Реферат: Защита информации в компьютерных системах
Защита информациив компьютерных системах — слагаемые успеха
Прогресс подарилчеловечеству великое множество достижений, но тот же прогресс породил и массупроблем.
Человеческийразум, разрешая одни проблемы, непременно
сталкивается приэтом с другими, новыми, и этот процесс обречен на бесконечность в своей последовательности.
Хотя, если ужбыть точным, новые проблемы — это всего лишь обновленная форма старых.
Вечная проблема — защита информации. На различных этапах своего развития человечество решало эту проблему с
присущей дляданной эпохи характерностью. Изобретение
компьютера идальнейшее бурное развитие информационных
технологий вовторой половине 20 века сделали проблему
защиты информациинастолько актуальной и острой,
насколько актуальнасегодня информатизация для всего общества.
Главнаятенденция, характеризующая развитие современных
информационныхтехнологий — рост числа компьютерных
преступлений исвязанных с ними хищений конфиденциальной и иной информации, а также материальныхпотерь. По
результатамодного исследования, посвященного вопросам компьютерныхпреступлений, около 58% опрошенных пострадали от компьютерных взломов запоследние 12 месяцев. Примерно 18 % опрошенных из этого числа заявляют, чтопотеряли более миллиона долларов в ходе
нападений, более66 процентов потерпели убытки в размере 50 тыс. долларов. Свыше 22% атак былинацелены на промышленные секреты или документы, представляющие интерес преждевсего для конкурентов.
Сегодня, наверное,никто не сможет с уверенностью назвать точную цифру суммарных потерь откомпьютерных преступлений, связанных с несанкционированных доступом кинформации. Это объясняется, прежде всего, нежеланием пострадавших компанийобнародовать информацию о своих потерях, а также тем, что не всегда потери отхищения информации можно точно оценить в денежном эквиваленте.
Однако по данным,опубликованным в сети Internet, общие потери от несанкционированного доступа кинформации в компьютерных системах в 1997 году оценивались в 20
миллионовдолларов, а уже в 1998 года в 53,6 миллионов долларов.
Причинактивизации компьютерных преступлений и связанных с ними финансовых потерьдостаточно много, существенными из них являются:
переход оттрадиционной «бумажной» технологии хранения и передачи сведений наэлектронную и недостаточное при этом развитие технологии защиты информации втаких технологиях;
объединениевычислительных систем, создание глобальных
сетей ирасширение доступа к информационным ресурсам;
увеличениесложности программных средств и связанное с
этим уменьшениечисла их надежности и увеличениемуязвимостей.
Любое современноепредприятие независимо от вида деятельности и формы собственности не всостоянии успешно развиваться и вести хозяйственную деятельность для созданияна нем условий для надежного функционирования системы защиты собственнойинформации.
Отсутствие умногих руководителей предприятий и компаний
четкогопредставления по вопросам защиты информации
приводит к тому,что им сложно в полной мере оценить
необходимостьсоздания надежной системы защиты информации на своем предприятии и тем болеесложно бывает определить конкретные действия, необходимые для защиты тех илииных конфиденциальных сведений. В общем случае руководители предприятий идут попути создания охранных служб, полностью игнорируя при этом вопросыинформационной безопасности. Отрицательную роль при этом играют и некоторыесредства массовой информации, публикуя «панические» статьи осостоянии дел по защите информации, формирующие у читателей представление оневозможности в современных условиях обеспечить требуемый уровень защитыинформации. Можно с уверенностью утверждать, что создание эффективной системызащиты информации сегодня вполне реально. Надежность защиты информации, преждевсего, будет определяться полнотой решения целого комплекса задач, речь окоторых будет продолжена дальше.
Информация какобъект защиты
Построениенадежной защиты включает оценку циркулирующей
в компьютерной системеинформации с целью уточнения
степени ееконфиденциальности, анализа потенциальных
угроз ее безопасности иустановление необходимого режима
ее защиты.
Федеральным законом «Об информации,информатизации и
защите информации»определено, что информационные
ресурсы, т.е. отдельныедокументы или массивы
документов, в том числеи в информационных системах,
являясь объектомотношений физических, юридических лиц и
государства, подлежатобязательному учету и защите, как
всякое материальноеимущество собственника. При этом
собственникупредоставляется право самостоятельно в
пределах своейкомпетенции устанавливать режим защиты
информационных ресурсови доступа к ним.
