29. Классы безопасности. Стандарты информационной безопасности.

Первый критерий оценки безопасности компьютерных систем был разработан в США в 1988 г. Национальным центром - «Критерий оценки безопасности компьютерных систем» или стандарты TCSEC (Trusted Computer System Evalution Criteria) для министерства обороны США. В нем выделены общие требования к обеспечению безопасности обрабатываемой информации и определен перечень показателей защищенности. Было вы­делено шесть основных требований.

-класс D - подсистема безопасности. Она присваивается тем сис­темам, которые не прошли испытаний на более высокий уровень защи­щенности, а также системам, которые для своей защиты используют лишь отдельные функции безопасности;

-класс С1 - избирательная защита. Средства защиты данного клас­са отвечают требованиям избирательного управления доступом. При этом обеспечивается разделение пользователей и данных. Каждый субъ­ект идентифицируется и аутентифицируется в этом классе и ему задает­ся перечень допустимых типов доступа;

-класс С2 - управляемый доступ. Требования данного класса такие же, что и в классе С1. При этом добавляются требования уникальной идентификации субъектов доступа, защиты и регистрации событий;

-класс В1 - меточная защита. Метки конфиденциальности при­сваиваются всем субъектам и объектам системы, которые содержат кон­фиденциальную информацию. Доступ к объектам внутри системы раз­решается только тем субъектам, чья метка отвечает определенному кри­терию относительно метки объекта;

-класс В2 - структурированная защита. Требования данного клас­са включают в себя требования класса В1 и наличие требований хорошо определенной и документированной формальной модели политики безопасности и управления информационными потоками (контроль скрытых каналов) и предъявление дополнительного требования к защите механизмов аутентификации;

-класс ВЗ - область безопасности. В оборудовании систем данного класса реализована концепция монитора ссылок. Все взаимодействия субъектов с объектами должны контролироваться этим монитором. Дей­ствия должны выполняться в рамках областей безопасности, которые имеют иерархическую структуру и защищены друг от друга с помощью специальных механизмов/Механизм регистрации событий безопасности оповещает администратора и пользователя о нарушении безопасности;

-Класс а1 - верифицированная разработка.

Для проверки специфи­каций применяются методы формальной верификации - анализа специ­фикаций систем на предмет неполноты или противоречивости.

Международны стандарты: BS 7799-1:2005 — Британский стандарт BS 7799 первая часть. BS 7799 Part 1 — Code of Practice for Information Security Management Практические правила управления информационной безопасностью описывает 127 механизмов контроля, необходимых для построения системы управления информационной безопасностью СУИБ организации, определённых на основе лучших примеров мирового опыта best practices в данной области. Этот документ служит практическим руководством по созданию СУИБ BS 7799-2:2005 — Британский стандарт BS 7799 вторая часть стандарта. BS 7799 Part 2 — Information Security management — specification for information security management systems Спецификация системы управления информационной безопасностью определяет спецификацию СУИБ. Вторая часть стандарта используется в качестве критериев при проведении официальной процедуры сертификации СУИБ организации. BS 7799-3:2006 — Британский стандарт BS 7799 третья часть стандарта. Новый стандарт в области управления рисками информационной безопасности ISOIEC 17799:2005 — Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности. ISOIEC 27000 — Словарь и определения. ISOIEC 27001:2005 — Информационные технологии — Методы обеспечения безопасности — Системы управления информационной безопасностью — Требования.

30. Информационная безопасность корпоративной сети.

Сегодня все более значимой становится проблема обеспечения внутренней информационной безопасности в организациях. Угрозы:

1. Защита от утечек информации

Вопрос защиты информации от утечек становится все более актуальным, принимая во внимание следующие тенденции развития IT-сферы:

Рост мобильности бизнеса:Ноутбуки постепенно вытесняют настольные компьютеры Ёмкость съемных носителей растет, в то время, как их стоимость — уменьшается Увеличение количества утечек вследствие большей мобильности данных: Пользователи склонны сохранять всё подряд Мобильность повышает риск утечки данных

2. Защита электронной корпоративной почты от спама и вирусов

Следующая проблема, решать которую приходится любой фирме, является защита сети и корпоративной почты от вирусных атак и спама. Количество спама возрастает практически экспоненциально каждый год! Согласно последним исследованиям, спам составляет около 93-97% от общего почтового трафика в мире.В этом случае средствами защиты являются антивирусно-антиспамовые системы. Они занимаются фильтрацией спама и обеспечиваютзащиту от вредоносного кода и нежелательной рекламы.

