Ирина Эланс

Автор который поможет с любыми образовательными и учебными заданиями

Захист інформації

Міністерство освіти і науки, молоді та спорту України

Полтавський національний технічний університет

Ім. Юрія Кондратюка

Факультет інформаційних та телекомунікаційних технологій і систем

Кафедра інформаційних технологій та систем

Розрахунково-графічна робота

з дисципліни

«Захист інформації»

Виконала: студентка 301-ТН групи

ааа А.В.

Викладач: ааа Г.В.

ааа О.Д.

Полтава 2012

Зміст

Вступ

Захист інформації,основні поняття

Інформаційна безпека — стан інформації, в якому забезпечується збереження визначених політикою безпеки властивостей інформації.

У якості стандартної моделі безпеки часто призводять модель з трьох категорій:

конфіденційність - стан інформації, при якому доступ до неї здійснюють тільки суб'єкти, що мають на неї право;
цілісність - уникнення несанкціонованої модифікації інформації;
доступність - уникнення тимчасового або постійного заховання інформації від користувачів, що отримали права доступу.

Виділяють і інші не завжди обов'язкові категорії моделі безпеки:

неспростовності - неможливість відмови від авторства;
підзвітність - забезпечення ідентифікації суб'єкта доступу та реєстрації його дій;
достовірність - властивість відповідності передбаченому поводженню чи результату;
автентичність або справжність - властивість, що гарантує, що суб'єкт або ресурс ідентичні заявленим.

Політика безпеки – набір, законів, правил, обмежень, яке регламентує порядок обробки інформації спрямований на захист інформації від певних загроз.

Інформаційна система

Інформаційна система — сукупність організаційних і технічних засобів для збереження та обробки інформації з метою забезпечення інформаційних потреб користувачів.

Таке визначення може бути задовільним тільки при найбільш узагальненій і неформальній точці зору і підлягає подальшому уточненню. Інформаційні системи діють в Україні під назвою «автоматизовані системи

Теоретична частина:

«Законодавчі акти та інші нормативні документи

України з інформації та з захисту інформації»

В Україні прийнято цілий ряд законодавчих актів і нормативних документів, пов'язаних з інформацією, у тому числі і з її захистом:

Закон України «Про інформацію»:

Цей Закон закрiплює право громадян України на iнформацiю, закладає правовi основи iнформацiйної дiяльностi.Грунтуючись на Декларацiї про державний суверенiтет України та Актi проголошення її незалежностi, Закон стверджує iнформацiйний суверенiтет України i визначає правовi форми мiжнародного спiвробiтництва в галузi iнформацiї.

Закон України «Про захист інформації в автоматизованих системах»

Метою цього Закону є встановлення основ регулювання правових відносин щодо захисту інформації в автоматизованих системах за умови дотримання права власності громадян України і юридичних осіб на інформацію та права доступу до неї, права власника інформації на її захист, а також встановленого чинним законодавством обмеження на доступ до інформації. Дія Закону поширюється на будь-яку інформацію, що обробляється в автоматизованих системах.

Закон України «Про державну таємницю»;

Цей Закон регулює суспільні відносини, пов'язані з
віднесенням інформації до державної таємниці, засекречуванням,
розсекречуванням її матеріальних носіїв та охороною державної
таємниці з метою захисту національної безпеки України.

Закон України про науково-технічну інформацію, від 25.06.93;

Цей Закон визначає основи державної політики в галузі
науково-технічної інформації, порядок її формування і реалізації в
інтересах науково-технічного, економічного і соціального прогресу
країни. Метою Закону є створення в Україні правової бази для
одержання та використання науково-технічної інформації.

Законом регулюються правові і економічні відносини громадян,
юридичних осіб, держави, що виникають при створенні, одержанні,
використанні та поширенні науково-технічної інформації, а також
визначаються правові форми міжнародного співробітництва в цій
галузі.Дія Закону поширюється на підприємства, установи, організації
незалежно від форм власності, а також громадян, які мають право на
одержання, використання та поширення науково-технічної інформації.
Дія Закону не поширюється на інформацію, що містить державну та
іншу охоронювану законом таємницю.

