Защита информации. 3

План:

1. Введение…………………………………………………………………… 3
2. Принципы, основные задачи и функции обеспечения информационной безопасности………………………………………………………………..4
3. Отечественные и зарубежные стандарты в области информационной безопасности………………………………………………………………..7
4. Методы защиты информации…………………………………………....15

а) Классификация возможных каналов утечки информации в ПЭВМ…...15

б) Направления обеспечения безопасности информации…………………18

в) Защита от несанкционированного доступа……………………………...20

г) Защита при помощи программных паролей……………………………..21

д) Защита методом  автоматического обратного вызова…………………...23

е) Защита методом  шифрования данных…………………………………...24

ж) Защита от компьютерного  вируса. Основные методы защиты от компьютерных вирусов……………………………………………26

з) Стратегия защиты от вирусов…………………………………………….28

и) Действия при заражении вирусом……………………………………….29

5. Заключение……………………………………………………………… 33
6. Список литературы………………………………………………………34

Введение

Зашита  информации в настоящее время  становится все более и более  популярный не только среди крупных  фирм, но так же и среди  обычных  пользователей.

Защитой информации называют  комплекс мероприятий, направленных на обеспечение важнейших  аспектов информационной безопасности (целостности, доступности и, если нужно, конфиденциальности информации и ресурсов,используемых для ввода, хранения, обработки и  передачи данных) .

Следует так же отметить, что система называется безопасной, если она, используя соответствующие  аппаратные и программные средства, управляет доступом к информации так, что только должным образом  авторизованные лица или же действующие  от их имени процессы получают право  читать, писать, создавать и удалять  информацию.  Сегодня существует множество методов защиты информации,  таких как программные пароли, шифрование, различные антивирусные программы и многое другое

Цель  моей работы: осветить основные принципы и задачи защиты информации, а так  же попытаться разобраться в основных функциях и методах защиты информации.

 Принципы, основные задачи и функции обеспечения информационной безопасности

Поскольку информационная безопасность должна быть связующим звеном между политикой  национальной безопасности и информационной политикой страны, то логично было бы проводить ее по единым принципам, общим и для национальной безопасности, и для информационной политики. В  то же время, если сопоставить принципы обеспечения национальной безопасности, закрепленные в Законе РФ «О безопасности»  и в Концепции национальной безопасности, с принципами государственной информационной политики (ГИП), изложенными в парламентском  варианте Концепции ГИП, то прямо  они не совпадают друг с другом, а в ряде случаев взаимопротиворечивы. по своему содержанию (например, баланс интересов — равенство, государственные  интересы — социальная ориентация).

Так в  новой Концепции национальной безопасности по ряду принципов, закрепленных в Законе, раскрыто их содержание (приведено  в скобках):

• законность (соблюдение Конституции Российской Федерации, законодательства Российской Федерации и норм международного права при осуществлении деятельности по обеспечению национальной безопасности);
• соблюдение баланса жизненно важных интересов личности, общества и государства (единство, взаимосвязь и сбалансированность всех видов безопасности, гибкое изменение их приоритетности в зависимости от ситуации);
• не допускается ограничение прав и свобод граждан, за исключением случаев, прямо предусмотренных законом (уважение прав и свобод человека);

Ряд принципов  не нашел отражения в Концепции, хотя закреплен в Законе (взаимная ответственность личности, общества и государства по обеспечению  безопасности; интеграция с международными системами безопасности);

Добавлены новые принципы обеспечения безопасности (приоритет политических и экономических  мер обеспечения национальной безопасности с опорой на военный потенциал  России; сочетание централизованного  управления силами и средствами обеспечения  безопасности с передачей в соответствии с федеративным устройством России части полномочий в этой области  органам государственной власти субъектов Российской Федерации  и органам местного самоуправления).

