Захист інформації від акустичного і віброакустичного каналу

26

Зміст

Анотація

Вступ

1.              Аналіз об’єкту захисту

2.              Опис і визначення контрольованої зони

2.1 Політика організації санкціонованого доступу на об’єкт

2.2 Захист зон безпеки

3.              Рівні захисту

4.              Канали витоку інформації

5.              Захист виділеного об’єкту

5.1. Радіоканали витоку інформації

5.3. Електричні канали витоку інформації

5.4. Матеріально-речові канали витоку

6.              Вибір обладнання

7.              Висновок

8.              Список використаної літератури

Анотація

              Однією із задач захисту мовної інформації є забезпечення її захисту від витоку через технічні канали.

Захист акустичної (мовної) інформації є однієї з найважливіших завдань у загальному комплексі заходів щодо забезпечення інформаційної безпеки об'єкта або установи. Для перехоплення мовної інформації можуть використовуватись широкий арсенал портативних засобів акустичної розвідки, що дозволяють перехоплювати мовну інформацію із прямого акустичного, віброакустичного, електроакустичного й оптико-електронного каналу. Для захисту мовної інформації використовують  засоби  просторового  і   лінійного   зашумлення,  а також завадопоглинаючі фільтри.

Annotation

One of the problems of protection of linguistic information is to protect it from leakage through technical channels.

Protecting speaker (linguistic) information is one of the most important tasks in the overall set of measures to ensure information security object or entity. For interception of voice information can be used a wide arsenal of portable acoustic intelligence, allowing capture linguistic information from direct acoustic, vibroacoustic, electro-and opto-electronic channel. To protect the voice information using the tools of spatial and linear noise and zavadopohlynayuchi filters.

Вступ

Інформатизаційна безпека суспільства, держави характеризується ступенем їх захищеності, та, як наслідок, стійкістю головних сфер життєдіяльності у відношенні до небезпечних інформаційних впливів. Інформаційна безпека визначається здатністю нейтралізувати такі впливи. Загальноприйнятим є таке визначення інформаційної безпеки, як стан захищеності життєво важливих інтересів громадян, суспільства та держави в інформаційній сфері.

Розрізняють внутрішні та зовнішні джерела інформаційної безпеки. Під внутрішніми джерелами розуміють відсутність історичного, політичного та соціального досвіду життя у правовій державі, що торкається процесу практичної реалізації конституційних прав та свобод громадян, в тому числі в інформаційній сфері. Е. Макаренко та В. Кирик вважають внутрішнім джерелом інформаційної безпеки посилення організованої злочинності та збільшення кількості комп'ютерних злочинів, зниження рівня освіченості громадян, що суттєво ускладнює підготовку трудових ресурсів для використання новітніх технологій, в тому числі інформаційних. Недостатня координація діяльності вищого державного керівництва, органів влади та військових формувань в реалізації єдиної державної політики забезпечення національної безпеки теж можна вважати таким джерелом. До цього слід додати і відставання України від розвинутих країн за рівнем інформатизації органів державної влади, юридично-фінансової сфери, промисловості та побуту громадян.

До зовнішніх джерел належать діяльність іноземних політичних, військових, економічних та розвідувальних структур в інформаційній сфері; політика домінування деяких країн в інформаційній сфері; діяльність міжнародних терористичних груп; розробка концепцій інформаційних війн будь-якими структурами; культурна експансія у відношенні до конкретної країни.

1.      Аналіз об’єкту захисту

Об’єкт захисту є приміщення №14 – режимний кабінет де функціонує закрита інформація. Об’єкт розташований в центрі міста, перед будинком розміщена вулиця по якій проходить рух транспорту і пішоходів, з правого та лівого боку будинку знаходяться відкриті площадки для відпочинку, за будинком розміщена стоянка автомобілів працівників, яка є під охороною; будівля,  в якій знаходиться об’єкт, знаходиться на межі контрольованої зони. Режимне приміщення знаходиться на другому поверсі чотириповерхової будівлі. Площа приміщення 15м2 (Рис.1)

Перекриття (стеля, підлога) – дерев’яні балки: 20-40 см. в висоту, 8-20 см. в ширину і до 15 м. в довжину. Відстань між балками – в межах 60-150 см. Між балками кріпиться звукоізоляція з мінеральної вати. Зовнішні стіни  цегляні, товщиною 0,4 м. Внутрішні стіни цегляні товщиною 0,25 м. В  приміщенні знаходяться два пластикових вікна з подвійним склом. Вхідні двері в приміщення дерев’яні  подвійні.

