Файл: Безопасность и зашита серверных операционных систем.pdf

3 Системы защиты информации

3.1 Основные требования к защите информации от несанкционированного доступа

Защита информации от несанкционированного доступа должна быть:

• непрерывной: необходимо помешать злоумышленникам обойти защиту интересующей их информации;
• плановой: разработка каждой службой детальных планов защиты информации в сфере ее компетенции с учетом общей цели предприятия (организации);
• целенаправленной: защита того, что должно защищаться в интересах конкретной цели;
• конкретной: защита конкретных данных, объективно нуждающихся в охране, утрата которых может причинить организации определенный ущерб;
• активной: защита информации с достаточной степенью настойчивости;
• надежной: методы и формы защиты должны надежно перекрывать возможные пути неправомерного доступа к охраняемым информационным объектам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреплены;
• универсальной: канал утечки необходимо перекрывать, где бы он ни проявился, разумными и достаточными средствами, независимо от характера, формы и вида информации;
• комплексной: защита информации всеми видами и формами защиты в полном объеме.

Комплексный подход к защите информации от несанкционированного доступа исходит из того, что защита представляет собой сложную систему неразрывно взаимосвязанных и взаимозависимых процессов, каждый из которых в свою очередь имеет множество различных взаимосвязанных сторон, свойств, тенденций.

При этом система защиты информации от несанкционированного доступа должна удовлетворять определенным условиям:

• охват всего технологического комплекса информационной деятельности;
• разнообразие используемых средств, многоуровневая с иерархической последовательностью доступа;
• открытость для изменения и дополнения мер обеспечения безопасности информации;
• нестандартность, разнообразность при выборе средств защиты;
• простота в техническом обслуживании и удобство эксплуатации пользователями;
• надежность технических средств, поломка которых может быть причиной появления неконтролируемых каналов утечки информации;
• комплексность, обладание целостностью, означающей, что ни одна ее часть не может быть изъята без ущерба для всей системы.

Требования к системе защиты безопасности информации от несанкционированного доступа:

• четкое определение полномочий и прав пользователей на доступ к определенным видам информации;
• определение для пользователя минимальных полномочий, необходимых ему для выполнения порученной работы;
• минимум общих для нескольких пользователей средств защиты;
• средства учета случаев и попыток несанкционированного доступа к конфиденциальной информации;
• оценка степени конфиденциальности информации;
• контроль целостности средств защиты и немедленное реагирование на их выход из строя.

3.2 Виды обеспечения системы защиты информации от несанкционированного доступа

Система защиты информации от несанкционированного доступа должна состоять из следующего:

˗ правовая поддержка: нормативные документы, положения, инструкции, руководящие принципы, которые являются обязательными в рамках их деятельности;

˗ организационная поддержка: внедрение информационной безопасности осуществляется определенными структурными подразделениями, такими как служба безопасности документов; режим обслуживания, входа, охрана; служба защиты информации техническими средствами; информационно-аналитическая деятельность и т. д.;

˗ аппаратное обеспечение: использование технических средств для защиты информации от несанкционированного доступа;

˗ информационная поддержка: информация, данные, индикаторы, параметры, которые лежат в рамках решения проблем;

˗ программное обеспечение: различные информационные, бухгалтерские, статистические и расчетные программы, которые могут обеспечивать несанкционированного доступа, а также опасности различных каналов утечки и способы несанкционированного доступа к источникам конфиденциальной информации;

˗ математическая поддержка: математические методы использования технических средств злоумышленников, зон и стандартов необходимой защиты информации от несанкционированного доступа;

˗ Лингвистическая поддержка: наличие норм и правил для деятельности органов, служб, средств, реализующих функции защиты информации от несанкционированного доступа, различные методы, обеспечивающие активность пользователей при выполнении их работы. [5]

Проблема определения требований к защите информации от несанкционированного доступа, то есть когда средства электронных вычислений стали доступными для обработки конфиденциальной информации, стоит особенно остро, поскольку существует большое количество таких каналов несанкционированного доступа к информации.

Предметом информационной безопасности является компьютерная система или автоматизированная система обработки данных (АСОД).

Компьютерная система представляет собой набор аппаратного и программного обеспечения, предназначенного для автоматического сбора, хранения, обработки, передачи и получения информации. Наряду с термином «информация» по отношению к КС часто используется термин «данные». Другое определение, что используется при защите информации - «информационные ресурсы». В соответствии с законодательством Российской Федерации «Информация, информатизация и защита информации» информация ставится в соответствии с выбранными документами и отдельными документами в информационных системах (библиотеки, архивы, фонды, данные и другие информационные системы).

Концепция КС очень широка и охватывает следующие системы:

• компьютеры всех классов и назначений;
• вычислительные системы и комплексы;
• сети (местные, региональные и глобальные).

Такой широкий спектр систем в сочетании с одним определением важен по двум причинам: во-первых, для всех этих систем основные проблемы защиты информации являются общими, и вторая - меньшие системы являются элементами больших систем. Если для защиты информации в любой системе есть свои особенности, они рассматриваются отдельно.