Авторы  Концепции ГИП исходят же из того, что государственная информационная политика должна опираться на следующие  базовые принципы:

• открытости политики (все основные мероприятия информационной политики открыто обсуждаются обществом и государство учитывает общественное мнение);
• равенства интересов (политика в равной степени учитывает интересы всех участников информационной деятельности вне зависимости от их положения в обществе, формы собственности и государственной  принадлежности);
• системности (при реализации принятых решений по изменению состояния одного из объектов регулирования должны учитываться его последствия для состояния других и всех в совокупности);
• приоритетности отечественного производителя (при равных условиях приоритет отдается конкурентоспособному отечественному производителю информационно-коммуникационных средств, продуктов и услуг);
• социальной ориентации (основные мероприятия ГИП должны быть направлены на обеспечение социальных интересов граждан России);
• государственной поддержки (мероприятия информационной политики, направленные на информационное развитие социальной сферы финансируются преимущественно государством);

Поскольку от эффективности выполнения последней  указанной функции во многом напрямую зависят сроки и возможности  организации системы обеспечения  информационной безопасности, то стоит  рассмотреть ее содержание подробнее.

Отечественные и зарубежные стандарты в области  информационной безопасности

В Российской Федерации сейчас насчитывается  более 22 тысяч действующих стандартов. Стандартизация начинается с основополагающего  стандарта, устанавливающего общие  положения. На сегодняшний день такого стандарта в области информационной безопасности нет. Девять ГОСТов: ГОСТ 28147—89, ГОСТ Р 34.10—94, ГОСТ Р 34.11-94, ГОСТ 29.339-92, ГОСТ Р 50752-95, ГОСТ РВ50170-92, ГОСТ Р 50600-93, ГОСТ Р 50739-95, ГОСТ Р 50922-96 относятся к различным  группам по классификатору стандартов и, к сожалению, не являются функционально  полными ни по одному из направлений  защиты информации. Кроме того, есть семейства родственных стандартов, имеющих отношение к области  защиты информации:

• системы тревожной сигнализации, комплектуемые извещателями различного принципа действия, — 12 ГОСТов;
• информационные технологии (сертификация систем телекоммуникации, программных и аппаратных средств, аттестационное тестирование взаимосвязи открытых систем, аттестация баз данных и т. д.) — около 200 ГОСТов;
• системы качества (в том числе стандарты серии 9000, введенные в действие на территории РФ) — больше 100 ГОСТов.

Значительная  часть стандартов на методы контроля и испытаний (около 60 %) может быть признана не соответствующей требованию Закона РФ «Об обеспечении единства измерений», как правило, в части  погрешностей измерений. Отсутствуют стандарты в сфере информационнопсихологической безопасности.

 Таким  образом, очевидно, что работа  над объектами стандартизации  в сфере информационной безопасности  только разворачивается. Для этого  крайне важен международный опыт. В 1983 году Агентство компьютерной  безопасности Министерства обороны  США опубликовало отчет, названный  TSEC (Критерии Оценки Защищенности  Надежных Систем) или Оранжевая  книга (по цвету переплета), где  были определены 7 уровней безопасности (Al — гарантированная защита, Bl, B2, В3 — полное управление доступом, Cl, C2 — избирательное управление  доступом, D —минимальная безопасность) для оценки защиты конфиденциальных  данных в многопользовательских  компьютерных системах. Для оценки  компьютерных систем Министерства  обороны США Национальный Центр  компьютерной безопасности МО  США выпустил инструкции NCSC-TG-005 и  NCSC-TG-011,известные как Красная  книга (по цвету переплета). В  качестве ответа Агентство информационной  безопасности ФРГ подготовило  Green Book (Зеленая книга), где рассмотрены  в комплексе требования к доступности,  целостности и конфиденциальности  информации как в государственном,  так и в частном секторе.  В 1990 году Зеленая книга была  одобрена ФРГ, Великобританией,  Францией и Голландией и направлена  в ЕС, где на ее основе была  подготовлена ITSEC (Критерии Оценки  Защищенности Информационных Технологий) или Белая книга как европейский  стандарт, определяющий критерии, требования  и процедуры для создания безопасных  информационных систем, имеющий  две схемы оценки: по эффективности  (от Е1 до Е6) и по функциональности (доступность, целостность системы,  целостность данных, конфиденциальность  информации и передача данных). С учетом интеграции России  в общеевропейские структуры  рассмотрим подробнее положения  европейского стандарта. В Белой книге названы основные компоненты критериев безопасности ITSEC:

1. Информационная  безопасность.

