Свойства информации как предмета защиты

Введение

В настоящее время для многих организаций  и частных лиц стало характерным  то, что увеличилось количество краж личного и общественного имущества. Особенно эта проблема стала актуальной для крупных организаций, где  нарушение безопасности может нанести  огромный материальный ущерб, как самим  организациям, так и их клиентам. Поэтому эти организации вынуждены  особое внимание уделять гарантиям  безопасности. Вследствие чего возникла проблема защиты и контроля доступа  в помещения. И сейчас данная проблема представляет собой совокупность тесно  связанных задач в областях права, организации, управления, разработки технических  средств и программирования. Одна из центральных задач проектирования системы защиты состоит в надежной и эффективной инженерно-технической системы защиты информации, важнейшей частью которой является система контроля и управления доступом.

Процедура управления доступом сводится к взаимному  опознаванию пользователя и системы  и установления факта допустимости использования ресурсов конкретным пользователем в соответствии с  его запросом. Средства управления доступом обеспечивают защиту охраняемого  объекта, как от неавторизованного  использования, так и от несанкционированного обслуживания системой. Защита реализуется  процедурами идентификации, установления подлинности и регистрации обращений.

Следует помнить, что СКУД не устраняет необходимость контроля со стороны человека, но значительно  повышает эффективность работы службы безопасности, особенно при наличии  многочисленных зон риска. СКУД освобождает охранников от рутинной работы по идентификации, предоставляя им дополнительное время по выполнению основных функций: охране объекта и защите сотрудников и посетителей от преступных посягательств. Оптимальное соотношение людских и технических ресурсов выбирается в соответствии с поставленными задачами и допустимым уровнем возможных угроз. Однако в настоящее время процесс выбора подходящих СКУД носит сложный характер, поскольку реально отсутствует какая-либо аналитическая информация по имеющимся сегодня в мире СКУД. Некоторые зарубежные компании, стараясь заполнить пока еще свободную нишу российского рынка, порой проявляют недобросовестность в рекламе, в предоставлении полной информации о технических и функциональных возможностях систем, об особенностях их эксплуатации в сравнительно сложных климатических условиях и т.п. Зачастую поставщики и продавцы ради прибыли предлагают заказчику аппаратуру низкого качества и неквалифицированные услуги. Повсеместно и сами покупатели не имеют достаточного опыта в этой сфере. В результате на важных объектах можно встретить непрофессионально спроектированные системы СКУД, у которых даже технические характеристики не соответствуют условиям эксплуатации в России. Исходя из этого, в данной курсовой работе рассматривается система контроля доступа основанная на программных и инженерно- технических разработках фирмы «Стилпост»,а так же разработан учебно методический комплекс в виде практических работ для обучающего стенда фирмы «СтилПост».

Объект исследования –  система контроля и управления доступом.

Предмет исследования –  учебно-методическое обеспечение по стенду систем контроля и управления доступом фирмы «Стилпост».

Цель работы – повышения  уровня подготовки специалистов по защите информации путем разработки учебно-методического  обеспечения для систем контроля и управления доступом.

Работа состоит из введения, трех глав и заключения, изложена на 87 страницах, содержит 8 иллюстраций.

В первой главе проведен анализ инженерно-технических систем защиты информации для защиты от угроз безопасности путем несанкционированного доступа. Во второй главе рассматривается необходимость формирования компитентности в области инженерно-технической защиты информации. Разработанное методического обеспечения по обучающему стенду СКУД «Стилпост» представлено в главе 3.

1  ХАРАКТЕРИСТИКА  ИНЖЕНЕРНО-ТЕХНИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

1.1 Свойства информации как предмета защиты

Для обеспечения эффективной  защиты информации необходимо знать ее свойства. Она как предмет защиты обладает рядом свойств, основные из которых следующие:

1. Нематериальная информация может храниться, передаваться, обрабатываться, если она содержится на материальном носителе. Так как с помощью материальных средств можно защищать только материальный объект, то объектами защиты являются материальные носители информации. Различают носители — источники информации, носители — переносчики информации и носители — получатели информации. Например, чертеж является источником информации, а бумага, на которой он нарисован, — носитель информации. Физическая природа источника и носителя в этом примере одна и та же — бумага. Однако между ними существует разница. Бумага без нанесенного на ней текста или рисунка является источником информации о ее физических и химических свойствах. Когда бумага содержит семантическую информацию, то она становится документом — источником семантической информации.

