ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 29.10.2023
Просмотров: 80
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
АСОИ - это человеко-машинная система, основанная на средствах вычислительной техники, математических методах и современных методах управления, имеющие целью повышение эффективности деятельности предприятия и оптимизации процесса управления.
Автоматизированная обработка информации - процесс последовательного выполнения операций над данными. Автоматизированная обработка информации может осуществляться как в интерактивном, так и в фоновом режиме средствами вычислительной техники.
Oсобенности распределенных АСОИ:
• территориальная разнесенность компонентов системы и наличие интенсивного обмена информацией между ними;
• широкий спектр используемых способов представления, хранения и передачи информации;
• абстрагирование владельцев данных от физических структур и места размещения данных;
• использование режимов распределенной обработки данных;
• участие в процессе автоматизированной обработки информации большого количества пользователей и персонала различных категории;
• непосредственный и одновременный доступ к ресурсам (в том числе и информационным) большого числа пользователей (субъектов) различных категорий;
• высокая степень разнородности используемых средств вычислительной техники и связи, а также их программного обеспечения;
• отсутствие специальной аппаратной поддержки средств защиты в большинстве типов технических средств, широко используемых в АСОИ.
• интеграция данных различного назначения, принадлежащих различным субъектам, в рамках единых баз данных и, наоборот, размещение необходимых некоторым субъектам данных в различных удаленных узлах сети;
В общем случае АСОИ состоят из следующих основных структурно-функциональных элементов:
• рабочих станций - отдельных ЭВМ или удаленных терминалов сети, на которых реализуются автоматизированные рабочие места пользователей (абонентов, операторов);
• серверов или Host машин (служб файлов, печати, баз данных и т.п.) не выделенных (или выделенных, то есть не совмещенных с рабочими станциями) высокопроизводительных ЭВМ, предназначенных для реализации функций хранения, печати данных, обслуживания рабочих станций сети и т.п. действий;
• межсетевых мостов - элементов, обеспечивающих
соединение нескольких сетей передачи данных, либо нескольких сегментов одной и той же сети, имеющих различные протоколы взаимодействия (шлюзов, центров коммутации пакетов, коммуникационных ЭВМ);
• каналов связи (локальных, телефонных, с узлами коммутации и т.д.).
Угрозы информации
Основные виды угроз безопасности субъектов информационных отношений
Основными видами угроз безопасности АСОИ (угроз интересам субъектов информационных отношений) являются:
• стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.);
• сбои и отказы оборудования (технических средств) АСОИ;
• последствия ошибок проектирования и разработки компонентов АСОИ (аппаратных. средств, технологии обработки информации, программ, структур данных и т.п.);
• ошибки эксплуатации (пользователей, операторов и другого персонала);
• преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов и т.п.).
По своей общей направленности угрозы информационной безопасности Российской Федерации подразделяются на следующие виды:
1. Угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России.
2. Угрозы информационному обеспечению государственной политики Российской федерации.
3. Угрозы развитию отечественной индустрии информации, включая индустрию средств внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов.
4. Угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.
Классификация угроз безопасности информации
Все множество потенциальных угроз информации по природе их возникновения разделяется на два класса: естественные (объективные) и искусственные (субъективные)
Естественные угрозы
- это угрозы, вызванные воздействиями на АСОИ и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека.
Искусственные угрозы - это угрозы АСОИ, вызванные деятельностью человека. Среди них, исходя из мотивации действий, можно выделить непреднамеренные и преднамеренные.
Непреднамеренные угрозы (неумышленные, случайные) - вызванные ошибками при:
• проектировании АСОИ и ее элементов;
• разработке программного обеспечения;
• действиях персонала;
Преднамеренные (умышленные) угрозы, связанные с корыстными устремлениями людей (злоумышленников).
Источники угроз по отношению к АСОИ могут быть внешними или внутренними (компоненты самой АСОИ- ее аппаратура, программы, персонал).
Непреднамеренные основные искусственные угрозы
Непреднамеренные основные искусственные угрозы АСОИ (действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, без злого умысла):
Классификация каналов проникновения в систему и утечки информации
Все каналы проникновения в систему и утечки информации разделяют на прямые и косвенные. Под косвенными понимают такие каналы, использование которых не требует проникновения в помещения, где расположены компоненты системы.
Для использования прямых каналов такое проникновение необходимо. Прямые каналы могут использоваться без внесения изменений в компоненты системы или с изменениями компонентов.
По типу основного средства, используемого для реализации угрозы все каналы можно условно разделить на три группы, где таковыми являются: человек, программа или аппаратура.