Закон также устанавливает, что«конфиденциальной
информацией считаетсятакая документированная
информация, доступ ккоторой ограничивается в
соответствии сзаконодательством Российской Федерации».
При этом федеральныйзакон может содержать прямую норму,
согласно которойкакие-либо сведения относятся к
категорииконфиденциальных или доступ к ним
ограничивается. Так,Федеральный закон «Об информации,
информатизации и защитеинформации» напрямую относит к
категорииконфиденциальной информации персональные
данные (информацию о гражданах).Закон РСФСР «О банках и
банковской деятельностив РСФСР» ограничивает доступ к
сведениям по операциям,счетам и вкладам клиентов и
корреспондентов банков(статья 25).
Однако не ко всемсведениям, составляющим
конфиденциальнуюинформацию, применима прямая норма.
Иногда законодательноопределяются только признаки,
которым должныудовлетворять эти сведения. Это в
частности относится кслужебной и коммерческой тайне,
признаки которыхопределяются Гражданским кодексом РФ
(статья 139):
соответствующаяинформация неизвестна третьим лицам;
к ней свободногодоступа на законном основании;
меры по обеспечениюее конфиденциальности принимает
собственникинформации.
В настоящее времяотсутствует какая-либо универсальная
методика, позволяющаячетко соотносить ту или иную
информацию к категориикоммерческой тайны. Можно только
посоветовать исходитьиз принципа экономической выгоды и
безопасностипредприятия — чрезмерная «засекреченность»
приводит кнеобоснованному подорожанию необходимых мер
по защите информации ине способствует развитию бизнеса,
когда как широкаяоткрытость может привести к большим
финансовым потерям илиразглашению тайны. Законопроектом
«О коммерческойтайне» права по отнесению информации к
категории коммерческойтайны представлены руководителю
юридического лица.
Федеральный закон«Об информации, информатизации и
защитеинформации», определяя нормы, согласно которых
сведения относятся ккатегории конфиденциальных,
устанавливает и целизащиты информации:
предотвращениеутечки, хищения, искажения, подделки
информации;
предотвращениенесанкционированных действий по
уничтожению,искажению, блокированию информации;
сохранениегосударственной тайны, конфиденциальности
документированнойинформации.
Определившись внеобходимости защиты информации,
непосредственно приступают кпроектированию системы
защиты информации.
Организация защитыинформации
Отдельный разделзаконопроекта «О коммерческой тайне»,
посвященный организациизащиты коммерческой информации,
определяет необходимыйкомплекс мероприятий по ее защите:
установление особогорежима конфиденциальности;
ограничение доступа кконфиденциальной информации;
использованиеорганизационных мер и технических
средств защитыинформации;
осуществлениеконтроля за соблюдением установленного
режимаконфиденциальности.
Конкретное содержаниеуказанных мероприятий для каждого
отдельно взятогопредприятия может быть различным по
масштабам и формам. Это зависит впервую очередь от
производственных,финансовых и иных возможностей
предприятия, от объемовконфиденциальной информации и
степени ее значимости.Существенным является то, что
весь перечень указанныхмероприятий обязательно должен
планироваться ииспользоваться с учетом особенностей
функционированияинформационной системы предприятия.
Установление особогорежима конфиденциальности
направлено на созданиеусловий для обеспечения
физической защитыносителей конфиденциальной информации.
Как правило, особыйрежим конфиденциальности
подразумевает:
организацию охраныпомещений, в которых содержатся
носителиконфиденциальной информации;
установление режимаработы в помещениях, в которых
содержатся носителиконфиденциальной информации;
установлениепропускного режима в помещения,
содержащие носителиконфиденциальной информации;
закреплениетехнических средств обработки
конфиденциальнойинформации за сотрудниками,
определениеперсональной ответственности за их
сохранность;
установление порядкапользования носителями
конфиденциальнойинформации (учет, хранение, передача
другим должностнымлицам, уничтожение, отчетность);
организацию ремонтатехнических средств обработки
конфиденциальнойинформации;
организацию контроляза установленным порядком.
Требования устанавливаемого напредприятии особого
режимаконфиденциальности оформляются в виде
организационно-распорядительных документов и доводятся
для ознакомления досотрудников предприятия.
