2.B) Перечислите основноые свойства информации с точки зрения безопаности, а также, осн виды угроз для ас. Что такое cia?

С точки зрения защиты информация обладает рядом свойств, основными из которых следующие:

1. Из конфиденциальности (англ. confidential: доверительный, «по секрету») информации следует необходимость введения ограничений на доступ

2. Целостность – существование информациив неискаженном виде

3. Доступность – своевременный и беспрепятственный доступ

Автоматизированная система обработки информации (АС) - организационнотехническая система, совокупность взаимосвязанных компонентов: технических средств, программного обеспечения, информации и персонала.

Основные виды угроз для АС:

1. Нарушение конфиденциальности

2. Нарушение целостности

3. Угроза отказа служб

4. Угроза раскрытия параметров АС

В англоязычных источниках – так называемая триада CIA (Confidentiality, Integrity, Availability).

2.C) в чем особенность дистрибутивов Source Based Distributions некоторых unix? Опишите преимущества.

Source Based Distributions ? SB-дистрибутивы, предусматривающие установку из скомпилированных пакетов только базовых компонентов системы ? все пользовательские приложения собираются непосредственно из авторских исходных кодов.

SB-дистрибутивы обеспечивают большую гибкость установки и обновления, практически неограниченные возможности оптимизации под конкретную машину или задачу. Взамен этого SB-дистрибутивы предъявляют более высокие, нежели при пакетной установке, требования к квалификации пользователя. Конечно, прекрасная документированность SB-дистрибутивов делает процесс их установки доступным не только для Unix-гуру, однако от пользователя требуется понимание ключевых этапов установки: создание дисковых разделов; файловых систем и монтирование.

2.D) Методология построения систем защиты информации в ас: перечислите этапы и поясните их на примере какой-либо организации

Методология построения систем защиты информациив АС:

1. Идентификация угроз

2. Анализ рисков (создание плана УР)

3. Разработка подсистем безопасности для различных угроз

4. Разработка ответных мер для возможных нарушений ИБ

3.A)Что такое политики и процедуры безопасности? Приведите пример политики информационной безопасности какой-либо организации, например поликлиники, школы и соответствующие процедуры

Политика безопасности – документ (заверенный руководством организации) в котором сформулированы основные принципы обеспечения ИБ организации

Типы политик безопасности (по основному средству обеспечения):

Административная (например, «соглашение о неразглашении»)

Техническая (правила сетевых экранов, шаблоны безопасности)

Физическая (камеры видеонаблюдения, замки)

Процедуры безопасности определяют как именно выполнять те или иные действия, касающиеся политики безопасности.

пример из лекции

Информация является ценным ресурсом для деятельности Компании и обеспечение информационной безопасности является обязанностью каждого сотрудника. Настоящая политика определяет основные принципы защиты информационных ресурсов Компании от угроз нарушения конфиденциальности, целостности и доступности.

Доступ к информационным ресурсам предоставляется только в объеме, необходимом для выполнения сотрудниками своих должностных обязанностей. При построении эффективной системы управления информационной безопасностью Компания руководствуется международными стандартами ISO 17799 и ISO 27001.

Для обеспечения эффективной защиты информации ежегодно проводится комплексный

аудит информационной безопасности, включающий в себя аудит системы управления информационной безопасностью и тестирование на возможность несанкционированного проникновения.

Политики информационной безопасности утверждаются президентом Компании.

Все руководители отвечают за выполнение политик информационной безопасности в подчиненных им подразделениях.

Все сотрудники Компании, текущие и бывшие, выполняют требования политик

информационной безопасности.

Департамент информационной безопасности осуществляет разработку и внедрение технических и организационных мер для минимизации рисков информационной безопасности.

Департамент внутреннего аудита проводит регулярный аудит эффективности исполнения политик, стандартов и процедур информационной безопасности.

Для обеспечения непрерывности бизнеса Компании должен быть разработан и

поддерживаться в актуальном состоянии план непрерывности бизнеса.

Сотрудники Компании проходят ежегодное обучение в области обеспечения

информационной безопасности.

3.b)

В чем особенность загрузки GNU/Unix с мини-корневой ФС по сравнению с обычной? Для чего это?

