Понятие информационной безопасности

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Обзорная лекция

План

Понятие информационной безопасности

Виды угроз информационной безопасности

Угрозы доступности

Угрозы целостности

Угрозы конфиденциальности

Вредоносное программное обеспечение

Основные направления защиты информации

Уровни информационной безопасности

Законодательный уровень ИБ

Административный уровень ИБ

Процедурный уровень ИБ

4.4. Программно-технический уровень ИБ.
Сервис безопасности

При бурном развитии и использовании современных ИТ особое внимание необходимо уделять вопросам обеспечения ИБ, так как при возрастающем значении информации ее уничтожение, измене ние или хищение могут приводить к огромным, часто невоспол нимым потерям - материальным, моральным, временным и др.

По оценкам ФБР США, ежегодный ущерб от преступлений в информационной сфере составляет в США более 70 млрд долл. а в ми ровом масштабе эти потери за 2005 г. превысили 300 млрд долл.

В России из-за кражи паролей и затрат на восстановление за губленного вирусами программного обеспечения ежегодные убыт ки домашних пользователей ПК составляют около 15-20 млн долл.

В последнее время все большей популярностью у преступни ков стали пользоваться всевозможные личные данные клиентов: адреса электронной почты, паспортные данные, номера банков ских счетов, PIN -коды, учетные записи, пароли для сетевого доступа и т.п.

На российских черных рынках можно купить кредитные ис тории граждан, базы данных с таможенными декларациями, базы данных регистрации автомобилей, мобильных телефонов с адре сами владельцев, а также базы данных паспортной службы. Сбыт украденного приносит злоумышленникам немалые деньги, а по купателями похищенных данных зачастую становятся преступники, которые используют полученную информацию в своих целях.

Все чаще в число жертв киберкриминала попадают крупные коммерческие и государственные организации, известны случаи внедрения на сайты, принадлежащие силовым ведомствам. Кра жа информации совершается даже из таких труднодоступных мест, как налоговые, банковские и таможенные службы.

Известны случаи интернет-рэкета, шантажа и вымогательства. Они сводятся к выдвижению требований (как правило, за платить определенную сумму). В случае отказа выполнить эти требования злоумышленники угрожают блокированием доступа к сетевым ресурсам жертвы.

Мишенями кибершантажистов становятся интернет-магази ны, букмекерские конторы и любые другие организации, кото рые имеют бизнес в Сети и для которых блокирование доступа к их ресурсам чревато значительными потерями.

Статистика показывает, что две трети ущерба в сфере ин формационной безопасности фирм и предприятий приходится на долю сотрудников этих организаций. Эти потери возникают из-за корыстных побуждений, промышленного шпионажа, зло намеренных действий конкурентов, мести и желания навредить со стороны уволенных или недовольных сотрудников, зависти, тщеславия, хулиганства, халатности и низкой квалификации отдельных работников.

Понятие информационной безопасности и официальная политика государства в этой области выражены в ДОКТРИНЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ РОССИЙСКОЙ ФЕДЕРАЦИИ (приказ Президента РФ от 9.09.2000 - № Пр-1895).

 

Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

На уровне отдельной личности предполагается реализация конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также на защиту информации, обеспечивающей личную безопасность.

На уровне общества речь идет об обеспечении интересов личности в этой сфере, упрочении демократии, о создании правового социального государства, достижении и поддержании общественного согласия в духовном обновлении России.

Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения конституционного строя, суверенитета и территориальной целостности России. Информационная безопасность каждого обеспечивает политическую, экономическую и социальную стабильность государства, что сказывается на развитии равноправного и взаимовыгодного международного сотрудничества.

 

Под угрозой безопасности понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию ресурсов ИС, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Знание возможных угроз, а также уязвимых мест защиты, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

Угроза - это возможные действия (процессы, явления), способные прямо или косвенно нанести ущерб безопасности ИС (возможность разрушения, искажения или несанкциониро ванного использования ресурсов компьютера, обрабатываемой информации, а также программного обеспечения).