Закон України про Національну програму інформатизації, від

04.02.98;

Цей Закон визначає загальні засади формування, виконання та
коригування Національної програми інформатизації.

Закон України про Концепцію Національної програми інформатизації, від 04.02.98;

Концепція Національної програми інформатизації включає
характеристику сучасного стану інформатизації, стратегічні цілі та
основні принципи інформатизації, очікувані наслідки її реалізації.

Концепція (основи державної політики) національної безпеки України;
Концепція технічного захисту інформації в Україні;

Положення про порядок здійснення криптографічного

Положення про порядок здійснення криптографічного захисту інформації в Україні;
НД ТЗІ 1.1-002-98. Термінологія в галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу;
Загальні положення щодо захисту інформації в комп'ютерних системах від несанкціонованого доступу.-НД ТЗІ 1.1-001-98, ДСТСЗІ СБ України, Київ, 1998;
НД ТЗІ 2.2-001-98. Критерії оцінки захищеності інформації в комп'ютерних системах від несанкціонованого доступу;
Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу.-НД ТЗІ 2.2.-002 -98, ДСТСЗІ СБ України, Київ, 1998.

Основним інформаційним законом є закон України «Про інформацію» [5], прийнятий 2 листопада 1992 року. Він містить 54 статті в шести розділах. Цей Закон закріплює право громадян України на інформацію, закладає правові основи інформаційної діяльності. Він містить багато відомостей про інформацію, які для кожного громадянина України можуть виявитися дуже корисними.

Аспекти захисту та безпеки інформації

Для успіху будь-якої програми захисту інформації необхідно охопити нею всю діяльність організації. Програмою захисту інформації мають бути охоплені робочі інструкції і посадові обов'язки кожного, хто зайнятий в даному бізнесі, описи робочих процесів, а також методи аудиту і супроводу.

Основною метою розподілу обов'язків по захисту інформації є інтеграція інформаційної безпеки в середу бізнесу. Як один з етапів цієї інтеграції необхідно визначити посади, які забезпечують безпеку всієї роботи. Наприклад, один із способів здійснення цього полягає в розподілі обов'язків і контролю над активами організації шляхом координування роботи кожного, включаючи відповідальних за інформацію і матеріально відповідальних співробітників. При такому підході, не виникне двозначностей відносно того, хто, за що і коли відповідає.

Ще одним аспектом досліджень є питання, яким чином організовано управління безпекою в організації. Зазвичай в організації формується головна група управління інформаційною безпекою. Головна група відповідає за впровадження і контролює виконання правил безпеки і процедур. Розглядатимемо підхід, прийнятий для необмежених систем (див. главу 2 "Визначення цілей політики"), коли головна група управління інформаційною безпекою призначає адміністраторів безпеки для розрахованих на багато користувачів систем, в яких є велике число підрозділів. Тоді в кожному підрозділі буде свій власний співробітник безпеки або посередник, який допомагатиме впровадженню програми безпеки підрозділу. Таким чином можна забезпечити тіснішу співпрацю тих, хто стежить за безпекою, з користувачами Це схоже на інститут дільничних міліціонерів, прийнятий в міліції.

Тісна співпраця співробітників служби безпеці з останнім персоналом буде корисною і при управлінні зв'язками в реальному часі із сторонніми організаціями. Але загроза безпеці виходить не лише від власних службовців, але і від клієнтів, постачальників, а також від кожного, хто, підключаючись до інформаційних активів організації, має можливість порушити правила безпеки. Посередники повинні відповідати за вчення перерахованих вище аутсайдерів, а також контролювати їх діяльність і стимулювати її. Так працюють в невеликих організаціях. У багатьох з них, особливо в сторонніх організаціях, нечисленний персонал ділять на "відділи", в яких одна людина призначається посередником із службою безпеці.

