Защита информации должна обеспечить: Конфиденциальность – свойство информации, состоящее в отсутствии несанкционированного доступа к защищаемой информации для людей, программ или процессов, которые не имеют на это права. Целостность – свойство информации, состоящее в ее существовании в неискаженном виде. Т.е. целостность – это отсутствие несанкционированных изменений информации (добавления, удаления, модификации данных). Доступность – свойство компьютерной системы, состоящее в возможности обеспечить своевременный беспрепятственный доступ к защищаемой информации полномочными пользователями.
Угроза информации – это потенциально возможное событие, действие, процесс или явление, которое может вызвать нанесение ущерба (материального, морального или иного) защищаемому объекту. Формальное определение угрозы по ГОСТ Р 51624-00 – это совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и/или несанкционированными и/или непреднамеренными воздействиями на нее» .
1. Пассивные угрозы. Пассивные угрозы – это всегда угрозы конфиденциальности информации. Такие угрозы носят характер перехвата (или мониторинга) передаваемых данных. Пассивные нарушения могут быть двух видов: Раскрытие содержимого сообщений, или угрозы конфиденциальности информации. Эта угроза реализуется, когда к какой-нибудь информации получает доступ лицо, не имеющее на это права. Этот вид угроз встречается наиболее часто. Анализ потока данных. Это, например, определение отправителя и получателя, частоты сообщений.
2. Активные угрозы. Активными угрозами могут быть: Угрозы целостности информации. Нарушение целостности происходит при внесении несанкционированных изменений в информацию, умышленных или неумышленных. Угрозы доступности информации, или угрозы отказа в обслуживании. Этот вид угрозы угрожает не самой информации, а автоматизированной системе, в которой эта информация обрабатывается.
Уязвимость – это любая характеристика информационной системы, использование которой нарушителем может привести к реализации угрозы.
Классификация уязвимостей
1. Уязвимости проектирования информационной системы. Это уязвимости, созданные разработчиком программного или аппаратного обеспечения при проектировании. В этом случае уязвимость свойственна проекту или алгоритму, и даже совершенная реализация проекта от этой уязвимости не избавляет. Яркий пример – уязвимость стека протоколов TCP/IP.
2. Уязвимости реализации информационной системы. Это ошибки, привнесенные на этапе реализации проекта. Типичный пример – «переполнение буфера» во многих реализациях программ, например sendmailили InternetExplorer.
3. Уязвимости конфигурации. Это уязвимости, добавленные администратором в процессе управления системойили привнесенные пользователем в процессе эксплуатации системы. Например: использование модема для выхода в Интернет в обход межсетевых экранов, или отказ запускать антивирусные сканеры, или другие, более враждебные действия.
Атака на информационную систему – это действие, которое приводит к реализации угрозы путем использования уязвимостей этой информационной системы.
Традиционная атака – это атака, построенная на модели «один-к-одному» или «один-ко-многим». В этом случае атака исходит из одной точки (от одного хоста). Для сокрытия источника атаки часто используется метод промежуточных хостов. В этом случае атака реализуется не напрямую на выбранную цель, а через цепь узлов. Нередко эти узлы находятся в разных странах.
Распределенная атака - это атака, построенная на модели «много- к одному» или «много- ко многим». В этом случае несколько злоумышленников проводят сотни и тысячи нападений в один и тот же момент времени на один или несколько узлов. Это, как правило, атаки типа «отказ в обслуживании».
Рис. 1.1 Модели традиционных атак Рис.1.2 Модели распределенных атак
1. Сбор информации (informationgathering). На этом этапе определяется сетевая топология, тип и версия операционной системы, доступность сетевых сервисов и т.д.
2. Реализация (exploitation). Реализация атаки заключается в проникновении в систему и установлении контроля над атакуемым узлом. Например, это внедрение программы типа «троянский конь».
3. Завершение атаки («заметание следов»). Обычно это удаление соответствующих записей из журналов регистрации данного узла и других действий, возвращающих атакованную систему в исходное состояние (например, скрытие внедренных файлов).
Законодательные методыопределяют, кто и в какой форме должен иметь доступ к защищаемой информации. Законодательные методы не способны гарантировать выполнение установленных законов, они только декларируют эти законы, вместе с мерой ответственности за их нарушение. Административные методы заключаются в определении процедур доступа к защищаемой информации и установлении контроля за их соблюдением. Например, при получении документов в архиве и возврате их обратно в специальный журнал заносятся соответствующие записи. Работа с документами разрешается только в специально оборудованном и сертифицированном помещении. Чтобы работать с секретными документами, сначала нужно получить необходимый допуск, и т.п. Технические методы защиты призваны максимально избавиться от человеческого фактора. Соблюдение законодательных и административных мер защиты определяется согласием людей их соблюдать, и теоретически всегда можно избежать соблюдения установленных правил. В случае применения технических средств перед противником для доступа к информации ставится техническая задача. Современный пример технических средств защиты информации: самоуничтожающиеся DVD-диски. (диски можно будет использовать только 48 часов после вскрытия упаковки. Затем поверхность диска должна почернеть)
Основой современной государственной политики Российской Федерации в области информационной безопасности является Доктрина информационной безопасности РФ. Она представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Она утверждена Президентом Российской Федерации В.Путиным 9 сентября 2000 г.
Наиболее важными, с точки зрения информационной безопасности, являются следующие законы.
· Конституция Российской Федерации (в редакции от 10.02.96 г.);
· «О безопасности» (в редакции от 05.03.92 г.);
· «Об информации, информатизации и защите информации» (от 20.01.95 г.);
· «О государственной тайне» (от 21.09.93 г.);
· «О федеральных органах правительственной связи и информации» (от 19.02.93 г.);
· «О правовой охране программ для электронных вычислительных машин и баз данных» (от 24.03.96 г.);
Закон «О безопасности» закрепляет правовые основы обеспечения безопасности личности, общества и государства, определяет систему безопасности и ее функции, устанавливает порядок организации и финансирования органов обеспечения безопасности, а также контроля и надзора за законностью их деятельности.
Уважаемый посетитель!
Чтобы распечатать файл, скачайте его (в формате Word).
Ссылка на скачивание - внизу страницы.