Технические способы защиты информации это

Технологии защиты информации в компании

Больше материалов по теме «Ведение бизнеса» вы можете получить в системе КонсультантПлюс .

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

• Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
• Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
• Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

• Нежелание обучаться работе с информационными системами.
• Отсутствие у сотрудника необходимой подготовки.
• Отсутствие техподдержки, что приводит к сложностям с работой.
• Умышленное или неумышленное нарушение правил работы.
• Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
• Ошибки при переконфигурировании.
• Отказ ПО.
• Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

1. Ввод неправильных данных.
2. Изменение сведений.
3. Подделка заголовка.
4. Подделка всего текста письма.
5. Отказ от исполненных действий.
6. Дублирование информации.
7. Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

1. Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
2. Использование одних и тех же паролей в различных системах.
3. Размещение информации в среде, которая не обеспечивает конфиденциальность.
4. Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
5. Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
6. Хранение сведений на резервных носителях.
7. Распространение информации по множеству источников, что приводит к перехвату сведений.
8. Оставление ноутбуков без присмотра.
9. Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

• Защита помещения компании от действий злоумышленников.
• Защита хранилищ информации от действий заинтересованных лиц.
• Защита от удаленного видеонаблюдения, прослушивания.
• Предотвращение перехвата сведений.
• Создание доступа сотрудников в помещение компании.
• Контроль над деятельностью сотрудников.
• Контроль над перемещением работников на территории компании.
• Защита от пожаров.
• Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

• Защита конфиденциальности сведений, которые передаются по открытым каналам.
• Возможность подтверждения подлинности сведений, которые передаются по различным каналам.
• Обеспечение конфиденциальности сведений в том случае, если они размещены на открытых носителях.
• Сохранение целостности данных при их передаче и хранении.
• Подтверждение отправки сообщения с информацией.
• Защита ПО от несанкционированного применения и копирования.

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

• Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
• Инструменты для шифрования данных.
• Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
• Инструменты для уничтожения сведений на носителях.
• Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Источник

ТЕМА 1.3. ОСНОВЫ И МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ

• ознакомиться студентов с понятиями информационной угрозы, безопасности и защиты информации;
• сформировать понятия о существующих методах и средствах защиты информации;
• познакомиться с техническими и программными средствами защиты информации.

Оглавление

1.3.1. Основные понятия

В современных информационных системах (ИС) информация обладает двумя противоречивыми свойствами – доступностью и защищенностью от несанкционированного доступа. Во многих случаях разработчики ИС сталкиваются с проблемой выбора приоритета одного из этих свойств.

Под защитой информации обычно понимается именно обеспечение ее защищенности от несанкционированного доступа. При этом под самим несанкционированным доступом принято понимать действия, которые повлекли «…уничтожение, блокирование, модификацию, либо копирование информации…»(УК РФ ст.272). Все методы и средства защиты информации можно условно разбить на две большие группы: формальные и неформальные.

Рис. 1. Классификация методов и средств защиты информации

Формальные методы и средства

Это такие средства, которые выполняют свои защитные функции строго формально, то есть по заранее предусмотренной процедуре и без непосредственного участия человека.

Техническими средствами защиты называются различные электронные и электронно-механические устройства, которые включаются в состав технических средств ИС и выполняют самостоятельно или в комплексе с другими средствами некоторые функции защиты.

Физическими средствами защиты называются физические и электронные устройства, элементы конструкций зданий, средства пожаротушения, и целый ряд других средств. Они обеспечивают выполнение следующих задач:

• защиту территории и помещений вычислительного центра от проникновения злоумышленников;
• защиту аппаратуры и носителей информации от повреждения или хищения;
• предотвращение возможности наблюдения за работой персонала и функционированием оборудования из-за пределов территории или через окна;
• предотвращение возможности перехвата электромагнитных излучений работающего оборудования и линий передачи данных;
• контроль за режимом работы персонала;
• организацию доступа в помещение сотрудников;
• контроль за перемещением персонала в различных рабочих зонах и т.д.

