Стандарт ISO/IEC 15408 «Критерии оценки безопасности ИТ» («Общие критерии»)

Информационные ресурсы

Основные понятия информационных ресурсов (ИР)

Информационные ресурсы - информация, зафиксированная на материальном носителе и хранящаяся в информационной системе.

По области применения ИР:

1) Сектор деловой информации – статистическая, биржевая, коммерческая и т.д.

2) Научно-техническая и социальная – о научных исследованиях, документальная, реферативная, библиографическая и т.д.

3) Сектор массовой потребительской информации – новости, справочная, развлекательная, потребительская информация

Цель государственной политики в области управления ИР заключается в обеспечении доступности информационных ресурсов, в обеспечении достаточности информационного обслуживания, в обеспечении достоверности информации.

Разновидности информационных служб:

1) Центры-генераторы – производители информации. Получение информации, формирование информационных массивов, поддержание их в активном состоянии.

2) Центры распределения – поставщики информации. Предоставляют информационные услуги пользователям на основе информационных массивов, получаемых от генераторов.

3) Информационные агентства – функции обслуживания пользователей.

Классификация ИР

1) Библиотечные – традиционные бумажные и электронные библиотеки.

2) Архивные – многовековые материалы, связанные с историей и культурой.

3) Научно-технические – во всех странах существуют специализированные системы научно-технической информации, которые включают специализированные издания, библиотеки научных достижений, патентные службы и технологии.

4) Правовая – свод законов, кодексов, нормативов и т.д.

5) Информация государственных (властных) структур

6) Отраслевая – ресурсы касающиеся всех сфер деятельности

7) Финансовая и экономическая

8) Информация о природных ресурсах

9) Информация предпринимателей и учредителей

Электронные ресурсы

1) Средства массовой информации – новостные и тематические сайты.

2) Электронные библиотеки – каталогизированные информационные системы.

3) Электронные базы данных – система структурированных документов и файлов.

4) Сайты, корпоративные сайты.

5) Сервисы – группа сайтов.

6) Информационные порталы – переход на другие сайты. Многоуровневое объединение различных ресурсов и сервисов.

Понятие ИБ

Определение ИБ

Термин ИБ в РФ используется в широком смысле и имеется в виду состояние защищенности национальных ресурсов, это отражено в Доктрине информационной безопасности, в многочисленных законах об ИБ, в законе РФ «Об участии в международном информационном обмене».

ИБ – защищенность информационных ресурсов и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений и поддерживающей инфраструктуре.

Защита информации – комплекс мероприятий, направленных на обеспечение ИБ.

Средства защиты: формальные и неформальные.

Формальные: физические, программные, аппаратные, криптографические, программно-аппаратные.

Неформальные: нормативно-правовые, организационные, морально-этические.

Субъекты ИБ – системы, люди, процессы и организации, связанные с использованием информационных ресурсов.

ИБ не сводится только к защите от несанкционированного доступа, поскольку охватывает еще понятие достоверности, доступности и целостности информационных ресурсов.

Поддерживающая инфраструктура – система, включающая средства коммуникаций, водо-газо-теплоснабжение, здания, сооружения и иные технические устройства и установки, а также обслуживающий персонал.

Избежать угроз ИБ невозможно и само понятие безопасности субъекта, потому что размер нанесенного или предполагаемого ущерба индивидуален и определяется каждым субъектом.

Основные составляющие ИБ

Категории ИБ: конфиденциальность, целостность, доступность.

Доступность – возможность в любое время получить необходимую информационную услугу или ресурс.

Целостность – актуальность и непротиворечивость информации и ее защищенность от разрушения или изменения.

Конфиденциальность – защита от несанкционированного доступа к информации.

Основные угрозы ИБ

Основные определения и критерии классификации угроз

Угроза – потенциальная возможность нарушения информационной безопасности и нанесения информационного ущерба.

Атака – попытка реализации угрозы.

Злоумышленник – тот субъект, который предпринимает попытку атаки.

Источники угроз – потенциальные злоумышленники.

Угроза является следствием наличия слабых мест в информационной защите, которые называются уязвимыми местами.

Промежуток времени с момента появления уязвимого места до момента его ликвидации называется окно опасности.

В некоторых случаях полностью ликвидировать уязвимые места не удается, тогда субъект ИБ вынужден с ними мириться.

Угрозы

По аспекту ИБ, на который угроза направлена: угроза доступности; целостности; конфиденциальности.

По компонентам информационной системы

По способу осуществления: случайные; преднамеренные; природного, техногенного или человеческого характера.

