивающиеся в последнее время, являются артериями современных глобальных информационных систем. Информация, циркулирующая в таких системах, представляет существенную ценность и поэтому является уязвимой к различного рода злоупотреблениям. Поэтому именно в последние десятилетия стала столь актуальной проблема защиты информации.

В настоящее время решением этой проблемы занимаются квалифицированные специалисты по комплексной защите информации. Среди разнообразных средств защиты информации криптографические методы занимают особое место. С одной стороны, это связано с тем, что криптографические способы защиты сообщений известны людям и успешно применяются ими уже не одно тысячелетие. С другой стороны, новые достижения криптографии позволяют решать не только классическую задачу защиты данных от несанкционированного доступа, но и множество других задач, недоступных для средств защиты информации других типов.

Бурное развитие криптографические системы получили в годы первой и второй мировых войн. Начиная с послевоенного времени и по нынешний день появление вычислительных средств ускорило разработку и совершенствование криптографических методов.

Проблема использования криптографических методов в информационных системах (ИС) стала в настоящий момент особо актуальна.

С одной стороны, расширилось использование компьютерных сетей, в частности глобальной сети Internet, по которым передаются большие объемы информации государственного, военного, коммерческого и частного характера, не допускающего возможность доступа к ней посторонних лиц.

С другой стороны, появление новых мощных компьютеров, технологий сетевых и нейронных вычислений сделало возможным дискредитацию криптографических систем, еще недавно считавшихся практически не раскрываемыми.

Проблемой защиты информации путем ее преобразования занимается криптология (kripros - тайный, logos - наука). Криптология разделяется на два направления: криптографию и криптоанализ. Цели этих направлений прямо противоположны.

Криптография занимается поиском и исследованием математических методов преобразования информации.

Сфера интересов криптоанализа - исследование возможности расшифровывания информации без знания ключей.

Современная криптография включает в себя четыре крупных раздела:

1. Симметричные криптосистемы.

2. Криптосистемы с открытым ключом.

3. Системы электронной подписи.

4. Управление ключами.

Основные направления использования криптографических методов передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

Итак, криптография дает возможность преобразовать информацию таким образом, что ее прочтение (восстановление) возможно только при знании ключа.

B качестве информации, подлежащей шифрованию и дешифрованию, будут рассматриваться тексты, построенные на некотором алфавите. Под этими терминами понимается следующее.

Алфавит - конечное множество используемых для кодирования информации знаков.

Текст - упорядоченный набор из элементов алфавита.

В качестве примеров алфавитов, используемых в современных ИС можно привести следующие:

· алфавит Z₃₃ - 32 буквы русского алфавита и пробел;

· алфавит Z₂₅₆ - символы, входящие в стандартные коды ASCII и КОИ-8;

· бинарный алфавит - Z₂ = {0, 1};

· восьмеричный алфавит или шестнадцатеричный алфавит;

Шифрование - преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом.

Дешифрование - обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный.

Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования текстов.

Криптографическая система представляет собой семейство Т [Т₁, T₂, ..., T_к] преобразований открытого текста. Члены этого семейства индексируются, или обозначаются символом k; параметр k является ключом. Пространство ключей K - это набор возможных значений ключа.

Обычно ключ представляет собой последовательный ряд букв алфавита.

Криптосистемы разделяются на симметричные и системы с открытым ключом.

В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ.

Симметричное шифрование

Симметричные алгоритмы подразделяют на потоковые шифры и блочные шифры. Потоковые позволяют шифровать информацию побитно, в то время как блочные работают с некоторым набором бит данных (обычно размер блока составляет 64 бита) и шифруют этот набор как единое целое.

Схема реализации

Есть два собеседника, они хотят обмениваться конфиденциальной информацией.

Генерация ключа.

Один из них выбирает ключ шифрования d и алгоритм E, D (функции шифрования и расшифрования), получается шифротекст С, затем посылает эту информацию второму.

Второй собеседник, с помощью того же ключа d, расшифровывает шифротекст С.

Недостатками симметричного шифрования является проблема передачи ключа собеседнику и невозможность установить подлинность или авторство текста. Поэтому, например, в основе технологии цифровой подписи лежат асимметричные схемы.