2. Безопасность  системы. 

3. Безопасность  продукта.

4. Угроза  безопасности.

5. Набор  функций безопасности.

6. Гарантированность  безопасности.

7. Общая  оценка безопасности.

8. Классы  безопасности.

Согласно  европейским критериям ITSEC, информационная безопасность включает в себя шесть  основных элементов ее детализации:

1. Конфиденциальность  информации (защита от несанкционированного  получения информации).

2. Целостность  информации (зашита от несанкционированного  изменения информации).

3. Доступность  информации (защита от несанкционированного  или случайного удержания информации  и ресурсов системы).

4. Цели  безопасности (зачем нужны функции  информационной 

безопасности).

5. Спецификация  функций безопасности: • идентификация  и аутентификация (понимается не  только традиционная проверка  подлинности пользователя, но и функции для регистрации новых пользователей и удаления старых, а также функции для изменения и проверки аутентификационной информации, в т. ч. средств контроля целостности и функции для ограничения количества повторных попыток аутентификации);

• управление доступом (в том числе функции безопасности, которые обеспечивают: временное ограничение доступа к совместно используемым объектам, с целью поддержания целостности этих объектов; управление  распространением прав доступа; контроль за получением информации путем логического вывода и агрегирования данных);
• подотчетность (протоколирование);
• аудит (независимый контроль);
• повторное использование объектов;
• точность информации (поддержка определенного соответствия между разными частями данных (точность связей) и обеспечение неизменности данных при передаче между процессами (точность коммуникации));
• надежность обслуживания (функции обеспечения, когда действия, критичные по времени, будут выполнены именно тогда, когда нужно; некритичные действия нельзя перенести в разряд критичных; авторизованные пользователи за разумное время получат запрашиваемые ресурсы; функции обнаружения и нейтрализации ошибок; функции планирования для обеспечения коммуникационной безопасности, т, е. безопасности данных, передаваемых по каналам связи);
• обмен данными.

6. Описание  механизмов безопасности.

В Белой  книге декларируется разница  между «системой» и «продуктом». Под «системой» понимается конкретная аппаратно-программная конфигурация, созданная с вполне определенными  целями и работающая визвестном окружении, а под «продуктом» — аппаратно-программный  пакет, который можно купить и  по своему усмотрению вставить в ту или иную «систему». Для объединения  критериев оценки «системы» и  «продукта» в ITSEC вводится единый термин — «объект» оценки. Каждая «система»  и/ или «продукт» предъявляют  свои требования к обеспечению конфиденциальности, целостности и доступности информации. Для их реализации необходим и  соответствующий набор функций  безопасности таких, как идентификация  и аутентификация, управление доступом, восстановление после сбоев, подотчетность, аудит, правила повторного использования  объектов доступа, точность информации, надежность обслуживания, обмен данными. Например, для реализации функций  идентификации и аутентификации могут использоваться такие механизмы, как специальный сервер «KERBEROS», а  для защиты компьютерных сетей —фильтрующие маршрутизаторы, сетевые анализаторы  протоколов (экраны) типа Firewall/Plus, Firewall/1, пакеты фильтрующих программ и т. д. Чтобы «объект» оценки можно было признать надежным, необходима определенная степень уверенности, которая декларируется  как гарантированность безопасности, включающая в себя два компонента — эффективность и корректность механизмов безопасности (средств защиты). В некоторых источниках гарантированность  также называют адекватностью средств  защиты. При проверке эффективности  анализируется соответствие между задачами безопасности по конфиденциальности, целостности, доступности информации и реализованным набором функций безопасности — их функциональной полнотой и согласованностью, простотой использования, а также возможными последствиями использования злоумышленниками слабых мест защиты. Кроме того, в понятие эффективности включается и способность механизмов защиты противостоять прямым атакам, которая называется мощностью механизмов защиты. По ITSEC декларируются три степени мощности (базовая, средняя, высокая). При проверке корректности анализируются правильность и надежность реализации функций безопасности. По ITSEC декларируются семь уровней корректности — от Е0 до Е6. Общая оценка безопасности системы по ITSEC состоит из двух компонент — оценки уровня гарантированной эффективности механизмов (средств)безопасности и оценки уровня их гарантированной корректности.