По расположению источника угроз: внутренние; внешние.

Вредоносное ПО

Виды вредоносного ПО: бомбы; вирусы; черви; спам.

Каждый вид характеризуется вредоносной функцией, способом распространения и внешним представлением.

Наиболее разрушительное действие оказывает бомба, которая обычно предназначена для: внедрения другого вредоносного ПО; получения полного управления системой; агрессивного потребления ресурсов; изменения или разрушения данных.

Вирусы и черви различаются по механизму распространения.

Вирусы обычно распространяются локально, от узла к узлу. Для передачи по сети им требуется внешняя помощь. При этом вирус срабатывает, когда записывается программа или открывается файл с ним.

Черви распространяются без внешней помощи, просто нужен открытый канал. Вредоносная функция их заключается в том, что они создают множественные копии себе подобных.

Вредоносный код, который выглядит так же, как полезная программа, называется троянским. Иногда просто само распространение вредоносного ПО является вредоносной функцией, поскольку агрессивно потребляет ресурсы.

Каналы утечки информации

1) Изъятие созданного документа во время отсутствия сотрудника. При этом, злоумышленник имеет доступ либо к ПК, либо к бумажному документу.

2) Изъятие документа с файлового сервера организации.

3) Изъятие документа с файлового сервера при атаке на корпоративную сеть.

4) Кража или подмена документа при передаче по сети.

5) Утеря документа при передаче курьером.

6) Утеря компьютера со всеми файлами организации.

7) Через обмен материальными носителями.

Типичные способы защиты ПК: антивирусные и иные защитные программы; персональное шифрование; авторизованный вход в систему; применение специальных программ защиты (PGP, Secret Disk).

Защита корпоративной сети

1) Использование межсетевых экранов

2) Применение виртуальных частных сетей (VPN)

3) Сети питания и другие каналы: защита каналов связи от электромагнитного воздействия; защита организации от виброакустического воздействия; использование инфраструктуры

4) Своевременное уничтожение информации, то есть уничтожение документов и файлов, которые не нужны организации, но могут понадобиться конкурентам.

Угрозы по аспекту ИБ

Наиболее распространенные угрозы доступности: отказ пользователей; внутренний отказ ИС; отказ поддерживающей инфраструктуры.

Отказ пользователей

Угрозы: нежелание работать с ИС; невозможность работать с системой в силу отсутствия соответствующей подготовки; невозможность работы с системой из-за отсутствия технической поддержки

Отказ системы

Угрозы: отступление от установленных правил эксплуатации; ошибки конфигурирования системы; отказ программного или (и) аппаратного обеспечения; выход системы из штатного режима из-за действий пользователя; разрушение данных.

Отказ инфраструктуры

Угрозы: нарушение работы системы связи, электропитания, тепло-водо-газоснабжения, кондиционирования и т.д., разрушение и повреждение помещений.

ИБ распределяемых систем

Рекомендации x.800

Рекомендации x.800 – основополагающий документ в области защиты сетевых систем. В нем рассмотрены основные сервисы (функции) безопасности и механизмы их обеспечения.

1) Аутентификация – данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Бывает односторонней и двусторонней (взаимной).

2) Управление доступом – обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.

3) Конфиденциальность – обеспечивает защиту как данных, так и трафика от несанкционированного получения информации.

4) Целостность данных – подразделяются на подвиды в зависимости от того, какой вид общения выбирают партнеры. Например, защищаются ли все данные или отдельные поля и т.д.

5) Неотказуемость – невозможность отказаться от совершенных действий.

6) Комплекс «3 А» - аутентификация, авторизация, администрирование.

Механизмы для реализации сервисов: шифрование; электронная цифровая подпись; управление доступом; контроль целостности; аутентификация; дополнение трафика; управление маршрутизацией; нотаризация.

Класс «Приватность»

Анонимность, псевдонимность, невозможность ассоциации, скрытность.

Анонимность позволяет выполнять действия без раскрытия идентификатора пользователя другим пользователям. Может быть полной и неполной, может относиться не ко всем операциям и не ко всем пользователям.

Псевдонимность – предполагает использование ника.

Невозможность ассоциации – возможность многократного использования ресурсов, но не позволяет ассоциировать случаи их использования с конкретным лицом.

Скрытность – можно использовать сервис с сокрытием факта использования.

Политика безопасности

К административному уровню безопасности относятся действия общего характера, предпринимаемые руководством организации. Главная цель мер административного уровня – сформировать программу работ и выделить ресурсы. Основой программы работ является политика безопасности.

Политика безопасности – совокупность документированных решений, основанных на анализе рисков и направленных на защиту информации.