Предметом защиты компьютерных систем является информация. Материальной основой существования информации в КС являются электронные и электромеханические устройства (подсистемы), а также аппаратура поддержки. С помощью устройств ввода или систем передачи данных (СПД) информация попадает в компьютерную систему. Системная информация сохраняется в памяти устройства (памяти) на различных уровнях, преобразуется (обработка) процессором (PC), и из системы выходит через устройство вывода или сеть. Как компьютерные средства носителей информации используются магнитные ленты, диски различных типов. Ранее, мультимедийные компьютеры использовали бумагу, перфокарты и перфоленты, магнитные барабаны и карты. Большинство типов компьютерных носителей являются съемными, то есть могут быть удалены с устройства и использоваться (флеш-карты) или храниться (ленточные накопители, диски) отдельно от устройств. Таким образом защита информации (информационная безопасность) в компьютерных системах касается защиты устройства (подсистем) и машин от несанкционированного доступа к носителям и воздействия на них.

Однако такое рассмотрение КС с точки зрения защиты информации является неполным. Компьютерные системы представляют собой класс человеко-машинных систем. Эти системы находятся в ведении специалистов (персонала) в интересах пользователей. Кроме того, в последние годы, пользователи имеют прямой доступ к системам. Для некоторых из КС (например, ПК), пользователи выполняют функции обслуживающего персонала.

При рассмотрении защиты автоматизированных систем целесообразно использовать четыре градации доступа к хранению, обработке и защите информационной системы, которая поможет систематизировать как возможные угрозы и меры по их нейтрализации и отражения, то есть помочь систематизировать и обобщить весь спектр защиты, связанной с информационной безопасностью. Эти уровни следующие: уровень средств записи информации, уровень взаимодействия с носителем информации, уровень информации, уровень информативности.

Эти уровни были основаны на том, что:

1. Средства обработки информации часто переносятся на материал, которым может быть бумага, гибкий диск или другой носитель;

2. Если путь информации таков, что она не может быть непосредственно восприниматься человеком, существует необходимость для преобразования данных в человеческий способ представления.

3. Информация может быть охарактеризована по способу ее представления или, что также называется языком в повседневных условиях.

4. Человек должен присутствовать, чтобы определить смысл информации, ее семантику.

На рисунке 3 представлена концептуальная модель безопасности информации.

Рисунок 3 – Концептуальная модель защиты информации от несанкционированного доступа

Система защиты информации (СЗИ) в ее наиболее общей форме может быть определена как организованный набор всех средств, методов и видов деятельности, определенных в автоматизированных системах обработки данных.

К ней имеется ряд конкретных, ориентированных требований, которые можно разделить на функциональные, эргономические, экономические, технические и организационные. В комплексе эти требования показаны на рисунке 4.

Рисунок 4 – Совокупность требований к системе защиты информации от несанкционированного доступа в АСОД.

Концептуальная единство означает, что архитектура, технологии, организация и эксплуатация СЗИ в целом и ее составных компонентов следует рассматривать и применять в строгом соответствии с основными положениями единой концепции информационной безопасности.

Адекватность требований означает, что СЗИ должны быть построены в строгом соответствии с требованиями по защите, которые в свою очередь определяются категорией безопасности соответствующего объекта, и значений параметров, влияющих на безопасность информации.

Гибкость (адаптивность) СЗИ – это построение такой организации ее функционирования, при которой функции безопасности будут осуществляться эффективно при изменении в диапазоне структуры АСОД, технологических схем, или условий эксплуатации любой из его компонентов.

Функциональная независимость подразумевает, что СЗИ должна быть вполне самостоятельной подсистемой обеспечения АСОД и при реализации функций безопасности не зависеть от других подсистем.

Удобство в использовании означает, что СЗИ не должна создавать дополнительные неудобства для пользователей и персонала АСОД.

Минимизация предоставленных прав означает, что каждый пользователь и каждый человек из персонала АСОД должны иметь ограничение в правах доступа к ресурсам АСОД в рамках только той информации, что действительно нужна для выполнения их функций в процессе автоматизированной обработки данных.

Полнота контроля требует, чтобы все процедуры автоматизированной обработки информации контролировались системой безопасности в полном объеме, и основные результаты мониторинга должны быть записаны в специальных журналах регистрации.

Активность реагирования означает, что СЗИ реагирует на любые попытки несанкционированных мероприятий и включает в себя: запрос повторить действие; задержку в выполнении запросов; отключение структурного элемента с несанкционированным действием; исключение злоумышленника из числа зарегистрированных пользователей; подача специального сигнала и т.д.

Экономичность СЗИ означает, что, при соблюдении основных требований всех предыдущих принципов расходы на СЗИ должны быть минимальны.

Требования, которые определяются автоматизированной системой обработки данных, могут быть записаны в следующем виде: информация должна быть защищена следующим образом:

˗ защищенная информация должна храниться только во время сеанса; в запоминающих устройствах (памяти) коммуникационного оборудования могут храниться только служебные части передаваемых сообщений;

˗ линии связи, по которым защищенная информация передается в ясной форме, должны быть защищены программно или аппаратно от несанкционированного доступа к передаваемой информации и находится под постоянным контролем;

˗ до начала каждого сеанса передачи данных, защищаемая информация должна проверяться на адреса выдачи данных;

˗ при передаче большого количества защищенной информации проверка адреса передачи должна осуществляться с некоторыми промежутками во времени в процессе передачи;