Проте, це не краще рішення. Деякі люди, що працюють в організації чималий період часу, можуть знайти способи розібратися в тонкощах роботи системи і зловжити цим в якихось своїх цілях. Єдиний спосіб запобігти цьому полягає в тому, аби не допускати перебування співробітника тривалий час в ролі посередника по безпеці, наприклад, не більше одного-двох років. По завершенню цього терміну вони передають свою роботу кому-небудь іншому. Інший спосіб полягає в тому, аби встановити порядок перевірок і обліку. Система постачання організації є одним з керованих процесів. Навіть не дивлячись на те, що велика частина закупівель проходить етап затвердження керівництвом, часто таке твердження відбувається формально, і оплата проходить без подальших повідомлень. Зате посередник безпеки в бухгалтерії стежитиме за порушеннями в порядку закупівель і відвантаження замовлень.

Один ревізор поділився враженнями про свою роботу, яку всі вважають дуже складною. Мало хто здатний виконувати цю роботу. Ревізор повинен знати всі тонкощі бізнесу, особливості клієнтів і постачальників, знати старі і нові правила діловодства, а також - грошові потоки організації. Лише знаючи все це, ревізор зможе розібратися в рахунках і заявках на закупівлі і визначити, чи немає в них якихось порушень.

І останнім аспектом, який слід врахувати в процесі реалізації програми захисту інформації, є цикл розвитку програмного забезпечення. Незалежно від того, чи розроблялося програмне забезпечення власними силами або організацією-підрядчиком, або ж були куплені комерційні програмні продукти (COTS - Commercial Off-the-shelf), метою має бути створення безпечних систем, в яких можна б було легко локалізувати помилки або спроби вторгнення. Впровадження стандартів кодування і тестування також сприятиме забезпеченню якісних виробничих процесів. Більш того, використання такої парадигми як живучість, також може стати основою для проектування програмного забезпечення, з яким не буде проблем при розгортанні або в процесі експлуатації.

Конкретні завдання інформаційної безпеки

Єдиним способом, що гарантує, що будь-який з тих, що працюють в даний час в організації або що приймається на роботу службовець, або користувач знатиме, що забезпечення безпеки є частиною його або її роботи, є включення відповідних записів в посадові інструкції. Виклад функціональних обов'язків і вимог безпеки в посадових інструкціях демонструє співробітникові важливість інформаційної безпеки і заставляє усвідомити, що вона є невід'ємною частиною його роботи. Після того, як ці обов'язки і вимоги введені в посадові інструкції, до них починають відноситися з розумінням того, що вони впливають на оцінку професійної придатності працівника.

Сторонні підрядчики, постачальники або інші особи, які надають послуги безпосередньо в мережі компанії, повинні включати подібні формулювання в свої робочі розпорядження (SOW). Як і у випадку з власними службовцями, такі записи документально підкріплюють зобов'язання компанії, а також заставляє підрядчиків і постачальників строго слідувати правилам вимог безпеки організації, оскільки за цими показниками оцінюватиметься якість послуг, що надаються ними.

Види загроз і атак та їх прояви

Загрози самі по собі не виявляються. Всі загрози можуть бути реалізовані тільки при наявності яких-небудь слабких місць - вразливостей, властивих об'єкту інформатизації. Уразливість - якась слабкість, яку можна використовувати для порушення інформаційної автоматизованої системи або яка міститься в ній. (ДСТУ ISO 7498-2-99 «Інформаційна технологія. Взаємозв'язок відкритих систем. Базова еталонна модель. Частина 1. Архітектура захисту інформації»). Особливу увагу при розгляді ІБ повинна приділятися джерел загроз, в якості яких можуть виступати як суб'єкти (особа), так і об'єктивні прояви. Причому самі джерела загроз можуть знаходитися як всередині об'єкта інформатизації - внутрішні, так і поза ним - зовнішні.

В якості джерел загроз можуть бути: дії суб'єкта (антропогенні джерела загроз); технічні засоби (техногенні джерела загрози); стихійні джерела.