Криптографические методы и средства

Криптографическими методами и средствами называются специальные преобразования информации, в результате которых изменяется ее представление.

В соответствии с выполняемыми функциями криптографические методы и средства можно разделить на следующие группы:

• идентификация и аутентификация;
• разграничение доступа;
• шифрования защищаемых данных;
• защита программ от несанкционированного использования;
• контроль целостности информации и т.д.

Неформальные методы и средства защиты информации

Неформальные средства – такие, которые реализуются в результате целенаправленной деятельности людей, либо регламентируют ( непосредственно или косвенно) эту деятельность.

К неформальным средствам относятся:

Организационные средства

Это организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации ИС с целью обеспечения защиты информации. По своему содержанию все множество организационных мероприятий условно можно разделить на следующие группы:

• мероприятия, осуществляемые при создании ИС;
• мероприятия, осуществляемые в процессе эксплуатации ИС: организация пропускного режима, организация технологии автоматизированной обработки информации, организация работы в сменах, распределение реквизитов разграничения доступа(паролей, профилей, полномочий и т.п.) ;
• мероприятия общего характера: учет требований защиты при подборе и подготовке кадров, организация плановых и превентивных проверок механизма защиты, планирование мероприятий по защите информации и т.п.

Законодательные средства

Это законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного использования и устанавливаются меры ответственности за нарушение этих правил. Можно сформулировать пять ”основных принципов”, которые лежат в основе системы законов о защите информации:

• не должны создаваться системы, накапливающие большой объем персональной информации, деятельность которых была бы засекречена;
• должны существовать способы, с помощью которых отдельная личность может установить факт сбора персональной информации, узнать для чего она собирается, и как будет использоваться;
• должны существовать гарантии того, что информация, полученная для какой-то одной цели, не будет использована для других целей без информирования об этом лица, к которому она относится;
• должны существовать способы, с помощью которых человек может исправить информацию, относящуюся к нему и содержащуюся в ИС;
• любая организация, накапливающая, хранящая и использующая персональную информацию должна обеспечивать надежность хранения данных при их соответствующем использовании и должна принимать все меры для предотвращения неправильного использования данных.

Морально – этические нормы

Эти нормы могут быть как не писанными (общепринятые нормы честности, патриотизма и т.п.) так и писанными, т.е. оформленными в некоторый свод правил и предписаний (устав).

С другой стороны, все методы и средства защиты информации можно разделить на две большие группы по типу защищаемого объекта. В первом случае объектом является носитель информации, и здесь используются все неформальные, технические и физические методы и средства защиты информации. Во втором случае речь идет о самой информации, и для ее защиты используются криптографические методы.

1.3.2. Угрозы безопасности информации и их источники

Наиболее опасными (значимыми) угрозами безопасности информации являются:

• нарушение конфиденциальности (разглашение, утечка) сведений, составляющих банковскую, судебную, врачебную и коммерческую тайну, а также персональных данных;
• нарушение работоспособности (дезорганизация работы) ИС, блокирование информации, нарушение технологических процессов, срыв своевременного решения задач;
• нарушение целостности (искажение, подмена, уничтожение) информационных, программных и других ресурсов ИС, а также фальсификация (подделка) документов.

Приведем ниже краткую классификацию возможных каналов утечки информации в ИС – способов организации несанкционированного доступа к информации.

Косвенные каналы, позволяющие осуществлять несанкционированный доступ к информации без физического доступа к компонентам ИС:

• применение подслушивающих устройств;
• дистанционное наблюдение, видео и фотосъемка;
• перехват электромагнитных излучений, регистрация перекрестных наводок и т.п.