Ограничение доступа кконфиденциальной информации
способствует созданиюнаиболее эффективных условий
сохранностиконфиденциальной информации. Необходимо
четко определять кругсотрудников, допускаемых к
конфиденциальнойинформации, к каким конкретно сведениям
им разрешен доступ иполномочия сотрудников по доступу к
конфиденциальной информации.
Как показывает практикаработы, для разработки
необходимого комплексамероприятий по защите информации
желательно привлечениеквалифицированных экспертов в
области защитыинформации.
Традиционно дляорганизации доступа к конфиденциальной
информациииспользовались организационные меры,
основанные на строгомсоблюдении сотрудниками процедур
допуска к информации,определяемых соответствующими
инструкциями, приказамии другими нормативными
документами. Однако сразвитием компьютерных систем эти
меры пересталиобеспечивать необходимую безопасность
информации. Появились ив настоящее время широко
применяютсяспециализированные программные и
программно-аппаратныесредства защиты информации,
которые позволяютмаксимально автоматизировать процедуры
доступа к информации иобеспечить при этом требуемую
степень ее защиты. Подробнее о существующихсредствах
защиты информации мыостановимся ниже.
Осуществление контроляза соблюдением установленного
режимаконфиденциальности предусматривает проверку
соответствияорганизации защиты информации установленным
требованиям, а такжеоценку эффективности применяемых
мер защиты информации.Как правило, контроль
осуществляется в видеплановых и внеплановых проверок
силами своихсотрудников или с привлечением других
организаций, которыеспециализируются в этой области. По
результатам проверок специалистами позащите информации
проводится необходимыйанализ с составлением отчета,
который включает:
вывод о соответствиипроводимых на предприятии
мероприятийустановленным требованиям;
оценка реальнойэффективности применяемых на
предприятии мерзащиты информации и предложения по их
совершенствованию.
Обеспечение иреализация перечисленных выше мероприятий
потребует создания напредприятии соответствующих
органов защитыинформации. Эффективность защиты
информации на предприятииво многом будет определяться
тем, насколькоправильно выбрана структура органа защиты
информации иквалифицированы его сотрудники. Как
правило, органы защиты информациипредставляют собой
самостоятельныеподразделения, однако на практике часто
практикуется иназначение одного из штатных специалистов
предприятияответственным за обеспечение защиты
информации. Однакотакая форма оправдана в тех случаях,
когда объем необходимыхмероприятий по защите информации
небольшой и созданиеотдельного подразделения
экономически невыгодно.
Созданием органовзащиты информации на предприятии
завершается построениесистемы защиты информации, под
которой понимаетсясовокупность органов защиты
информации илиотдельных исполнителей, используемые ими
средства защитыинформации, а также объекты защиты,
организованные ифункционирующие по правилам,
установленнымсоответствующими правовыми,
организационно-распорядительными и нормативными
документами по защитеинформации.
Средства защитыинформации
Как уже отмечалосьвыше, эффективность защиты информации
в автоматизированныхсистемах достигается применением
средств защитыинформации (СЗИ). Под средством защиты
информации понимаетсятехническое, программное средство
или материал,предназначенные или используемые для
защиты информации. Внастоящее время на рынке
представлено большое разнообразиесредств защиты
информации, которыеусловно можно разделить на несколько
групп:
средства,обеспечивающие разграничение доступа к
информации вавтоматизированных системах;
средства,обеспечивающие защиту информации при
передаче ее поканалам связи;
средства,обеспечивающие защиту от утечки информации
по различнымфизическим полям, возникающим при работе
технических средствавтоматизированных систем;
средства,обеспечивающие защиту от воздействия
программ-вирусов;
материалы,обеспечивающие безопасность хранения,
транспортировкиносителей информации и защиту их от
копирования.
Основное назначение средств защитыпервой группы —
разграничение доступа клокальным и сетевым
информационным ресурсамавтоматизированных систем. СЗИ
этой группы обеспечивают:
идентификацию иаутентификацию пользователей
автоматизированныхсистем;
разграничение доступазарегистрированных пользователей
к информационнымресурсам;
регистрацию действийпользователей;
защиту загрузкиоперационной системы с гибких
магнитных дисков иCD-ROM;
контроль целостностиСЗИ и информационных ресурсов.
В качествеидентификаторов пользователей применяются,
как правило, условныеобозначения в виде набора
символов. Дляаутентификации пользователей применяются
пароли.
