Министерство  образования и науки Украины

     Донбасский  Государственный Технический Университет 

     Факультет экономики и финансов 

     Кафедра экономической кибернетики и  информационных технологий 
 
 

     Реферат 

     по  дисциплине: «Проектирование баз данных и знаний» 

     Тема: «Защита информации в базе данных, подключаемых через Web-страницы» 
 
 
 

                                                           Выполнил:

     студент группы ЭК-07

                                                           Кучеренко В. Л.

                                                           Проверил:

     доц. Бизянов Е. Е. 
 

Алчевск – 2011 
СОДЕРЖАНИЕ

      ВВЕДЕНИЕ

     Базы  данных выполняют функцию систематизации знаний. На основе этой систематизации могут создаваться новые знания. Так или иначе, любая база данных служит человеку именно для описания происшедших в прошлом событий  и на основе знания этих событий помогает принять то или иное решение на будущее. База знаний может быть построена как мультимедийный справочник или как набор текстов и файлов другого формата, проиндексированных по определенным признакам в базе данных.

     База  данных – это, прежде всего, хранилище объектов данных, т.е. набора возможных понятий или событий, описываемых базой данных, с возможностью поиска этих объектов по признакам. Неотъемлемой чертой базы данных является возможность связывания объектов между собой. Базой данных можно считать не только таблицы, индексирующие файлы со знаниями разных форматов, но и сами эти файлы, потому, что они являются не типизированными хранилищами знаний в такой базе данных.

     Развитие  новых информационных технологий и  всеобщая компьютеризация привели к тому, что информационная безопасность не только становится обязательной, она еще и одна из характеристик ИС. Существует довольно обширный класс систем обработки информации, при разработке которых фактор безопасности играет первостепенную роль (например, банковские информационные системы).

     Под безопасностью понимается защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, от попыток хищения (несанкционированного получения) информации, модификации или физического разрушения ее компонентов. Иначе говоря, это способность противодействовать различным возмущающим воздействиям на ИС.

     Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств.

     Если  исходить из классического рассмотрения кибернетической модели любой управляемой  системы, возмущающие воздействия  на нее могут носить случайный характер. Поэтому среди угроз безопасности информации следует выделять как один из видов угрозы случайные, или непреднамеренные. Их источником могут быть выход из строя аппаратных средств, неправильные действия работников ИС или ее пользователей, непреднамеренные ошибки в программном обеспечении и т.д. Такие угрозы тоже следует держать во внимании, так как ущерб от них может быть значительным. Однако в данной главе наибольшее внимание уделяется угрозам умышленным, которые, в отличие от случайных, преследуют цель нанесения ущерба управляемой системе или пользователям. Это делается нередко ради получения личной выгоды.

     Сегодня можно утверждать, что рождается  новая современная технология —  технология защиты информации в компьютерных информационных системах и в сетях передачи данных. Реализация этой технологии требует увеличивающихся расходов и усилий. Однако все это позволяет избежать значительно превосходящих потерь и ущерба, которые могут возникнуть при реальном осуществлении угроз ИС и ИТ.

1ЗАЩИТА ИНФОРМАЦИИ

     Чем больше людей получают доступ к системе, например при расширении бизнеса  или при подключении к ЛВС, тем выше степень риска и защита становится важной проблемой. Во-первых, возможную угрозу, хотя и ограниченную, представляют те, кто имеет физический доступ к компьютеру некоего пользователя: они могут, например, случайно удалить файл.

     Во-вторых, с точки зрения безопасности сам  Интернет является враждебной средой: количество тех, кто может нанести  ущерб чьей-либо системе намеренно  или по ошибке возрастает катастрофически. Риск потерь тем выше, чем с более конфиденциальной информацией имеет дело пользователь.