Каналы, связанные с доступом к элементам ИС, но не требующие изменения компонентов системы, а именно:

• наблюдение за информацией в процессе обработки с целью ее запоминания;
• хищение носителей информации;
• сбор производственных отходов, содержащих обрабатываемую информацию;
• преднамеренное считывание данных из файлов других пользователей;
• чтение остаточной информации, т.е. данных, остающихся на полях запоминающих устройств после выполнения запросов;
• копирование носителей информации;
• преднамеренное использование для доступа к информации терминалов зарегистрированных пользователей;
• маскировка под зарегистрированного пользователя путем похищения паролей и других реквизитов разграничения доступа к информации, используемых в ИС;
• использование для доступа к информации так называемых «лазеек», то есть возможностей обхода механизма разграничения доступа, возникающих вследствие несовершенства и неоднозначностей языков программирования и общесистемных компонентов программного обеспечения в ИС.

Каналы, связанные с доступом к элементам ИС и с изменением структуры ее компонентов :

• незаконное подключение специальной регистрирующей аппаратуры к устройствам системы или к линиям связи;
• злоумышленное изменение программ таким образом, чтобы эти программы наряду с основными функциями обработки информации осуществляли также несанкционированный сбор и регистрацию защищаемой информации;
• злоумышленный вывод из строя механизма защиты.

1.3.3. Ограничение доступа к информации

В общем случае система защиты информации от несанкционированного доступа состоит из трех основных процессов:

• идентификация;
• аутентификация;
• авторизация.

При этом участниками этих процессов принято считать субъекты – активные компоненты (пользователи или программы) и объекты – пассивные компоненты (файлы, базы данных и т.п.).

Задачей систем идентификации, аутентификации и авторизации является определение, верификация и назначение набора полномочий субъекта при доступе к информационной системе.

Идентификацией субъекта при доступе к ИС называется процесс сопоставления его с некоторой, хранимой системой в некотором объекте, характеристикой субъекта – идентификатором. В дальнейшем идентификатор субъекта используется для предоставления субъекту определенного уровня прав и полномочий при пользовании информационной системой.

Аутентификацией субъекта называется процедура верификации принадлежности идентификатора субъекту. Аутентификация производится на основании того или иного секретного элемента (аутентификатора), которым располагают как субъект, так и информационная система. Обычно в некотором объекте в информационной системе, называемом базой учетных записей, хранится не сам секретный элемент, а некоторая информация о нем, на основании которой принимается решение об адекватности субъекта идентификатору.

Авторизацией субъекта называется процедура наделения его правами соответствующими его полномочиям. Авторизация осуществляется лишь после того, как субъект успешно прошел идентификацию и аутентификацию.

Весь процесс идентификации и аутентификации можно схематично представить следующим образом:

Рис. 2. Схема процесса идентификации и аутентификации

1- запрос на разрешение доступа к ИС;

2- требование пройти идентификацию и аутентификацию;

3- отсылка идентификатора;

4- проверка наличия полученного идентификатора в базе учетных записей;

5- запрос аутентификатора;

6- отсылка аутентификаторов;

7- проверка соответствия полученного аутентификатора указанному ранее идентификатору по базе учетных записей.

Из приведенной схемы (рис.2) видно, что для преодоления системы защиты от несанкционированного доступа можно либо изменить работу субъекта, осуществляющего реализацию процесса идентификации/аутентификации, либо изменить содержимое объекта – базы учетных записей. Кроме того, необходимо различать локальную и удаленную аутентификацию.

При локальной аутентификации можно считать, что процессы 1,2,3,5,6 проходят в защищенной зоне, то есть атакующий не имеет возможности прослушивать или изменять передаваемую информацию. В случае же удаленной аутентификации приходится считаться с тем, что атакующий может принимать как пассивное, так и активное участие в процессе пересылки идентификационной /аутентификационной информации. Соответственно в таких системах используются специальные протоколы, позволяющие субъекту доказать знание конфиденциальной информации не разглашая ее (например, протокол аутентификации без разглашения).