Но независимо от вида информации, содержащейся на бумаге или ином другом носителе, защищать от хищения, изменения и уничтожения информации можно материальный объект— листы бумаги, которые имеют определенные размеры, вес, механическую прочность, устойчивость краски или чернил к внешним воздействиям и т. д., или иные носители. Параметры носителя определяют условия и способы хранения информации. Бумагу для обеспечения безопасности содержащейся на ней информации хранят в сейфе. Другие носители, например цеха, трудно запереть в шкаф. Но в любом случае характеристики материального носителя контролируемы органами чувств человека или его технических средств.

Параметры информацни(затраты энергии, время передачи, стоимость и др.), которыми часто характеризуют ту или иную информацию, являются параметрами ее носителя. Энергетические затраты на передачу информации равны работе по перемещению носителя из одной точки пространства в другую. Для разных носителей эти затраты отличаются. Так же. например, время и энергия для передачи одной и той же информации по сети Интернет и на перекладных (на гужевом транспорте) несоизмеримы. Следовательно, физические характеристики информации представляют собой характеристики ее носителей.

2. Информация может быть для ее для пользователя (собственника, владельца, получателя) достоверной и ложной, полезной и вредной. Информация, отражающие объективные факты, события, явления и процессы, является достоверной, а не соответствующая им ложной. Границу между достоверной и ложной информацией часто трудно провести. Достоверная информация в процессе передачи может трансформироваться в свою противоположность. Преднамеренно создаваемая и распространяемая ложная информация называется дезинформацией.

В естественных областях науки  достоверной информацией считается та, которую может получить не только се автор, но и другие ученые. Если результаты научного исследования не удается повторить, то информация считается недостоверной.

Полезная информация приносит прибыль ее владельцу или пользователю, уменьшает риск в ею деятельности в результате принятия более обоснованных решении, улучшает его психическое состояние и т. д. Достоверная информация, как правило, является полезной, так как обеспечивает принятие более правильного решения. как она мобилизует его силы для борьбы с недугом, слабому более полезна «сладкая ложь», так как Вредной является информация, в результате использования которой ее получателю наносится моральный или материальный ущерб. Часто вредная информация создается в результате целенаправленной или случайной модификации ее при переносе с одного носителя на другой. Такая информация распространяется в виде слухов.

К вредной также относится  информация, содержание которой является нейтральной для ее пользователя, но засоряет так называемое информационное пространство. Засоренность каналов связи и документов нейтральной информацией затрудняет и существенно увеличивает время добывания полезной.

Полезность информации всегда конкретна. Информация полезна или вредна для конкретного ее пользователя. Под пользователями подразумевается как один человек, так и группа людей и даже все человечество. Поэтому при защите информации определяют, прежде всего круг лиц (фирм, государств), заинтересованных в защищаемой информации т.к. среди них могут оказаться злоумышленники.

3. Хотя информация нематериальная, она покупается и продастся. Поэтому информацию можно рассматривать как товар. Полезность информации как товара характеризуется его ценой. Цена информации зависит от ее ценности. Например, при проведении исследований могут быть затрачены большие материальные и финансовые ресурсы, которые завершились отрицательным результатом, т.к. не получена информация, на основе которой ее владелец может получить прибыль. Но отрицательные результаты представляют ценность для специалистов, занимающихся рассматриваемой проблемой, гак как полученная информация укорачивает путь к истине. Полезная информация может быть создана ее владельцем в результате научно-исследовательской деятельности, заимствована из различных открытых источников, может попасть к злоумышленнику случайно, например в результате непреднамеренного подслушивания, и, наконец, добыта различными нелегальными путями. Цена информации, как любого товара, складывается из себестоимости и прибыли.

Себестоимость определяется расходами владельца информации на ее получение путем:

• проведения исследований в научных лабораториях, аналитических центрах, группах, отдельными учеными и т д.;
• покупки информации на рынке информации;
• добывания информации противоправными действиями.

Прибыль от информации ввиду  ее особенностей может принимать различные формы, причем денежное ее выражение не является самой распространенной формой. В общем случае прибыль от информации может быть получена в результате следующих действий:

• продажи информации на рынке;
• материализации информации в продукции с новыми свойствами или технологией, приносящими дополнительную прибыль; использования информации для принятия более эффективных решений.

 

1.2 Виды угроз безопасности информации

Под безопасностью информации или информационной безопасностью понимают защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, способных нанести ущерб владельцам и пользователям информации и поддерживающей её структуре.

При рассмотрении проблем, связанных  с обеспечением безопасности, используют понятие “несанкционированный доступ”  – это неправомочное обращение  к информационным ресурсам с целью  их использования (чтения, модификации), а также порчи или уничтожения. Данное понятие также связано  с распространением разного рода компьютерных вирусов.

