Подготовка к экзамену ИБ

СОДЕРЖАНИЕ

Основные понятия и определения информационной безопасности. 3

Виды и источники угроз безопасности информации. 4

Классификация угроз информационной безопасности. 5

Методы и средства защиты информации. 6

Правовые меры обеспечения информационной безопасности. 7

Законодательные и нормативные акты Российской Федерации в области защиты информации. 8

Критерии оценки безопасности компьютерных систем. «Оранжевая книга». 9

Защита программного обеспечения, основанная на идентификации аппаратного и программного обеспечения. 10

Электронные ключи. 11

Организационно-административные методы защиты информационных систем. 13

Формирование политики безопасности организации. 14

Основные принципы формирования пользовательских паролей. 17

Идентификация пользователей (назначение и способы реализации). 18

Аутентификация пользователей (назначение и способы реализации). 19

Авторизации пользователей (назначение и способы реализации). 20

Криптографические методы защиты информации. 21

Симметричные криптосистемы. 23

Поточные шифры. 24

Свойства синхронных и асинхронных поточных шифров. 25

Шифры подстановки и перестановки. 26

Блочные шифры. 27

Шифр Файстеля. 29

Асимметричные криптосистемы. 30

Алгоритм шифрования RSA. 31

Сравнительная характеристика симметричных и асимметричных алгоритмов шифрования. 32

Реализация алгоритмов шифрования. 33

Электронная цифровая подпись. 34

Защита информации в компьютерных сетях. 35

Объекты защиты информации в сети. 36

Уровни сетевых атак согласно эталонной модели взаимодействия открытых систем OSI. 37

Потенциальные угрозы безопасности в Internet. 38

Методы защиты информации в сети Internet. 40

Использование межсетевых экранов для обеспечения информационной безопасности в Internet. Классификация межсетевых экранов. 41

Схемы подключения межсетевых экранов. 42

Частные виртуальные сети (VPN). Классификация VPN. 44

Защита информации на уровне межсетевого протокола Internet Protocol (IP). Протокол IPSecurity. 46

Методы защиты от вредоносных программ («червей», «троянских программ» и т.д.). 48

Анализ рынка антивирусных программ. 49

Комплексная защита информационных систем. 51

	Тематический блок, экзаменационный вопрос № 1
Основные понятия и определения информационной безопасности.

Информация – это те свойства, состояния материальных объектов, которые отображены, субъектами и усвоены ими.

Секретная информация – информация, содержащая сведения, которые могут быть отнесены к государственной или коммерческой тайне.

Государственная тайна – это защищаемые государственные сведения в области военной, экономической, оперативно-розыскной деятельности, распространение которой может нанести ущерб гос-ву.

Коммерческая тайна – информация, имеющая действительную или потенциальную комм ценность в силу неизвестности ее третьим лицам; сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с действующим законодательством.

Защита информации – предотвращение утечки защищаемой информации, от несанкционированных и непреднамеренных воздействий. Защита от утечки – предотвращение от неконтролируемого распространения информации в результате разглашения в различной форме.

Защита от несанкционированного воздействия – предотвращение воздействия на инфу с нарушением установленных прав и правил, на изменение информации, а также утрате или сбое функционирования носителей информации.

Защита от непреднамеренного воздействия – предотвращение воздействия на инфу от ошибок пользователя, от сбоя аппаратно-программных средств, от форс-мажорных явлений.

Цель защиты – предотвращение ущерба владельцу информации в результате утечки, несанкционированного и непреднамеренного воздействия.

Эффективность ЗИ – степень соответствия результатов защиты информации поставленным заказчиком целям.

Объект защиты – информация либо носитель информации, которые необходимо защищать в соответствии с целями. Контроль организации защиты – это проверка соответствия наличия и содержания документов с требованиями правовых, организационно распорядительных и нормативных документов в области защиты информации.

Владелец информации – субъект, владеющий и пользующий инфой, реализует полномочия распоряжения в пределах прав, установленных законом и собственником информации.