Общую схему защиты информации в ИС можно представить следующим образом (рис.3):

Рис. 3. Съема защиты информации в информационной системе

Таким образом, всю систему защиты информации в ИС можно разбить на три уровня. Даже если злоумышленнику удастся обойти систему защиты от несанкционированного доступа, он столкнется с проблемой поиска необходимой ему информации в ИС.

Семантическая защита предполагает сокрытие места нахождения информации. Для этих целей может быть использован, например, специальный формат записи на носитель или стеганографические методы, то есть сокрытие конфиденциальной информации в файлах-контейнерах не несущих какой-либо значимой информации.

В настоящее время стеганографические методы защиты информации получили широкое распространение в двух наиболее актуальных направлениях:

• сокрытие информации;
• защита авторских прав.

Последним препятствием на пути злоумышленника к конфиденциальной информации является ее криптографическое преобразование. Такое преобразование принято называть шифрацией. Краткая классификация систем шифрования приведена ниже (рис.4):

Рис. 4. Классификация систем шифрования

Основными характеристиками любой системы шифрования являются:

• размер ключа;
• сложность шифрации/дешифрации информации для легального пользователя;
• сложность «взлома» зашифрованной информации.

В настоящее время принято считать, что алгоритм шифрации/дешифрации открыт и общеизвестен. Таким образом, неизвестным является только ключ, обладателем которого является легальный пользователь. Во многих случаях именно ключ является самым уязвимым компонентом системы защиты информации от несанкционированного доступа.

Из десяти законов безопасности Microsoft два посвящены паролям:

Закон 5: «Слабый пароль нарушит самую строгую защиту»,

Закон 7: «Шифрованные данные защищены ровно настолько, насколько безопасен ключ дешифрации».

Именно поэтому выбору, хранению и смене ключа в системах защиты информации придают особо важное значение. Ключ может выбираться пользователем самостоятельно или навязываться системой. Кроме того, принято различать три основные формы ключевого материала:

Пароль – секретная информация, запоминаемая пользователем и таким образом неразрывно с ним связанная,

Ключ – секретная информация, хранящаяся на некотором носителе, которой могут воспользоваться без ведома пользователя,

Биометрия – биометрическая информация (отпечаток пальца, сетчатка глаза, голос и т.п.)

1.3.4. Технические средства защиты информации

В общем случае защита информации техническими средствами обеспечивается в следующих вариантах:
источник и носитель информации локализованы в пределах границ объекта защиты и обеспечена механическая преграда от контакта с ними злоумышленника или дистанционного воздействия на них полей его технических средств

• соотношение энергии носителя и помех на входе приемника установленного в канале утечки такое, что злоумышленнику не удается снять информацию с носителя с необходимым для ее использования качеством;
• злоумышленник не может обнаружить источник или носитель информации;
• вместо истинной информации злоумышленник получает ложную, которую он принимает как истинную.

Эти варианты реализуют следующие методы защиты:

• воспрепятствование непосредственному проникновению злоумышленника к источнику информации с помощью инженерных конструкций, технических средств охраны;
• скрытие достоверной информации;
• «подсовывание» злоумышленнику ложной информации.

Применение инженерных конструкций и охрана — наиболее древний метод защиты людей и материальных ценностей. Основной задачей технических средств защиты является недопущение (предотвращение) непосредственного контакта злоумышленника или сил природы с объектами защиты.

Под объектами защиты понимаются как люди и материальные ценности, так и носители информации, локализованные в пространстве. К таким носителям относятся бумага, машинные носители, фото- и кинопленка, продукция, материалы и т.д., то есть всё, что имеет четкие размеры и вес. Для организации защиты таких объектов обычно используются такие технические средства защиты как охранная и пожарная сигнализация.

Носители информации в виде электромагнитных и акустических полей, электрического тока не имеют четких границ и для защиты такой информации могут быть использованы методы скрытия информации. Эти методы предусматривают такие изменения структуры и энергии носителей, при которых злоумышленник не может непосредственно или с помощью технических средств выделить информацию с качеством, достаточным для использования ее в собственных интересах.

