Защита информации. 7
Реферат
по дисциплине: «Новые технологии в экономических информационных системах»
на тему: Защита информации
Выполнил (а):
__________________
студент (ка) группы
__________________
Проверил (а) ___________________
Павлодар, 2012 г.
Содержание
Введение
1 Цели защиты информации, понятия и определения
2 Причины уязвимости компьютерных систем
3 Направления защиты информации в информационных системах
4 Классификация средств защиты информации
5 Объекты защиты
Заключение
Список использованных источников
Введение
В связи с постоянным возрастанием роли информационных систем в деятельности предприятий, учреждений, органов власти следует уделить значительное внимание вопросам защиты информации.
Для успешного функционирования информационная система должна обеспечивать условия:
- своевременного доступа (за приемлемое для них время) к необходимой им информации;
- конфиденциальности (сохранения в тайне) определенной части информации;
- достоверности (полноты, точности, адекватности, целостности) информации;
- защиты от навязывания им ложной (недостоверной, искаженной) информации (то есть от дезинформации);
- защиты части информации от незаконного ее тиражирования (защиты авторских прав, прав собственника информации и т.п.);
- разграничения ответственности за нарушения законных прав (интере-сов) других субъектов информационных отношений и установленных правил обращения с информацией;
- возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации.
Недостатки в организации и проведении работ по защиты информации:
- явно выраженная однобокость с точки зрения перекрываемости каналов, по которым может иметь место перехват информации;
- чрезмерная закрытость всех работ по защиты информации привела к тому, что безопасной можно было считать передачу информации только лишь в малой части реально существующих систем передачи;
- до недавнего времени в стране отсутствовала регулярная система подготовки кадров – профессионалов в области защиты информации и регулярная система обмена опытом.
На
практике информационная безопасность
обычно рассматривается как
− конфиденциальность, означающая, что доступ к информации могут получить только легальные пользователи;
− целостность, обеспечивающая, что, во-первых, защищаемая информация может быть изменена только законными и имеющими соответствующие полномочия пользователями, а во-вторых, информация внутренне непротиворечива и (если данное свойство применимо) отражает реальное положение вещей;
− доступность, гарантирующая беспрепятственный доступ к защищаемой информации для законных пользователей.
Деятельность, направленную на обеспечение информационной безопасности, принято называть защитой информации.
- Цели защиты информации, понятие и определение
Цели информационной безопасности состоят в ффективном обеспечении:
- конфиденциальности информации (доступность информации тому и только тому, кому она предназначена). Конфиденциальность информации может достигаться различными способами, например:
- административно-техническими методами ограничения доступа к информации;
- использованием специальных каналов связи;
- фельдъегерской почты;
- путем кодирования информации.
- целостности и достоверности информации (имитостойкость), т.е. обнаружение «любых модификаций, вставок, удалений или повторной передачи данных».
Для режимных государственных организаций
на первом месте стоит
- аутентификация объекта, т.е. «подтверждение того, что объект, участвующий во взаимодействии, является тем, за кого себя выдает»;
- управление доступом к ресурсам т.е. «защита от неавторизованного использования ресурса».
При этом: всякий субъект доступа должен действовать в рамках предписанных ему полномочий; должен осуществляться контроль за исполнением правил разграничения доступа; система защиты должна противодействовать попыткам нарушения правил разграничения доступа;
- авторизация. Авторизация есть аутентификация плюс предоставление индивидуальных прав доступа аутентифицированному объекту.
- полная подконтрольность и подотчетность (регистрация) всей совокупности событий и действий операторов.
Угроза информационной безопасности системы - это потенциально возможное происшествие, которое может быть преднамеренным или непреднамеренным и может оказать нежелательное воздействие на саму систему, а также на информацию, хранящуюся в ней.
Уязвимость системы - это некая ее неудачная характеристика, которая делает возможным возникновение угрозы.
Атака на систему - это действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости. Таким образом, атака - это реализация угрозы.
Принято разделять атаки на так называемые локальные атаки, т.е. атаки, осуществляемые в пределах локальной компьютерной сети и атаки, осуществляемые из - за пределов локальной сети (так называемые сетевые или удаленные атаки). Последние характерны тем, что злоумышленник может находиться на удалении от атакуемого объекта, и нападению может подвергаться не конкретный компьютер, а информация, передающаяся по сетевым соединениям. С развитием локальных и глобальных сетей именно удаленные атаки становятся лидирующими как по количеству попыток, так и по успешности их применения.
