Комплексная система защиты информации в ИС

Лекция 12. Тема:  Комплексная система защиты информации в ИС

Цель: Выяснить принципы организации комплексной защиты информации в ИС.

I. Понятия защиты

II. Защищенная ИС и система защиты информации

Как обеспечить сохранность информации?

III.Требования к СЗИ

Общие требования

Организационные требования

Требования к подсистемам защиты информации

Требования по применению способов, методов и средств защиты.

Литература

 

Данная тема связана с предыдущей темой Оценка информационной безопасности сети. Давайте вспомним основные положения:

1. Что такое безопасность  сети?(Целостность, Конфиденциальность, Адекватность)

2. Как оценивается безопасность  сети? (По целостности информации)

3. Что угрожает безопасности  сети? (Вирусы и хакеры)

4. Что угрожает безопасности  компьютера (только перечислить)?

1. Понятия защиты

Вопросы  организации  защиты  информации  должны  решаться  уже  на  стадии предпроектной разработки ИС. Опыт проектирования систем защиты еще не достаточен. Однако уже можно сделать некоторые  обобщения.  Погрешности  защиты  могут  быть  в  значительной  мере устранены,  если  при  проектировании  учитывать  следующие основные  принципы построения системы защиты.

1. Простота механизма защиты

Этот принцип общеизвестен, но не всегда глубоко осознается. Механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано со знанием специальных  языков  или  с  выполнением  трудоемких  действий  при  обычной работе законных пользователей.

Создание интуитивно понятного интерфейса ИС. Например, настройка антивирусной защиты на проверку всех съемных носителей. Установка антивирусной программы.

2. Постоянство  защиты

Надежный  механизм,  реализующий  это  требование, должен быть постоянно защищен от несанкционированных изменений. Ни одна компьютерная система не может рассматриваться как безопасная, если основные аппаратные и программные механизмы, призванные обеспечивать безопасность, сами  являются  объектами  несанкционированной  модификации  или видоизменения.

Т.е. сама антивирусная программа должна быть защищена от доступа злоумышленников. Это реализуется в ней каким образом? Правильно, неизвестные антивирусной системе вирусы помещаются на карантин. Здесь давайте вспомним какие виды вирусов Вы знаете? (приложение 1). А давайте вспомним какие существуют виды компьютерных программ – вирусов (приложение 2)?

3. Всеобъемлющий  контроль

Этот  принцип  предполагает  необходимость проверки полномочий любого обращения к любому объекту и лежит в основе системы защиты. Пользователь, входя в систему имеет права доступа – проверка подлинности по зарегистрированному логину. Все попытки неправильного доступа фиксируются в журнале, количество попыток неправильного доступа ограниченно.

4. Несекретность  проектирования

Механизм  защиты  должен  функционировать достаточно эффективно даже в том случае, если его структура и содержание известны злоумышленнику. Не имеет смысла засекречивать детали реализации системы защиты, предназначенной для широкого использования. Эффективность защиты  не  должна  зависеть  от  того,  насколько  опытны  потенциальные нарушители. Защита не должна обеспечиваться только секретностью структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы  системы  защиты  не  должно  способствовать ее  преодолению.

Алгоритм создания доступа к банковским счетам пользователя при помощи удаленного доступа известен – это комбинирование открытого и закрытого ключей. Также как и электронной подписи. Однако это не делает их уязвимыми.

5. Идентификация

Ранее мы проходили идентификацию. Вспомним, что означает термин идентификация применительно к информационным системам? Это — присвоение субъектам и объектам идентификатора и / или сравнение идентификатора с перечнем присвоенных идентификаторов.

Каждый объект ИС должен однозначно идентифицироваться. При попытке получения доступа к информации решение о санкционировании его следует принимать на основании данных претендента и определения высшей степени секретности информации, с которой ему разрешается работать. Такие данные  об  идентификации  и  полномочиях  должны  надежно  сохраняться  и обновляться компьютерной системой для каждого активного участника системы,  выполняющего действия, затрагивающие ее безопасность.

Возьмем к примеру банковскую систему, уровень 1 – работники, наполняющие данными БД банка, 2 уровень – отделы, имеющие право просмотра правильности информации и использующие эту информацию без права редактирования, 3 уровень – директор, имеющий полномочия проверки и корректировки данных (например, курса продажи валюты).

Идентификация – это не только то, что мы делаем при защите информации в ИС, но и используем в своей повседневной жизни, например при получении доступа на образовательный портал Platonus (например) и имеем разные уровни доступа (Сотрудник, Обучающийся, Администратор). Например, идентификация по штрихкоду. При использовании банковской карточки. В России в метро при покупке проездного документа на определенное количество поездок.

Идентификация напрямую связана с паролями. Парольные системы в целях защиты информации применяются во многих сферах жизнедеятельности человека. Входы на сайты, в интернет-услугах. Наиболее нагляден и ощутим этот процесс в банковской сфере. Видеоролик.

Пользователи  должны  иметь  соответствующие  полномочия,  объекты (файлы) — соответствующий  гриф,  а  система  должна  контролировать  все  попытки  получения доступа.

Как показано в ролике. Существуют некоторые механизмы, обеспечивающие безопасность ИС:

-  Межсетевые экраны. Межсетево́й экра́н, сетево́й экра́н, файерво́л, брандма́уэр — комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.

Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

- Антивирусы.

- Программы шифрования  информации.

- Защита от утечек. Соблюдение  корпоративной политики безопасности.

- Контроль доступа. Зарегистрированная  база клиентов и база их  паролей.

- Системы распознавания  пользователей. Применение нескольких ключей защиты. Это удобно в тех случаях, когда право на доступ определяется выполнением ряда условий.