Безопасность  системы в целом оценивается  отдельно для «систем» и «продуктов». Защищенность их не может быть выше мощности самого слабого из критически важных механизмов безопасности (средствзащиты).

В европейских  критериях устанавливаются 10 классов  безопасности (FC1, F-C2, F-B1, F-B2, F-B3, F-IN, F-AV, F-D1, F-DC, F-DX). Первые пять из них аналогичны классам Cl, C2, Bl, B2, В3 американских критериев TCSEC. Класс F-IN предназначен для систем с высокими потребностями к обеспечению целостности, что типично для СУБД, и различает виды доступа: чтение, запись, добавление, удаление, создание, переименование и выделение объектов. Класс F-AV предназначен для систем с высокими требованиями к обеспечению их работоспособности за счет противодействия угрозам отказа в обслуживании (существенно для систем управления технологическими процессами). Класс F-D1 ориентирован на системы с повышенными требованиями к целостности данных, которые передаются по каналам связи. Класс F-DC характеризуется повышенными требованиями к конфиденциальности информации, а класс F-DX предназначен для систем сповышенными требованиями одновременно по классам F-D1 и F-DC. Канада разработала СТСРЕС, и, наконец, США разработали новые Федеральные Критерии (Federal Criteria). Так как эти критерии являются несовместимыми между собой, было принято решение попытаться гармонизировать (объединить) все эти критерии в новый набор критериев оценки защищенности, названный Common Criteria (CC). Общие критерии дают набор критериев по оценке защищенности и устанавливают:

• требования к функциональным возможностям и гарантиям;
• 7 уровней доверия (Уровни Гарантий при Оценке), которые может запросить пользователь (уровень EAL1 обеспечивает лишь небольшое доверие к корректности системы, а уровень EAL7 дает очень высокие гарантии);
• два понятия: Профиль Защиты (РР) и Цель безопасности (ST).

Одним из отечественных аналогов перечисленных  стандартов является Руководящий документ Гостехкомиссии РФ «Автоматизированные  системы.

Защита  от несанкционированного доступа к  информации. Классификация автоматизированных систем и требований по защите информации». Комплексность защиты информации достигается  за счет использования унифицированного алгоритмического обеспечения для  средств криптографической защиты в соответствии с российскими  государственными стандартами:

• ГОСТ 28147—89 «Системы обработки информации. Защита
• криптографическая. Алгоритм криптографического преобразования»;
• ГОСТ Р 34. 10—94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма»;
• ГОСТ Р 34. 11—94 «Информационная технология. Криптографическая защита информации. Функция хэширования»;
• ГОСТ Р 50739—95 «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования».

Поскольку деятельность любой организации  подвержена множеству рисков, в том  числе вследствие использования  информационных технологий, то относительно недавно появилась новая функция  — управление рисками, которая включает в себя два вида деятельности: оценку (измерение) рисков и выбор эффективных  и экономичных защитных регуляторов. Процесс управления рисками можно  подразделить на следующие этапы:

1. Выбор  анализируемых объектов и степени  детальности их 

рассмотрения.

2. Выбор  методологии оценки рисков.

3. Идентификация  активов. 

4. Анализ  угроз и их последствий, определение  слабостей в защите.

5. Оценка  рисков.

6. Выбор  защитных мер. 

7. Реализация  и проверка выбранных мер. 

8. Оценка  остаточного риска. 

Правовое  регулирование этих отношений возможно и необходимо, прежде всего, через  страхование информационных рисков.

Проблема  обеспечения безопасности носит  комплексный характер. Для ее решения  необходимо сочетание как правовых мер, так и организационных (например, в компьютерных информационных системах на управленческом уровне руководство  каждой организации должно выработать политику безопасности, определяющую общее направление работ, и выделить на эти цели соответствующие ресурсы) и программно-технических (идентификация  и аутентификация; управление доступом; протоколирование и аудит; криптография; экранирование)¹.