обычная загрузка

•Запуск менеджера загрузки

•Загрузка и запуск ядра

•Монтирование корневой файловой системы (ФС)

•Запуск процесса init из /sbin/init

•Выполнение стартовых скриптов из /etc/rc.d/ в соответствии с целевым уровнем загрузки

загрузка с мини корневой ФС

•Запуск менеджера загрузки

•Загрузка и запуск ядра с минимум встроенных компонентов

•Загрузка образа содержимого мини-корневой ФС (initrd) в память

•Монтирование RAM-диска с мини-корневой ФС

•Запуск исполняемого файла /linuxrc, подгрузка необходимых модулей, возможно, интерактивно

•Монтирование обычной корневой ФС

•Запуск процесса init из /sbin/init и т.д.

В Kernel HOWTO (руководстве о сборке ядра) пишут, что initrd призван решить проблему курицы и яйца для модульного ядра: для монтирования файловой системы необходим модуль для работы с диском и файловой системой, а для чтения модуля необходима файловая система, с которой этот модуль читается

3.c)

Что такое план управления рисками, какие стадии его составления? Какие существуют 4 стратегии управления рисками? Приведите примеры для каждой стратегии.

1. Идентификация

Для каждой угрозы – RS (возможно несколько для каждого ресурса).

2. Анализ

RS: условия возникновения, последствия, оценка урона: количественно (100-бальная шкала PxI, годовые потери, ит.п.), качественно.

3. Планирование УР

Должен быть назначен ответственный за каждый риск.

4. Разработка методов отслеживания изменений рисков

Измерение частоты появления, успеха противодействия.

5. Меры по управлению

Когдаи как изменять план УР, актуализировать его.

Стратегии:

избежание риска (avoid) исключение риска осуществимо далеко не всегда. например можно попытаться полностью изолировать сеть от внешней. хз что еще ...

передача риска (transfer). Это частный случай избежания, когда риск переносится с самого объекта на его окружение.

Уменьшение риска (mitigate) постараться уменьшить вероятность его появления на практике. установка настройка антивирусов, фаерволов, обновления защитных систем, использование ограничения привилегий пользователя. и т.д.

Предупреждение ущерба от риска (accept). Когда не получается удовлетворительно уменьшить риск, следует подготовиться к встрече с ним так, чтобы минимизировать потери, т.е. снизить вероятность негативного воздействия и уменьшить само воздействие: дублирующие сети, резервные банки данных, и т.д.

3.d)

Что такое виртуализация, перечислите возможности ее применения? На примерах объясните преимущества.

Виртуализация — средство для организации на одном реальном компьютере нескольких виртуальных. С виртуализированным компьютером, после его создания, необходимо произвести те же действия, что и с обычным: установить и настроить ОС, при необходимости установить драйверы устройств, прикладные программы, сервисы.

Один физический ресурс – много виртуальных

Один виртуальный ресурс – много физических

Много физических ресурсов – много виртуальных

Обучение, предустановленные тестовые машины— В случае постоянной установки\удаления новых программ очень скоро реестр компьютера засоряется, работа замедляется. используя виртуальный компьютер, можно вернуть первоначальное состояние всего за несколько кликов мышкой. Это относится и к инфицированию виртуального компьютера вирусами.

Виртуализация рабочих мест - наша сеть - с любого компа в свой профиль.

Консолидация - несколько виртуальных серверов на одном физическом сервере

Пример:

когда в небольшом офисе уже имеется файловый сервер и было принято решение подключить рабочие станции сотрудников к интернету.

Раньше требовалось или покупать новый сервер (доп. затраты) или настраивать имеющийся для расширения сервисов, которые он предоставляет (что не всегда правильно с точки зрения безопасности) - это может затруднить восстановление работоспособности при сбое, а также увеличить вероятность отказа одной функции при нестабильной работе другой. принятие решения о виртуализации будет правильным: будут созданы два виртуальных сервера (каждый под свою задачу), будет экономиться электроэнергия и занимаемая площадь (физически будет один сервер), отказ одного виртуального сервера не скажется на другом, т.к. они изолированы друг от друга.