Поможем написать учебную работу
Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Современные проблемы в области информационной безопасности: классические угрозы, методы и средства их предотвращения
Проблема защиты информации с момента появления до современного состояния прошла длительный и во многом противоречивый путь в своем развитии. Изначально существовало два направления решения задачи поддержания конфиденциальности: использование криптографических методов защиты информации в средах передачи и хранения данных и программно-техническое разграничение доступа к данным и ресурсам вычислительных систем. При этом стоит учесть, что в начале 80х годов компьютерные системы были слабо распределенными, технологии глобальных и локальных вычислительных сетей находились на начальной стадии своего развития, и указанные задачи удавалось достаточно успешно решать.
Позже, с появлением тенденции к распределенной обработке информации, классический подход к организации разделения ресурсов и классические криптографические протоколы начали постепенно исчерпывать себя и эволюционировать. Первостепенными стали проблемы аутентификации взаимодействующих элементов системы, а также способы управления криптографическими механизмами в распределенных компьютерных системах. Вместе с тем, начало складываться мнение о том, что функции криптографической защиты являются равноправными для автоматизированной системы и должны быть рассмотрены вместе с другими функциями. Даннаятеория послужила отправной точкой для разделения проблематики собственно средств защиты (включая криптографические средства, средства контроля доступа и др.) и средств обеспечения их корректной работы[1].
В начале 80х годов возник ряд моделей защиты, основанных на разделении автоматизированной системы обработки информации на субъекты и объекты (модели БеллаЛападула, модель Take-Grant и др.). В данных моделях ставятся и исследуются вопросы взаимодействия элементов системы с заданными свойствами. Целью анализа и последующей реализации модели является именно достижение таких свойств системы, как конфиденциальность и доступность. Например, описывается дискреционный механизм безопасности, разделяющий доступ поименованных субъектов к поименованным объектам или полномочное управление доступом, моделирующее систему категорий и грифов доступа. Как правило, та или иная модель безопасности исходит из априорной технологии работы с объектами (так, например мандатная модель моделирует структуру секретного делопроизводства), которая может быть формализована и обоснована. При практической реализации данных моделей в конкретных системах встал вопрос о гарантиях выполнения их свойств (фактически это выполнение условий тех или иных утверждений, обосновывающих свойства формализованной модели) [2].
Так как процесс обеспечения информационной безопасности это непрерывный процесс, то и существующая методология проектирования защищенной системы представляет собой итеративный процесс устранения найденных слабостей, некорректностей и неисправностей.
В 1996 г. в классической работе Грушо А. А. и Тимониной Е.Е. "Теоретические основы защиты информации" [3] был высказан и обоснован тезис о том, что гарантированную защищенность в автоматизированной системе следует понимать как гарантированное выполнение априорно заданной политики безопасности.
Ранее условия гарантий политики безопасности формулировались в виде стандартов (без доказательства). Именно такой подход применили американские специалисты по компьютерной безопасности, опубликовав с 1983 г. несколько книг стандарта так называемой "радужной серии". В России аналогичные документы были приняты Государственной технической комиссией в 1992 г. и дополнены в 1995 г. ГОСТ Р 5073995 (СВТ. Защита от несанкционированного доступа к информации. Общие технические требования).
Нельзя не отметить конструктивность такого подхода к формулированию гарантий политики безопасности, поскольку проверка наличия заданного набора свойств достаточно легко проводится или может быть заложена при проектировании. Однако эти требования рассматриваются без учета связи между собой, т.е формально и не структурировано. Качественное описание свойств системы (например, "идентификация и аутентификация" или "контроль целостности") не касается взаимосвязи данных механизмов и их количественных характеристик.
Математическая модель политики безопасности рассматривает систему защиты в некотором стационарном состоянии, когда действуют защитные механизмы, а описание разрешенных или неразрешенных действий не меняется. На практике же система обработки информации проходит путь от отсутствия защиты к полному оснащению защитными механизмами. При этом система управляется, т.е. разрешенные и неразрешенные действия в ней динамически изменяются.
Упомянутые выше методики оценки защищенности представляют собой в какойто мере необходимые условия. Выполнение заданного набора качественных показателей с одной стороны не позволяет оценить количественно каждый показатель, а с другой препятствует системному подходу.
Таким образом, основной особенностью информационной безопасности автоматизированных систем всегда являлась(и является сейчас) ее практическая направленность.
I. КЛАССИФИКАЦИЯ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
КЛАССИЧЕСКИЕ УГРОЗЫ БЕЗОПАСНОСТИ ИНФОРМАЦИИ
Угроза безопасности информации компьютерной системы (КС) это потенциально возможное воздействие на информацию (КС), которое прямо или косвенно может нанести урон пользователям или владельцам информации (КС).
Угрозы информационной безопасности могут быть разделены на два вида:
Искусственные угрозы,в зависимости от их мотивов, разделяются нанепреднамеренные (случайные) и преднамеренные (умышленные).
Наибольшего внимания заслуживают искусственные преднамеренные угрозы, ввиду того, что вероятность этих угроз намного выше уже описанных. Классификация данного вида угроз приведена в таблице 1.1.