Методы защиты информации

а) Классификация возможных  каналов утечки информации в ПЭВМ

Использование ПЭВМ в военной, коммерческой и других областях человеческой деятельности порождает  ряд специфических проблем, которые  необходимо решить для защиты обрабатываемой и хранящейся в ПЭВМ информации. Одной из них является классификация  возможных каналов утечки информации.

Под возможным каналом утечки понимается способ, позволяющий нарушителю получить доступ к обрабатываемой или хранящейся в ПЭВМ информации .

Классификация возможных каналов утечки информации в первом приближении можно провести исходя из типа средства, являющегося  основным при получении информации по возможному каналу утечки. Предлагается различать три типа средств: человек, аппаратура, программа.

В соответствии с каждым типом средства все возможные  каналы утечки также можно разбить  на три группы:

• хищение носителей информации (магнитных дисков, лент, дискет, карт и т.д.);
• чтение информации с экрана посторонним лицом ( во время отображения информации на экране законным пользователем или при отсутствии законного пользователя на рабочем месте);
• чтение информации из оставленных без присмотра распечаток программ.

В группе каналов , в которых основным средством  является аппаратура , можно выделить следующие основные возможные каналы утечки информации:

• подключение к устройствам ПЭВМ специально разработанных аппаратных средств, обеспечивающих доступ к информации;
• использование специальных технических средств для перехвата электромагнитных излучений технических средств ПЭВМ.

В группе каналов, в которых основным средством  является программа, можно выделить следующие основные каналы утечки:) несанкционированный доступ к информации;

• расшифровка программой зашифрованной информации;
• копирование программной информации с носителей.

Хищение данных возможно на этапах разработки алгоритмов, составления программы, перенесения программы с бланков  на носители (перфокарты, перфоленты, магнитные  карты, ленты и т.д.) при выводе результатов и их анализе. Для  исключения возможных хищений данных все места, где происходит работа с любыми носителями, располагаются  на контролируемой территории с ограничением допуска. Все носители регистрируются и хранятся так же, как и другие грифованные документы.

Наводки в сопутствующих цепях могут  быть весьма сильными и распространяются на большие расстояния за пределы  контролируемой территории. Для исключения этих каналов утечки информации применяется  ряд технических мер. Все сопутствующие  цепи экранируются от ЭВМ и ее устройств. Цепи заземления должны быть автономными  и не связанными с системой заземления другой радиотехнической и радиоэлектронной аппаратуры. Для питания ЭВМ подводится автономный фидер, на вход ЭВМ ставится механический преобразователь энергии (мотор-генератор), о6еспечивающий электрическую  развязку цепей ЭВМ с внешними электрическими сетями.

Для исключения или ослабления интенсивности излучения  ЭВМ должны располагаться на значительном расстоянии от границы контролируемой территории. Если обстоятельства или  неосторожность не позволяют этого, то применяются специальные меры по экранировке, излучений. Могут экранироваться отдельные устройства (дисплеи, терминалы  и т.д.), либо все помещения, где  находятся ЭВМ. В ряде случаев  могут использоваться специальные  генераторы шумов, перекрывающие спектр излучения устройств ЭВМ.

В линиях связи, по которым производится передача данных на большие расстояния, возможно подслушивание и перехват данных. Кроме того, возможно несанкционированное подключение терминалов. Для исключения данного канала утечки информации, как в месте передачи, так и в месте приема грифованных данных должна устанавливаться аппаратура засекречивания (ЗАС) или шифрование данных.

б) Направления  обеспечения безопасности информации

Организационный аспект.

 Включает  следующие правила: размещение  и установка ПЭВМ должны исключать  возможность их бесконтрольного  использования и просмотра информации  лицами без права доступа;

 Без  средств разграничения доступа  разрешается использование, если  ПЭВМ не имеет выхода на  локальную сеть и не имеет  жестких дисков (при наличии жестких  дисков ПЭВМ используется одним  пользователем или все пользователи  имеют равные полномочия).

Носители  информации (дискеты) должны храниться  у ответственных за эксплуатацию ПЭВМ в местах, недоступных для  посторонних лиц и выдаваться только на рабочее время.

Важная  информация должна иметь несколько  копий на равных носителях.

Защита  данных на жестком диске должна поддерживаться периодическим копированием на диски  и за счет разбиения памяти жесткого диска на несколько разделов, которые  распределяются между пользователями.

