Файл: Компьютерная система и защита информации.pdf

ВВЕДЕНИЕ

Наибольшей уязвимостью страдают коммерческие информационные системы. Ведь, с одной стороны, они не должны доставлять неудобств пользователям при обращении к ним, а с другой многие из них не имеют серьезной поддержки, достаточной для обеспечения реальной безопасности.

Современным информационным системам угрожает множество самых разнообразных опасностей. Некоторые из них постоянно находятся на слуху и очень широко освещаются в прессе. Это относится, например, к вирусным эпидемиям и хакерским атакам. Другие опасности менее известны. Тем не менее они тоже привлекают достаточно пристальное внимание как общественности, так и специалистов. Для каждой из этих угроз сегодня существуют надежные способы защиты, используя которые сотрудники компаний могут обеспечить безопасность корпоративных информационных ресурсов от внешних напастей. Однако ни в коем случае нельзя забывать и об угрозах внутренних. При этом речь идет о всевозможных утечках информации ограниченного доступа из-за несанкционированных действий работников тех самых организаций, в которых имели место эти печальные события.

В значительной мере ситуация с утечками коммерческой информации осложнилась в последние годы. Причиной тому стало массовое распространение различных миниатюрных устройств, позволяющих легко переносить значительные объемы данных между компьютерами.

ГЛАВА 1. НАЗНАЧЕНИЕ И ВОЗМОЖНОСТИ АППАРАТНО-ПРОГРАММНЫХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

1.1. Компьютерная система и защита информации

Безопасность автоматизированной системы — это состояние автоматизированной системы, определяющее защищенность обрабатываемой информации и ресурсов от действия объективных и субъективных, внешних и внутренних, случайных и преднамеренных угроз, а также способность АС выполнять предписанные функции без нанесения неприемлемого ущерба объектам и субъектам информационных отношений. Пространство угроз весьма велико и разнообразно. Столь же представительно и разнообразно должно быть противодействие угрозам.

Защита информации — деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию — предполагает комплексный и системный подход.

Система защиты информации автоматизированной компьютерной системы — совокупность технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации. Если это определение дополнить организационными действиями, учесть требования (комплексности, системности и др.), то защиту информации можно определить, как комплекс взаимосвязанных мер правового, административного, технического, технологического и специального характера, а также соответствующих им мероприятий, сил, средств и методов, предназначенных для решения задач защиты компьютерной информации. Задачи защиты КИ, требования к системе защиты объективны (порождены практическим опытом эксплуатации АС) и во многом близки и для больших распределенных вычислительных систем и для одиночных ПК, работающих в многопользовательском режиме.

Определить типичные задачи и сформулировать требования к системе защиты информации можно на примере анализа потребностей по обеспечению информационной безопасности некоторой вымышленной организации, ведущей проектирование инженерной документации, составляющей государственную тайну. С таким же успехом можно анализировать потребности коммерческой организации, исследующей товарный рынок и генерирующей прогнозы его развития.

Внедряемая система защиты информации должна обеспечивать надежную, т. е. бесперебойную, устойчивую и правильную работу АС, оперативный доступ сотрудников к информации в соответствии с предоставленными им полномочиями, возможность восстановления информации в случае ее случайной утраты или уничтожения вследствие возникновения аварийных ситуаций и многое другое. В целом система мер по защите информации должна воплощать в жизнь разработанную на предприятии с участием соответствующих специалистов и утвержденную его руководителем политику информационной безопасности (ПБ).

Политика безопасности организации — совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которыми руководствуется организация в своей деятельности. ПБ представляет собой документ, который должен быть доступен всем сотрудникам, и, в первую очередь, отвечающим за обеспечение режима информационной безопасности на предприятии. Этот документ определяет основные цели политики информационной безопасности и область ее применения, а также ее значение как механизма, позволяющего сотрудникам предприятия коллективно использовать информацию. В документе рядовые пользователи и ответственные за безопасность сотрудники должны найти разъяснение мер, принципов, стандартов и конкретных вариантов реализации политики безопасности, требований к ее соблюдению, общих и конкретных обязанностей по обеспечению режима информационной безопасности, включая выполнение правовых и договорных актов.

С тех пор как на рынке услуг безопасности появились специализированные предприятия, берущие на себя организацию защиты информации, возникла необходимость в стандартизации подходов к формированию ПБ. Политика разрабатывается в соответствии с имеющейся нормативной базой, многие ее разделы являются законодательно необходимыми, а положения могут быть формализованы без потери качества документа. На момент написания пособия «свежими» нормативными документами можно считать: ГОСТ 15408–02 «Критерии оценки безопасности информационных технологий» и построенные на его основе руководящие документы Гостехкомиссии (ныне ФСТЭК) России «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий»; международный стандарт ISO/IEC 17799 «Информационные технологии. Свод правил по управлению защитой информации». Разработка политики безопасности — дело творческое, но и в таком деле отказываться от опыта специалистов не разумно.