Основні технічні засоби:

      Багатофункціональний пристрій

      Телевізор

      Проектор

      Телефон-2шт.

      Системний блок-2шт.

      Клавіатура-2шт.

      Маніпулятор «миша»-2шт.

      Монітор-2шт.

Опалювання водяне, в приміщенні знаходяться три батареї, стояк якої проходить від низу до верху. В приміщенні встановленні технічні засоби наступних систем: електроживлення, система вентиляції, штучне освітлення, охоронно-пожежна сигналізація, телефонна лінія.

Система вентиляції в приміщенні є штучна та природна. Природна створюється без застосування електрообладнання (вентиляторів, електродвигунів) і відбувається внаслідок природних факторів – різниці температур повітря (ззовні та всередині приміщення), змін тиску, вітряного тиску. О неї відносяться вентиляційні коробки. Штучна – моноблочна система вентиляції, розміщена в шумоізольованому корпусі. Крім вентиляції у приміщенні передбачено кондиціонування повітря.

Рис.1. План приміщення

-         можливі шляхи отримання інформації порушником

Опис суміжних приміщень:

Зверху – третій поверх  з режимними приміщеннями, знизу – офісні приміщення, північ – зовнішня стіна,  південь – коридор, захід та схід – режимні приміщення.

Рис. 2. План поверху будівлі

2.      Опис і визначення контрольованої зони

Контрольована зона - це територія,  у якій виключена поява осіб і транспортних засобів, що не мають постійних чи тимчасових перепусток.

Крім сполучних ліній технічних засобів прийому, обробки, збереження і передачі інформації (ТЗПІ) і допоміжних технічних засобів і систем (ДТЗС) за межі контрольованої зони можуть виходити проводи і кабелі, які до них не відносяться, але які проходять через приміщення, де встановленні технічні засоби, я також металеві труби систем опалення, водопостачання й інші струмопровідні металоконструкції. Такі проводи, кабелі і струмопровідні елементи називаються сторонніми провідниками.

В свою чергу, контрольована зона ділиться на дві небезпечні зони:

      Небезпечна зона 1 – простір навколо ТЗПІ, у межах якого на випадкових антенах наводиться інформаційний сигнал вище допустимого (нормованого) рівня.

      Небезпечна зона 2 – зона, у якій можливі перехоплення (за допомогою розвідувального приймача) побічних електромагнітних випромінювань і наступна розшифровка інформації, що міститься в них (тобто зона, в межах якої відношення «інформаційний сигнал/завада» перевищує допустиме нормоване значення).

Для даного  режимного приміщення №14,  що знаходиться на 2 поверсі даної будівлі контрольована зона становить 100 метрів. В контрольовану зону входять суміжні приміщення.

Розроблення даної системи розпочнемо з аналізу розташування об’єктів АС на території підохоронного підприємства та побудови відповідних зон безпеки.

Зона 1:

1)       навколишні об’єкти і будови (в радіусі до 100м);

2)       сусідні приміщення;

Зона 2:

1)       системи вентиляції;

2)       система опалювання.

Зона 3:

1)       основне приміщення (стіни, перекриття);

2)       вікна;

3)       головний вхід.

Зона 4:

1)       режимне приміщення;

2)       входи в режимне приміщення.

2.1 Політика організації санкціонованого доступу на об’єкт

1.                  Навколишні будови (в радіусі до 100м) потрібно захистити від:

                  знаходження в них об’єктів іноземних представництв і представництв фірм-конкурентів.

2.                  Сусідні приміщення потрібно захистити від:

      таємного проникнення зловмисника в неробочий час;

      прослуховування з сусідніх приміщень.

3.                  Вхід в приміщення  потрібно захистити від:

      таємного проникнення зловмисника у неробочий час;

      зламу приміщення.

