Определение информационной безопасности.

Определение информационной безопасности.

1. Понятие об информационной безопасности;
2. Определение безопасности как процесса.

Категории атак.

1. Атаки доступа;
2. Атаки модификации;
3. Атаки на отказ в обслуживании;
4. Атаки на отказ от обязательств.

Методы хакеров.

1. Определение мотивации хакеров;
2. История хакерских методов.

Службы информационной безопасности.

1. Конфиденциальность;
2. Целостность;
3. Доступность;
4. Идентифицируемость.

Юридические вопросы информационной безопасности.

1. Законодательство штатов;
2. Законодательство других стран.

Распространение объектно-ориентированного подхода на информационную безопасность.

1. О необходимости объектно-ориентированного подхода к информационной безопасности;
2. Основные понятия объектно-ориентированного подхода;
3. Применение объектно-ориентированного подхода к рассмотрению защищаемых систем;
4. Недостатки традиционного подхода к информационной безопасности с объектной точки зрения.

Наиболее распространенные угрозы.

1. Основные определения и критерии классификации угроз;
2. Наиболее распространенные угрозы доступности;
3. Что такое законодательный уровень информационной безопасности и почему он важен;
4. Обзор российского законодательства в области информационной безопасности;
5. Закон "Об информации, информатизации и защите информации";
6. Другие законы и нормативные акты;
7. О текущем состоянии российского законодательства в области информационной безопасности (последняя лекция: ссылки).

Административный уровень информационной безопасности.

1. Основные понятия;
2. Политика безопасности;
3. Программа безопасности

Управление рисками.

1. Основные понятия;
2. Подготовительные этапы управления рисками;
3. Основные этапы управления рисками.

Процедурный уровень информационной безопасности.

1. Основные классы мер процедурного уровня;
2. Управление персоналом;
3. Поддержание работоспособности;
4. Реагирование на нарушения режима безопасности;
5. Планирование восстановительных работ.

Основные программно-технические меры.

1. Основные понятия программно-технического уровня информационной безопасности;
2. Особенности современных информационных систем, существенные с точки зрения безопасности;
3. Архитектурная безопасность.

Идентификация и аутентификация, управление доступом.

1. Идентификация и аутентификация;
2. Парольная аутентификация;
3. Одноразовые пароли;
4. Идентификация/аутентификация с помощью биометрических данных;
5. Управление доступом.

Протоколирование и аудит, шифрование.

1. Протоколирование и аудит.

Экранирование, анализ защищенности.

1. Экранирование;
2. Архитектурные аспекты;
3. Классификация межсетевых экранов.

Категории атак.

Существуют четыре основных категории атак:

• атаки доступа;
• атаки модификации;
• атаки на отказ в обслуживании;
• атаки на отказ от обязательств.

3. Атака доступа - это попытка получения злоумышленником информации, для просмотра которой у него нет разрешений. Атака доступа направлена на нарушение конфиденциальности информации.

Подсматривание (snooping) - это просмотр файлов или документов для поиска интересующей злоумышленника информации. Если документы хранятся в виде распечаток, то злоумышленник будет вскрывать ящики стола и рыться в них. Если информация находится в компьютерной системе, то он будет просматривать файл за файлом, пока не найдет нужные сведения.

Когда кто-то слушает разговор, участником которого он не является, это называется подслушиванием (eavesdropping). Для получения несанкционированного доступа к информации злоумышленник должен находиться поблизости от нее. Очень часто при этом он использует электронные устройства

Перехват (interception) - это активная атака. Злоумышленник захватывает информацию в процессе ее передачи к месту назначения. После анализа информации он принимает решение о разрешении или запрете ее дальнейшего прохождения.

4. Атака модификации - это попытка неправомочного изменения информации. Такая атака возможна везде, где существует или передается информация; она направлена на нарушение целостности информации.

Одним из видов атаки модификации является замена существующей информации, например, изменение заработной платы служащего.

Другой тип атаки - добавление новых данных, например, в информацию об истории прошлых периодов. Взломщик выполняет операцию в банковской системе, в результате чего средства со счета клиента перемещаются на его собственный счет.

Атака удаления означает перемещение существующих данных, например, аннулирование записи об операции из балансового отчета банка, в результате чего снятые со счета денежные средства остаются на нем.