В системах с открытым ключом используются два ключа - открытый и закрытый, которые математически связаны друг с другом.

Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения.

Ассиметричное шифрование

В системах с открытым ключом используются два ключа — открытый и закрытый, связанные определенным математическим образом друг с другом. Открытый ключ передаётся по открытому (то есть незащищённому, доступному для наблюдения) каналу и используется для шифрования сообщения и для проверки ЭЦП. Для расшифровки сообщения и для генерации ЭЦП используется секретный ключ.

Данная схема решает проблему симметричных схем, связанную с начальной передачей ключа другой стороне. Если в симметричных схемах злоумышленник перехватит ключ, то он сможет как «слушать», так и вносить правки в передаваемую информацию. В асимметричных системах другой стороне передается открытый ключ, который позволяет шифровать, но не расшифровывать информацию. Таким образом, решается проблема симметричных систем, связанная с синхронизацией ключей.

Схема реализации

Задача. Есть два собеседника. Один хочет передавать второму конфиденциальную информацию.

Генерация ключевой пары.

Первый выбирает алгоритм и пару открытый, закрытый ключи и посылает открытый ключ второму по открытому каналу.

Шифрование и передача сообщения.

Второй шифрует информацию с использованием открытого ключа первого. И передает ему полученный шифротекст.

Расшифрование сообщения.

Второй с помощью закрытого ключа, расшифровывает шифротекст.

Если необходимо наладить канал связи в обе стороны, то первые две операции необходимо проделать на обеих сторонах, таким образом, каждый будет знать свои закрытый, открытый ключи и открытый ключ собеседника. Закрытый ключ каждой стороны не передается по незащищенному каналу, тем самым оставаясь в секретности.

Термины распределение ключей и управление ключами относятся к процессам системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.

Электронной (цифровой) подписью называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.

Криптостойкостью называется характеристика шифра, определяющая его стойкость к дешифрованию без знания ключа (т. е. криптоанализу). Имеется несколько показателей криптостойкости, среди которых:

• количество всех возможных ключей;

• среднее время, необходимое для криптоанализа. Преобразование Т_к определяется соответствующим алгоритмом и значением параметра К. Эффективность шифрования с целью защиты информации зависит от сохранения тайны ключа и криптостойкости шифра.

Требования к криптосистемам

Процесс криптографического закрытия данных может осуществляться как программно, так и аппаратно. Аппаратная реализация отличается существенно большей стоимостью, однако ей присущи и преимущества: высокая пронзводительность, простота, защищенность и т. д. Программная реализация более практична, допускает известную гибкость в использовании.

Для современных криптографических систем защиты информации сформулированы следующие общепринятые требования:

• зашифрованное сообщение должно поддаваться чтению только при наличии ключа;

• число операций, необходимых для определения использованного ключа шифрования по фрагменту шифрованного сообщения и соответствующего ему открытого текста, должно быть не меньше общего числа возможных ключей;

• число операций, необходимых для расшифровывания информации путем перебора всевозможных ключей должно иметь строгую нижнюю оценку и выходить за пределы возможностей современных компьютеров (с учетом возможности использования сетевых вычислений);

• знание алгоритма шифрования не должно влиять на надежность защиты;

• незначительное изменение ключа должно приводить к существенному изменению вида зашифрованного сообщения даже при использовании одного и того же ключа;

• структурные элементы алгоритма шифрования должны быть неизменными;

• дополнительные биты, вводимые в сообщение в процессе шифрования, должны быть полностью и надежно скрыты в шифрованном тексте;

• длина шифрованного текста должна быть равной длине исходного текста;

• не должно быть простых и легко устанавливаемых зависимостей между ключами, последовательно используемых в процессе шифрования;

• любой ключ из множества возможных должен обеспечивать надежную защиту информации;

• алгоритм должен допускать как программную, так и аппаратную реализацию, при этом изменение длины ключа не должно вести к качественному ухудшению алгоритма шифрования.

⇐ Предыдущая 1 2 3 456 7 8 9 10 Следующая ⇒