При цьому дозволити вільний вхід у приміщення для, працівників у робочий час.

4.                  Систему водопостачання і каналізації потрібно захистити від:

      утворення паразитних  акустичних сигналів уздовж коробів, труб;

      розповсюдження електромагнітних сигналів уздовж коробів, труб;

      фізичного проникнення через них зловмисника;

                  сторонніх дій некваліфікованих осіб.

5.                  Основне приміщення (стіни, перекриття) потрібно захистити від:

      фізичного проникнення через неї зловмисника;

      пошкодження;

      впливів стихійних лих навколишнього середовища;

      розповсюдження акустичних хвиль у твердому матеріалі.

6.                  Вікна потрібно захистити від:

      відбиваючих властивостей поверхні скла (підданості  лазерному прослуховуванню);

      перегляду приміщення сторонніми особами;

      фізичного проникнення через неї зловмисника.

При цьому всі засоби захисту вікон мають виглядати естетично і відповідати загальному екстер'єру й інтер’єру.

7.                  Головний вхід потрібно захистити від:

      таємного несанкціонованого фізичного проникнення через нього зловмисника у неробочий час;

      зламу.

При цьому організувати відкривання дверей зранку і закривання дверей увечері після закінчення робочого дня відповідальними особами (охороною). А в робочий час доступ через головний вхід у будівлю має бути вільним для будь-яких осіб під наглядом охоронців.

8.                  Коридор потрібно захистити від:

      знаходження в ньому сторонніх об’єктів;

      таємного знаходження в ньому  зловмисника;

      протиправних дій відвідувачів.

9.                  Вхід у службове приміщення  потрібно захистити від:

      таємного несанкціонованого фізичного проникнення через нього зловмисник;

      злому;

      підслуховування.

При цьому,  необхідно організувати в разі необхідності можливість відвідувачу з певними повноваженнями, чи спеціально викликаним представникам організацій, що взаємодіють з питань технічного забезпечення (енерго-, водо-, теплопостачання і таке інше) увійти до внутрішніх приміщень з обов’язковою фіксацією запису зображення їх перебування в приміщеннях, приводу їх перебування в приміщеннях, тощо.

10.             Локальну мережу з виходом у Internet потрібно захистити від:

      проникнення в неї вірусів і закладок;

      перегляду сторонніми особами зображення на моніторі;

      спостереження сторонніми особами за роботою з клавіатурою;

      несанкціонованого доступу до оперативної пам’яті чи накопичувачів комп’ютера.

11.             Кабельний телефон та радіотелефон потрібно захистити від:

      випромінювання електромагнітних сигналів, які потім можуть перехоплюватись;

      випадковими антенами;

      авто генерації та мікрофонного ефекту;

      паразитної модуляції.

12.             Ксерокс, сканер потрібно захистити від:

      випромінювання електромагнітних сигналів;

      спостереження сторонніми особами за їх роботою;

      дії на них сторонніх осіб.

13.             Супутникову систему потрібно захистити від:

      авто генерації та мікрофонного ефекту;

      паразитної модуляції;

      випромінювання електромагнітних сигналів, які потім можуть перехоплюватись;

      випадковими антенами.

14.             Лінії мережі електроживлення потрібно захистити від:

      наведення на технічні засоби, інші проводи та кабелі, які розміщені на відстанях;

      менш критичних;

      безпосереднього гальванічного підключення;

      наведення на проводи та кабелі, що мають спільну трасу проходження, на інші;

      ланцюги того ж самого кабелю.

15.             Кондиціонер потрібно захистити від:

      перетворювання акустичних сигналів в електромагнітні з подальшим передаванням колами електроживлення;

      стороннього впливу з боку інших технічних засобів, проводів та кабелів, що знаходяться поруч.

2.2 Захист зон безпеки

Забезпечуємо захист кожної зони з метою створення послідовних рубежів на шляху можливих дій порушника. Складність системи захисту повинна відповідати зоні і її наближеності до ІзОД.