До антропогенним джерел загроз належать суб'єкти, дії яких можуть бути кваліфіковані як умисні чи випадкові злочину. До техногенних джерел загроз належать джерела, що визначаються технократичної діяльністю людини і розвитком цивілізації. До стихійних джерел загроз відносяться стихійні лиха або інші обставини, які неможливо або можливо передбачити, але неможливо запобігти при сучасному рівні людського знання і можливостей. Однак найбільшої шкоди інформації та інформаційних систем наносять неправомірні дії співробітників і комп'ютерні віруси. Американські фахівці стверджують, що до 85% випадків промислового шпигунства ведеться силами співробітників компанії, в якій це відбувається. У 2005 р. більш третини фінансових втрат і втрат даних в організаціях відбувалося з вини їх власних співробітників. Вирішення цих проблем належить до компетенції адміністрації та служби безпеки організації. При цьому рекомендується шифрувати навіть внутрішньофірмове листування.

Віруси представляють широко поширене явище, що відбивається на більшості користувачів комп'ютерів, особливо працюючих в мережах і з неліцензійним програмним забезпеченням. Віруси з'явилися в результаті створення програм, які самозапускаються. Зовнішня схожість цих програм з біологією і медициною за характером впливу на програмно-технічні засоби сприяла появі таких термінів, як: вірус, зараження, лікування, профілактика, щеплення, доктор і ін. Процес впровадження вірусом своєї копії в іншу програму (системну область диска і т.д.) називається зараженням, а програма або інший об'єкт - зараженими. Віруси - це клас програм, незаконно проникають у комп'ютери користувачів і завдають шкоди їх програмного забезпечення, інформаційних файлів і навіть технічних пристроїв, наприклад, жорсткому магнітному диску. З розвитком мережевих інформаційних технологій віруси стали представляти реальну загрозу для користувачів мережевих і локальних комп'ютерних систем.

Віруси проникають і в кишенькові персональні комп'ютери (КПК) Перша троянська програма для КПК (Backdoor.WinCE.Brador.a - утиліта прихованого дистанційного доступу) виявлена в серпні 2004 року. Вона може додавати, видаляти файли на КПК, а також пересилати їх автору вірусу. Програма-вірус зазвичай складається з унікальної послідовності команд - сигнатур (знаків) і поводжень, що дозволяє створювати виявляють їх програми-антивіруси. Деякі віруси не мають унікальних сигнатур і поведінки і можуть видозмінювати самих себе (поліморфні). Все більшу роль в області несанкціонованих впливів на інформацію, будівлі, приміщення, особисту безпеку користувачів та обслуговуючий персонал грають помилкові (в т.ч. випадкові) і навмисні дії людей.

Атаки, засновані на «дірках» операційної системи і програмного забезпечення

Найбільш поширеними віддаленими атаками є впливи, що використовують діри в операційних системах і різному програмному забезпеченні. І в цьому знову ж таки немає нічого дивного. Справа в тому, що реалізувати таку атаку легше легкого. Справжні хакери, які добре знаються на предметній області, пишуть спеціальні утиліти, що використовують відомі уразливості, і викладають їх в Інтернеті. Ну а далі будь-яка людина може завантажити їх до себе на комп'ютер і використовувати на свій розсуд. Але це ще не все. Атаки з використанням дір у програмному забезпеченні відносяться до одного з найнебезпечніших типів впливів на віддалений комп'ютер. Справа в тому, що багато з них дозволяють зловмисникові виконати на ПК жертви будь виконуваний код. А це, як ви, шановні читачі, розумієте, вкрай небезпечно.

Захист від атак з використанням дірок в операційних системах або програмному забезпеченні може бути тільки одна. Мова йде про своєчасній установці всіх патчів і оновлень від розробниками ОС і ПО. Саме з їх допомогою закриваються дірки, роблячи інструменти зловмисників марними. Правда, завжди залишається невеликий ризик того, що атака, організована хакером проти комп'ютера користувача, використовує ще невідому уразливість. Саме тому при роботі в Інтернеті бажано підтримувати режим анонімності, намагатися зробити так, щоб хакер зміг зібрати якомога менше інформації про використовуваної на комп'ютері системі.