Политика безопасности рассматривается на трех уровнях: высшем, среднем, низшем, которые соответствуют уровням управления.

На высшем уровне определяется цель; обеспечивается база законов и свод правил; формулируются административные решения.

Политика среднего уровня должна освещать следующие темы: описание аспекта; область применения; позиция организации по данному аспекту; законопослушность; точки контакта.

Политика нижнего уровня относится к конкретным информационным сервисам и инструментам, то есть определяются права доступа к объектам, условия доступа и организация удаленного доступа.

Архитектурная безопасность

Принципы:

1) Непрерывность защиты в пространстве и времени

2) Следование признанным стандартам

3) Иерархическая организация системы с небольшим числом сущностей на каждом уровне. Обеспечивает большую управляемость, особенно, если число элементов на каждом уровне управления является небольшим

4) Усиление самого слабого звена

5) Невозможность перехода в небезопасное состояние. При любых обстоятельствах защитное средство либо выполняет свои функции, либо полностью блокирует доступ

6) Минимизация привилегий и разделение обязанностей

7) Шелонированность – предполагает наличие нескольких защитных рубежей.

8) Разнообразие защитных ресурсов

9) Простота и управляемость ИС

Протоколирование и аудит

Протоколирование – сбор и накопление информации о событиях, происходящих в системе. У каждого сервиса есть свой набор стандартных событий, но все они делятся на: внешние, внутренние и клиентские.

Аудит – анализ накопленной информации, проводимые оперативно, в реальном времени, или периодически. Оперативный аудит называется активным.

Задача активного аудита – выявлять подозрительную активность и активность средства для автоматического реагирования на нее.

Задачи, решаемые протоколированием и аудитом:

- обеспечение подотчетности пользователей и администраторов;

- обнаружение попыток нарушения ИБ;

- обеспечение возможности реконструкции последовательности событий;

- предоставление информации для анализа проблем.

Характерной особенностью протоколирования и аудита является: зависимость их от других средств безопасности.

Аудит основан на сигнатурном методе.

Сигнатура атаки – совокупность условий, при которых атака считается имеющей место.

Действия, выполняемые в рамках имеющихся полномочий, но нарушающие политику безопасности называются злоупотреблением полномочиями.

Неэтичное поведение пользователей, получивших доступ к чужим файлам, выявляется с помощью аудита.

Применительно к средствам активного аудита различают ошибки первого рода и второго. Первого рода – пропуск атак, второго рода – ложные тревоги.

Шифрование

В основном играет инфраструктурную роль, поскольку является для многих сервисов первым, а для некоторых последним или единственным рубежом защиты.

Методы: симметричные и несимметричные (асимметричные).

Симметричный метод предполагает наличие одного ключа для шифровки и расшифровки информации. Этот метод является быстродейственным, но ключ известен шифровальщику и дешифровальщику, то есть как минимум двум людям – это недостаток.

Асимметричное предполагает использование двух ключей: один – несекретный, в том числе публикуемый в сведениях о пользователе; второй – секретный. Несекретный для шифрования, секретный – для расшифрования. Недостаток – низкое быстродействие.

В некоторых случаях применяются составные ключи. Идея в том, что секретный ключ делится на составные части. Каждая часть в отдельности сообщение не расшифрует, только в совокупности.

Контроль целостности

Основа контроля целостности: hash-функция; электронная цифровая подпись.

Hash-функция – труднообратимое преображение данных, реализуемое средствами симметричного шифрования со связыванием блоков. Результат шифрования последнего блока, который зависит от всех предыдущих, является результатом hash-функции.

Электронная подпись – представляет собой определенную последовательность символов, имеющую неизменяемое соотношение с каждым символом определенного объема данных документа и предназначенную для подтверждения целостности этого объема данных.

Цифровые сертификаты

Удостоверяющий центр – компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей.

Информация о пользователях и открытые ключи хранятся в виде цифровых сертификатов.

Цифровой сертификат служит неким удостоверяющим документом, несущим информацию о пользователе.

Экранирование

Межсетевой экран – средство разграничения доступа клиентов из одной сети к серверам из другой. Часто используется в корпоративных сетях и располагается между защищаемой сетью и внешней средой (внешний экран) или между двумя сегментами корпоративной сети (внутренний экран). Является средством активного аудита.

Информационные ресурсы

Основные понятия информационных ресурсов (ИР)

Информационные ресурсы - информация, зафиксированная на материальном носителе и хранящаяся в информационной системе.

По области применения ИР:

1) Сектор деловой информации – статистическая, биржевая, коммерческая и т.д.