Угрозы можно классифицировать по нескольким критериям:

по способу осуществления и расположению источника угроз (с лучайные или преднамеренные, действия природного или техногенного характера, внутри или вне рассматриваемой ИС);

по аспекту информационной безопасности (нарушение доступности, целостности, конфиденциальности);

по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

Случайные угрозы. Источником случайных угроз, возникающих при работе компьютера, могут быть

 ошибки в программном обеспечении,

выходы из строя аппаратных средств,

неправильные действия пользователей, операторов или системных администрат-ов и т.п.

Умышленные угрозы преследуют определенные цели, связанные с нанесением ущерба пользователям (абонентам) сети. Они также подразделяются на два типа: активные и пассивные.

При пассивном вторжении злоумышленник только наблюдает за прохождением и обработкой информации, не вторгаясь в информационные потоки. Эти вторжения, как правило, направлены на несанкционированное использование информационных ресурсов компьютера, не оказывая при этом влияния на ее функционирование.

Активные вторжения нарушают нормальное функционирование компьютера, вносят несанкционированные изменения в информационные потоки, в хранимую и обрабатываемую информацию. Эти угрозы реализуются посредством целенаправленного воздействия на ее аппаратные, программные и информационные ресурсы.

К активным вторжениям относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя всей системы, подключенной к сети, или ее операционной системы, искажение информации в пользовательских базах данных или системных структурах данных и т.п. Информация, хранящаяся в памяти компьютера, может быть выборочно модифицирована, уничтожена, к ней могут быть добавлены недостоверные данные.

Для создания хорошей защиты данных компьютера необходимо знать все возможности активных и пассивных вторжений и, исходя из данных знаний, формировать средства защиты. Таким образом, первый шаг по организации защиты информации состоит в определении требований к компьютеру. Этот этап включает:

• анализ уязвимых элементов ИС (возможные сбои оборудования и ошибочные операции, выполняемые пользователями, кража магнитных носителей и, несанкционированное копирование и передача данных, умышленное искажение информации или ее уничтожение и т. п.);

• оценку угроз (выявление проблем, которые могут возникнуть из-за наличия уязвимых элементов);

• анализ риска (прогнозирование возможных последствий, которые могут вызвать эти проблемы).

Если вернуться к анализу интересов различных категорий субъектов информационных отношений, то почти для всех, кто реально использует ИС, на первом месте стоит доступность. Практически не уступает ей по важности целостность – какой смысл в информационной услуге, если она содержит искаженные сведения? Наконец, конфиденциальные моменты есть также у многих организаций (даже в упоминавшихся выше учебных институтах стараются не разглашать сведения о зарплате сотрудников) и отдельных пользователей (например, пароли).

Основные угрозы целостности

• ввод неверных данных, переупорядочение, кража, внесение дополнительных сообщений (сетевых пакетов и т.п.). Соответствующие действия в сетевой среде называются активным прослушиванием.

Потенциально уязвимы с точки зрения нарушения целостности не только данные, но и программы.

• Внедрение вредоносного ПО - пример подобного нарушения.

 

Законодательный уровень ИБ

Законодательный уровень является важнейшим для обеспечения информационной безопасности. Большинство людей не совершают противоправных действий не потому, что это технически невозможно, а потому, что это осуждается и/или наказывается обществом, потому, что так поступать не принято.

Законодательная поддержка и формирование правовых и мо рально-этических норм защиты информации, к сожалению, за метно отстают от бурного развития компьютерных технологий и возникающих на их основе новых угроз.

На законодательном уровне различают две группы мер:

· Меры ограничительной направленности, направленные на создание и поддержание в обществе негативного (в том числе с применением наказаний) отношения к нарушениям и нарушителям ИБ;

· Направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения ИБ (меры созидательной направленности).