Міжнародні стандарти захисту інформації

Критерії оцінки захисту комп'ютера (англ. Trusted Computer System Evaluation Criteria, TCSEC) - стандарт Міністерства оборони США, що встановлює базові вимоги щодо контролю комп'ютерної безпеки вбудованої в обчислювальну систему. TCSEC використовувався, щоб оцінювати, класифікувати та обирати комп'ютерні системи які використовуються для обробки, зберігання та надання доступу до класифікованої інформації.

На TCSEC, часто посилаються як на Оранжеву книгу, яка є основною в серії "веселкових публікацій". Перше видання було зроблене в 1983 Національним центром комп'ютерної безпеки (NCSC). Пізніше перевидана у 1985. TCSEC було замінено у 2005 на міжнародний стандарт Критерії інформаційної безпеки.

За допомогою критеріїв оцінки гарантовано захищених обчислювальних систем можна визначити сім класів захисту систем.

Клас D

Мінімальний захист (англ. Minimal protection). Цей клас зарезервований для тих систем, що були піддані оцінці, але в яких не вдалося досягти виконання вимог більш високих класів оцінок.

Клас C1

Вибіркового захисту (англ. Discretionary protection) Гарантовано захищена обчислювальна база (ТСВ) систем класу С1 забезпечує поділ користувачів і даних. Вона містить засоби управління, здатні реалізувати обмеження до доступу, щоб захистити проект або приватну інформацію і не дати іншим користувачам випадково читати або руйнувати їх дані. Передбачається, що середовище класу С1 є таким середовищем, у якому можуть кооперуватися користувачі, що обробляють дані, які належать до того самого рівня секретності.

Клас C2

Захист, заснований на керованому контролі доступом. Всі вимоги до класу С1 переносяться на клас С2. Крім того, системи цього класу реалізують структурно більш «тонке» управління доступом порівняно із системами класу С1 за рахунок додаткових засобів управління розмежуванням доступу і поширенням прав, а також за рахунок системи реєстрації подій (аудит), що мають відношення до безпеки системи і поділу ресурсів. Спеціально вводиться вимога щодо «очищення» ресурсів системи при повторному використанні іншими процесами.

Клас B1

Мандатний захист, заснований на присвоюванні міток об'єктам і суб'єктам, що перебувають під контролем ТСВ. Вимоги для систем класу В1 припускають виконання усіх вимог, які були необхідні в класі С2. Крім цього, необхідно навести неформальне визначення моделі, на якій будується політика безпеки, присвоювання міток даним і мандатним управлінням доступом іменованих суб'єктів до об'єктів. У системі необхідно мати засіб, що дозволяє точно і надійно присвоювати мітки експортованої інформації.

Клас B2

Структурований захист. Усі вимоги класу В1 мають виконуватися для системи класу В2. У системах класу В2 ТСВ заснована на чітко визначеній і формально задокументованій моделі, в якій управління доступом поширюється на всі суб'єкти й об'єкти даної системи автоматичної обробки даних. Крім цього, має бути проведений аналіз, пов'язаний із наявністю побічних каналів витоків. Необхідно провести розбивку структури ТСВ як за критичними із погляду захисту елементами, так і за некритичними. Інтерфейс ТСВ добре визначений, а її проект і реалізація виконані так, що вони дозволяють проводити ретельне тестування і повний аналіз. Механізми аутентифікації посилені, управління захистом передбачається у вигляді засобів, що призначаються для адміністратора системи і для оператора, а на управління конфігурацією накладаються жорсткі обмеження. Система відносно стійка до спроб проникнення в неї.

Клас B3

Домени безпеки. Усі вимоги для систем класу В2 включені у вимоги до систем класу ВЗ. ТСВ класу ВЗ має реалізовувати концепцію монітора звертань, гарантовано захищеного від несанкціонованих змін, пошкодження і підробки, який обробляє всі звертання. Передбачається введення адміністратора безпеки системи, механізми контролю (аудит) розширені так, щоб забезпечити обов'язкову сигналізацію про всі події, пов'язані з можливим порушенням встановлених у системі правил безпеки. Обов'язковою також є наявність процедур, що забезпечують відновлення працездатності системи. Система даного класу найвищою мірою стійка відносно спроб проникнення в неї.

