Файл: Исследование проблем защиты информации ( ПРОБЛЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ ).pdf
Добавлен: 01.04.2023
Просмотров: 60
Скачиваний: 2
ВВЕДЕНИЕ
В 19-м веке магнат Натан Ротшильд произнес фразу: «Кто владеет информацией, тот владеет миром». И ведь действительно, информация в 21-м веке – это самая большая ценность, которая играет существенную роль. Мог ли он предположить, произнося столь мудрую мысль, что настанет «информационный взрыв» во всем мире, что из океана информации каждому придется выбирать лишь нужную крупицу?
В данный момент у нас есть доступ к разнообразной информации: зайдя в Интернет, на его просторах, мы можем найти познавательные статьи, зайти в электронную библиотечную систему, прочитать новости, посмотреть видеоролики.
Успех любого вида деятельности все сильней зависит от обладания определенными сведениями и от отсутствия их у конкурентов. И чем больше информации нас окружает, тем актуальнее становится вопрос ее защиты.
Данная работа состоит из 2-х глав, в которых будут рассмотрены: проблемы защиты информации и средства защиты информации.
ГЛАВА 1. ПРОБЛЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ.
Если говорить про защиту, то необходимо определить следующие вопросы: кто, как, что и от кого защищает.
Безопасность информационной системы – защищенность системы от случайного или преднамеренного воздействия естественного или искусственного характера в штатный процесс ее деятельности, от попыток несанкционированного получения информации, модификации или физического разрушения ее компонентов. Следовательно, это способность информационной системы противостоять различным возмущающим воздействиям.
Угроза безопасности информации – это события или действия, которые могут привести к искажению, несанкционированному использованию или даже к выходу из строя не только программных и аппаратных средств, но и информационных ресурсов управляемой системы в целом.
Человека, пытающегося получить несанкционированный доступ к информации, чаще всего называют «компьютерным взломщиком» или хакером. В своих противоправных действиях, направленных на завладение информацией, взломщики стремятся найти такие способы, которые позволяют получить наиболее достоверную информацию в максимальных объемах с минимальными затратами на ее получение.
Таким образом, в настоящее время, для обеспечения защиты информации требуется не просто разработка частных механизмов защиты, а реализация системного подхода, который включает в себя целый комплекс взаимосвязанных мер: использование специальных технических и программных средств, организационных мероприятий, нормативно-правовых актов и так далее.
Реализация мер по защите информации требует увеличивающихся расходов и усилий. Однако все это позволяет избежать значительно превосходящих потерь и ущерба, которые могут возникнуть при реальном осуществлении угроз безопасности информации.
1.1 Виды угроз безопасности информации.
Угрозы, направленные на несанкционированное использование информационных ресурсов и не влияющие на их функционирование, называют пассивными. К таким угрозам можно отнести прослушивание каналов связи или несанкционированный доступ к базам данных.
Активные угрозы воздействуют на компоненты информационной системы с целью нарушения нормального функционирования. Примерами активных угроз являются вывод из строя компьютера или его операционной системы, разрушение программного обеспечения, нарушение работы линий связи. Источником активных угроз могут быть действия компьютерных взломщиков и вредоносные программы.
Умышленные угрозы подразделяются также на внутренние, возникающие внутри организации, и внешние.
Внутренние угрозы чаще всего определяются социальной напряженностью и тяжелым моральным климатом.
Внешние угрозы могут определяться злонамеренными действиями конкурентов, экономическими условиями или обстоятельствами неодолимой силы (например, стихийными бедствиями).
К основным угрозам безопасности информации относятся:
– угрозы конфиденциальности (неправомерный доступ к информации);
– угрозы целостности (неправомерное изменение данных);
– угрозы доступности (осуществление действий, делающих невозможным или затрудняющих доступ к ресурсам информационной системы).
Угрозы конфиденциальной информации – потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями.
Получение злоумышленником охраняемых сведений называют утечкой. Одновременно с этим в законодательных актах, законах, кодексах, официальных материалах используются такие понятия, как разглашение сведений и несанкционированный доступ к конфиденциальной информации.
Утечка информации – это неконтролируемое распространение информации за пределы помещения, здания, территории, организации, а также определенного круга лиц, которые имеют доступ к этой информации. Если обнаружена утечка информации – её необходимо ликвидировать в самые сжатые сроки, а лучше всего принять превентивные меры по защите информации с ограниченным доступом.
Причиной утечки информации может стать использование ошибочных норм защиты информации, их нарушение или же полное несоблюдение. Любые игнорирования правил работы с критически важными документами, техникой, продукцией и прочими конфиденциальными материалами чреваты возникновением канала утечки информации ограниченного доступа.
Канал утечки информации – это путь информации, который она проходит от источника информации до приемника или получателя в процессе случайной утечки или целенаправленного несанкционированного получения закрытой информации. Если меры по защите информации не были приняты заранее, то могут быть задействованы любые каналы утечки. Если же защита информации предусмотрена – то будет задействован наиболее слабозащищенный канал.
В природе существуют только четыре средства переноса информации – это световые лучи, звуковые волны, электромагнитные волны, а также материальные носители (бумажные, магнитные, цифровые и т.д.). Эти средства являются составляющими любой системы связи, в которой помимо них обязательно присутствуют: источник информации, передатчик, канал передачи информации, приемник, получатель сведений.