Ввод значенийидентификатора пользователя и его пароля
осуществляется позапросу СЗИ с клавиатуры. Многие
современные СЗИиспользуют и другие типы идентификаторов
— магнитные карточки,радиочастотные бесконтактные
карточки,смарт-карточки, электронные таблетки Touch
Memory и другие.Отдельно стоит сказать об использовании
в качествеидентификатора индивидуальных биологических
параметров (отпечатокпальца, радужная оболочка глаза),
присущих каждомучеловеку. Использование в качестве
идентификаторовиндивидуальных биологических параметров
характеризуется, содной стороны, высшим уровнем
конфиденциальности, а сдругой — очень высокой
стоимостью такихсистем.
Разграничение доступазарегистрированных пользователей к
информационным ресурсамосуществляется СЗИ в
соответствии сустановленными для пользователей
полномочиями. Какправило, СЗИ обеспечивают
разграничение доступа кгибким и жестким дискам,
логическим дискам,директориям, файлам, портам и
устройствам. Полномочияпользователей устанавливаются с
помощью специальныхнастроек СЗИ. По отношению к
информационным ресурсамсредствами защиты могут
устанавливаться такиеполномочия, как разрешение чтения,
записи, создания,запуска исполняемыхо файлов и другие.
Системы защитыинформации предусматривают ведение
специального журнала, вкотором регистрируются
определенные события,связанные с действиями
пользователей, напримерзапись (модификация) файла,
запуск программы, выводна печать и другие, а также
попытки несанкционированногодоступа к защищаемым
ресурсам и ихрезультат.
Особо стоит отметитьналичие в СЗИ защиты загрузки
операционной системы сгибких магнитных дисков и CD-ROM,
которая обеспечивает защитусамих средств защиты от
«взлома» сиспользованием специальных технологий. В
различных СЗИсуществуют программные и
аппаратно-программныереализации этой защиты, однако
практика показывает,что программная реализация не
обеспечиваетнеобходимой стойкости.
Контроль целостностисредств защиты и защищаемых файлов
заключается в подсчетеи сравнении контрольных сумм
файлов. При этомиспользуются различной сложности
алгоритмы подсчетаконтрольных сумм.
Несмотря на функциональнуюобщность средств защиты
информации даннойгруппы, СЗИ различных производителей
различаются:
условиямифункционирования (операционная среда,
аппаратная платформа, автономныекомпьютеры и
вычислительные сети);
сложностью настройкии управления параметрами СЗИ;
используемыми типамиидентификаторов;
перечнем событий, подлежащихрегистрации;
стоимостью средствзащиты.
С развитием сетевыхтехнологий появился новый тип СЗИ —
межсетевые экраны(firewalls), которые обеспечивают
решение таких задач,как защита подключений к внешним
сетям, разграничениедоступа между сегментами
корпоративной сети,защита корпоративных потоков данных,
передаваемых пооткрытым сетям.
Защита информации припередаче ее по каналам связи
осуществляетсясредствами криптографической защиты
(СКЗИ). Характерной особенностьюэтих средств является
то, что онипотенциально обеспечивают наивысшую защиту
передаваемой информацииот несанкционированного доступа
к ней. Помимо этого,СКЗИ обеспечивают защиту информации
от модификации(использование цифровой подписи и
имитовставки).
Как правило, СКЗИфункционируют в автоматизированных
системах каксамостоятельное средство, однако в
отдельных случаях СКЗИможет функционировать в составе
средств разграничениядоступа как функциональная
подсистема для усилениязащитных свойств последних.
Обеспечивая высокуюстепень защиты информации, в то же
время применение СКЗИвлечет ряд неудобств:
стойкость СКЗИявляется потенциальной, т.е.
гарантируется при соблюдении рядадополнительных
требований,реализация которых на практике
осуществляетсядовольно сложно (создание и
функционированиеключевой системы, распределение
ключей, обеспечениесохранности ключей, необходимость
в получении лицензииФАПСИ на право эксплуатации
средств, планированиеи организация мероприятий при
компрометацииключевой системы);
относительно высокаястоимость эксплуатация таких
средств.
В целом, приопределении необходимости использования
средствкриптографической защиты информации, необходимо
учитывать то, чтоприменение СКЗИ оправдано в случаях
явного перехватадействительно конфиденциальной
информации.