Клас A1

Верифіковоний проект. Системи цього класу А1 функціонально еквівалентні системам класу ВЗ у тому відношенні, що і них не з'являються будь-які нові вимоги до політики забезпечення безпеки. Характерна риса систем даного класу — формальна специфікація проекту; і верифікації захисту, тобто високий ступінь впевненості в тому, що гарантовано захищена обчислювальна база реалізована правильно.

Практична частина

Захист БД

Для СУБД важливі три основні аспекти інформаційної безпеки:

1) Конфіденційність полягає в тому, що інформація не може бути доступною для ознайомлення користувачами

2) Цілісність-полягає в тому, що інформація не може бути доступна для модифікації користувачем або процесами (фізичними або логічними)

3) Спостереженість - це властивість інформації, що полягає в тому, що процес її обробки постійно знаходиться під контролем певного керуючого органу

Розглянемо на прикладі бази даних «Банки України»». Схема даних представлена на мал.1

Для того щоб задати пароль БД, Відкриваємо MS Access, натискаємо «Файл -> Открыть», обираємо з випадаючого вінка «Монопольно» (Мал.1) :

Натискаємо вкладку «Работа с базами данных -> Задать пароль базы данных» (Мал.2):

Мал. 2

Далі для створення груп користувачів натискаємо «Работа с базами данных -> Пользователи и разрешения» (Мал.3):

Мал. 3

Для створення груп користувачів натискаємо «Пользователи и группы»

та створюємо 3 групи (Мал.4):

Group_1 – має доступ до форм
Group_2 – має доступ до звітів
Group_3 – має доступ до запитів

Мал. 4

Далі для кожної групи потрібно створити користувачів (Мал. 5):

User1
User2
User3

Мал. 5

Переходимо на вкладку «Разрешения» та встановлюємо доступ:

до форм – Group_1 (Мал. 6):

Мал. 6

- до звітів – Group_2 (Мал. 7):

Мал. 7

до запитів – Group_3 (Мал. 8):

Мал. 8

На вкладці «Изминение пароля» ми можемо поставити пароль (Мал. 9)

Мал. 9

Зробивши всі ці дії при запуску БД маємо (Мал. 10-11):

Мал. 10

Мал. 11

Приклад комп’ютерного вірусу

Лістинг коду

program Project1;
uses
Windows,
classes,
forms;
var i,j: Integer;
h: THandle;
wrct: TRect;
MWStruct: HDWP;
W: THandle;
WindowsList: TList;
begin
WindowsList:= TList.Create; // Список видимих вікон
while (true) do
begin
// Цикл перемiщення вікон
for i:= 0 downto -Screen.Width do
begin
WindowsList.Clear;
W:= GetWindow(GetDesktopWindow,GW_CHILD);
while w<>0 do //запускаємо цикл пошуку всих видимих вікон
begin
// Якщо вікно видиме, то добавляємо його в список
if IsWindowVisible(w) then WindowsList.Add(Pointer(w));
w:=GetWindow(w, GW_HWNDNEXT); // шукаємо наступне вікно
end;
MWStruct:=BeginDeferWindowPos(WindowsList.Count-1); // починаємо переміщення
if Pointer(MWStruct)<>nil then
begin
for j := 0 to WindowsList.Count-1 do // запускаємо цикл по всіх вікнах
begin
GetWindowRect(THandle(WindowsList[j]),WRct);
MWStruct:=DeferWindowPos(MWStruct,THandle(WindowsList[j]),HWND_BOTTOM,
WRct.Left+1, WRct.Top, Wrct.Right-WRct.Left, WRct.Bottom-WRct.Top,
SWP_NOACTIVATE or SWP_NOZORDER );
end;
EndDeferWindowPos(MWStruct);
end;
end;
// Затримка в 10 с.
h:= CreateEvent(nil,true,false,'');
WaitForSingleObject(h,10000);
CloseHandle(h);
end;
WindowsList.Free;
end.

Захист інформації 📙 Курсовая → 🆔 82072