В свою очередь “санкционированный доступ” – это доступ к объектам, программам и данным пользователей, имеющих право выполнять определённые действия (чтение, копирование и  др.), а также полномочия и права  пользователей на использование  ресурсов и услуг, определённых администратором  вычислительной системы.

Защищённой считают информацию, не претерпевшую незаконных изменений  в процессе передачи, хранения и  сохранения, не изменившую такие свойства, как достоверность, полнота и  целостность данных.

 Под терминами “защита  информации” и “информационная  безопасность” подразумевается  совокупность методов, средств  и мероприятий, направленных на  исключение искажений, уничтожения  и несанкционированного использования  накапливаемых, обрабатываемых и  хранимых данных.

 Согласно статье  3 ФЗ РФ «О безопасности» от 05.03.1992г. №2446-1 «Угроза безопасности - совокупность условий и факторов, создающих опасность жизненно важным интересам личности, общества и государства.

 Реальная и потенциальная  угроза объектам безопасности, исходящая  от внутренних и внешних источников  опасности, определяет содержание  деятельности по обеспечению  внутренней и внешней безопасности»

Угрозы создают потенциальную  опасность для объекта или  предмета защиты. Угрозы представляют собой состояния или действия взаимодействующих с носителями информации субъектов и объектов материального мира, которые могут привести к изменению, уничтожению, хищению и блокированию информации. Под блокированием информации понимаются изменения условий хранения информации, которые делают ее недоступной для пользователя. По виду реализации угрозы можно разделить на две группы:

• физическое воздействие внешних сил на источники информации, в результате которого возможны ее изменения, уничтожение, хищение и блокирование;
• несанкционированное распространение носителя с защищаемой информацией от се источника до злоумышленника, которое приводит к хищению информации.

Угрозы, при реализации которых  происходит воздействие различных сил (механических, электрических, магнитных) на источник информации, называются угрозами воздействия на источник информации, а угрозы, приводящие к несанкционированному распространению носителя к злоумышленнику,— угрозами утечки информации. Классификация угроз представлена на рис. 1.

 

Угрозы утечки информации: - утеря документов; - разглашение; - подслушивание; - наблюдение; - перехват сигналов; - побочные излучения и - наводки; - не контролируемое      распространение   отходов		Угрозы преднамеренных воздействий: - действия злоумышленников и создаваемых ими полей и сигналов
		Угрозы случайных  воздействий: - проявления стихии - действия помех - сбои аппаратуры - ошибки программ -ошибки операторов и     пользователей

Рис. 1 Виды угроз

Воздействия, которые создаются  злоумышленниками, являются преднамеренными. К ним относятся как непосредственные воздействия людей (злоумышленников) на источник информации, так и воздействия полей и электрических сигналов технических средств, создаваемых людьми с целью уничтожения, изменения или хищения информации.

На источники информации постоянно действуют случайные  силы, вызванные стихией природы, случайными физическими процессами в средствах хранения, обработки  и передачи информации, ошибками операторов и технического персонала. Такие угрозы воздействия называются случайными. С целью уменьшения влияния неблагоприятных факторов окружающей среды в хранилищах архивов и музеев поддерживают определенную температуру, влажность, химический состав воздуха.

Иногда преднамеренные воздействия  называют несанкционированными воздействиями, а случайные — непреднамеренными воздействиями. Такие определения недостаточно корректные, так как непреднамеренные воздействия могут быть как санкционируемыми, так и несанкционируемыми.

1.3 Модели угроз безопасности и способы их реализации

Моделирование процессов нарушения  информационной безопасности целесообразно  осуществлять на основе рассмотрения логической цепочки: «угроза – источник угрозы – метод реализации –  уязвимость – последствия» (рис. 2.).

В ходе анализа необходимо убедиться, что все возможные  источники угроз идентифицированы, все возможные уязвимости идентифицированы и сопоставлены с идентифицированными  источниками угроз, всем идентифицированным источникам угроз и уязвимостям (факторам) сопоставлены методы реализации.

При этом важно иметь возможность, при необходимости, не меняя самого методического инструментария, вводить  новые виды источников угроз, методов  реализации, уязвимостей, которые станут известны в результате развития знаний в этой области.

Как видно, анализ негативных последствий реализации угроз предполагает обязательную идентификацию (например, присвоение уникального кода) возможных  источников угроз, уязвимостей, способствующих их проявлению и методов реализации, то есть классификацию (рис. 3).