В Российской Федерации вопросам защиты информации посвящены следующие законы и правовые акты:

4.1.1. Правовые акты общего назначения, затрагивающие вопросы ИБ

· КОНСТИТУЦИЯ РФ ( принятая 12 декабря 1993 год)

Статьями 23, 24, 29, 41, 42 гарантирует право на личную и семейную тайну, право свободно искать, получать, передавать, производить и распространять информацию любым законным, право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, право на знание достоверной информации о состоянии окружающей среды.

· УГОЛОВНЫЙ КОДЕКС РФ

УК РФ является весьма продвинутым в плане информационной безопасности.

Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений.

Статья 183 защищая конфиденциальность банковской и коммерческой тайны.

ГЛАВА 28 -"Преступления в сфере компьютерной информации" - содержит три статьи:

Статья 272. Неправомерный доступ к компьютерной информации (связана с посягательствами на конфиденциальность).

Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ.

Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (связана с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ).

Определения

Информация

Информационные технологии

Информационная система

Доступ к информации

Обладатель информации

Конфиденциальность информации

Электронное сообщение

Документированная информация

Другие правовые акты

· Закон "ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ " (принят Государственной Думой 13 декабря 2001 года, рассматривается в редакции ФЗ от 08 ноября 2007 года номер 258-ФЗ), развивающий и конкретизирующий приведенные выше положения закона "Об информации...".

Его роль прекрасно выражена в статье 1.

1. Целью настоящего ФЗ является обеспечение правовых условий использования электронной цифровой подписи (ЭЦП) в электронных документах, при соблюдении которых ЭЦП в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе.

2. Действие настоящего ФЗ распространяется на отношения, возникающие при совершении гражданско-правовых сделок и в других предусмотренных законодательством РФ случаях. Действие настоящего ФЗ не распространяется на отношения, возникающие при использовании иных аналогов собственноручной подписи.

Закон вводит следующие основные понятия:

• Электронный документ - документ, в котором информация представлена в электронно-цифровой форме.

• Электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате крипто-рафического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

• Владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом ЭЦП, позволяющим с помощью средств ЭЦП создавать свою ЭЦП в электронных документах (подписывать электронные документы).

Согласно этому закону, ЭЦП в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:

• сертификат ключа подписи, относящийся к этой ЭЦП, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;

• подтверждена подлинность ЭЦП в электронном документе;

• ЭЦП используется в соответствии со сведениями, указанными в сертификате ключа подписи.

· Федеральный закон "О ПЕРСОНАЛЬНЫХ ДАННЫХ " от 27 июля 2006 года номер 152-ФЗ (принят Государственной Думой 8 июля 2006 года) можно назвать долгожданным. И в целом он оправдал ожидания.

В статье 2 сформулирована цель Федерального закона.

Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Административный уровень ИБ

Главная цель мер административного уровня - сформировать программу работ на основе политики безопасности.

Политика безопасности строится на основе анализа рисков, которые признаются реальными для информационной системы организации. Под политикой безопасности понимают совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.

Организационно-административные меры –связаны с тщательным учетом и соблюдением правил работы с конфиденциальной информацией:

· пропускной режим;

· кодовые замки;

· охранная сигнализация,

· средства видеопросмотра, видеозаписи и т. п.

· хранение носителей и устройств в сейфе (диски, монитор, клавиатура и т.д.);

· ограничение доступа лиц в компьютерные помещения и т.д.

Процедурный уровень ИБ

Процедурный уровень рассматривает меры безопасности, которые ориентированы на людей, а не на технические средства. Именно люди формируют режим информационной безопасности, и они же оказываются главной угрозой, поэтому "человеческий фактор" заслуживает особого внимания.

На процедурном уровне можно выделить следующие классы мер:

· управление персоналом;

• физическая защита;
• поддержание работоспособности;
• реагирование на нарушения режима безопасности;

· планирование восстановительных работ.