Собственник информации – субъект, в полном объеме реализующий полномочия распоряжения инфой в соответствии с законом.

	Тематический блок, экзаменационный вопрос № 2
Виды и источники угроз безопасности информации.

Все потенциально возможные негативные явления, представляющие угрозу информационной безопасности, могут быть разделены на следующие разновидности:

1. Снижение ниже допустимого уровня качества информации, используемой для решения имеющих существенное значение задач;

2. Несанкционированное получение в злоумышленных целях такой информации, на доступ к которой по тем или иным причинам наложены ограничения.

3. Несанкционированное использование информации, являющейся чьей-либо собственностью.

Основные источники угроз:

- стихийные бедствия и аварии (наводнения, ураган и т.п.);

- сбои и отказы оборудования (тех. средств) АС;

- последствия ошибок проектирования и разработки компонентов АС (аппаратных средств, технология обработки информации и т.п.);

- ошибки эксплуатации (пользователей, операторов и др. персонала);

- преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, и т.п.).

	Тематический блок, экзаменационный вопрос № 3
Классификация угроз информационной безопасности.

1. Случайные угрозы:

- небрежное хранение и учет носителей информации;

- воздействие электромагнитных полей и дефекты оборудования, приводящие к разрушению информации;

- ошибки ввода данных;

- сбои и ошибки в работе аппаратных средств, вызванные перепадами напряжения;

- неправомерное отключение оборудования и изменение режимов работы устройств и программ;

- неосторожные действия, повлекшие разглашение тайны;

- неумышленное повреждение каналов связи;

- нелегальное внедрение и использование неучтённых программ;

- вход в систему в обход средств защиты (загрузка со сторонней ОС).

2. Умышленные угрозы:

- использование служебного положения, внедрение вирусов, физическое разрушение;

- маскировка под истинного пользователя;

- дешифрование криптозащиты;

- отключение или вывод из строя систем безопасности;

- подкуп и шантаж персонала;

- хищение носителей информации или незаконное копирование;

- незаконное подключение к линиям связи с целью подмены законного пользователя.

Каналы утечки: прямые (с проникновением на территорию охраняемой территории) и косвенные (перехват излучений, визуальное наблюдение, подслушивание).

Угрозы информации по источнику возникновения могут исходить от так называемых внешних и внутренних источников. К внешним источникам можно отнести:

- деятельность разведывательных и специальных служб;

- преступные действия отдельных групп и физических лиц;

- аварии технических средств в результате стихийных бедствий.

К внутренним источникам можно отнести:

- нарушения установленных правил сбора, обработки и передачи информации (как умышленные, так и непреднамеренные);

- аварии технических средств в результате умышленных или непреднамеренных действий персонала.

Угрозы информации по происхождению могут быть случайными (вызываются стихийными действиями, какими-то обстоятельствами и т.д.) или умышленными (вызываются целенаправленными действиями злоумышленников).

	Тематический блок, экзаменационный вопрос № 4
Методы и средства защиты информации.

Объект защиты – информация, носитель информации, информационный процесс.

Методы защиты:

1. Правовые.

2. Морально-этические. Нормы поведения, которые сложились по мере распространения ИТ, они необязательны, но их несоблюдение влечет потерю авторитета. Они могут быть оформлены виде правил и предписаний.

3. Технические. Реализуются в виде механических электронных устройств, предназначенных для препятствования проникновения нарушителей. Совокупность средств делится на:

- аппаратные – это устройства, которые либо непосредственно встраиваются в аппаратуру, либо сопрягаются с ней на короткое время по стандартному интерфейсу;

- физические – автономные устройства и системы (замки, решетки).

Компоненты комплекса защиты: механическая система, система оповещения, опознавания, оборонительная, центральный пост и персонал охраны.

4. Программные. Специальное ПО, алгоритмы шифрования.

5. Организационно-административные.