3. Защита, контроль и оптимизация Веб — трафика

Следующая задача для обеспечения защиты информации внутри организации — контроль потребляемого трафика и защита от внешних атак из сети интернет. Здесь существуют преимущественно два направления защиты:

Система качественной защиты от атак извне, отслеживающая попытки сетевых атак и защищающая от раскрытия информации с корпоративных серверов.

Система распределения доступа в Интернет с возможностью контроля объема информации, ее характера, ограничения доступа к конкретным ресурсам и скачиванию информации.

4. Контроль доступа к сети

Еще одно направление защиты — мониторинг за использованием и подключением компьютеров и устройств внутри сети. Сегодня этот аспект информационной безопасности становится актуальным по следующим причинам:

Несанкционированный доступ в корпоративную сеть приводит к риску потери конфиденциальной информации

Устройства постоянно добавляют и удаляют из корпоративной сети без уведомления IT персонала

Санкционированный доступ устройств, не удовлетворяющих политике безопасности, может привести к негативным последствиям

5. Контроль и запись действий администраторов на серверах

Следующей актуальной для многих организаций проблемой является мониторинг действий системных администраторов, имеющих фактически неограниченные полномочия в системах. Ведь зачастую для взлома системы достаточно просто найти общий язык с администратором или же заинтересовать его материально. В тоже время и сами системные администраторы нередко являются источниками утечек.

Заключение

Руководителям, ответственным за информационную безопасность в организации приходится учитывать очень много аспектов защиты информации, а также знать, с помощью каких средств может обеспечиваться реализация тех или иных задач безопасности. Только комплексный подход к решению проблем внутренней информационной безопасности организации позволяет быть уверенным, что информация не уйдет к злоумышленнику и не нанесет вред Вашей организации.

32. Методы и средства защиты информации. Криптографический метод защиты. Электронная цифровая подпись. Компьютерная стеганография и др. Для защиты информации используется 2 подхода: Фрагментарный и комплексный.Фрагментарный ориентирован на избирательность относительно конкретной угрозы. Комплексный — к защите информации в сложных автоматизиро­ванных системах обработки и передачи данных.Основными методами защиты информации являются:

препятствие- метод физического преграждения пути злоумыш­леннику к информации, которая защищена от посторонних лиц;

управление доступом — метод защиты информации. С его помо­щью для защиты используются все ресурсы самой системы (программ­ные и технические средства). Управление доступом включает такие функции защиты, как:

•идентификация пользователей, персонала и ресурсов системы;

•аутентификация объекта или субъекта по предъявленному им идентификатору;

-Регистрация обращений –реагирование на попытки доступа несанкционированных лиц.

Маскировка - метод защиты информации в каналах телекоммуни­каций путем криптографического закрытия.

Регламентация - метод, создающий такие условия автоматизиро­ванной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводятся к минимуму.

Принуждение - метод, при котором пользователи и персонал вы­нуждены соблюдать правила обработки, передачи и использования за­щищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение - метод, с помощью которого пользователь и персо­нал системы не нарушают установленных правил за счет соблюдения сложившихся моральных и этических норм.

Перечисленные методы поддерживаются следующими средствами, которые делятся на формальные (физические, аппаратные, программ­ные) и неформальные (организационные, законодательные и морально-этические):

•физические, которые могут быть представлены в виде автоном­ных устройств (замки, решетки и т.д.);

•которые реализуются в виде электрических, электромеханиче­ских и электронных устройств (наиболее известные аппаратные средст­ва - это схемы контроля информации по четности, схемы защиты полей памяти по ключу и т.д.);

•программные средства - программное обеспечение, которое предназначено для выполнения функции защиты информации;

•организационные средства защиты информации - организацион­но-технические и организационно-правовые мероприятия, которые осу­ществляются в процессе создания и эксплуатации аппаратуры телеком­муникаций для обеспечения защиты информации;

•законодательные средства защиты информации определяются за­конодательными актами той страны, где они функционируют, регламен­тируют правила использования, обработки и передачи информации ог­раниченного доступа и устанавливают меры ответственности за нару­шение этих правил;

•морально-этические средства защиты выражаются в виде норм, которые сложились традиционно по мере внедрения вычислительной техники и средств связи.