Управление персоналом начинается с приема нового сотрудника на работу и даже раньше - с составления описания должности. Уже на данном этапе желательно подключить к работе специалиста по информационной безопасности для определения компьютерных привилегий, ассоциируемых с должностью. Существует два общих принципа, которые следует иметь в виду:

· разделение обязанностей;

· минимизация привилегий.

Физическая защита. Безопасность информационной системы зависит от окружения, в котором она функционирует. Необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры, вычислительной техники, носителей данных.

Поддержание работоспособности информационных систем. Именно здесь таится наибольшая опасность. Нечаянные ошибки системных администраторов и пользователей грозят повреждением аппаратуры, разрушением программ и данных; в лучшем случае они создают бреши в защите, которые делают возможной реализацию угроз.

 

Сервис безопасности

Сервис безопасности - набор средств, обеспечивающих надежную защиту на программно-техническом уровне:

1. идентификация и аутентификация (использование электронной подписи и электронных серти фикатов);

2. управление доступом (разграничение прав пользователей и доступа к информаци онным ресурсам);

3. протоколирование и аудит;

4. шифрование ( криптографическое кодирование информа ции);

5. контроль целостности;

6. экранирование ( установку межсетевых экранов);

7. анализ защищенности;

8. обеспечение отказоустойчивости;

9. обеспечение безопасного восстановления;

10. туннелирование;

Ограничение доступа к документам путем установки паро лей на открытие файлов и на разрешение для изменения данных, а также установка атрибутов "скрытый" или "только для чтения";

Технические средства включают в себя различные аппаратные способы защиты информации:

• экраны на аппаратуру;

• ключ для блокировки клавиатуры;

•использование специального технического устройства (электронного ключа), подключаемого к порту ввода-вывода компьютера и др.;

•применение биометрических систем распознавания личности - анализа отпечатков пальцев, радужной оболочки глаз, тембра голоса и т. п.

Программные средства предусматривают.

• криптографическое кодирование (шифрование) информации;

• использование электронной подписи и электронных серти фикатов;

• установку межсетевых экранов;

• разграничение прав пользователей и доступа к информаци онным ресурсам;

• ограничение доступа к документам путем установки паро лей на открытие файлов и на разрешение для изменения данных, а также установка атрибутов "скрытый " или " только для чтения";

1. Идентификация и аутентификация

Идентификация - присвоение какому-либо объекту или субъекту уникального имени или образа;

Аутентификация - установление подлинности объекта или субъекта, т. е. проверка, является ли этот субъект (объект) тем, за кого он себя выдает.

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации – процедура входа пользователя в систему.

Что служит аутентификатором (то есть используется для подтверждения подлинности субъекта)? Субъект может подтвердить свою подлинность, предъявив: пароль, личный идентификационный номер, криптографический ключ, свои биометрические характеристики (голос, отпечатки пальцев, узор сетчатки глаза и т.п.)

2. Управление доступом (разграничение прав пользователей и доступа к информаци онным ресурсам);

Механизмы контроля доступа осуществляют проверку полномочий объектов сети (программ и пользователей) на доступ к ее ресурсам. При доступе к ресурсу через соединение контроль выполняется как в точке инициализации обмена, так и в конечной точке, а также в промежуточных точках. Основой для реализации этих механизмов являются матрица прав доступа и различные варианты ее реализации. Мандатные списки включают метки безопасности, присвоенные объектам, которые дают право на использование ресурса. К другому типу относятся списки прав доступа, основанные на аутентификации объекта и последующей проверке его прав в специальных таблицах (базах контроля доступа), существующих для каждого ресурса.

3. Протоколирование и аудит.

Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе

Аудит – это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически (например, раз в день).

Реализация протоколирования и аудита решает следующие задачи:

· обеспечение подотчетности пользователей и администраторов;

· обеспечение возможности реконструкции последовательности событий;

· обнаружение попыток нарушений информационной безопасности;

· предоставление информации для выявления и анализа проблем.

