Информационная безопасность

 

   Методы  защиты:

   Совершенстовавание  законодательства РФ регулирующего отношения в данной области и механизмов его реализации.   

   Духовная  сфера:

   Объекты:

1. Достоинство личности, свобода совести, включая: право свободно выбирать, иметь и распространять религиозные и иные убеждения и действовать в соответствии с ними; свобода мысли и слова, а так же свобода художественных, литературнных, научных, технических и других видов творчества, преподавания.
2. Свобода массовой информации.
3. Неприкосновенность частной жизни, личная и семейная тайна.
4. Русский язык как фактор духовного единения народов многонациональнной России, язык межгосударственного общения народов государств-участников СНГ.
5. Языки, нравственные ценности и культурное наследие народов и народностей РФ.
6. Объекты интелектуальнной собственности.

 

   Угрозы  для объектов духовно-нравственной сферы:

1. Деформация системы массового информирования за счет монополизации СМИ, так и за счет неконтролируемого расширения сектора зарубежных СМИ в отечественном инфо-пространстве.
2. Ухудшение состояния и постпенный упадок объектов Российского культурного наследия, включая архивы, музейные фонды, библеотеки, памятники архитектуры ввиду недостаточного финансирования.
3. Возможность нарушения общественной стабильности, нанесение вреда здоровью и жизни граждан вследствие деятельности религиозных объединений, проповедующих религиозный фундаментализм, а так же тоталитарныз религиозных сект.
4. Использование  зарубежными спец службами СМИ, действующих на территории РФ, для нанесения ущерба обороноспособности страны и безопасности государства, распространения дезинформации.
5. Неспособность современного гражданского общества России обеспечить формирование у подрастающего поколения и поддержания в обществе общественно-необходимых нарвственных ценностей, патриотизма и гражданской ответственности за судьбу страны.

    

   Основные  мероприятия по защите от угроз:

1. Развитие в России основ гражданского общества.
2. Создание социально-экономических условий для осуществления творческой деятельности и функционирования учреждений культуры.
3. Выработка цивилизованных форм и способов общественного контроля за формированием в обществе духовнных ценностей, отвечающих национальным интересам страны, воспитанием патриотизма и граждансокй ответственности за ее судьбу.
4. Совершенствование законодательства РФ, регулирующего отношения в области конституционных ограничений прав и свобод человека и гражданина.
5. Государственнная поддержка мероприятий по сохранению и возрождению культурного наследия народов и народностей РФ.
6. Формирование правовых и организационных механизмов обеспечения конституционных прав и свобод граждан, повышения их правовой культуры в интересах противодействия сознательному или преднамеренному нарушению этих конституционных прав и свобод в сфере духовной жизни.
7. Разработка действенных организационно-правовых механизмов доступа СМИ и граждан к открытой информационной деятельности федеральных органов  государственной власти и общественных объединений; обеспечение достоверности сведений о социально значимых событиях общественной жизни, распространяемых через СМИ.

 
 
 
 

   Политика  безопасности 

   Важность  и сложность проблемы обеспечения  безопасности требует выработки  политики информационной безопасности, которая подразумевает ответы на вопросы: 

1. Какую информацию защищать?
2. Какой ущерб понесет предприятие при потере или при раскрытии тех или иных данных?
3. Кто или что является возможным источником угрозы, какого рода атаки на безопасность системы могут быть предприняты?
4. Какие средства использовать для защиты каждого вида информации?

 

   Базовые принципы формирования политики безопасности: 

   1. Принцип предоставления каждому сотруднику предприятия того минимального привилегий на доступ к данным, который необходим ему для выполнения его должностных обязанностей. Учитывая, что большая часть нарушений в области безопасности предприятий исходит именно от собственных сотрудников, важно ввести четкие ограничения для всех пользователей сети, не наделяя их излишними возможностями.

   2. Принцип  комплексного подхода к обеспечению  безопасности. Необходимо предусмотреть  самые разные средства безопасности, начиная с административных запретов и кончая встроенными средствами сетевой аппаратуры. Например, административный запрет на работу в воскресные дни ставит нарушителя под контроль администратора и других пользователей, физические средства защиты (закрытый помещения, блокировочные ключи) ограничивают непосредственный контакт пользователя только приписанным ему компьютером.