Они включают:

1) Мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;

2) Мероприятия по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);

3) Мероприятия, осуществляемые при подборе и подготовке персонала системы;

4) Организацию охраны и надежного пропускного режима;

5) Организацию учета, хранения, использования и уничтожения документов и носителей с информацией;

6) Распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);

7) Организацию явного и скрытого контроля за работой пользователей;

8) Мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения и т.п.

Организационные меры – это единственное, что остается, когда другие методы и средства защиты отсутствуют или не могут обеспечить требуемый уровень безопасности. Однако, это вовсе не означает, что систему защиты необходимо строить исключительно на их основе, как это часто пытаются сделать чиновники, далекие от технического прогресса.

Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Программные средства – специальные пакеты программ или отдельные программы, используемые для решения задач защиты.

	Тематический блок, экзаменационный вопрос № 5
Правовые меры обеспечения информационной безопасности.

Правовые меры – законодательно-правовые акты, действующие в государстве, специально издаваемые законы, связанные с обеспечением защиты информации, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.

	Тематический блок, экзаменационный вопрос № 6
Законодательные и нормативные акты Российской Федерации в области защиты информации.

Правовая база:

- Конституция (ст. 25, 29 – перечислены действия, связанные с информацией);

- доктрина ИБ РФ от 09.09.2000г. (носит информативный характер, представляет собой совокупность официальных взглядов на цели и задачи, принципы ИБ; формулируются национальные интересы РФ, виды и источники угроз);

- кодексы РФ (ГК – ст. 139 тайна и УК РФ – ст. 273 - вирусы);

- законы РФ (о гос. тайне);

- ГОСТы;

- руководящие доктрины ГТК при президенте РФ (1992г., разрабатывает нормативные документы по вопросам защиты ИС).

	Тематический блок, экзаменационный вопрос № 7
Критерии оценки безопасности компьютерных систем. «Оранжевая книга».

TCSEC – Trusted Computer System Evaluation Criteria были разработаны и опубликованы министерством обороны США в 1983г. с целью определения требований безопасности к аппаратному, программному и информационному обеспечению компьютерных систем и выработке методологии и технологии анализа степени поддержки политики безопасности в компьютерных системах. Согласно “Оранжевой книге” предусмотрены 4 группы защиты: А-D. В каждой группе содержатся классы, которые характеризуются различными наборами требований к защищенности. Уровень защищенности возрастает от D к A, внутри группы с увеличением номера класса.

Усиление требований осуществляется с постепенным смещением акцентов от положений, определяющих наличие в системе определенных механизмов защиты к положениям, обеспечивающим высокий уровень гарантии того, что система функционирует в соответствии с требованиями политики безопасности.

D содержит 1 класс, который зарезервирован для тех систем, которые были представлены на сертификацию, но не прошли ее.

С – дискреционная защита (зависящая от личного усмотрения).

C1 – системы на основе дискреционного разграничения доступа. Доверительная база вычислений таких систем удовлетворяет минимальным требованиям разделения пользователей и данных. Пользователь должен иметь возможность защитить свою информацию от случайного чтения и уничтожения. Пользователи могут обрабатывать данные от своего имени, так и от имени группы пользователей.

С2 – системы, построенные на основе управляемого дискреционного разграничения доступа. Все требования класса С1 должны быть выполнены. Пользователю дается возможность самых различных функций после аутентификации. Кроме, происходит аудит событий, связанных с безопасностью.

D, C – используются для коммерческих приложений.

А, В – требуют специального оборудования, в системах с повышенной секретностью.

B (1,2,3) – полномочное управление доступом.

А – гарантированная защита, в системе должна иметься возможность документирования того, что система защиты и организационные меры соответствуют заданным требованиям.

	Тематический блок, экзаменационный вопрос № 8
Защита программного обеспечения, основанная на идентификации аппаратного и программного обеспечения.