При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию:

· дата и время события;

· уникальный идентификатор пользователя – инициатора действия;

· тип события;

· результат действия (успех или неудача);

· источник запроса (например, имя терминала);

· имена затронутых объектов (например, открываемых или удаляемых файлов);

· описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).

4. Шифрование ( криптографическая защита).

Криптография - тайнопись, специальная система изменения обычного письма, используемая с целью сделать текст понятным лишь ограниченному числу лиц, знающих эту систему.

Криптография необходима для реализации, по крайней мере, трех сервисов безопасности:

· шифрование;

· контроль целостности;

· а утентификация (этот сервис был рассмотрен нами ранее).

Шифрование – наиболее мощное средство обеспечения конфиденциальности. Во многих отношениях оно занимает центральное место среди программно-технических регуляторов безопасности

Шифрование может быть симметричным и асимметричным.

Симметричное - основывается на использовании одного и того же секретного ключа для шифрования и дешифрования.

Асимметричное - характеризуется тем, что для шифрования используется ключ, являющийся общедоступным, а для дешифрования – другой являющийся секретным. При этом знание общедоступного ключа не дает возможности определить секретный ключ. Для реализации механизма шифрования нужна организация специальной служб генерации ключей и их распределения между абонентами сети.

5. Контроль целостности. Механизмы обеспечения целостности применяются как к отдельным блокам данных, так и к информационным потокам. Целостность обеспечивается выполнением взаимосвязанных процедур шифрования и дешифрования отправителем и получателем с последующим сравнением контрольных криптографических сумм. Возможно и использование более простых методов типа нумерации блоков или их дополнения так называемым клеймом (меткой) времени.

Криптографические методы позволяют надежно контролировать целостность как отдельных порций данных, так и их наборов (таких как поток сообщений); определять подлинность источника данных; гарантировать невозможность отказаться от совершенных действий ("неотказуемость").

В основе криптографического контроля целостности лежат два понятия:

· хэш-функция;

· электронная цифровая подпись (ЭЦП).

Хэш-функция – это труднообратимое преобразование данных (односторонняя функция), реализуемое, как правило, средствами симметричного шифрования со связыванием блоков. Результат шифрования последнего блока (зависящий от всех предыдущих) и служит результатом хэш-функции.

Электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты данного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажений информации в электронном документе.

Механизмы цифровой подписи используются для реализации служб аутентификации. Эти механизмы основываются на алгоритмах асимметричного шифрования и включают две процедуры: формирование подписи отправителем и ее опознавание (верификацию) получателем. Первая процедура обеспечивай шифрование блока данных либо его дополнение криптографической контрольной суммой, причем в обоих случаях используется секретный ключ отправителя. Вторая процедура основывается на использовании общедоступного ключа, знания которого достаточно для опознавания отправителя.

При использовании асимметричных методов шифрования (и, в частности, электронной цифровой подписи) необходимо иметь гарантию подлинности пары (имя пользователя, открытый ключ пользователя). Для решения этой задачи в спецификациях X.509 вводятся понятия цифрового сертификата и удостоверяющего центра.

6. Экранирование ( установку межсетевых экранов)

Межсетевые экраны - файерволы (firewall), брандмауэры - являются программно-аппаратными средствами, которые представляют собой барьер, защищающий от несанкционированного вторжения во внутреннюю локальную сеть и обеспечивающий безопасный доступ к внешней сети. Межсетевые экраны являются барьерами на пути информационных потоков между внутренней информационной системой и внешними сетями для того, чтобы защитить данные локальной сети извне, от посягательств злоумышленников, стремящихся либо скопировать, изменить или стереть информацию, либо воспользоваться памятью или вычислительной мощностью работающих в этой сети компьютеров.

