ПО и информационная безопасность

ошибки интересуют злоумышленников более всего.

Обзор современного ПО
Современное программное обеспечение, даже выпускаемое гигантами индустрии ПО, грешит появляющимися и исчезающими от версии к версии ошибками и непредусмотренными возможностями, которые злоумышленники используют в своих целях.

Операционные системы
Операционные системы являются основной частью программного комплекса ЭВМ и при этом выполняют огромный набор промежуточных операций между прикладными программами и аппаратным обеспечением. Естественно, что ошибки в них интересуют злоумышленников более всего.

Операционная система является важнейшим программным компонентом любой вычислительной машины, поэтому от уровня реализации политики безопасности в каждой конкретной ОС во многом зависит и общая безопасность информационной системы. В данном параграфе будет приведен краткий обзор основных современных операционных систем. В первую очередь нас будут интересовать безопасное разделение оперативной памяти и файлов между процессами и пользователями и устойчивость ОС к сетевым атакам.

Операционная система MS-DOS является ОС реального режима микропроцессора Intel, а потому здесь не может идти речи о разделении оперативной памяти между процессами. Все резидентные программы и основная программа используют общее пространство ОЗУ. Защита файлов отсутствует, о сетевой безопасности трудно сказать что-либо определенное, поскольку на том этапе развития ПО драйверы для сетевого взаимодействия разрабатывались не фирмой MicroSoft, а сторонними разработчиками.

Семейство операционных систем Windows 95, 98, Millenium – это клоны, изначально ориентированные на работу в домашних ЭВМ. Эти операционные системы используют уровни привилегий защищенного режима, но не делают никаких дополнительных проверок и не поддерживают системы дескрипторов безопасности. В результате этого любое приложение может получить доступ ко всему объему доступной оперативной памяти как с правами чтения, так и с правами записи. Меры сетевой безопасности присутствуют, однако, их реализация не на высоте. Более того, в версии Windows 95 была допущена основательная ошибка, позволяющая удаленно буквально за несколько пакетов приводить к " зависанию" ЭВМ, что также значительно подорвало репутацию ОС, в последующих версиях было сделано много шагов по улучшению сетевой безопасности этого клона.

Поколение операционных систем Windows NT, 2000 уже значительно более надежная разработка компании MicroSoft. Они явялются действительно многопользовательскими системами, надежно защищающими файлы различных пользователей на жестком диске (правда, шифрование данных все же не производится и файлы можно без проблем прочитать, загрузившись с диска другой операционной системы – например, MS-DOS). Данные ОС активно используют возможности защищенного режима процессоров Intel, и могут надежно защитить данные и код процесса от других программ, если только он сам не захочет предоставлять к ним дополнительного доступа извне процесса.

За долгое время разработки было учтено множество различных сетевых атак и ошибок в системе безопасности. Исправления к ним выходили в виде блоков обновлений (англ. service pack). На сегодняшний день для Windows NT 4.0 самым последним является обновление " Service Pack 6", естественно все исправления, включенные в него были учтены и при разработке Windows 2000. Таким образом две эти операционные системы имеют примерно равную (и очень высокую) систему безопасности.

Другая ветвь клонов растет от операционной системы UNIX. Эта ОС изначально разрабатывалась как сетевая и многопользовательская, а потому сразу же содержала в себе средства информационной безопасности. Практически все широко распространенные клоны UNIX прошли долгий путь разработки и по мере модификации учли все открытые за это время способы атак. Достаточно себя зарекомендовали: LINUX (S.U.S.E.), OpenBSD, FreeBSD, Sun Solaris. Естественно все сказанное относится к последним версиям этих операционных систем.

Комплексная система безопасности. Классификация информационных объектов

От различных типов данных требуется различная степень безотказности доступа. Тратить большие деньги на системы безотказности для не очень важной информации невыгодно и даже убыточно, но нельзя и неправильно оценивать действительно постоянно требуемую информацию – ее отсутствие в неподходящий момент также может принести значительные убытки.

Безотказность, или надежность доступа к информации, является одной из категорий информационной безопасности. Предлагается следующая схема классификации информации на 4 уровня безотказности.

Параметр	класс 0	класс 1	класс 2	класс 3
Максимально возможное непрерывное время отказа	1 нед	1 сутки	1 час	1 час
В какое время время отказа не может превышать указанное выше?	в рабочее	в рабочее	в рабочее	24 часа в сутки
Средняя вероятность доступности данных в произвольный момент времени	80%	95%	99.5%	99.9%
Среднее максимальное время отказа	1 день в неделю	2 часа в неделю	20 минут в неделю	12 минут в месяц

Клас-ция по степени конфиден. – 1 из основных и наиболее старых класс-ций данных. Она применялась еще задолго до появления вычислительной техники и с тех пор изменилась незначительно.

Уровень конфиденц. инф. яв-ся одной из самых важных категорий, принимаемых в рассмотрение при создании определенной политики безопасности учреждения. Предлагается следующая схема класс-ции инф. на 4 класса по уровню ее конфиденц.

Класс	Тип информации	Описание	Примеры
	открытая информация	общедоступная информация	информационные брошюры, сведения публикававшиеся в СМИ
	внутренняя информация	информация, недоступная в открытом виде, но не несущая никакой опасности при ее раскрытии	финансовые отчеты и тестовая информация за давно прошедшие периоды, отчеты об обычных заседаниях и встречах, внутренний телефонный справочник фирмы
	конфиденциальная информация	раскрытие информации ведет к значительным потерям на рынке	реальные финансовые данные, планы, проекты, полный набор сведений о клиентах, информация о бывших и нынешних проектах с нарушениями этических норм
	секретная информация	раскрытие информации приведет к финансовой гибели компании	(зависит от ситуации)

Различные классы конфиденц.инф. необходимо снабжать различными по уровню безопасности системами технических и административных мер. При работе с инфо 1-го класса конфиденц. рекомендуется выполнение след. требований:

· осведомление сотрудников о закрытости данной информации,

· общее ознакомление сотрудников с основными возможными методами атак на информацию

· ограничение физического доступа

· полный набор документации по правилам выполнения операций с данной информацией

При работе с информацией 2-го класса конфиденц. к перечисленным выше требованиям добавляются следующие:

· расчет рисков атак на информацию

· поддержания списка лиц, имеющих доступ к данной информации

· по возможности выдача подобной информации по расписку (в т.ч. электронную)

· автом. система проверки целостности системы и ее ср-в безопасности

· надежные схемы физической ранспортировки

· обязательное шифрование при передаче по линиям связи

· схема бесперебойного питания ЭВМ

При работе с информацией 3-го класса конфиденциальности ко всем перечисленным выше требованиям добавляются следующие:

· детальный план спасения либо надежного уничтожения информации в аварийных ситуациях (пожар, наводнение, взрыв)

· защита ЭВМ либо носителей информации от повреждения водой и высокой температурой

· криптографическая проверка целостности информации

⇐ Предыдущая 2 3 4 5 6 7 8 9 1011