Существует
классификация программистов, осуществляющих
разнообразные атаки. В настоящее
время принято разделять всех
профессионалов, связанных с информационной
безопасностью, на хакеров (hackers) и кракеров
(crackers). И те и другие во многом занимаются
решением одних и тех же задач
- поиском уязвимостей в
Самое главное и принципиальное различие между хакерами и кракерами состоит в целях, которые они преследуют. Основная задача хакера в том, чтобы, исследуя вычислительную систему:
- обнаружить слабые места (уязвимости) в ее системе безопасности;
- информировать пользователей и разработчиков системы об этом;
- сформулировать необходимые требования и условия повышения уровня защищенности системы.
С другой стороны, основная задача кракера состоит в непосредственном осуществлении взлома системы с целью получения несанкционированного доступа к чужой информации – иначе говоря, для ее кражи, подмены или для объявления факта взлома. Таким образом, первые - исследователи компьютерной безопасности, вторые - просто взломщики, воры или вандалы.
В средствах
же массовой информации, как правило,
происходит подмена понятий: всех злоумышленников
принято именовать одним
Кракеры, однако, не являются однородной массой, их, в зависимости от цели с которой осуществляется взлом можно разделить на три следующих класса: вандалы, «шутники» и взломщики.
«Вандалы» -
самая известная и самая
«Шутники» - наиболее безобидная часть кракеров (конечно, в зависимости от того, насколько злые они предпочитают шутки), основная цель которых - известность, достигаемая путем взлома компьютерных систем и внесением туда различных эффектов, которые выражают их неудовлетворенное чувство юмора. «Шутники» обычно не наносят существенный ущерб и на сегодняшний день - это наиболее распространенный класс кракеров. К «шутникам» также можно отнести создателей вирусов с различными визуально-звуковыми эффектами (музыка, дрожание или переворачивание экрана, рисование всевозможных картинок и т.п.). Все это, в принципе, либо невинные шалости начинающих, либо - рекламные акции профессионалов.
«Взломщики» - профессиональные кракеры, пользующиеся наибольшим почетом и уважением в кракерской среде, основная задача которых - взлом компьютерной системы с серьезными целями, например, с целью кражи или подмены хранящейся там информации. В общем случае, для того, чтобы осуществить взлом системы, необходимо пройти три основные стадии: исследование системы с выявлением изъянов в ней, разработка программной реализации атаки и непосредственное ее осуществление. Естественно, настоящим профессионалом можно считать того кракера, который для достижения своей цели проходит все три стадии. В нашей стране, в настоящее время сложилась парадоксальная ситуация: большая часть программного обеспечения является пиратским, то есть украденным с помощью тех же взломщиков, поэтому упрекать кракеров - взломщиков могут только те, кто легально приобрел все используемое программное обеспечение.
Помимо осуществления удаленных атак многочисленная категория кракеров занимается более обыденными вещами, а именно: снятием защиты с коммерческих версий программных продуктов, изготовлением регистрационных ключей для условно-бесплатных программ и т.п.
Говоря о
хакерах и кракерах необходимо отметить
также следующее. Во многом благодаря
опять же средствам массовой информации
сформировался определенный миф
о всемогуществе хакеров и
повсеместной беззащитности компьютерных
систем. Отчасти этот миф является
реальностью, в том смысле, что
современные вычислительные системы
и сети общего назначения имеют серьезные
проблемы с безопасностью. Но, подчеркнем,
именно вычислительные системы общего
назначения. Там же, где требуется
обработка критической
В качестве примера можно привести случай на одной из отечественных АЭС, когда местный системный программист внедрил в вычислительную систему программную закладку («троянского коня»), которая чуть не привела к аварии станции. Однако, как утверждает статистика, нарушения безопасности ВС собственным персоналом составляют около 90 процентов от общего числа нарушений.
Таким образом,
для критических вычислительных
систем практически невозможно
реализовать успешную удаленную
атаку на них. Заметки в газетах,
например, о том, что «кракеры проникли
в компьютер известной
Раз уж мы заговорили о мифах, которые встречаются в средствах массовой информации, приведем еще один пример.
Другим мифом является миф о всеобщей беззащитности банковских вычислительных систем. В отличие от ВС стратегического назначения, банки для обеспечения удобства и быстродействия работы с клиентами предоставляют им возможность удаленного доступа из сетей общего пользования к своим банковским вычислительным системам. Однако:
- для связи в этом случае используются защищенные криптографические протоколы и всевозможные системы сетевой защиты;
- предоставление клиенту возможности удаленного доступа отнюдь не означает, что клиент может получить доступ непосредственно к внутренней банковской сети.
Поэтому банковские ВС являются наиболее защищенными после ВС стратегического назначения и примеры взлома банковских систем свидетельствуют скорее о нарушении политики информационной безопасности, т.е. о несоблюдении основных правил защиты.
- Причины уязвимости компьютерных систем
3 Направления защиты информации в информационных системах
С учетом сложившейся практики обеспечения информационной безопасности выделяют следующие направления защиты информации:
1) Правовая защита - это специальные законы, другие нормативные акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе;
2) Организационная защита - это регламентация деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз.