Формальная постановка задачи экранирования, состоит в следующем. Пусть имеется два множества информационных систем. Экран – это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран осуществляет свои функции, контролируя все информационные потоки между двумя множествами систем

7. Анализ защищенности.

Сервис анализа защищенности предназначен для выявления уязвимых мест с целью их оперативной ликвидации. Сам по себе этот сервис ни от чего не защищает, но помогает обнаружить (и устранить) пробелы в защите раньше, чем их сможет использовать злоумышленник.

Системы анализа защищенности (называемые также сканерами защищенности), как и рассмотренные выше средства активного аудита, основаны на накоплении и использовании знаний. В данном случае имеются в виду знания о пробелах в защите: о том, как их искать, насколько они серьезны и как их устранять.

В принципе, могут выявляться бреши самой разной природы: наличие вредоносного ПО (в частности, вирусов), слабые пароли пользователей, неудачно сконфигурированные операционные системы, небезопасные сетевые сервисы, неустановленные заплаты, уязвимости в приложениях и т.д

Антивирусную защиту мы причисляем к средствам анализа защищенности, не считая ее отдельным сервисом безопасности

Системы анализа защищенности снабжены автообнаружением, помогающим, в частности, эффективно работать с протоколом сканирования.

 

8. Обеспечение отказоустойчивости

Рассматриваются два вида средств поддержания высокой доступности: обеспечение отказоустойчивости (нейтрализация отказов, живучесть) и обеспечение безопасного и быстрого восстановлени я после отказов (обслуживаемость).

Информационная система предоставляет своим пользователям определенный набор услуг (сервисов). Говорят, что обеспечен нужный уровень доступности этих сервисов, если следующие показатели находятся в заданных пределах:

Эффективность услуги определяется в терминах максимального времени обслуживания запроса, количества поддерживаемых пользователей и т.п.

Требуется, чтобы максимальная продолжительность периода недоступности и суммарное время недоступности за некоторый период (месяц, год) не превышали заранее заданных пределов

В сущности, требуется, чтобы информационная система почти всегда работала с нужной эффективностью

Для некоторых критически важных систем (например, систем управления) время недоступности должно быть нулевым, без всяких "почти".

Для решения данной задачи создавались и создаются специальные отказоустойчивые системы, стоимость которых, как правило, весьма высока.

 

9. Обеспечение безопасного восстановления.

Быстрое время восстановлени я (обслуживаемость) - минимизация времени простоя отказавших компонентов, а также отрицательного влияния ремонтных работ на эффективность информационных сервисов, то есть быстрое и безопасное восстановление после отказов).

10. Туннелирование.

Туннелирование следует рассматривать как самостоятельный сервис безопасности. Его суть состоит в том, чтобы "упаковать" передаваемую порцию данных, вместе со служебными полями, в новый "конверт". В качестве синонимов термина " туннелирование " могут использоваться " конвертование " и " обертывание ".

Туннелирование может применяться как на сетевом, так и на прикладном уровнях. Например, стандартизовано туннелирование для IP и двойное конвертование для почты X.400.

Комбинация туннелирования и шифрования (наряду с необходимой криптографической инфраструктурой) на выделенных шлюзах и экранирования на маршрутизаторах поставщиков сетевых услуг (для разделения пространств "своих" и "чужих" сетевых адресов в духе виртуальных локальных сетей) позволяет реализовать такое важное в современных условиях защитное средство, как виртуальные частные сети. Подобные сети, наложенные обычно поверх Internet, существенно дешевле и гораздо безопаснее, чем собственные сети организации, построенные на выделенных каналах.

 

11. Управление

Согласно стандарту X.700, управление подразделяется на:

• мониторинг компонентов;
• контроль (то есть выдачу и реализацию управляющих воздействий);
• координацию работы компонентов системы.

На практике обычно используются комбинированные способы защиты информации от несанкционированного доступа.

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Обзорная лекция

План

Понятие информационной безопасности