Непосредственно сам человек может стать инициатором (намеренным или случайным) утечки информации, используя одно или несколько вышеназванных средств переноса информации. Поэтому работу некоторых систем связи необходимо контролировать, чтобы, с одной стороны, обеспечить безопасную, надежную и точную передачу информации, а с другой, защитить ее от незаконного доступа. И если канал должным образом не защищен и передача информации из исходной точки в другую происходит без ведома источника, то такой канал можно называть каналом утечки информации.
Разглашение конфиденциальной информации подразумевает преступные действия, или же бездействие определённого лица, имеющего к ним доступ, в результате чего закрытая информация попала в распоряжение третьих лиц без разрешения на то её правообладателя. Например, это может быть единовременная передача конфиденциальной информации за определённое вознаграждение, или предоставление доступа к закрытым данным злоумышленнику. При этом доступ может быть предоставлен как умышленно, из корыстных побуждений, так и нечаянно, в результате халатного отношения работником к своим обязанностям. Также к разглашению информации может привести излишняя разговорчивость работника, в результате чего секретные данные становятся известны окружающим. Кроме единовременной передачи информации это может быть и регулярное тайное хищение закрытых сведений с целью их продажи.
Несанкционированный доступ – доступ к информации в нарушение должностных полномочий сотрудника, доступ к закрытой для публичного доступа информации со стороны лиц, не имеющих разрешения на доступ к этой информации. Стоит отметить, что несанкционированный доступ может привести к утечке информации.
Наиболее распространенными путями несанкционированного доступа к информации являются:
– ошибки конфигурации программ (интерфейсов, брандмауэров, прав доступа);
– слабая защищённость средств авторизации (хищение паролей, смарт-карт, физический доступ к плохо охраняемому оборудованию, доступ к незаблокированным рабочим местам сотрудников в отсутствие сотрудников);
– ошибки в программном обеспечении;
– злоупотребление служебными полномочиями (воровство резервных копий, копирование информации на внешние и физические носители при праве доступа к информации);
– потенциальные угрозы безопасности информации в локально-вычислительных сетях;
– использование троянов и вирусов.
Ошибки конфигурации программ – некорректная настройка программного обеспечения, в результате чего информационная система или данные могут быть скомпрометированы. Важнейшим этапом при создании любого программного продукта является его настройка под определенные задачи для корректной работы с ними. Злоумышленники используют подобные нестыковки в собственных целях. Независимо от характера, любой сбой приводит к ослаблению встроенных защитных механизмов и делает информационную систему уязвимой перед атаками.
Авторизация – процедура предоставления субъекту определенных полномочий и ресурсов в данной системе. Если система не может надежно отличить авторизованное лицо от неавторизованного, то конфиденциальность и целостность информации в этой системе могут быть нарушены. Следовательно, необходимо четко определить требования к безопасности, чтобы принимать решения о соответствующих границах авторизации. Аутентификация – проверка подлинности заявленного пользователя, процесса или устройства. Эта проверка позволяет достоверно убедиться, что пользователь именно тот, кем себя объявляет. При проведении аутентификации проверяющая сторона должна убедиться в подлинности проверяемой стороны, при этом проверяемая сторона также активно участвует в процессе обмена информацией. Обычно пользователь, подтверждая свою идентификацию, вводит в систему уникальную, неизвестную другим пользователям информацию о себе (пароль, сертификат). Соответственно, необходимо определить требования к безопасности паролей и сертификатов.
Программная ошибка – ошибка в программе или информационной системе, из-за которой выдается неожиданное поведение и, как следствие, результат. Программные ошибки не что иное, как результат создания и корректировки программного обеспечения. Они могут не проявляться, если входные данные не инициируют выполнение тех участков программ, в которых содержатся ошибки. В отличие от технических средств некоторые входные потоки данных могут привести к частым ошибкам, в то время как другие потоки могут вообще не привести к ошибкам. Такие «баги» злоумышленник может применить для несанкционированного использования компьютерной системы в своих целях (например, для бесплатного решения своих задач), либо блокировать систему для отказа в обслуживании другим пользователям. Чтобы реализовать негативное воздействие, часто используются так называемые «жадные программы» - программы, способные захватить монопольно определенный ресурс системы. Но при исправлении обнаруженной ошибки производитель программного обеспечения может внести новые ошибки, которые могут со временем проявиться при определенном наборе входных данных.
Если в качестве потенциальных злоумышленников рассматривать сотрудника компании, который для выполнения своих обязанностей имеет доступ к конфиденциальной информации, возможны следующие варианты утечки:
– несанкционированное копирование конфиденциальной информации на оптические носители (CD, DVD, Blu-Ray диски) или электро-магнитные носители (Flash-диски, внешние HDD с USB-интерфейсом, карты памяти), либо хищение таких накопителей информации, и вынос её за пределы территории предприятия;
– вывод на печать либо создание ксерокопий конфиденциальной информации, и вынос распечатанных документов. Важно отметить, что в данном случае могут использоваться как локальные, так и сетевые принтеры или многофункциональные устройства, которые используются непосредственно на территории организации;
– несанкционированная передача конфиденциальной информации по сети на удаленные компьютеры, либо файловые хостинги, расположенные за пределами территории предприятия. Затем, находясь в дома или в любом другом месте, загрузить её оттуда. Для передачи информации нарушитель может использовать сетевые протоколы, в зависимости от настроек фильтрации исходящих пакетов данных, применяемых в информационной системе. Также для передачи данных могут использоваться такие личные средства связи, как смартфон или планшетный компьютер. При этом с целью маскирования своих действий нарушитель может предварительно зашифровать отправляемую информацию или передать её под видом стандартных графических или видеофайлов.