Угрозы классифицируются по возможности нанесения ущерба субъекту отношений при нарушении  целей безопасности. Ущерб может  быть причинен каким-либо субъектом (преступление, вина или небрежность), а также  явиться следствием независящим  от субъекта проявлений. Угроз не так уж и много.

Все источники угроз можно разделить  на классы, обусловленные типом носителя, классы делятся на группы по местоположению (рис. 4).

Методы реализации можно разделить  на группы по способам реализации (рис. 5.). При этом необходимо учитывать, что  само понятие «метод», применимо  только при рассмотрении реализации угроз антропогенными источниками. Для техногенных и стихийных  источников, это понятие трансформируется в понятие «предпосылка».

Классификация возможностей реализации угроз, то есть атак, представляет собой  совокупность возможных вариантов  действий источника угроз определенными  методами реализации с использованием уязвимостей, которые приводят к  реализации целей атаки.

Цель атаки может не совпадать с целью реализации угроз и может быть направлена на получения промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае не совпадения целей атаки с целью реализации угрозы, сама атака рассматривается  как этап подготовки к совершению действий, направленных на реализацию угрозы, то есть как «подготовка  к совершению» противоправного  действия.

Результатом атаки являются последствия, которые являются реализацией угрозы и/или способствуют такой реализации.

Сам подход к анализу и оценке состояния безопасности информации основывается на вычислении весовых  коэффициентов опасности для  источников угроз и уязвимостей, сравнения этих коэффициентов с  заранее заданным критерием и  последовательном сокращении (исключении) полного перечня возможных источников угроз и уязвимостей до минимально актуального для конкретного объекта.

Исходными данными для  проведения оценки и анализа служат результаты анкетирования субъектов  отношений, направленные на уяснение направленности их деятельности, предполагаемых приоритетов целей безопасности, задач, решаемых АС и условий расположения и эксплуатации объекта.

Благодаря такому подходу  возможно:

1. установить приоритеты целей безопасности для субъекта отношений;
2. определить Перечень актуальных источников угроз;
3. определить Перечень актуальных уязвимостей;
4. оценить взаимосвязь угроз, источников угроз и уязвимостей;
5. определить Перечень возможных атак на объект;
6. описать возможные последствия реализации угроз.

Результаты проведения оценки и  анализа могут быть использованы при выборе адекватных оптимальных  методов парирования угрозам, а  также при аудите реального состояния  информационной безопасности объекта  для целей его страхования.

В литературе, посвященной вопросам защиты информации можно найти различные  варианты моделей угроз безопасности информации. Это объясняется стремлением  более точно описать многообразные  ситуации воздействия на информацию и определить наиболее адекватные меры парирования. В принципе, можно пользоваться любой понравившейся моделью, необходимо только убедиться, что она описывает  максимально большое число факторов, влияющих на безопасность информации. Но прежде всего надо помнить, что  пользователю, то есть потребителю  информации и информационных услуг, оказываемых корпоративной сетью, глубоко без разницы не получит  он информацию вовремя, получит ее в  искаженном виде или вообще потеряет по вине неправильной работы технических  средств, пожара в серверном зале или за счет действий злоумышленника. Итог для него во всех случаях одинаков - понесенные убытки (моральные или  материальные).

При составлении модели угроз использовались различные широко используемые в  настоящее время варианты моделей, разработанные специалистами в  области защиты информации государственных  и негосударственных научных  учреждений. Исходя из проведенного анализа, все источники угроз безопасности информации, циркулирующей в корпоративной  сети можно разделить на три основные группы /7/: 

1. Угрозы, обусловленные действиями субъекта (антропогенные угрозы)
2. Угрозы, обусловленные техническими средствами (техногенные угрозы)
3. Угрозы, обусловленные стихийными источниками

 

 Первая группа наиболее обширна и представляет наибольший интерес с точки зрения организации  парирования этим угрозам, так как  действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия этим угрозам управляемы и напрямую зависят  от воли организаторов защиты информации.

Субъекты, действия которых могут  привести к нарушению безопасности информации могут быть как внешние:

1. криминальные структуры;
2. рецидивисты и потенциальные преступники;
3. недобросовестные партнеры;
4. конкуренты;
5. политические противники;

так и внутренние:

1. персонал учреждения;
2. персонал филиалов;
3. лица с нарушенной психикой;
4. специально внедренные агенты.