Целью статьи неявляется широкое обсуждение средств
защиты от утечкиинформации по различным физическим
полям, возникающим приработе технических средств
автоматизированных систем,однако отметим, что для
защиты информации отутечки по физическим полям
используются следующиеметоды и средства защиты:
электромагнитноеэкранирование устройств или
помещений, в которыхрасположена вычислительная
техника;
активнаярадиотехническая маскировка с использованием
широкополосных генераторов шумов, которыешироко
представлены на нашемрынке.
Радикальным способомзащиты информации от утечки по
физическим полямявляется электромагнитное экранирование
технических устройств ипомещений, однако это способ
требует значительныхкапитальных затрат и практически не
применяется.
И несколько слов оматериалах, обеспечивающих
безопасность хранения,транспортировки носителей
информации и защиту ихот копирования. В основном это
специальныетонкопленочные материалы с изменяющейся
цветовой гаммой илиголографические метки, которые
наносятся на документыи предметы (в том числе и на
элементы компьютернойтехники автоматизированных
систем). Они позволяют:
идентифицироватьподлинность объекта;
контролироватьнесанкционированный доступ к ним.
Средства анализазащищенности компьютерных сетей
Широкое развитие корпоративныхсетей, интеграция их с
информационнымисистемами общего пользования помимо
явных преимуществпорождает новые угрозы безопасности
информации. Причинывозникновения новых угроз
характеризуются:
сложностью иразнородностью используемого программного
и аппаратногообеспечения корпоративных сетей;
большим числом узлов сети,участвующих в электронном
обмене информацией,их территориальной
распределенностью иотсутствием возможности контроля
всех настроек;
доступностьюинформации корпоративных систем внешним
пользователям(клиентам, партнерам и пр.) из-за ее
расположения нафизически соединенных носителях.
Применение описанных выше средств защитыинформации, а
также встроенных воперационные системы механизмов
защиты информации непозволяет в полной мере
ликвидировать эти угрозы.Наличие постоянных или
временных физическихсоединений является важнейшим
фактором, которыйвлияет на повышение уязвимостей
корпоративных системиз-за брешей в используемых
защитных и программныхсредствах и утечки информации
вследствие ошибочныхили неграмотных действий персонала.
Обеспечение требуемойзащиты информационных ресурсов
предприятий в этих условияхдостигается применением
дополнительныхинструментальных средств. К их числу
относятся:
средства анализазащищенности операционных систем и
сетевых сервисов;
средства обнаруженияопасных информационных
воздействий (атак) всетях.
Средства анализазащищенности операционных систем
позволяют осуществлятьревизию механизмов разграничения
доступа, идентификациии аутентификации, средств
мониторинга, аудита идругих компонентов операционных
систем с точки зрения соответствия ихнастроек и
конфигурацииустановленным в организации. Кроме этого,
средствами данногокласса проводится контроль
целостности инеизменности программных средств и
системных установок ипроверка наличия уязвимостей
системных и прикладныхслужб. Как правило, такие
проверки проводятся сиспользованием базы данных
уязвимостей операционныхсистем и сервисных служб,
которые могутобновляться по мере выявления новых
уязвимостей.
К числу средств анализаданного класса относится
программное средствоадминистратора ОС Solaris ASET
(Automated SecurityTool), которое входит в состав ОС
Solaris,
пакет программ COPS(Computer Oracle and Password
System) дляадминистраторов Unix-систем, и система
System Scanner (SS)фирмы Internet Security System Inc.
для анализа иуправления защищенность операционных
систем Unix и WindowsNT/ 95/98.
Использование в сетяхInternet/Intranet протоколов
TCP/IP, которыехарактеризуются наличием в них
неустранимых уязвимостей,привело к появлению в
последнее время новыхразновидностей информационных
воздействий на сетевыесервисы и представляющих реальную
угрозу защищенностиинформации. Средства анализа
защищенности сетевыхсервисов применяются для оценки
защищенностикомпьютерных сетей по отношению к
внутренним и внешниматакам. По результатам анализа
защищенности сетевых сервисов средствамигенерируются
отчеты, включающие всебя список обнаруженных
уязвимостей, описаниевозможных угроз и рекомендации по
их устранению. Поискуязвимостей основывается на
использовании базыданных, которая содержит широко
известные уязвимостисетевых сервисных программ и может
обновляться путемдобавления нов