Зона 1:

Навколишні будови і сусідні приміщення повинні бути перевірені на тип діяльності, що в них здійснюється. Також вони повинні бути максимально відділені, потрібно максимально зменшити ризик проникнення зловмисників через стіни, стелю, підлогу, з сусідніх приміщень(ці ж дії проводяться в зоні 2), а також забезпечити вібростійкість і шумостійкість для уникнення витоку інформації через стіни підлогу і стелю( для цього в стіни підлогу і стелю вмонтовуються прошарки з вібро- і шумопоглинаючих матеріалів, а також вони укріплюються за допомогою залізобетонних конструкцій).

Зона 2:

Система вентиляції та опалювання може бути джерелом паразитних наведень з боку зовнішньої апаратури. Тому застосовуємо засоби відбиття загроз: установлюємо спеціальні шумові пристрої на трубах  опалювання та коробах вентиляції, що створюють електромагнітне поле перешкод . Крім того повинні бути проведені роботи по капітальному ремонту цих систем, заміна усіх труб на метало пластикові. Відповідальність за проведені роботи покладається на представників організацій, що взаємодіють з питань технічного забезпечення  водо- теплопостачання про що має бути складений відповідний акт. Зовні люк повинен бути захищений ґратами, лози яких розташовуються хрестом або ромбом. Для запирання ґрат використовуються замки з протяжними скобами, крім того, в місці розташування замка приварюється металевий лист.             

Зона 3:

Основне приміщення (стіни, перекриття)  обладнується  сейсмічними сенсорами на п’єзоелектричному ефекті. Даним способом здійснюється захист від механічного проникнення в будівлю і попередження впливів навколишнього середовища (землетруси, шквали й інші стихійні лиха природи).

Вікна оснащуються контактними сенсорами і засобами відбиття загроз: екрануванням, генераторами шуму і ущільнюють . Крім того, вікна  між 2-ма віконними рамами обладнуються ґратами, що замикаються  на замки з протяжними скобами.

Два гловних входи представляють собою стальні двері оброблені декоративним покриттям. Для замикання таких дверей використовується багаторігельний врізний замок з електронним кодовим доступом. Код доступу для кожної особи різний і періодично змінюється СБ. Відомостями про кодові комбінації володіє СБ, вона ж здійснює видачу їх персоналу з відповідним розписом особи про нерозголошення. Доступ відвідувачів  через головний вхід здійснюється виключно під наглядом охоронця. Також забезпечується камера відео-спостереження яка здійснює  нагляд за головним входом і розташована на огорожі.             

Зона 4:

Коридор повинен бути оснащений камерами таємного спостереження, відомостями про знаходження яких повинні  володіти виключно працівники СБ, та відкритою камерою спостереження навпроти входу. Працівниками СБ періодично повинна проводитись перевірка вестибюлю на наявність сторонніх предметів.  Також повинна бути проведена система пожежної сигналізації з властивістю нейтралізації місця пожежі. Подібні системи встановлюються в усіх приміщеннях об’єкту.

Входи в приміщення захищаються дверима з багаторігельними замками з електронним кодовим доступом. Кожна особа персоналу має доступ у визначені приміщення, що призначаються СБ. Доступ відвідувачів у приміщення допускається тільки при присутності осіб з СБ персоналу.

3.      Рівні захисту

Успіх в області інформаційної безпеки може принести тільки комплексний підхід, що уособлює в собі заходи чотирьох рівнів:

-                     законодавчого;

-                     адміністративного;

-                     процедурного;

-                     програмно-технічного.

Законодавчий рівень

Проблема ІБ - не тільки (і не стільки) технічна; без законодавчої бази, без постійної уваги керівництва організації й виділення необхідних ресурсів, без заходів керування персоналом і фізичного захисту вирішити її неможливо. Комплексність також ускладнює проблематику ІБ; необхідна взаємодія фахівців з різних галузей.

Законодавчий рівень є найважливішим для забезпечення інформаційної безпеки. Необхідно всіляко підкреслювати важливість проблеми ІБ;сконцентрувати ресурси на найважливіших напрямках досліджень; скоординувати освітню діяльність; створити й підтримувати негативне відношення до порушників ІБ - все це функції законодавчого рівня.

На законодавчому рівні особливої уваги заслуговують правові акти й стандарти.