Основываясь на результатах  международного и российского опыта, действия субъектов могут привести к ряду нежелательных последствий, среди которых применительно  к корпоративной сети, можно выделить следующие:

1. Кража

а) технических средств (винчестеров, ноутбуков, системных блоков);

б) носителей информации (бумажных, магнитных, оптических и пр.);

в) информации (чтение и несанкционированное  копирование);

г) средств доступа (ключи, пароли, ключевая документация и пр.).

2. Подмена (модификация)

а) операционных систем;

б) систем управления базами данных;

в) прикладных программ;

г) информации (данных), отрицание факта  отправки сообщений;

д) паролей и правил доступа.

3. Уничтожение (разрушение)

а) технических средств (винчестеров, ноутбуков, системных блоков);

б) носителей информации (бумажных, магнитных, оптических и пр.);

в) программного обеспечения (ОС, СУБД, прикладного ПО)

г) информации (файлов, данных)

д) паролей и ключевой информации.

4. Нарушение нормальной работы (прерывание)

а) скорости обработки информации;

б) пропускной способности каналов  связи;

в) объемов свободной оперативной  памяти;

г) объемов свободного дискового  пространства;

д) электропитания технических средств;

5. Ошибки

а) при инсталляции ПО, ОС, СУБД;

б) при написании прикладного ПО;

в) при эксплуатации ПО;

г) при эксплуатации технических  средств.

6. Перехват информации (несанкционированный)

а) за счет ПЭМИ от технических средств;

б) за счет наводок по линиям электропитания;

в) за счет наводок по посторонним  проводникам;

г) по акустическому каналу от средств  вывода;

д) по акустическому каналу при обсуждении вопросов;

е) при подключении к каналам  передачи информации;

ж) за счет нарушения установленных  правил доступа (взлом).

Вторая группа содержит угрозы менее  прогнозируемые, напрямую зависящие  от свойств техники и поэтому  требующие особого внимания. Технические  средства, содержащими потенциальные  угрозы безопасности информации так  же могут быть внутренними:

1. некачественные технические средства обработки информации;
2. некачественные программные средства обработки информации;
3. вспомогательные средства (охраны, сигнализации, телефонии);
4. другие технические средства, применяемые в учреждении;

и внешними:

1. средства связи;
2. близко расположенные опасные производства;
3. сети инженерных коммуникации (энерго-, водоснабжения, канализации);
4. транспорт.

Последствиями применения таких технических  средств, напрямую влияющими на безопасность информации могут быть:

1. Нарушение нормальной работы

а) нарушение работоспособности  системы обработки информации;

б) нарушение работоспособности  связи и телекоммуникаций;

в) старение носителей информации и средств ее обработки;

г) нарушение установленных правил доступа;

д) электромагнитное воздействие на технические средства.

2. Уничтожение (разрушение)

а) программного обеспечения, ОС, СУБД;

б) средств обработки информации (броски напряжений, протечки);

в) помещений

г) информации (размагничивание, радиация, протечки и пр.);

д) персонала.

3. Модификация (изменение)

а) программного обеспечения. ОС, СУБД;

б) информации при передаче по каналам  связи и телекоммуникациям. 

Третью группу составляют угрозы, которые совершенно не поддаются  прогнозированию и поэтому меры их парирования должны применяться  всегда. Стихийные источники, составляющие потенциальные угрозы информационной безопасности, как правило, являются внешними по отношению к рассматриваемому объекту и под ними понимаются, прежде всего, природные катаклизмы:

1. пожары;
2. землетрясения;
3. наводнения;
4. ураганы;
5. другие форс-мажорные обстоятельства;
6. различные непредвиденные обстоятельства;
7. необъяснимые явления.

Эти природные и необъяснимые явления  так же влияют на информационную безопасность, опасны для всех элементов корпоративной  сети и могут привести к следующим  последствиям:

1. Уничтожение (разрушение)

а) технических средств обработки  информации;

б) носителей информации;

в) программного обеспечения (ОС, СУБД, прикладного ПО);

г) информации (файлов, данных);

д) помещений;

е) персонала.

2. Исчезновение (пропажа)

а) информации в средствах обработки;

б) информации при передаче по телекоммуникационным каналам;

в) носителей информации;

г) персонала.

 

1.4 Технические каналы утечки информации

Под техническим каналом утечки информации понимают совокупность источника информации, линии связи (физической среды), по которой распространяется информационный сигнал, шумов, препятствующих передаче сигнала в линии связи, и технических средств перехвата информации.

Источниками информации могут  быть непосредственно голосовой аппарат человека, излучатели систем звукоусиления, печатный текст, радиопередающие устройства и т.п.