Данный способ может опираться на: архитектуру, особенности БИОС, дополнительные специальные устройства. Достоинства: при разумном сочетании всех трех подходов можно гарантировать высочайшую степень защиты, невысокая стоимость. Недостатки: неудобен при широком распространении защищаемого ПП.

Архитектура. В данном случае можно использовать перечень внешних устройств и их технические характеристики.

БИОС. Используются параметры: дата создания БИОС, контрольная сумма БИОС – хорошие идентификаторы конкретных аппаратных средств. Недостаток – для одной и той же партии параметры могут совпадать. При модификации данного подхода пользователь видоизменяет БИОС, делая его уникальным. Это дает очень высокую степень защиты. В качестве дополнительных устройств можно использовать электронные ключи, нестандартно отформатированные дискеты, диски.

Достоинства – высокая мобильность. Для извлечения тех или иных параметров, используемых для защиты в Delphi существует специальный модуль Registry. Этот класс содержит массу свойств и методов.

Электронные ключи могут подключаться к ПК через параллельные, последовательные порты, USB, а также через специальные считывающие устройства. Принцип работы ключа приблизительно одинаков у различных его модификаций и состоит в следующем: программа обращается к ключу и в ответ получает какую-либо информацию (либо программный код), который позволяет выполнить какую-либо функцию, либо дешифровать данные. В отсутствие ключа программа либо вообще не функционирует, либо работает в демонстрационном режиме. ЭК не должен никак влиять на работу порта ввода\вывода и при необходимости должен быть прозрачным для подключаемых через него устройств. Протокол обмена данными между ключом и программой должен динамически изменяться и содержать различные логические бомбы. В простейшем случае ЭК не содержит источников питания. Исходя из аппаратной базы ЭК можно подразделить на типы:

1 – с использованием микросхем энергонезависимой электрически перепрограммируемой памятью EE PROM.

2 – с использованием чипов памяти или без них.

3 – построенные на базе полнофункционального микроконтроллера.

Достоинства: исключительная мобильность и удобство, невысокая стоимость, простота и удобство эксплуатации, надежность.

Недостатки: необходимость организации надежного физического хранения; для многих типов ключей необходимо спец ПО (драйвера), которые обеспечивают работу этих ключей.

	Тематический блок, экзаменационный вопрос № 9
Электронные ключи.

Электронные ключи (небольших микроэлектронных устройств, вставляемых в параллельные, USB-порты, специальные считывающие устройства и т.д), без которых программа не запустится, а данные не расшифруются.

Принцип работы: программа обращается к некоему устройству и в ответ получает код, который позволяет ей запустить ту или иную функцию или дешифровать данные. В отсутствие ключа программа либо вообще не функционирует, либо работает в демонстрационном режиме. По своему внешнему исполнению наиболее популярны ключи, выпускаемые в виде брелоков, для подключения к USB-портам.

Ключи могут работать каскадно, когда к одному порту одновременно подключается несколько ключей, в том числе и разных типов.

Протокол обмена данными ключа с портом, как правило, динамически изменяется, кодируется и «зашумляется» для защиты от эмуляции.

Кроме того, подобное устройство само может содержать энергонезависимую память, в которой хранятся данные или фрагменты кода.

Обычно ключ не имеет встроенных источников питания, полностью пассивен и сохраняет записанную в него информацию при отключении от компьютера.

Однако возможны модификации со встроенными часами и автономной батареей питания, что позволяет строить различные модели продажи, аренды, лизинга и лицензирования защищенного программного обеспечения.

Интеллектуальные и физические возможности ключа во многом определяются той. Исходя из аппаратной базы современные ключи можно подразделить на следующие типы:

- с использованием микросхем энергонезависимой электрически перепрограммируемой памяти (EEPROM);

- построенные на заказных конфигурацияхASIC (Application Specific Integrated Circuit);

- с использованием чипов с памятью или без;

- построенные на базе полнофункциональных микропроцессоров (микроконтроллеров).

Работать с электронными «заглушками» можно как в локальном, так и в сетевом варианте.