На основе просмотренного ролика подискутируем. Дискуссия после просмотра:

Самое надежное средство защиты информации? (Шифрование)

Сколько нужно использовать средств защиты информации в корпоративной сети? (Несколько)

Зачем нужна защита электронной информации? (Так как увеличился электронный документооборот в РК).

Какие средства используют для защиты информации? (межсетевые экраны для Вэб-приложений, Сканеры уязвимости …)

II. Защищенной ИС будем называть ИС, в которой реализованы механизмы выполнения правил,  удовлетворяющих  установленному  на  основе  анализа  угроз  перечню требований по защите информации и компонентов этой ИС.

При этом механизмы выполнения указанных правил чаще всего реализуются в виде системы защиты информации(СЗИ). Следовательно, под СЗИ будем понимать совокупность механизмов  защиты,  реализующих  установленные  правила,  удовлетворяющие указанным требованиям.

III.Общие требования

Прежде  всего,  необходима  полная  идентификация  пользователей,  терминалов, программ, а также основных процессов и процедур, желательно до уровня записи или элемента.  Кроме  того  следует  ограничить  доступ  к  информации,  используя совокупность следующих способов:

•  иерархическая классификация доступа. Например, портал электронного правительства – вход в качестве зарегистрированного пользователя по ИИН, без возможности редактирования полей заявления, а есть админы – имеющие возможность редактирования или внесения изменений.

•  классификация информации по важности и месту ее возникновения,

•  указание  ограничений  к  информационным  объектам,  например  пользователь может осуществлять только чтение файла без права записи в него,

•  определение  программ  и  процедур,  предоставленных  только  конкретным пользователям.

Система  защиты  должна  гарантировать,  что  любое  движение  данных идентифицируется, авторизуется, обнаруживается и документируется.

Обычно формулируются общие требования к следующим характеристикам:

•  способам  построения  СЗИ  либо  ее  отдельных  компонент (к  программному, программно-аппаратному, аппаратному);

•  архитектуре  СВТ  и  ИС(к  классу  и  минимальной  конфигурации  ЭВМ, операционной среде, ориентации на ту или иную программную и аппаратную платформы, архитектуре интерфейса);

•  применению стратегии защиты; Например повторный внутренний пароль в системе подписи электронных документов.

•  затратам  ресурсов  на  обеспечение  СЗИ(к  объемам  дисковой  памяти  для программной версии и оперативной памяти для ее резидентной части, затратам производительности вычислительной системы на решение задач защиты);

•  надежности функционирования СЗИ(к количественным значениям показателей надежности во всех режимах функционирования ИС и при воздействии внешних разрушающих факторов, к критериям отказов);

•  количеству степеней секретности информации, поддерживаемых СЗИ;

•  обеспечению  скорости  обмена  информацией  в  ИС,  в  том  числе  с  учетом используемых криптографических преобразований;

•  количеству поддерживаемых СЗИ уровней полномочий;

•  возможности СЗИ обслуживать определенное количество пользователей;

•  продолжительности процедуры генерации программной версии СЗИ;

•  продолжительности процедуры подготовки СЗИ к работе после подачи питания на компоненты ИС;

•  возможности СЗИ реагировать на попытки несанкционированного доступа, либо на"опасные ситуации";

•  наличию и обеспечению автоматизированного рабочего места администратора защиты информации в ИС;

•  составу  используемого  программного  и  лингвистического  обеспечения,  к  его совместимости  с  другими  программными  платформами,  к  возможности модификации и т.п.;

•  используемым закупаемым компонентам СЗИ(наличие лицензии, сертификата и т.п.).

Организационные требования

Организационные  требования  к  системе  защиты  предусматривают  реализацию совокупности административных и процедурных мероприятий.

Требования  по  обеспечению  сохранности  должны  выполняться,  прежде  всего,  на административном  уровне.  Организационные  мероприятия,  проводимые  с  целью повышения эффективности защиты информации, должны предусматривать следующие процедуры:

•  ограничение  несопровождаемого  доступа  к  вычислительной  системе (регистрация и сопровождение посетителей);

•  осуществление контроля за изменением в системе программного обеспечения;

•  выполнение тестирования и верификации изменений в системе программного обеспечения и программах защиты;

•  организацию и поддержку взаимного контроля за выполнением правил защиты данных;

•  ограничение привилегии персонала, обслуживающего ИС;

•  осуществление записи протокола о доступе к системе;

•  гарантию компетентности обслуживающего персонала;

С  точки  зрения  обеспечения  доступа  к  ИС  необходимо  выполнить  следующие процедурные мероприятия:

•  разработать и утвердить письменные инструкции на загрузку и остановку работы операционной системы;

•  контролировать  использование  магнитных  лент,  дисков,  карт,  листингов, порядок изменения программного обеспечения и доведение этих изменений до пользователя;

•  разработать процедуру восстановления системы при отказах;

•  установить политику ограничений при разрешенных визитах в вычислительный центр и определить объем выдаваемой информации; Например, неиспользования локальной и глобальной сети и съемных носителей.

•  разработать  систему  протоколирования  использования  ЭВМ,  ввода  данных  и вывода результатов;

•  обеспечить проведение периодической чистки архивов и хранилищ носителей информации для исключения и ликвидации неиспользуемых;

•  поддерживать  документацию  вычислительного  центра  в  соответствии  с установленными стандартами.

Требования к подсистемам защиты информации

В общем случае СЗИ целесообразно условно разделить на подсистемы:

•  управления  доступом  к  ресурсам  ИС(включает  также  функции  управления системой защиты в целом);

•  регистрации и учета действий пользователей(процессов);