82

Понятие информационной безопасности

В данном материале наше внимание будет сосредоточено на хранении, обработке и передаче информации.

Под информационной безопасностью (ИБ) мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это наносит ущерб всем субъектам информационных отношений. Важность категории доступности наглядно проявляется в системах управления – производством, транспортом и т.п., а также в системах массового обслуживания, информационными услугами которых пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).

Под целостностью понимается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения. Целостность подразделяется на статическую (неизменность информационных объектов) и динамическую (корректное выполнение транзакций). Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Лекарственные рецепты, набор и характеристики комплектующих изделий, ход технологического процесса – примеры информации, нарушение целостности которой может привести к тяжелым последствиям.

Конфиденциальность – это защита от несанкционированного доступа к информации.

Системы информационной безопасности должны обеспечивать защиту от разнообразных атак. Целью злоумышленников может быть нарушение всех составляющих ИБ – доступности, целостности или конфиденциальности.

Основные определения и классификация угроз

Угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.

Попытка реализации угрозы называется атакой, а субъект, который предпринимает такую попытку - злоумышленником. Потенциальный злоумышленник называется источником угрозы.

Угроза является следствием наличия уязвимых мест в защите информационных систем.

Промежуток времени от момента появления возможности использовать слабое место до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.

Если речь идет об ошибках в ПО, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

Некоторые угрозы существуют в силу самой природы ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.

Самыми частыми и опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. По некоторым данным, до 65% потерь являются следствием непреднамеренных ошибок. Самый радикальный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и строгий контроль.

Другие угрозы доступности классифицируются по компонентам ИС, на которые нацелены угрозы:

• отказ пользователей;

• внутренний отказ информационной системы;

• отказ поддерживающей инфраструктуры.

Обычно применительно к пользователям рассматриваются следующие угрозы:

• нежелание работать с информационной системой;

• невозможность работать с системой в силу отсутствия соответствующей подготовки;

• невозможность работать с системой в силу отсутствия технической поддержки.

Основными источниками внутренних отказов являются:

• отступление от установленных правил эксплуатации;

• выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала;

• ошибки при конфигурировании системы;

• отказы программного и аппаратного обеспечения;

• разрушение данных;

• разрушение или повреждение аппаратуры.

Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа (логического и физического) к информационным ресурсам аннулировались.

Опасность представляют стихийные бедствия - пожары, наводнения, землетрясения, ураганы. По статистике, на долю стихийных бедствий (в том числе и перебой электропитания) приходится 13% потерь, нанесенных информационным системам.

В качестве средства вывода системы из штатного режима эксплуатации может использоваться агрессивное потребление ресурсов (полосы пропускания сетей, вычислительных возможностей процессоров или оперативной памяти).

Одним из эффективных способов проведения атак является внедрение в атакуемые системы вредоносного программного обеспечения. Атака такого вида нацелена на нарушение целостности не только данных, но и программ.

Угрозами динамической целостности являются нарушение атомарности транзакций, переупорядочение, кража, дублирование данных или внесение дополнительных сообщений (сетевых пакетов и т.п.). Соответствующие действия в сетевой среде называются активным прослушиванием.

Конфиденциальную информацию подразделяют на предметную и служебную. Служебная информация (например, пароли пользователей) не относится к определенной предметной области, в информационной системе она играет техническую роль, но ее раскрытие особенно опасно, поскольку оно чревато получением несанкционированного доступа ко всей информации, в том числе предметной.

Многим людям приходится выступать в качестве пользователей не одной, а целого ряда систем (информационных сервисов). Если для доступа к таким системам используются многоразовые пароли или иная конфиденциальная информация, то наверняка эти данные будут храниться не только в голове, но и в записной книжке или на листках бумаги, которые пользователь часто оставляет на рабочем столе или теряет. Дело здесь не в неорганизованности людей, а в изначальной непригодности парольной схемы. Невозможно помнить множество разных паролей. Рекомендации по их регулярной смене только усугубляют положение, заставляя применять несложные схемы чередования или вообще стараться свести дело к двум-трем легко запоминаемым (и столь же легко угадываемым) паролям.

Описанный класс уязвимых мест можно назвать размещением конфиденциальных данных в среде, где им не обеспечена необходимая защита. Помимо паролей, хранящихся в записных книжках пользователей, в этот класс попадает передача конфиденциальных данных в открытом виде (в разговоре, в письме, по сети), которая делает возможным перехват данных. Для атаки могут использоваться разные технические средства (подслушивание или прослушивание разговоров, пассивное прослушивание сети и т.п.), но идея одна - осуществить доступ к данным в тот момент, когда они наименее защищены.

Перехват данных - очень серьезная угроза. Если конфиденциальность действительно является критичной, а данные передаются по многим каналам, их защита может оказаться весьма сложной и дорогостоящей.

Кражи оборудования являются угрозой не только для резервных носителей, но и для компьютеров, особенно портативных. Часто ноутбуки оставляют без присмотра на работе или в автомобиле.

Опасной нетехнической угрозой конфиденциальности являются методы морально-психологического воздействия, такие как маскарад - выполнение действий под видом лица, обладающего полномочиями для доступа к данным.

К угрозам, от которых трудно защищаться, можно отнести злоупотребление полномочиями. На многих типах систем привилегированный пользователь (например, системный администратор) способен прочитать любой (незашифрованный) файл, получить доступ к почте любого пользователя и т.д. Другой пример - нанесение ущерба при сервисном обслуживании. Обычно сервисный инженер получает неограниченный доступ к оборудованию и имеет возможность действовать в обход программных защитных механизмов.