Таблица 1.1. Классификация искусственных преднамеренных угроз
ОСНОВНЫЕ МЕТОДЫ РЕАЛИЗАЦИИ УГРОЗ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
К основным направлениям реализации злоумышленником информационных угроз относятся[4]:
При рассмотрении вопросов защиты автоматизированных систем целесообразно использовать четырехуровневую градацию доступа к хранимой, обрабатываемой и защищаемой системе информации, которая поможет систематизировать как возможные угрозы, так и меры по их нейтрализации и парированию, т.е. поможет систематизировать и обобщить весь спектр методов обеспечения защиты, относящихся к информационной безопасности. Эти уровни следующие:
Данные уровни были введены исходя из того, что:
Распределение методов реализации угроз информационной безопасности по уровням представлено в таблице 1.2.
Таблица 1.2. Распределение методов реализации угроз информационной безопасности по уровням
II. КЛАССИФИКАЦИЯ МЕТОДОВ И СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ
Существующие методы и средства защиты информации можно подразделить на четыре основные группы [5]:
ОРГАНИЗАЦИОННОПРАВОВЫЕ МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ
К методам и средствам организационной защиты информации относятся организационнотехнические и организационноправовые мероприятия, проводимые в процессе создания и эксплуатации КС для обеспечения защиты информации. Эти мероприятия должны проводиться при строительстве или ремонте помещений, в которых будет размещаться КС; проектировании системы, монтаже и наладке ее технических и программных средств; испытаниях и проверке работоспособности КС.
Основные свойства методов и средств организационной защиты:
Методы и средства организационной защиты информации включают в себя:
Основой проведения организационных мероприятий является использование и подготовка законодательных и нормативных документов в области информационной безопасности, которые на правовом уровне должны регулировать доступ к информации со стороны потребителей. В российском законодательстве позже, чем в законодательстве других развитых стран, появились необходимые правовые акты, при этом далеко не все.
Можно выделить четыре уровня правового обеспечения информационной безопасности.
ИНЖЕНЕРНОТЕХНИЧЕСКИЕ МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ
Под инженерно-техническими средствами защиты информации понимают физические объекты, механические, электрические и электронные устройства, элементы конструкции зданий, средства пожаротушения и другие средства, которые обеспечивают:
Важнейшей составной частью инженерно-технических средств защиты информации являются технические средства охраны, которые образуют первый рубеж защиты КС и являются необходимым, но недостаточным условием сохранения конфиденциальности и целостности информации в КС.
ПРОГРАММНЫЕ И ПРОГРАММНОАППАРАТНЫЕ МЕТОДЫ И СРЕДСТВА
ЗАЩИТЫ
К аппаратным средствам защиты информации относятся электронные и электронно-механические устройства, включаемые в состав технических средств КС и выполняющие (самостоятельно или в едином комплексе с программными средствами) некоторые функции обеспечения информационной безопасности. Критерием отнесения устройства к аппаратным, а не к инженерно-техническим средствам защиты является обязательное включение в состав технических средств КС.
К основным аппаратным средствам защиты информации относятся:
Под программными средствами защиты информации понимают специальные программы, включаемые в состав программного обеспечения КС исключительно для выполнения защитных функций.
К основным программным средствам защиты информации относятся:
Заметим, что под идентификацией, применительно к обеспечению информационной безопасности КС, понимают однозначное распознавание уникального имени субъекта КС. Аутентификация означает подтверждение того, что предъявленное имя соответствует данному субъекту (подтверждение подлинности субъекта).
Примеры вспомогательных программных средств защиты информации:
К преимуществам программных средств защиты информации относятся:
К недостаткам программных средств защиты информации относятся:
III. ЗАЩИТА ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА К ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СИСТЕМАХ
В руководящих документах Федеральной службы по техническому и экспортному контролю Российской Федерации (ФСТЭК РФ) приведены следующие основные способы несанкционированного доступа к информации в КС:
Модель нарушителя определяется исходя из следующих предположений [6]:
Можно выделить следующие уровни возможностей нарушителя, предоставляемые ему штатными средствами КС (каждый следующий уровень включает в себя предыдущий):
С учетом различных уровней возможностей нарушителя выделяют следующие вспомогательные способы несанкционированного доступа к информации в КС, позволяющие нарушителю; использовать перечисленные ранее основные способы:
В соответствии с руководящими ФСТЭК РФ основными направлениями обеспечения защиты СВТ и АС от несанкционированного доступа являются создание системы разграничения доступа (СРД) субъектов к объектам доступа и создание обеспечивающих средств для СРД.
К основным функциям СРД относятся:
К функциям обеспечивающих средств для СРД относятся:
В данной статье было дано обобщенное описание современных проблем в области защиты информации, приведена классификация угроз безопасности компьютерных систем. Также была приведена классификация методов и средств защиты информации, описаны основные виды несанкционированного доступа к ресурсам автоматизированных систем. Показано, что основными способами защиты от несанкционированного доступа к информации в компьютерных системах являются аутентификация, авторизация (определение прав доступа субъекта к объекту с конфиденциальной информацией) и шифрование информации.
Важнейшим механизмом современных средств обеспечения комплексной защиты информации является система разграничения доступа к ресурсам. В теории компьютерной безопасности существует множество моделей разграничения доступа различающихся как по уровню защиты, так и по сложности реализации и администрирования.