Как и атаки доступа, атаки модификации выполняются по отношению к информации, хранящейся в виде бумажных документов или в электронном виде на компьютере.

5. Атаки на отказ в обслуживании (Denial-of-service, DoS) - это атаки, запрещающие легальному пользователю использование системы, информации или возможностей компьютеров. В результате DoS-атаки злоумышленник обычно не получает доступа к компьютерной системе и не может оперировать с информацией.

Отказ в доступе к информации. В результате DoS-атаки, направленной против информации, последняя становится непригодной для использования. Информация уничтожается, искажается или переносится в недоступное место.

Отказ в доступе к приложениям. Другой тип DoS-атак направлен на приложения, обрабатывающие или отображающие информацию, или на компьютерную систему, в которой эти приложения выполняются. В случае успеха подобной атаки решение задач, выполняемых с помощью такого приложения, становится невозможным.

Отказ в доступе к системе. Общий тип DoS-атак ставит своей целью вывод из строя компьютерной системы, в результате чего сама система, установленные на ней приложения и вся сохраненная информация становится недоступной.

Отказ в доступе к средствам связи. Атаки на отказ в доступе к средствам связи выполняются уже много лет. В качестве примера можно привести разрыв сетевого провода, глушение радиопередач или лавинную рассылку сообщений, создающую непомерный трафик. Целью атаки является коммуникационная среда. Целостность компьютерной системы и информации не нарушается, однако отсутствие средств связи лишает доступа к этим ресурсам.

DoS - атаки обычно направлены против компьютерных систем и сетей, но иногда их целью являются документы на бумажных носителях.

Атаки на отказ от обязательств.

Эта атака направлена против возможности идентификации информации, другими словами, это попытка дать неверную информацию о реальном событии или транзакции.

Маскарад - это выполнение действий под видом другого пользователя или другой системы. Такая атака реализуется при связи через персональные устройства, при осуществлении финансовых операций или при передаче информации от одной системы к другой.

Отрицание события - это отказ от факта совершения операции. Например, человек делает покупку в магазине при помощи кредитной карты. Когда приходит счет, он заявляет компании, предоставившей ему кредитную карту, что никогда не делал этой покупки.

 

Распространение объектно-ориентированного подхода

На информационную безопасность.

Основные понятия объектно-ориентированного подхода.

Класс - это абстракция множества сущностей реального мира, объединенных общностью структуры и поведения.

Объект - это элемент класса, то есть абстракция определенной сущности.

Инкапсуляция - сокрытие реализации объектов (их внутренней структуры и деталей реализации методов) с предоставлением во вне только строго определенных интерфейсов.

Полиморфизм "может трактоваться, как способность объекта принадлежать более чем одному классу.

Наследование означает построение новых классов на основе существующих с возможностью добавления или переопределения данных и методов.

Компонент можно определить как многократно используемый объект, допускающий обработку в графическом инструментальном окружении и сохранение в долговременной памяти.

С объектной точки зрения

- В объектном подходе пассивных объектов нет. Можно считать, что все объекты активны

одновременно и при необходимости вызывают методы друг друга.

- Некоторые программы (методы) не выполняются от имени пользователя. Реализации объектов сложны, так что последние нельзя рассматривать всего лишь как инструменты выполнения воли пользователей. Скорее можно считать, что пользователь прямо или (как правило) косвенно, на свой страх и риск, "просит" некоторый объект об определенной информационной услуге.

И почему он важен.

Законодательный уровень является важнейшим для обеспечения информационной безопасности.

Различают на законодательном уровне две группы мер:

- меры, направленные на создание и поддержание в обществе негативного (в том числе с применением наказаний) отношения к нарушениям и нарушителям информационной безопасности (назовем их мерами ограничительной направленности);

- направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности (меры созидательной направленности).

Самое важное на законодательном уровне - создать механизм, позволяющий согласовать процесс разработки законов с реалиями и прогрессом информационных технологий. Законы не могут опережать жизнь, но важно, чтобы отставание не было слишком большим, так как на практике, помимо прочих отрицательных моментов, это ведет к снижению информационной безопасности.

Управление рисками.