При розробці комплексної системи захисту інформації для нашого виділеного приміщення було опрацьовано такі основні нормативні документи:

1.     ЗАКОН УКРАЇНИ «Про інформацію»

Цей Закон регулює відносини щодо створення, збирання, одержання, зберігання, використання, поширення, охорони, захисту інформації.

Види інформації за змістом:

     За змістом інформація поділяється на такі види:

-         інформація про фізичну особу;

-         інформація довідково-енциклопедичного характеру;

-         інформація про стан довкілля (екологічна інформація);

-         інформація про товар (роботу, послугу);

-         науково-технічна інформація;

-         податкова інформація;

-         правова інформація;

-         статистична інформація;

-         соціологічна інформація;

-         інші види інформації.

2.      ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ Захист інформації. Технічний захист інформації. Основні положення (ДСТУ 3396.0-96)

Цей стандарт установлює об’єкт, мету, основні організаційно-технічні положення забезпечення технічного захисту інформації (ТЗІ), неправомірний доступ до якої може завдати шкоди громадянам, організаціям (юридичним особам) та державі, а також категорії нормативних документів системи ТЗІ.

Вимоги стандарту обов’язкові для підприємств та установ усіх форм власності і підпорядкування, громадян - суб’єктів підприємницької діяльності, органів державної влади, органів місцевого самоврядування, військових частин усіх військових формувань, представництв України за кордоном, які володіють, користуються та розпоряджаються інформацією, що підлягає технічному захисту.

3.      ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ Захист інформації Технічний захист інформації. Порядок проведення робіт (ДСТУ 3396.1-96)

Цей стандарт установлює вимоги до порядку проведення робіт з технічного захисту інформації (ТЗІ).

Вимоги стандарту обов`язкові для підприємств та установ усіх форм власності й підпорядкування, громадян-суб`єктів підприємницької діяльності, органів державної влади, органів місцевого самоврядування, військових частин усіх військових формувань, представництв України за кордоном, які володіють, користуються та розпоряджаються інформацією, що підлягає технічному захисту.

4.      ДЕРЖАВНИЙ СТАНДАРТ УКРАЇНИ Захист інформації. Технічний захист інформації. Терміни та визначення

Цей стандарт установлює терміни та визначення понять у сфері технічного захисту інформації (ТЗІ).

Терміни, регламентовані у цьому стандарті, обов'язкові для використання в усіх видах організаційної та нормативної документації, а також для робіт зі стандартизації, і рекомендовані для використання у довідковій та навчально-методичній літературі, що належить до сфери технічного захисту інформації.

Терміни стандарту є обов'язковими для використання підприємствами та установами усіх форм власності і підпорядкування, громадянами - суб'єктами підприємницької діяльності, міністерствами (відомствами), центральними і місцевими органами державної виконавчої влади, військовими частинами усіх військових формувань, представництвами України за кордоном, які володіють, використовують та розпоряджаються інформацією, що становить державну чи іншу передбачену законом таємницю або є конфіденційною інформацією, яка належить державі.

5.      ЗАКОН УКРАЇНИ «Про радіочастотний ресурс України»

Цей Закон встановлює правову основу користування радіочастотним ресурсом України, визначає повноваження держави щодо умов користування радіочастотним ресурсом України, права, обов'язки і відповідальність органів державної влади, що здійснюють управління і регулювання в цій сфері, та фізичних і юридичних осіб, які користуються та/або мають намір користуватися радіочастотним ресурсом України.

6.     ЗАКОН УКРАЇНИ «Про державну таємницю»

Цей Закон регулює суспільні відносини, пов'язані з віднесенням інформації до державної таємниці, засекречуванням, розсекречуванням її матеріальних носіїв та охороною державної таємниці з метою захисту національної безпеки України.

Крім того, всі технічні засоби захисту, які встановлюються на об’єкті захисту повинні бути сертифіковані та ліцензовані в Україні. Це повинно бути підтверджено відповідними сертифікатими.

Адміністративний рівень

Головне завдання засобів адміністративного рівня - сформувати програму робіт в області інформаційної безпеки й забезпечити її виконання, виділяючи необхідні ресурси й контролюючи стан справ.

Основою програми є політика безпеки, що відбиває підхід організації до захисту своїх інформаційних активів.