Большое внимание политика безопасности обычно уделяет специальным мероприятиям, обеспечивающим защиту информации от несанкционированного доступа (НСД) злоумышленника к конфиденциальным данным. Защита информации от НСД является составной частью общей проблемы обеспечения безопасности информации. Мероприятия по защите информации от НСД должны осуществляться взаимосвязано с мероприятиями по специальной защите основных и вспомогательных средств вычислительной техники, средств и систем связи от технических средств разведки и промышленного шпионажа. Типичные требования к системе защиты от НСД можно найти в руководящих документах, где приводятся классификация средств вычислительной техники (СВТ) и автоматизированных систем (АС) по уровню защищенности от НСД и перечень показателей защищенности. Несмотря на солидный возраст документов (оба разработаны еще в 1992 году), они, дополняя друг друга, содержат исчерпывающий перечень требований по защите компьютерных систем от НСД. В [1], например, для защиты от НСД автоматизированных систем основные защитные меры группируют в четыре подсистемы:

• управления доступом,
• регистрации и учета,
• криптографической,
• обеспечения целостности.

Для различного класса автоматизированных систем документ регламентирует выполнение требований, приведенных в Приложении 1.

Руководящий документ [2] для различных классов средств вычислительной техники устанавливает требования к показателям защищенности, приведенным в Приложении 2.

Наборы требований к показателям защищенности, приведенные в Приложениях 1 и 2, являются минимально необходимыми для соответствующих классов АС и СВТ. По мнению авторов, вполне достаточным для многих конкретных ситуаций является приведенный ниже набор требований к защите компьютерной системы:

1. Только зарегистрированные в АС пользователи и только в разрешенное для каждого из них время могут включить компьютер (загрузить операционную систему);
2. Без регистрации никто не должен получать доступ к конфиденциальной информации и информации, хранящейся на защищаемых носителях;
3. Пользователь, обрабатывающий конфиденциальные данные, должен иметь возможность удостовериться в «чистоте» («легитимности») компьютерной системы, а именно в неизменности системного и прикладного программного обеспечения, пользовательских данных, в отсутствии вредоносных программ;
4. Пользователи должны получать доступ только к той информации и с теми возможностями по ее обработке, которые соответствуют их функциональным обязанностям;
5. Пользователям при обработке защищаемой информации разрешается применение только тех программных средств, которые необходимы им для выполнения своих функциональных обязанностей;
6. Для хранения конфиденциальных данных должны использоваться только учтенные носители информации; возможность копирования информации на внешние или сетевые носители определяется уровнем конфиденциальности информации, уровнем допуска сотрудника и уровнем конфиденциальности носителя;
7. Конфиденциальная информация, обрабатываемая полномочным пользователем, в том числе ее фрагменты в виде «технологического мусора», без соответствующего разрешения не должна прямо или косвенно быть доступна иному субъекту;
8. В целях профилактики и расследования возможных инцидентов, а также в качестве сдерживающего фактора автоматически должна вестись регистрация в специальных электронных журналах наиболее важных событий, связанных с доступом пользователей к защищаемой информации и компьютерной системе в целом;
9. При печати документов на бумажные носители автоматически должен фиксироваться факт распечатки в специальном журнале и автоматически выводиться соответствующий штамп на сам документ;
10. В компьютерной системе должен быть администратор безопасности, который обязан воплощать в жизнь политику безопасности и, следовательно, имеет право устанавливать порядок доступа пользователей к АС и документам, разрешения (ограничения), пароли и т. д.;

Все перечисленные требования должны обеспечиваться средствами самой компьютерной системы автоматически. Каждый сотрудник предприятия должен быть вынужден гарантированно выполнять требования политики безопасности, а не только под воздействием силы приказов и распоряжений начальников. На предприятии должен быть организован такой режим функционирования АС, который просто не позволит пользователю работать с конфиденциальными данными в незащищенном режиме.

Перечисленные выше требования защиты АС от НСД вытекают из опыта, здравого смысла и давно существующего порядка работы с конфиденциальной информацией (на бумажных или электронных носителях). Этот набор требований далеко не полон, не противоречит официальным руководящим документам, однако он не затрагивает специальных вопросов проектирования комплекса защиты информации, параметров функциональности средств и механизмов защиты, разработки необходимой документации, тестирования СЗИ, контроля защищенности АС.

1.2. Комплексный подход к защите информации

Как указывалось выше, система защиты компьютерной информации — это комплекс мер, а также соответствующих им мероприятий, сил, средств и методов. На страницах многочисленных изданий по компьютерной тематике можно детально познакомиться с основными мерами и методами защиты информации. В любой книге по информационной безопасности можно встретить примерно такой «джентльменский» набор:

• ограничение физического доступа к АС,
• идентификация и аутентификация пользователей,
• ограничение доступа на вход в систему,
• разграничение доступа,
• регистрация событий (аудит),
• криптографическая защита,
• контроль целостности,
• управление политикой безопасности,
• уничтожение остаточной информации,
• антивирусная защита,
• резервирование данных,
• сетевая защита,
• защита от утечки и перехвата информации по техническим каналам.

Программно-аппаратные средства защиты информации, о которых идет речь в данном пособии, призваны реализовывать несколько мер и соответствующих им методов по противодействию злоумышленнику при возможности его физического доступа к компьютерам автоматизированной системы.

Мы уже отмечали, что защита информации предполагает комплексный и системный подход. Только взаимообусловленный, основанный на тщательном анализе самой компьютерной системы, комплекс защитных мер может обеспечить достаточный уровень безопасности обрабатываемой в АИС информации. Любое происшествие или успешная атака являются, как правило, следствием совокупности причин, реализацией нескольких угроз.