Основные понятия

Управление рисками, равно как и выработка собственной политики безопасности, актуально только для тех организаций, информационные системы которых и/или обрабатываемые данные можно считать нестандартными.

Суть мероприятий по управлению рисками состоит в том, чтобы:

· оценить их размер

· выработать эффективные и экономичные меры снижения рисков

· убедиться, что риски заключены в приемлемые рамки (и остаются таковыми).

Следовательно, управление рисками включает в себя два вида деятельности, которые чередуются циклически:

· (пере)оценка (измерение) рисков;

· выбор эффективных и экономичных защитных средств (нейтрализация рисков).

По отношению к выявленным рискам возможны следующие действия:

· ликвидация риска (например, за счет устранения причины);

· уменьшение риска (например, за счет использования дополнительных защитных средств);

· принятие риска (и выработка плана действия в соответствующих условиях);

· переадресация риска (например, путем заключения страхового соглашения).

Процесс управления рисками можно разделить на следующие этапы:

1. Выбор анализируемых объектов и уровня детализации их рассмотрения.

2. Выбор методологии оценки рисков.

3. Идентификация активов.

4. Анализ угроз и их последствий, выявление уязвимых мест в защите.

5. Оценка рисков.

6. Выбор защитных мер.

7. Реализация и проверка выбранных мер.

8. Оценка остаточного риска.

Управление персоналом

Управление персоналом начинается с приема нового сотрудника на работу и даже раньше - с составления описания должности. Уже на данном этапе желательно подключить к работе специалиста по информационной безопасности для определения компьютерных привилегий, ассоциируемых с должностью. Существует два общих принципа, которые следует иметь в виду:
- разделение обязанностей;
- минимизация привилегий.
Принцип разделения обязанностей предписывает как распределять роли и ответственность, чтобы один человек не мог нарушить критически важный для организации процесс. Например, нежелательна ситуация, когда крупные платежи от имени организации выполняет один человек.
Принцип минимизации привилегий предписывает выделять пользователям только те права доступа, которые необходимы им для выполнения служебных обязанностей. Назначение этого принципа очевидно - уменьшить ущерб от случайных или умышленных некорректных действий.

Планирование восстановительных работ.

Процесс планирования восстановительных работ можно разделить на следующие этапы:

- выявление критически важных функций организации, установление приоритетов;
- идентификация ресурсов, необходимых для выполнения критически важных функций;

- определение перечня возможных аварий;

- разработка стратегии восстановительных работ;

- подготовка к реализации выбранной стратегии;

- проверка стратегии.

Основные понятия программно-технического уровня информационной безопасности.

Программно-технические меры - это меры направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности. Быстрое развитие информационных технологий не только предоставляет обороняющимся новые возможности, но и объективно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня. Причин тому несколько:

· повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

· развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют круг злоумышленников, имеющих техническую возможность организовывать атаки;

· появление новых информационных сервисов ведет и к образованию новых уязвимых мест как "внутри" сервисов, так и на их стыках;

· конкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что приводит к снижению качества тестирования и выпуску продуктов с дефектами защиты;

· навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Архитектурная безопасность.

Сервисы безопасности, какими бы мощными они ни были, сами по себе не могут гарантировать надежность программно-технического уровня защиты. Только проверенная архитектура способна сделать эффективным объединение сервисов, обеспечить управляемость информационной системы, ее способность развиваться и противостоять новым угрозам при сохранении таких свойств, как высокая производительность, простота и удобство использования.

С практической точки зрения наиболее важными являются следующие принципы архитектурной безопасности:

• непрерывность защиты в пространстве и времени, невозможность миновать защитные средства;
• следование признанным стандартам, использование апробированных решений;
• иерархическая организация ИС с небольшим числом сущностей на каждом уровне;
• усиление самого слабого звена;
• невозможность перехода в небезопасное состояние;
• минимизация привилегий;
• разделение обязанностей;
• эшелонированность обороны;
• разнообразие защитных средств;
• простота и управляемость информационной системы.

Для обеспечения высокой доступности (непрерывности функционирования) необходимо соблюдать следующие принципы архитектурной безопасности:

• внесение в конфигурацию той или иной формы избыточности
• наличие средств обнаружения нештатных ситуаций;
• наличие средств реконфигурирования для восстановления, изоляции и/или замены компонентов, отказавших или подвергшихся атаке на доступность;
• рассредоточенность сетевого управления, отсутствие единой точки отказа;
• выделение подсетей и изоляция групп пользователей друг от друга.