   3. Принцип  баланса надежности защиты всех  уровней. Примеры, когда принцип  не соблюден:

• Все сообщения в сети шифруются, но ключи не доступны.
• На компьютерах установлена файловая система, поддерживающая избирательный доступ на уровне отдельных файлов, но имеется возможность получить жесткий диск и установить его на другой машине.
• Внешний трафик сети, подключенный к Интернету, проходит через брандмауэр, но пользователи имеют возможность связываться с Интернет, используя локально установленные модемы.

   4. Принцип  использования средств, при отказе  переходящих в состояние максимальной  защиты. Например, если автоматический  пропусуной пукт в каком-либо  помещение ломается, то он должен фиксироваться в таком положении, чтобы ни один человек не мог пройти га защищаемую территорию. Или если в сети имеется устройство, кторое анализирует весь входной трафик и отбрасывает кадры с определенным, заранеее заданным обратном адресом, то при отказе оно должно блоктровать вход в сеть.

   5. Принцип  единого контрольно-пропускного  пункта. Весь, входящий во внутреннюю  сеть и выходящий во внешнию  сеть, трафик должен проходить  через единственный узел сети, например через межсетевой экран (firewall). Только это позволяет в достаточной степени контролировать трафик.

   6. Принцип  баланса возможного ущерба от  реализации угрозы и затрат  на его предотвращение. Ни одна  система безопасности не гарантирует  защиту данных на уровне 100%, поскольку явлеятся результатом компромисса между возможными рисками и возможными затратами. Определяя политику безопасности, необходимо взвесить величину ущерба, которую может понести предприятие в результате нарушения защиты данных, и соотнести ее с величиной затрат, требуемых на обеспечение безопасности этих данных.  

   Политика  безопасности для сети, имеющий выход  в Интернет.

• Политика доступа к сетевым службам Инетернета;
• Политика доступа к ресурсам внутренней сети компании.

 

   Политика доступа к сетевым службам Интернета:

• Определение списка служб Интернета, к которым пользователи внутренней сети должны иметь ограниченный доступ.
• Определение ограничений на методы доступа, например на использование протоколов SLP и PPP. Ограничения методов доступа необходимы для того, чтобы пользователи не могли обращаться к «запрещенным» службам Интернета обходными путями.
• Принятие решения о том, разрешен ли доступ внешних пользователей из Интернет во внутреннюю сеть. Например, доступ разрешить только для некоторых необходимых для работы предприятия служб, например электронной почты.

 

   Политика доступа к ресурсам внутренней сети компании может быть одной из двух:

• Запрещать все, что не разрешено в явной форме;
• Разрешать все, что не зарпещено в явной форме.

 

   Первая  дает более высокую степень безопасности, однако при этом могут возникать  больщие неудобства у пользователй, кроме того, такой способ защиты обойдется значительно дороже. При реализации второй политики сеть окажется менее защищенной, однако пользоваться ею будет удобнее и потребуется меньще затрат. 

   Базовые технологии безопасности. 

   К базовым  технологиям безопасности относятся:

• Аутентификация;
• Авторизация;
• Аудит;
• Технологии защищенного канала (VPN).

 

   Все эти  технологии основаны на шифровании.

    

   Уровень технической защиты должен соответствовать  уровню информации. 

   Пункты :

   Порядок определения защищаемой информации.

   Порядок взаимодействия  
 

   Классы  защиты: 

   А объекты, на которых осуществляется полное скрытие  информационных сигналов, которые возникают  при обработки информации или  ведении переговоров. (скрытие фактов обработки конфединциальной информации на объекте.