2) Научно-техническая и социальная – о научных исследованиях, документальная, реферативная, библиографическая и т.д.

3) Сектор массовой потребительской информации – новости, справочная, развлекательная, потребительская информация

Цель государственной политики в области управления ИР заключается в обеспечении доступности информационных ресурсов, в обеспечении достаточности информационного обслуживания, в обеспечении достоверности информации.

Разновидности информационных служб:

1) Центры-генераторы – производители информации. Получение информации, формирование информационных массивов, поддержание их в активном состоянии.

2) Центры распределения – поставщики информации. Предоставляют информационные услуги пользователям на основе информационных массивов, получаемых от генераторов.

3) Информационные агентства – функции обслуживания пользователей.

Классификация ИР

1) Библиотечные – традиционные бумажные и электронные библиотеки.

2) Архивные – многовековые материалы, связанные с историей и культурой.

3) Научно-технические – во всех странах существуют специализированные системы научно-технической информации, которые включают специализированные издания, библиотеки научных достижений, патентные службы и технологии.

4) Правовая – свод законов, кодексов, нормативов и т.д.

5) Информация государственных (властных) структур

6) Отраслевая – ресурсы касающиеся всех сфер деятельности

7) Финансовая и экономическая

8) Информация о природных ресурсах

9) Информация предпринимателей и учредителей

Электронные ресурсы

1) Средства массовой информации – новостные и тематические сайты.

2) Электронные библиотеки – каталогизированные информационные системы.

3) Электронные базы данных – система структурированных документов и файлов.

4) Сайты, корпоративные сайты.

5) Сервисы – группа сайтов.

6) Информационные порталы – переход на другие сайты. Многоуровневое объединение различных ресурсов и сервисов.

Понятие ИБ

Определение ИБ

Термин ИБ в РФ используется в широком смысле и имеется в виду состояние защищенности национальных ресурсов, это отражено в Доктрине информационной безопасности, в многочисленных законах об ИБ, в законе РФ «Об участии в международном информационном обмене».

ИБ – защищенность информационных ресурсов и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений и поддерживающей инфраструктуре.

Защита информации – комплекс мероприятий, направленных на обеспечение ИБ.

Средства защиты: формальные и неформальные.

Формальные: физические, программные, аппаратные, криптографические, программно-аппаратные.

Неформальные: нормативно-правовые, организационные, морально-этические.

Субъекты ИБ – системы, люди, процессы и организации, связанные с использованием информационных ресурсов.

ИБ не сводится только к защите от несанкционированного доступа, поскольку охватывает еще понятие достоверности, доступности и целостности информационных ресурсов.

Поддерживающая инфраструктура – система, включающая средства коммуникаций, водо-газо-теплоснабжение, здания, сооружения и иные технические устройства и установки, а также обслуживающий персонал.

Избежать угроз ИБ невозможно и само понятие безопасности субъекта, потому что размер нанесенного или предполагаемого ущерба индивидуален и определяется каждым субъектом.

Основные составляющие ИБ

Категории ИБ: конфиденциальность, целостность, доступность.

Доступность – возможность в любое время получить необходимую информационную услугу или ресурс.

Целостность – актуальность и непротиворечивость информации и ее защищенность от разрушения или изменения.

Конфиденциальность – защита от несанкционированного доступа к информации.

Основные угрозы ИБ

Основные определения и критерии классификации угроз

Угроза – потенциальная возможность нарушения информационной безопасности и нанесения информационного ущерба.

Атака – попытка реализации угрозы.

Злоумышленник – тот субъект, который предпринимает попытку атаки.

Источники угроз – потенциальные злоумышленники.

Угроза является следствием наличия слабых мест в информационной защите, которые называются уязвимыми местами.

Промежуток времени с момента появления уязвимого места до момента его ликвидации называется окно опасности.

В некоторых случаях полностью ликвидировать уязвимые места не удается, тогда субъект ИБ вынужден с ними мириться.

Угрозы

По аспекту ИБ, на который угроза направлена: угроза доступности; целостности; конфиденциальности.

По компонентам информационной системы

По способу осуществления: случайные; преднамеренные; природного, техногенного или человеческого характера.

По расположению источника угроз: внутренние; внешние.

Вредоносное ПО

Виды вредоносного ПО: бомбы; вирусы; черви; спам.

Каждый вид характеризуется вредоносной функцией, способом распространения и внешним представлением.

Наиболее разрушительное действие оказывает бомба, которая обычно предназначена для: внедрения другого вредоносного ПО; получения полного управления системой; агрессивного потребления ресурсов; изменения или разрушения данных.