1.3.5. Программные средства защиты информации

Эти средства защиты предназначены специально для защиты компьютерной информации и построены на использовании криптографических методов. Наиболее распространенными программными средствами являются:

• Программы для криптографической обработки (шифрации/дешифрации) информации («Верба» МО ПНИЭИ www.security.ru ; «Криптон» Анкад www.ancud.ru ; «Secret Net» Информзащита www.infosec.ru ; «Dallas Lock» Конфидент www.confident.ru и другие);
• Программы для защиты от несанкционированного доступа к информации хранящейся на компьютере ( «Соболь» Анкад www.ancud.ru и другие);
• Программы стеганографической обработки информации («Stegano2ET» и другие);
• Программные средства гарантированного уничтожения информации;
• Системы защиты от несанкционированного копирования и использования (с использованием электронных ключей, например фирмы Аладдин www.aladdin.ru и с привязкой к уникальным свойствам носителя информации «StarForce»).

1.3.6. Антивирусные средства защиты информации

В общем случае следует говорить о «вредоносных программах», именно так они определяются в руководящих документах ГосТехКомиссии и в имеющихся законодательных актах(например, статья 273 УКРФ «Создание, использование и распространение вредоносных программ для ЭВМ»). Все вредоносные программы можно разделить на пять типов:

• Вирусы – определяются как куски программного кода, которые обладают возможностью порождать объекты с подобными свойствами. Вирусы в свою очередь классифицируют по среде обитания(например: boot -, macro — и т.п. вирусы) и по деструктивному действию.
• Логические бомбы – программы, запуск которых происходит лишь при выполнении определенных условий (например: дата, нажатие комбинации клавиш, отсутствие/наличие определенной информации и т.п.).
• Черви – программы, обладающие возможностью распространяться по сети, передавая в узел назначения не обязательно сразу полностью весь программный код – то есть они могут «собирать» себя из отдельных частей.
• Трояны – программы, выполняющие не документированные действия.
• Бактерии – в отличие от вирусов это цельная программы, обладающие свойством воспроизведения себе подобных.

В настоящее время вредоносные программ в «чистом» виде практически не существуют – все они являются некоторым симбиозом перечисленных выше типов. То есть, например: троян может содержать вирус и в свою очередь вирус может обладать свойствами логической бомбы. По статистике ежедневно появляется около 200 новых вредоносных программ, причем «лидерство» принадлежит червям, что вполне естественно, вследствие быстрого роста числа активных пользователей сети Интернет.

В качестве защиты от вредоносных программ рекомендуется использовать пакеты антивирусных программ ( например: DrWeb, AVP – отечественные разработки, или зарубежные, такие как NAV, TrendMicro, Panda и т.д.). Основным методом диагностики всех имеющихся антивирусных систем является «сигнатурный анализ», то есть попытка проверить получаемую новую информацию на наличие в ней «сигнатуры» вредоносной программы – характерного куска программного кода. К сожалению, такой подход имеет два существенных недостатка:

• Можно диагностировать только уже известные вредоносные программы, а это требует постоянного обновления баз «сигнатур». Именно об этом предупреждает один из законов безопасности Microsoft:

Закон 8: «Не обновляемая антивирусная программа не намного лучше полного отсутствия такой программы»

• Непрерывное увеличение числа новых вирусов приводит к существенному росту размера базы «сигнатур», что в свою очередь вызывает значительное использование антивирусной программой ресурсов компьютера и соответственно замедление его работы.

Одним из известных путей повышения эффективности диагностирования вредоносных программ является использование так называемого «эвристического метода». В этом случае предпринимается попытка обнаружить наличие вредоносных программ, учитывая известные методы их создания. Однако, к сожалению, в случае если в разработке программы принимал участие высококлассный специалист, обнаружить ее удается лишь после проявления ею своих деструктивных свойств.

Источник