3) Инженерно-техническая защита - это совокупность специальных органов, технических средств и мероприятий по их использованию в интересах защиты конфиденциальной информации.
Для реализации защиты информации создается система безопасности.
Под системой безопасности будем понимать организационную совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятий, государства от внутренних и внешних угроз.
Защищать информационные системы необходимо не только от несанкционированного доступа к хранимой и обрабатываемой в них информации, но и от неправомерного вмешательства в процесс ее функционирования, нарушения работоспособности системы, то есть от любых несанкционированных действий. Защищать необходимо все компоненты информационных систем: оборудование, базы данных, аналитические службы, прикладные программы.
Основными видами угроз безопасности информационных систем и информации являются:
- стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.);
- сбои и отказы оборудования (технических средств) информационных систем;
- последствия ошибок проектирования и разработки компонентов информационных систем (аппаратных средств, технологии обработки информации, программ, структур данных и т.п.);
- ошибки эксплуатации (пользователей, операторов и другого персонала);
- преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов и т.п.).
4 Классификация средств защиты информации
Все многообразие средств защиты информации принято подразделять на 4 класса:
- Технические средства:
+: надежность функционирования, независимость от субъективных факторов, высокая устойчивость от модификаций;
-: недостаточная гибкость, громоздкость, высокая стоимость;
2) Программные средства:
+: универсальность,
гибкость, надежность, простота реализации,
широкие возможности
-: необходимость
использования памяти систем, подверженность
случайным или закономерным
3) Организационные средства:
+: широкий
круг решаемых задач, простота
реализации, гибкость реагирования,
практически неограниченные
-: необходимость
использования людей,
4) Криптографические средства.
Криптографические средства выделяются в отдельный класс, т.к. криптографические преобразования могут быть реализованы как аппаратными, так и программными средствами.
Опыт показывает, что эффективной может быть только комплексная защита, сочетающая как использование как технических средств (аппаратных, программных и криптографических) так и организационные мероприятия.
5 Объекты защиты
Само понятие «безопасность» принимает расширенное содержание, оно включает в себя как составляющие информационно-коммерческую, юридическую и физическую безопасность.
Наряду с государственными секретами в нашей стране получила право на жизнь промышленная секретность, в казахстанском законодательстве появилось понятие коммерческой тайны предприятия.
В общественном сознании все еще
сильны стереотипы восприятия безопасности
как исключительно относящейся
к сфере компетенции
В качестве объекта защиты могут выступать:
- Автономный компьютер (хотя в настоящее время редко можно встретить компьютер, не подключенный к сети);
- Сетевой компьютер или сервер;
- Сетевое оборудование или собственно сеть передачи данных.
С точки зрения информационной безопасности можно выделить два главных отличия сетей от автономных компьютеров:
- Наличие обмена информацией между компьютерами сети;
- Возможность доступа пользователей к общим сетевым ресурсам.
Основные виды угроз сетевого взаимодействия:
- Перехват передаваемых данных с целью их хищения, модификации или переадресации;
- Несанкционированное отправление данных от имени другого пользователя;
- Отрицание пользователем подлинности данных, а также фактов отправления или получения информации.
Заключение
На сегодняшний день существует достаточное количество методов и технологий защиты информации, используемых специалистами для обеспечения информационной безопасности информационных систем. При построении конкретных систем защиты информации необходимо руководствоваться основными принципами организации защиты: системностью, комплексностью, непрерывностью защиты, разумной достаточностью, гибкостью управления и применения, открытостью алгоритмов и механизмов защиты и простотой применения защитных мер и средств, а также придерживаться рекомендаций, полученных на основе опыта предыдущих разработок.
Следует учитывать, что эффективная система защиты информации может быть построена только в том случае, если проведен подробный анализ угроз, определен характер защищаемой информации и разработана политика безопасности информационных систем.
Список использованных источников
- Петраков А.В. Основы практической защиты информации. 3-е изд.Учебное пособие-М.: Радио и связь, 2001г. - 368с.
- Хорошко В.А., Чекатков А.А. Методы и средства защиты информации(под редакцией Ковтанюка) К.: Издательство Юниор, 2003г.- 504с.
- Информационная безопасность и защита информации: учебное пособие для студентов вузов, обучающихся по спец. "Информационные системы и технологии";под ред. С.А. Клейменова ; рец. Н.В. Медведев, УМО вузов России по .-М.: Академия, 2011. - 332 с.
- Криптографические методы защиты информации: учебное пособие для студентов вузов, обучающихся по направлению "Прикладная математика и информатика" и "Информационные технологии";рец.: В.С. Анашин, А.Б. Фролов, УМО по классическому.-М.: Академия, 2010. - 299 с.