Вирусы и черви различаются по механизму распространения.

Вирусы обычно распространяются локально, от узла к узлу. Для передачи по сети им требуется внешняя помощь. При этом вирус срабатывает, когда записывается программа или открывается файл с ним.

Черви распространяются без внешней помощи, просто нужен открытый канал. Вредоносная функция их заключается в том, что они создают множественные копии себе подобных.

Вредоносный код, который выглядит так же, как полезная программа, называется троянским. Иногда просто само распространение вредоносного ПО является вредоносной функцией, поскольку агрессивно потребляет ресурсы.

Каналы утечки информации

1) Изъятие созданного документа во время отсутствия сотрудника. При этом, злоумышленник имеет доступ либо к ПК, либо к бумажному документу.

2) Изъятие документа с файлового сервера организации.

3) Изъятие документа с файлового сервера при атаке на корпоративную сеть.

4) Кража или подмена документа при передаче по сети.

5) Утеря документа при передаче курьером.

6) Утеря компьютера со всеми файлами организации.

7) Через обмен материальными носителями.

Типичные способы защиты ПК: антивирусные и иные защитные программы; персональное шифрование; авторизованный вход в систему; применение специальных программ защиты (PGP, Secret Disk).

Защита корпоративной сети

1) Использование межсетевых экранов

2) Применение виртуальных частных сетей (VPN)

3) Сети питания и другие каналы: защита каналов связи от электромагнитного воздействия; защита организации от виброакустического воздействия; использование инфраструктуры

4) Своевременное уничтожение информации, то есть уничтожение документов и файлов, которые не нужны организации, но могут понадобиться конкурентам.

Угрозы по аспекту ИБ

Наиболее распространенные угрозы доступности: отказ пользователей; внутренний отказ ИС; отказ поддерживающей инфраструктуры.

Отказ пользователей

Угрозы: нежелание работать с ИС; невозможность работать с системой в силу отсутствия соответствующей подготовки; невозможность работы с системой из-за отсутствия технической поддержки

Отказ системы

Угрозы: отступление от установленных правил эксплуатации; ошибки конфигурирования системы; отказ программного или (и) аппаратного обеспечения; выход системы из штатного режима из-за действий пользователя; разрушение данных.

Отказ инфраструктуры

Угрозы: нарушение работы системы связи, электропитания, тепло-водо-газоснабжения, кондиционирования и т.д., разрушение и повреждение помещений.

ИБ распределяемых систем

Рекомендации x.800

Рекомендации x.800 – основополагающий документ в области защиты сетевых систем. В нем рассмотрены основные сервисы (функции) безопасности и механизмы их обеспечения.

1) Аутентификация – данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Бывает односторонней и двусторонней (взаимной).

2) Управление доступом – обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.

3) Конфиденциальность – обеспечивает защиту как данных, так и трафика от несанкционированного получения информации.

4) Целостность данных – подразделяются на подвиды в зависимости от того, какой вид общения выбирают партнеры. Например, защищаются ли все данные или отдельные поля и т.д.

5) Неотказуемость – невозможность отказаться от совершенных действий.

6) Комплекс «3 А» - аутентификация, авторизация, администрирование.

Механизмы для реализации сервисов: шифрование; электронная цифровая подпись; управление доступом; контроль целостности; аутентификация; дополнение трафика; управление маршрутизацией; нотаризация.

Стандарт ISO/IEC 15408 «Критерии оценки безопасности ИТ» («Общие критерии»)

Определяет инструменты оценки безопасности ИС и порядок их использования.

В отличие от Оранжевой книги, Общие критерии не содержат предопределенных классов безопасности. Эти классы строятся исходя из требований безопасности конкретной организации. Как и в Оранжевой книге содержатся два вида безопасности: функциональная и доверие.

Общие критерии содержат требования, касающиеся разработки системы безопасности в соответствии с ЖЦ ИС. Содержат описание среды безопасности, которая включает источники угроз, методы воздействия, уязвимые места и ресурсы, которые могут пострадать.

Класс «Приватность»

Анонимность, псевдонимность, невозможность ассоциации, скрытность.

Анонимность позволяет выполнять действия без раскрытия идентификатора пользователя другим пользователям. Может быть полной и неполной, может относиться не ко всем операциям и не ко всем пользователям.

Псевдонимность – предполагает использование ника.

Невозможность ассоциации – возможность многократного использования ресурсов, но не позволяет ассоциировать случаи их использования с конкретным лицом.

Скрытность – можно использовать сервис с сокрытием факта использования.