     Нарушители  порядка. Нарушения в работе системы, вызванные действиями людей, приводят к различным последствиям и могут быть преднамеренными или непреднамеренными. Добравшись до содержимого сервера (естественно чужого), хакер может просто оставить файл – «подпись» или запустить вирус, или даже полностью уничтожить содержимое сервера.

     Хакер (hacker) – программист, способный писать программы без предварительной разработки детальных спецификаций и оперативно вносить исправления в работающие программы, не имеющие документации, в том числе и непосредственно в машинных кодах, что требует высочайшей квалификации. Иногда под хакером ошибочно подразумевают взломщика.

     Взломщик  – пользователь вычислительной системы (обычно компьютерной сети), занимающийся поиском незаконных способов получить доступ к защищенным ресурсам, например конфиденциальной информации. Им нужна информация определенного рода: номера кредитных карточек и банковских счетов. Для них это не игра, а серьезный бизнес, поэтому для получения доступа к системам они используют арсенал искусных инструментов и программ. Отловом взломщиков занимается Интерпол – международная организация, объединяющая представителей правоохранительных органов более чем 50 стран мира. Во многих странах этим занимаются спецслужбы. В США – Федеральное Бюро Расследований (FBI – Federal Bureau of Investigations – ФБР), но когда речь идет о государственных учреждениях высокого уровня, то в дело вступает Агентство Национально Безопасности (NSA – National Security Agency – АНБ). На сегодняшний день это одна из самых могущественных спецслужб мира, занимающихся информационной разведкой и защитой информации правительства США и некоторых особо дружественных государств. Россия в их число не входит.

     Чаше  всего любые слабые места компьютерной системы возникают из-за неправильно  сконфигурированного программного обеспечения, ненадежности паролей, а  также потому, что передаваемую по проводам информацию легко перехватить. Организуя защиту, необходимо сначала определить слабые места конкретной системы. Неправильно сконфигурированное программное обеспечение создает в защите бреши, которые опытный хакер легко обнаружит.

     Иногда  ненадежность защиты – результат проектных недостатков или ошибок программного обеспечения. Бизнес хакеров основан на том, чтобы быть в курсе таких просчетов. Обнаруженные ошибки в защите быстро распространяются по Интернету, поэтому лучше сохранять в тайне данные о своем сервере и его программном обеспечении. Если хакеру известно, какую конкретную систему использует администратор узла для поддержки своего присутствия в Интернете, то он, раздобыв дополнительную информацию, сможет атаковать сервер.

     Информацию  крадут и посредством анализатора пакетов (packet analyser, sniffer). Этот инструмент позволяет определять проблемы маршрутизации и производительности в Интернете. Хакеры используют его для просмотра содержимого пакетов, передаваемых по сети, в надежде извлечь из него полезную информацию. Следует иметь в виду, что всякий «открытый» текст, пересылаемый через Интернет, может быть перехвачен. Это аналогично риску при использовании радиотелефона: подслушивать может кто угодно и когда угодно. И хотя вероятность этого невелика, лучше не сообщать номера своих кредитных карточек по радиотелефону.

     Одна  из причин, по которым защита в Интернете  так сложна, - отсутствие единого  руководящего центра. В результате человеку, имеющему соответствующие  знания, очень легко обмануть систему, заставив ее думать, что он тот, кем на самом деле не является. Такой метод атаки называется имитацией (spoofing). Кроме того, зачастую невозможно отследить местонахождение хакера в Интернете.

2 МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ  ИНФОРМАЦИИ

     2.1 Методы защиты информации

     Установка препятствия — метод физического преграждения пути злоумышленнику к защищаемой информации, в т.ч. попыток с использованием технических средств съема информации и воздействия на нее.

     Управление  доступом — метод защиты информации за счет регулирования использования всех информационных ресурсов, в т.ч. автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты:

• идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора);
• аутентификацию (установление подлинности) объекта или субъекта по предъявленному им идентификатору;
• проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);
• разрешение и создание условий работы в пределах установленного регламента;
• регистрацию (протоколирование) обращений к защищаемым ресурсам;
• реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

     Маскировка  — метод защиты информации с использованием инженерных, технических средств, а  также путем криптографического закрытия информации.