Еще один важный архитектурный принцип - минимизация объема защитных средств, выносимых на клиентские системы. Причин тому несколько:

• для доступа в корпоративную сеть могут использоваться потребительские устройства с ограниченной функциональностью;
• конфигурацию клиентских систем трудно или невозможно контролировать.

Парольная аутентификация.

Главное достоинство парольной аутентификации – простота и привычность.
При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее, по совокупности характеристик их следует признать самым слабым средством проверки подлинности.
Ввод пароля можно подсмотреть. Иногда для подглядывания используются даже оптические приборы.

Пароли нередко сообщают коллегам, чтобы те могли, например, подменить на некоторое время владельца пароля.

Пароль можно угадать "методом грубой силы", используя, скажем, словарь. Если файл паролей зашифрован, но доступен для чтения, его можно скачать к себе на компьютер и попытаться подобрать пароль, запрограммировав полный перебор.

Одноразовые пароли.

Более сильным средством, устойчивым к пассивному прослушиванию сети, являются одноразовые пароли.

Программным генератором одноразовых паролей является система S/KEY компании Bellcore.
Другой подход состоит в генерации нового пароля через небольшой промежуток времени (например, каждые 60 секунд), для чего могут использоваться программы или специальные интеллектуальные карты (с практической точки зрения такие пароли можно считать одноразовыми). Серверу аутентификации должен быть известен алгоритм генерации паролей и ассоциированные с ним параметры; кроме того, часы клиента и сервера должны быть синхронизированы.

Управление доступом

Средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты (пользователи и процессы) могут выполнять над объектами (информацией и другими компьютерными ресурсами).

Логическое управление доступом – это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность объектов и, до некоторой степени, их доступность (путем запрещения обслуживания неавторизованных пользователей).

При принятии решения о предоставлении доступа обычно анализируется следующая информация:

-идентификатор субъекта (идентификатор пользователя, сетевой адрес компьютера и т.п.). Подобные идентификаторы являются основой произвольного (или дискреционного) управления доступом;

-атрибуты субъекта (метка безопасности, группа пользователя и т.п.). Метки безопасности – основа принудительного (мандатного) управления доступом.

Протоколирование и аудит

Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе.

Аудит – это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически (например, раз в день). Оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации называется активным.

Реализация протоколирования и аудита решает следующие задачи:

- обеспечение подотчетности пользователей и администраторов;

- обеспечение возможности реконструкции последовательности событий;

- обнаружение попыток нарушений информационной безопасности;

- предоставление информации для выявления и анализа проблем.

При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию:

- дата и время события;

- уникальный идентификатор пользователя – инициатора действия;

- тип события;

- результат действия (успех или неудача);

- источник запроса (например, имя терминала);

- имена затронутых объектов (например, открываемых или удаляемых файлов);

- описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).

Шифрование – наиболее мощное средство обеспечения конфиденциальности. Во многих отношениях оно занимает центральное место среди программно-технических регуляторов безопасности, являясь основой реализации многих из них, и в то же время последним (а подчас и единственным) защитным рубежом. Например, для портативных компьютеров только шифрование позволяет обеспечить конфиденциальность данных даже в случае кражи.

Экранирование.

Экранирование помогает поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, вызванную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более безопасным образом.

Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности в ИС организации.

Архитектурные аспекты.

В силу принципов эшелонированности обороны для защиты внешних подключений обычно используется двухкомпонентное экранирование. Первичная фильтрация осуществляется граничным маршрутизатором, за которым располагается так называемая демилитаризованная зона (сеть с умеренным доверием безопасности, куда выносятся внешние информационные сервисы организации – Web, электронная почта и т.п.) и основной МЭ, защищающий внутреннюю часть корпоративной сети.

Определение информационной безопасности.

1. Понятие об информационной безопасности;
2. Определение безопасности как процесса.

Категории атак.

1. Атаки доступа;
2. Атаки модификации;
3. Атаки на отказ в обслуживании;
4. Атаки на отказ от обязательств.

Методы хакеров.