При использовании сетевого ключа нет необходимости устанавливать локальные ключи на каждое рабочее место. Лицензирование в данном случае осуществляется одним ключом с программного сервера, обрабатывающего запросы защищенных приложений.

Число лицензий для каждого ключа может быть специально задано, и в зависимости от того, на какое количество одновременно запущенных копий рассчитана приобретенная вами программа, она или запустится, или нет. При этом распределение лицензий, как правило, осуществляется по простому принципу: «один компьютер – одна лицензия». Это означает, что если на конкретном компьютере запущено несколько копий приложения, то на это будет отведена всего одна лицензия. Таким образом, здесь налагается ограничение на количество рабочих мест, с которых возможно одновременное использование программы.

К достоинствам методики защиты с использованием электронных ключей можно отнести ее простоту и надежность.

Недостатком такой системы является необходимость устанавливать вместе с программой специальные драйверы для ключа, а сам ключ беречь и при необходимости носить с собой. Кроме того, дополнительное ограничение на этот вид защиты могут налагать наличие или отсутствие необходимого порта или считывателя смарт-карт, а также возможные аппаратные проблемы взаимодействия с другими устройствами, использующими тот же порт для своей работы.

Электронные ключи могут подключаться к ПК через параллельные, последовательные порты, USB, а также через спец считывающие устройства. Принцип работы Эл ключа приблизительно одинаков у различных его модификаций и состоит в следующем: программы обращается к Эл ключу и в ответ получает какую-либо инфу (либо программный код), который позволяет выполнить какую-либо функцию, либо дешифровать данные. В отсутствие Эл ключа программы либо вообще не функционирует, либо работает в демонстрационном режиме. ЭК не должен никак влиять на работу порта ввода\вывода и при необходимости должен быть прозрачным для подключаемых через него устройств. Протокол обмена данными между ключом и программой должен динамически изменяться и содержать различные логические бомбы. В простейшем случае ЭК не содержит источников питания. Исходя из аппаратной базы ЭК можно подразделить на типы: 1- с исп микросхем энергонезависимой электрически перепрограммируемой памятью EE PROM. 2 – с использованием чипов памяти или без них. 3 – построенные на базе полнофункционального микроконтроллера.

Достоинства: исключительная мобильность и удобство, невысокая стоимость, простота и удобство эксплуатации, надежность.

Недостатки: необходимость организации надежного физического хранения; для многих типов ключей необходимо спец ПО (драйвера) которые обеспечивают работу этих ключей.

Аутентификация с помощью электронного ключа.

Это компактные устройства, которые подключаются к одному из внешних разъемов компьютера, «прозрачные» для периферийных устройств. Наиболее совершенные ключи программируются уникальным образом фирмой-изготовителем или самим пользователем. Внешне электронный ключ представляет собой схему, собранную по SMD-технологии (Surfase Mounted Device), чаще всего на основе специальной «заказной» микросхемы, с разъемами для подключения к компьютеру и внешним устройствам, помещенную в пластмассовый непрозрачный корпус.

В качестве примера можно привести продукцию компании Aladdin Knowledge Systems. Электронный ключ eToken network Logon предназначен для безопасного доступа к сетям Windows. Он позволяет отказаться от использования паролей при входе в сеть, значительно повысить ее защищенность и обеспечить удобство работы пользователей. Пользователям не нужно запоминать сложные пароли и периодически их менять - достаточно подключить свой персональный электронный ключ к USB порту и ввести PIN-код.

	Тематический блок, экзаменационный вопрос № 10
Организационно-административные методы защиты информационных систем.

Для эффективного применения организационные меры должны быть поддержаны физическими и техническими средствами. Применение и использование технических средств защиты требует соответствующей организационной поддержки

Охватывают все элементы как аппаратного, так и программного обеспечения, технологические процессы, здания и пользователей.

Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.

Они включают:

- мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;

- мероприятия по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);