   Б Классу защиты Б относятся объекты, на которых осуществляется скрытие параметров информационных сигналов, возникающих при обработке или ведении переговоров, по которым возможна восстановление конфендициальной информации. (скрытие информации, обрабатываемой на объекте)  

   Какие возможны технические каналы для утечки информации:

1. Электромагнитный – перехват побочных излучений. Средства разветки ПЭИиН. (и наводки) Они установлены в ближайших строениях и транспортных средствах, находящиеся за границей контролируемой зоны.
2. Электрический – перехват наведенных электрических сигналов. Сюда относят средства разветки ПЭИиН, подключаемые к линиям электропитания ТСОИ ( тех средства обратоки инфо).
3. Высоко-частотное облучение ТСОИ. Сюда относится аппаратура высоко-частотного облучения, установленная в ближайших строениях или смежных помещениях, находящихся за пределами контролируемой зоны.
4. Внедрение в ТСОИ электронных устройств перехвата информации. Сюда относятся аппаратные закладки модульного типа, установлиемые в системный блок или переферийные устройства в процессе сборки, эксплуатации и ремонта ЭВМ. (закладки с монитора, с устройства печати, с жесткого диска).

 

   Потенциальные технические каналы утечки речевой  информации:

1. Прямой, акустический, т.е. через окна, двери, щели. К ним относятся специальные технические средаства – направленные микрофоны, установленные в ближайших строениях и транспортных средствах, находящихся за границей контролируемой зоны.
2. Специальные высокочувствительные микрофоны, установленные в воздухоходах или в смежных помещениях, принадлежащих другим организациям.
3. Электронные устройства перехвата речевой информации с дачиками микрофоного типа, установленные в воздухоходах.
4. Прослушивание разговоров, ведущихся в выделенных комнатах без примененения технических средств постороними лицами, посетителями, техническим персоналом. При их нахождении в коридорах и смежных с выделенными помещениями. Непреднамеренной прослушивание.
5. Акустовибрационный, через ограждающие конструкции, трубы инженерных коммуникаций. Электронные устройств перехвата речевой инофрмации с дачиками контактного типа.
6. Акустооптический, т.е. через стекла. Лазерные акустические лакационные системы.
7. Акустоэлектрический через соединительные линии. Специальные низкочастотные усилители, которые обладают микрофоным эффектом.
8. Акустоэлектромагнитный. К нем относятся специальные радиоприемные устройства, установленные в ближайших строениях и транспортных средствах, находящихся за границами контролируемой зоны, перехватывающие ПЭИ (побочные электромагнитные излучения) на частотах работы высокочастотных генераторов, входящих в состав ВТВС (вспомагательной техники и средств); аппаратура высокочастотного облучения.

 

   Шифрование. 

   Криптосистема – парные процедуры шифрования и  дешифрования.

   В алгоритмах шифрования предусматривается наличие  параметра – секретного ключа.

   Правило Керкхоффа: «Стойкость шифра должна определяться только секретностью ключа».

   Алгоритм  шифрования считается раскрытым, если найдена процедура, позволяющая  подобрать ключ за реальное время. Сложность  алгоритма раскрытия является одной  из важных характеристик криптосистемы и называется криптостойкостью.  

   Классы  криптосистемы:

   Симметричные;

   Асимметричные. 

   В симметричных схемах шифрования (классическая криптография) секретный ключ зашифровки совпадает  с секретным ключом расшифровки.

   В асимметричных схемах шифрования (криптография с открытым ключом) открытый ключ зашифровки не совпадает с секретным ключом расшифровки. 

   Классическая  модель симметричной криптосистемы 

   Теоретические основы впервые изложены в 1949 году в  работе Клода Шеннона. табл 1 27.04 

   Наиболее  популярный стандартный симметричный алгоритм шифрования данных  DES (Data Encryption Standard) табл 2, 27.04.

   Алгоритм  разработан фирмой IBM и в 1976 году рекомендован Национальным бюром стандартов США к использованию в открытых секторах экономики.

   Схема шифрования по алгоритму DES. табл 2. 

   Данные  шифруются поблочно. Перед шифрованием  все данные преобразуется в числовую форму. На вход шифрующей функции  поступает блок данных размером 64 бита, он делится пополам на левую и  правую части. На первом этапе на место левой части результирущего блока помещается правая часть исходного блока, правая часть результируещего блока вычисляется как сумма по модулю 2 (операция XOR) левой и правой частей исходного блока. Затем на основе случайной двоичной последовательности по определенной схеме в полученном результате выполняются побитные замены и перестановки. Используемая двоичная последовательность, представляющая собой ключ данного алгоритма, имеет длину 64 бита, из которых 56 действительно случайны, а 8 предназначены для контроля ключа. 
 
 

   Недостатки  симметричных криптоалгоритмов.