     2.2 Криптографические методы защиты информации

     Современная криптография включает в себя четыре крупных раздела:

• Симметричные криптосистемы. В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ. (Шифрование - преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом, дешифрование - обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный);
• Криптосистемы с открытым ключом. В системах с открытым ключом используются два ключа - открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения.( Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования текстов.);
• Электронная подпись. Системой электронной подписи называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.
• Управление ключами. Это процесс системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.

     Основные направления использования криптографических методов - передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

     2.3 Средства защиты информации

     Средства  защиты информации можно разделить на: средства, предназначенные для защиты информации. Эти средства не предназначены для непосредственной обработки, хранения, накопления и передачи защищаемой информации, но находящиеся в одном помещении с ними. 

     Средства  защиты информации делятся на:

• пассивные – физические (инженерные) средства, технические средства обнаружения, приборы контроля радиоэфира, линий связи и т.п.;
• активные – источники бесперебойного питания, шумогенераторы, скремблеры, устройства отключения линии связи, программно-аппаратные средства маскировки информации и др.

     Пассивные средства защиты акустического и  виброакустического каналов утечки речевой информации.

     Для предотвращения утечки речевой информации по акустическому и виброакустическому каналам, осуществляются мероприятия по выявлению каналов утечки. В большинстве случаев для несанкционированного съема информации из помещения противник применяет соответствующие замыслу закладные устройства.

     Всю процедуру поиска закладных устройств  можно условно разбить на несколько  этапов:

     • физический поиск и визуальный осмотр;

     • обнаружение радиозакладных устройств  как электронных средств;

     • проверка наличия каналов утечки информации.

     Осмотр  осуществляется путем обследования всех предметов в зоне контроля, размеры которых достаточно велики для того, чтобы можно было разместить в них технические средства негласного съема информации (настольные приборы, рамы картин, телефоны, цветочные горшки, книги, питаемые от сети устройства: компьютеры, ксероксы, радиоприемники и т. д.).

     Физический  поиск и визуальный осмотр объектов проводят с применением специальных средств видеонаблюдения и металлодетекторов.

     Необнаруженных  РЗУ при визуальном осмотре осуществляют по их демаскирующим признакам с  применением специальных средств  обнаружения. РЗУ, как правило, содержат в своей конструкции электронные схемы и, при своей работе излучают радиосигнал. 

     Основными признаками излучения радиозакладок  являются:

• относительно высокий уровень излучения, обусловленный необходимостью передачи сигнала за пределы контролируемого помещения.
• непрерывная или непрерывная в течение некоторого времени работа (прерывистый режим работы днем и практически, полное молчание ночью; излучение возникает одновременно с поднятием трубки и исчезает, когда трубка положена).
• появление нового источника в обычно свободном частотном диапазоне.
• использование в ряде радиозакладок направленных антенн приводит к сильной локализации излучения, то есть существенной неравномерности его уровня в пределах контролируемого объекта.
• особенности поляризации излучения радиозакладок. При изменении пространственного положения или ориентации приемной антенны наблюдается изменение уровня всех источников. Однако однотипные удаленные источники одного диапазона ведут себя примерно одинаково, тогда как сигнал закладки изменяется отлично от остальных. Эффект поляризации обнаруживается при использовании анализаторов спектра.
• изменение («размывание») спектра излучений радиомикрофонов при возникновении каких-либо шумов в контролируемом помещении. Он проявляется только в том случае, если РЗУ работает без кодирования передаваемой информации.

     К основным устройствам, применяемым  для обнаружения РЗУ относятся:

     - индикаторы поля;

     - специальные радиоприемники;

     - программно-аппаратные комплексы  радиоконтроля;

     - нелинейные радиолокаторы.