Данные  относящиеся к различным задачам, целесообразно хранить отдельно.

Необходимо  строго руководствоваться правилами  обращения с магнитными носителями.

Контроль  за доступом к ПЭВМ осуществляется ответственным за ее эксплуатацию.

Все работы, выполняемые на ПЭВМ, должны фиксироваться  в журнале учета работы и заверяться подписями пользователя и ответственного за эксплуатацию.

Технологический аспект

 Связан  с различными видами ограничений,  которые поддерживаются применяемой  в информационной системе структурой  СУБД и должны быть доступны  пользователю. К ним относятся:

• ограничение, обновления определенных атрибутов с целью сохранения требуемых пропорций между их старыми и новыми значениями;
• ограничения, требующие сохранения значений поля показателя в некотором диапазоне;
• ограничения, связанные с заданными функциональными зависимостями.

Обычно  в СУБД в язык манипулирования  данными уже закладываются необходимые  компоненты указанных ограничений. Проблема защиты от компьютерного вируса непосредственно связана с проблемой  защиты информации от несанкционированного доступа.

в) Защита от несанкционированного доступа

Проблема  обеспечения санкционированности  использования информации является неоднозначной, но в основном охватывает вопросы защиты данных от нежелательной  модификации или уничтожения  компьютерным вирусом, или неосторожным, неграмотным действием), а также  и от несанкционированного их чтения. Можно выделить три обобщенных механизма  управления доступом к данным:

• идентификация пользователя;
• непосредственная (физическая ) защита данных;
• поддержка прав доступа пользователя к данным с возможностью их передачи.

Идентификация пользователей определяет шкалу  доступа к организационным мероприятиям, хотя отдельные вопросы могут  касаться непосредственно данных, например, их кодирование. И, наконец, средства поддержки  и передачи прав доступа должны строго задавать характер дифференцированного  общения с данными.

г) Защита при помощи программных паролей

Согласно  этому методу, реализуемому программными средствами, процедура общения пользователей  и ЭВМ построена так, что запрещается  доступ к операционной системе ПЭВМ до тех пор пока не будет введен пароль.

Пароль  держится пользователем в тайне  и периодически меняется, чтобы предотвратить  несанкционированное его использование.

Метод паролей  является самым распространенным, доступным, простым и дешевым, однако он не обеспечивает надежной защиты. Используя метод  проб и ошибок , можно раскрыть пароль и получить доступ к информации. Более того, многие пароли состоят  из простых слов, которые легко  запоминаются и естественно легче  отгадываются. Как правило, такие  пароли имеют длительный период своего обновления, что тоже способствует облегчению вскрытия пароля. От подобных недостатков свободен метод динамических паролей. Суть которого состоит в  следующем. Пароль формируется по определенному  алгоритму, учитывающему некоторые  дополнительные данные: время и дату входа в систему. При   входе  в систему на экране появляется последовательность символов, обработав которую в  соответствии с алгоритмом , известным  только данному пользователю, пользователь вводит пароль. Таким образом в  систему каждый раз вводится новый  пароль.

Несмотря  на указанные недостатки, применение метода паролей следует считать  рациональным даже при наличии других аппаратных и программных методов  защиты. Обычно метод паролей сочетается с другими программными методами, определяющими ограничения по видам  и объектам доступа. Логически подобную систему можно представить в виде матрицы управления доступом, которая определяет виды доступа, предусмотренные для различных пользователей и данных. Как правило, эта матрица содержит лишь небольшое количество реальных элементов, так что общий принцип защиты реализуется в виде списков управления доступом, связанных с каждым защищенным блоком данных или отдельными данными. Каждый такой список включает имена всех объектов данных и групп пользователей, которым представляется право доступа к данному объекту. Слежение за правильностью организации этого процесса должна осуществлять операционная система. Список для управления обычно включает также все виды разрешения операций доступа: чтение, запись или выполнение программы. Операционная система для каждого зарегистрированного пользователя хранит его краткие данные, включающие пароль пользователя, идентификатор группы пользователя и соответствующий набор прав пользователя по отношению к данным.