Розробка політики й програми безпеки починається з аналізу ризиків, першим етапом якого, у свою чергу, є ознайомлення з найпоширенішими загрозами.

Головні загрози - внутрішня складність ІС, ненавмисні помилки штатних користувачів, операторів, системних адміністраторів й інших осіб, що обслуговують інформаційні системи.

На другому місці по розміру збитку стоять крадіжки й підробки.

Реальну небезпеку представляють пожежі й інші аварії підтримуючої інфраструктури.

У загальному числі порушень росте частка зовнішніх атак, але основний збиток як і раніше наносять "свої". Тому при прийомі працівників на роботу з ними підписується трудовий договір або контракт. В контракті (трудовому договорі) обов’язково вказується пункт про те, що працівники не маються права розголошувати будь-яким чином інформацію, з якою працюють. За розголошення наступає адміністративна або кримінальна відповідальність. Оскільки в будь-якій системі завжди існує «людський фактор», то потрібно також вжити заходів, щоб мінімізувати ймовірність його появи. Людський фактор може проявлятись, наприклад, у підкупі працівників конкуруючою фірмою. Відповідно потрібно забезпечити працівникам такі умови праці, щоб у них не виникало потреби і бажання переступати закон та положення трудового договору (контракту). Можна, наприклад, забезпечити працівникам обов’язковий медичний поліс страхування, відвідування фітнес-центру один раз на тиждень за рахунок фірми. Також організовувати путівки на бази відпочинку в Карпати та Крим. Для дітей співробітників забезпечити путівки у табори відпочинку.

Процедурний рівень

Основні класи заходів процедурного рівня:

1)     керування персоналом;

2)     фізичний захист;

3)     підтримка працездатності;

4)     реагування              на порушення              режиму              безпеки,              планування відновлювальних робіт.

Керування персоналом

Керування персоналом починається із прийому нового співробітника на роботу й навіть раніше - зі складання посадових інструкцій. Уже на даному етапі бажано підключити до роботи фахівця з інформаційної безпеки для визначення комп'ютерних привілеїв, асоційованих з посадою.

Існує два загальних принципи, які варто мати на увазі:

                  розподіл обов'язків;

                  мінімізація привілеїв.

Принцип розподілу обов'язків пропонує так розподіляти ролі й відповідальність, щоб одна людина не могла порушити критично важливий для організації процес.

Принцип мінімізації привілеїв пропонує виділяти користувачам тільки ті права доступу, які необхідні їм для виконання службових обов'язків. Призначення цього принципу очевидно - зменшити збиток від випадкових або навмисних некоректних дій.

Фізичний захист

Безпека інформаційної системи залежить від оточення, у якому вона функціонує. Необхідно прийняти заходи для захисту будинків і прилягаючої території підтримуючої інфраструктури, обчислювальної техніки, носіїв даних.

Основний принцип фізичного захисту, дотримання якого варто постійно контролювати, формулюється як "безперервність захисту в просторі й часі", Раніше ми розглядали поняття вікна небезпеки. Для фізичного захисту таких вікон бути не повинно.

Напрямки фізичного захисту:

-         фізичне керування доступом;

-         протипожежні заходи;

-         захист підтримуючої інфраструктури;

-         захист від перехоплення даних;

-         захист мобільних систем.

Засоби фізичного керування доступом дозволяють контролювати й при необхідності обмежувати вхід та вихід співробітників і відвідувачів. Контролюватися може весь будинок організації, а також окремі приміщення, наприклад, ті, де розташовані сервери, комунікаційна апаратура й т.п.

необхідність установки протипожежної сигналізації й автоматичних засобів пожежогасіння. Звернемо також увагу на те, що захисні заходи можуть створювати нові слабкі місця.

До підтримуючої інфраструктури можна віднести системи електро-, водо-і теплопостачання, кондиціонери й засоби комунікацій. У принципі, до них можна застосувати ті ж вимоги цілісності й доступності, що й до інформаційних систем. Для забезпечення цілісності потрібно захищати устаткування від крадіжок та ушкоджень. Дія підтримки доступності варто вибирати устаткування з максимальним терміном праці на відмову, дублювати відповідальні вузли й завжди мати під рукою запчастини.