     Индикаторы  поля – приборы определяющие наличие  ЗУ по их радиоизлучению. Индикаторы, или  детекторы поля являются простейшими  средствами обнаружения факта использования  радиозакладок. Это приемники с  низкой чувствительностью, поэтому  они обнаруживают излучения радиозакладных устройств на предельно малых расстояниях (10- 40 см), чем и обеспечивается селекция «нелегальных» излучений на фоне мощных «разрешенных» сигналов. Важное достоинство детекторов - способность находить передающие устройства вне зависимости от применяемой в них модуляции. Основной принцип поиска состоит в выявлении абсолютного максимума уровня излучения в помещении.

     Иногда  детекторы используют и в так  называемом сторожевом режиме. В этом случае после полной проверки помещения  на отсутствие ЗУ фиксируется уровень поля в некоторой точке пространства (обычно это стол руководителя или место ведения переговоров), и прибор переводится в дежурный режим. В случае включения закладки (примерно на удалении до двух метров от детектора), индикатор выдает сигнал о повышении уровня электромагнитного поля. Однако необходимо учитывать тот факт, что если будет использоваться радиозакладка с очень низким уровнем излучения, то детектор скорее всего не зафиксирует ее активизацию.

     Радиоприемные устройства, как устройства выявления радиозакладок, должны удовлетворять трем основным условиям:

• иметь возможность настройки на частоту работы устройств, скрытно передающих перехваченную информацию, т.е. иметь возможность контролировать большой набор частот либо одновременно во всем диапазоне либо перестраиваясь от значения к значению за предельно малый промежуток времени - панорамные приемники;
• обладать функциями выделения нужного сигнала по характерным признакам на фоне мешающих сигналов и помех (избирательность по спектру частот);
• обладать способностью к демодуляции различных видов сигналов (избавляться от сигнала несущей частоты, а полезный сигнал преобразовывать в низкочастотный сигнал и демодулировать с помощью детектора, соответствующего типу использованной модуляции).

     Программно-аппаратные комплексы радиоконтроля-для расширения возможностей специальных приемников их функционально совмещают с  персональными компьютерами, что  существенно повышает надежность и  оперативность поиска ЗУ, делает процедуру выявления более удобной (технологичной).

     На  компьютер при этом возлагается  решение следующих задач:

• хранение априорной информации о радиоэлектронных средствах, работающих в контролируемой области пространства и выбранных диапазонах частот;
• получение программными методами временных и частотных характеристик принимаемых сигналов;
• тестирование принимаемых сигналов по совокупности признаков на принадлежность к излучению ЗУ.

     Программно-аппаратные комплексы радиоконтроля обеспечивают:

• выявление излучений РЗУ;
• пеленгование РЗУ в реальном масштабе времени;
• определение дальности до источников излучения;
• аналого-цифровую обработку сигналов с целью определения их принадлежности к излучению РЗУ;
• контроль силовых, телефонных, радиотрансляционных и других сетей;
• работу в многоканальном режиме, позволяющем контролировать несколько объектов одновременно;
• постановку прицельных помех на частотах излучения РЗУ и др.

     Программно-аппаратные комплексы радиоконтроля состоят  из следующих элементов:

• широкодиапазонного перестраиваемого по частоте приемника (сканера);
• блока распознавания РЗУ, осуществляющего идентификацию излучений радиомикрофонов на основе сравнения принятых детектированных сигналов с естественным акустическим фоном помещения (пассивный способ) или тестовым акустическим сигналом (активный способ);
• блока акустической локации, позволяющего по запаздыванию переизлученного зондирующего звукового импульса определять расстояние до активных радиомикрофонов;
• электронно-вычислительной машины (процессора), осуществляющей как обработку полученных данных, так и управление приемником.
• По принципу построения все известные приборы данного класса делятся на две основные группы:
• специально разработанные комплексы, конструктивно выполненные в виде единого устройства;
• комплексы, сформированные на базе серийного сканера, персонального компьютера (обычно notebook) и специального программного обеспечения.