При контактном НСД (физическом, программно-математическом) возможные угрозы информации реализуются путем доступа к элементам АСОИ, к носителям информации, к самой вводимой и выводимой информации (и результатам), к ПО (в том числе к операционным системам), а также путем подключения к линиям связи.
При бесконтактном доступе (например, по электромагнитному каналу) угрозы информации реализуются перехватом излучений аппаратуры числе наводимых в токопроводящих коммуникациях и цепях питания, информации в линиях связи, вводом в линии связи ложной визуальным наблюдением (фотографированием) устройств информации, прослушиванием переговоров персонала АСОИ и пользователей.
Существуют два подхода к проблеме обеспечения безопасности АСОИ: фрагментарный и комплексный.
Фрагментарный подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т. п.
Достоинством такого подхода является высокая избирательность к конкретной угрозе. Существенным недостатком данного подхода является отсутствие единой защищенной среды обработки информации. Фрагментарные меры защиты информации обеспечивают защиту конкретных объектов АСОИ только от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты.
Комплексный подход ориентирован на создание защищенной среды обработки информации в АСОИ, объединяющей в единый комплекс разнородные меры противодействия угрозам. Организация защищенной среды обработки информации позволяет гарантировать определенный уровень безопасности АСОИ, что является несомненным достоинством комплексного подхода. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей АСОИ, большая чувствительность к ошибкам установки и настройки средств защиты, сложность управления.
Комплексный подход применяют для защиты АСОИ крупных организаций или небольших АСОИ, выполняющих ответственные задачи или обрабатывающих особо важную информацию.
Политика безопасности представляет собой набор норм, правил и практических рекомендаций, на которых строится управление, защита и распределение информации в АСОИ. Политика безопасности регламентирует эффективную работу средств защиты АСОИ. Она охватывает все особенности процесса обработки информации, определяя поведение системы в различных ситуациях.
Политика безопасности реализуется посредством административно-организационных мер, физических и программно-технических средств и определяет архитектуру системы защиты. Для конкретной организации политика безопасности должна носить индивидуальный характер и зависеть от конкретной технологии обработки информации и используемых программных и технических средств.
Различают два основных вида политики безопасности: избирательную и полномочную.
Избирательная политика безопасности основана на избирательном способе управления доступом. Избирательное (или дискреционное) управление доступом характеризуется заданным администратором множеством разрешенных отношений доступа (например, в виде троек <объект, субъект, тип доступа>). Обычно для описания свойств избирательного управления доступом применяют математическую модель на основе матрицы доступа
Полномочная политика безопасности основана на полномочном (мандатном) способе управления доступом. Полномочное (или мандатное) управление доступом характеризуется совокупностью правил предоставления доступа, определенных на множестве атрибутов безопасности субъектов и объектов, например, в зависимости от метки конфиденциальности информации и уровня допуска пользователя. Полномочное управление доступом подразумевает, что:
- все субъекты и объекты системы однозначно идентифицированы;
- каждому объекту системы присвоена метка конфиденциальности информации, определяющая ценность содержащейся в нем информации;
- каждому субъекту системы присвоен определенный уровень допуска, определяющий максимальное значение метки конфиденциальности информации объектов, к которым субъект имеет доступ.
Чем важнее объект, тем выше его метка конфиденциальности. Поэтому наиболее защищенными оказываются объекты с наиболее высокими значениями метки конфиденциальности.
Аппаратно-программные средства, обеспечивающие повышенный уровень защиты, можно разбить на пять основных групп:
- системы идентификации и аутентификации пользователей;
- системы шифрования дисковых данных;
- системы шифрования данных передаваемых по сетям;
- системы аутентификации электронных данных;
- средства управления ключевой информацией;
Первую группу образуют методы и системы идентификации и аутентификации пользователей.
Под аутентификацией пользователя (субъекта) понимается установление его подлинности. Под идентификацией понимается определение тождественности пользователя или пользовательского процесса, необходимое для управления доступом. После идентификации обычно производится аутентификация,
Под авторизацией (санкционированием) подразумевается предоставление разрешения доступа к ресурсу системы.
Программы проверки паролей − это программы, позволяющие определить, являются ли новые пароли легкими для угадывания и поэтому недопустимы. Механизмы для использования только паролей, особенно те, которые передают по открытым каналам связи АСОИ пароли в незашифрованном виде, уязвимы при наблюдении и перехвате со стороны нарушителя. Это может стать серьезной проблемой, если АСОИ имеет неконтролируемые связи с внешними сетями.
Вторую группу средств, обеспечивающих повышенный уровень защиты, составляют системы шифрования дисковых данных. Основная задача, решаемая такими системами, состоит в защите от несанкционированного использования данных, расположенных на магнитных носителях.