     Нелинейные  радиолокаторы применяются для  поиска внедренных РЗУ, не использующих радиоканал для передачи информации, а также РЗУ, находящихся в пассивном (неизлучающем) состоянии.

     Нелинейные  радиолокаторы - приборы, излучающие электромагнитную волну с частотой f, а принимающие переизлученные сигналы на частотах f. Если такие сигналы будут обнаружены, то в зоне действия локатора есть полупроводниковые элементы, и их необходимо проверить на возможную принадлежность к ЗУ. Нелинейный радиолокатор обнаруживает только радиоэлектронную аппаратуру и, в отличие от классического линейного радиолокатора, «не видит» отражений от окружающих предметов, то есть обладает высокой избирательностью. Источниками помех для его работы могут служить контакты со слабым прижимом, для которых характерно наличие промежуточного окисного слоя.

     Активные  технические средства защиты акустического и виброакустического канала.

     Для активной защиты речевой информации от необнаруженных закладных устройств  и съема по другим каналам используется аппаратура активной защиты:

• Технические средства пространственного зашумления;
• Устройства виброакустической защиты;
• Технические средства ультразвуковой защиты.

     Технические средства пространственного и линейного  зашумления.

     По  принципу действия все технические  средства пространственного и линейного  зашумления можно разделить на три  большие группы:

     Средства  создания акустических маскирующих  помех:

• генераторы шума в акустическом диапазоне;
• устройства виброакустической защиты;
• технические средства ультразвуковой защиты помещений;

     Средства  создания электромагнитных маскирующих  помех:

• технические средства пространственного зашумления;
• технические средства линейного зашумления, которые в свою очередь делятся на средства создания маскирующих помех в коммуникационных сетях и средства создания маскирующих помех в сетях электропитания;
• многофункциональные средства защиты.

3. ВИДЫ УМЫШЛЕННЫХ УГРОЗ БЕЗОПАСНОСТИ  ИНФОРМАЦИИ

     3.1 Пассивные и  активные угрозы

     Пассивные угрозы направлены в основном на несанкционированное  использование информационных ресурсов, не оказывая при этом влияния на ее функционирование. Например, несанкционированный доступ к базам данных, прослушивание каналов связи и т.д.

     Активные  угрозы имеют целью нарушение  нормального функционирования информационной системы путем целенаправленного  воздействия на ее компоненты. К  активным угрозам относятся, например, вывод из строя компьютера или его операционной системы, разрушение программного обеспечения компьютеров, нарушение работы линий связи и т.д. Источником активных угроз могут быть действия взломщиков, вредоносные программы и т.п.

     Умышленные  угрозы подразделяются на внутренние (возникающие внутри управляемой  организации) и внешние.

     Внутренние  угрозы чаще всего определяются социальной напряженностью и тяжелым моральным  климатом.

     Внешние угрозы могут определяться злонамеренными действиями конкурентов, экономическими условиями и другими причинами (например, стихийными бедствиями). Широкое распространение получил промышленный шпионаж - это наносящий ущерб владельцу коммерческой тайны незаконные сбор, присвоение и передача сведений, составляющих коммерческую тайну, лицом, не уполномоченным на это ее владельцем.

     К основным угрозам безопасности информации и нормального функционирования информационных систем относятся:

• ошибочное использование информационных ресурсов;
• несанкционированный обмен информацией между абонентами;
• отказ от информации;
• нарушение информационного обслуживания;
• незаконное использование привилегий.
• утечка конфиденциальной информации;
• компрометация информации;

     Ошибочное использование информационных ресурсов будучи санкционированным тем не менее может привести к разрушению, утечке или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок, имеющихся в программном обеспечении информационных технологий.

     Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен. Последствия — те же, что и при несанкционированном доступе.