Файл: Основыинформационнойбезопасности.pdf

САНКТПЕТЕРБУРГ • МОСКВА • КРАСНОДАР
2017
ОСНОВЫ
ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
С. А. НЕСТЕРОВ
У Ч Е Б Н О Е П О С О Б И Е
Издание третье, стереотипное

© Издательство «Лань», 2017
© С. А. Нестеров, 2017
© Издательство «Лань»,
художественное оформление, 2017
ББК 32.81я73
Н 56
Нестеров С. А.
Н 56
Основы информационной безопасности: Учебное пособие. —
3е изд., стер. — СПб.: Издательство «Лань», 2017. — 324 с. —
(Учебники для вузов. Специальная литература).
ISBN 9785811422906
Системно излагаются теоретические основы информационной безопасности и описываются практические аспекты, связанные с их реализацией. В пособии рассматриваются теоретические основы защиты информации, основы криптографии,
защита информации в IPсетях, анализ и управление рисками в сфере информационной безопасности. Теоретический материал сопровождается лабораторными работами,
выделенными в отдельный раздел.
Пособие может использоваться в системах повышения квалификации в рамках образовательной программы дополнительного профессионального образования
«Информатика и вычислительная техника». Также может быть полезно широкому кругу специалистов в области информационных технологий.
ББК 32.81я73
Рецензент
А. А. ЕФРЕМОВ
— кандидат физикоматематических наук, доцент
СанктПетербургского государственного политехнического университета.
Обложка
Е. А. ВЛАСОВА
Книга издана при реализации совместного проекта издательства «Лань» и издательства
СанктПетербургского политехнического университета Петра Великого

3
ОГЛАВЛЕНИЕ
Список принятых сокращений ........................................................................... 6
Введение ............................................................................................................... 8 1. Теоретические основы информационной безопасности ........................... 10 1.1. Базовые понятия ................................................................................... 10 1.2. Общая схема процесса обеспечения безопасности .......................... 14 1.3. Идентификация, аутентификация, управление доступом.
Защита от несанкционированного доступа .................................................... 15 1.4. Модели безопасности .......................................................................... 20 1.4.1. Модель Харрисона–Рузо–Ульмана ........................................... 22 1.4.2. Модель Белла–ЛаПадула ............................................................ 26 1.4.3. Ролевая модель безопасности .................................................... 30 1.5. Процесс построения и оценки системы обеспечения безопасности. Стандарт ISO/IEC 15408 .......................................................... 32 2. Основы криптографии .................................................................................. 35 2.1. Основные понятия. Классификация шифров .................................... 35 2.2. Симметричные шифры ........................................................................ 43 2.2.1. Схема Фейстеля ........................................................................... 43 2.2.2. Шифр DES ................................................................................... 45 2.2.3. Шифр ГОСТ 28147-89 ................................................................ 54 2.2.4. Шифр Blowfish ............................................................................ 57 2.3. Управление криптографическими ключами для симметричных шифров ..................................................................................... 59 2.4. Асимметричные шифры ...................................................................... 67 2.4.1. Основные понятия ...................................................................... 67 2.4.2. Распределение ключей по схеме Диффи–Хеллмана ............... 71 2.4.3. Криптографическая система RSA ............................................. 73 2.4.4. Криптографическая система Эль–Гамаля ................................ 76 2.4.5. Совместное использование симметричных и асимметричных шифров ................................................................................... 79 2.5. Хэш-функции ........................................................................................ 79 2.5.1. Хэш-функции без ключа ............................................................ 80 2.5.2. Алгоритм SHA-1 ......................................................................... 82

4 2.5.3. Хэш-функции с ключом ............................................................. 83 2.6. Инфраструктура открытых ключей. Цифровые сертификаты ....... 85 3. Защита информации в IP-сетях .................................................................... 93 3.1. Протокол защиты электронной почты S/MIME................................ 94 3.2. Протоколы SSL и TLS ......................................................................... 96 3.3. Протоколы IPSec и распределение ключей ..................................... 100 3.3.1. Протокол AH ............................................................................. 103 3.3.2. Протокол ESP ............................................................................ 105 3.3.3. Протокол SKIP .......................................................................... 107 3.3.4. Протоколы ISAKMP и IKE ...................................................... 110 3.3.5. Протоколы IPSec и трансляция сетевых адресов .................. 115 3.4. Межсетевые экраны ........................................................................... 117 4. Анализ и управление рисками в сфере информационной безопасности .................................................................................................... 121 4.1. Введение в проблему ......................................................................... 121 4.2. Управление рисками. Модель безопасности с полным перекрытием .................................................................................................... 125 4.3. Управление информационной безопасностью. Стандарты
ISO/IEC 17799/27002 и 27001 ......................................................................... 129 4.3.1. ГОСТ Р ИСО/МЭК 17799:2005 «Информационная технология. Практические правила управления информационной безопасностью» ............................................................................................... 130 4.3.2. ГОСТ Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечения безопасности.
Системы менеджмента информационной безопасности.
Требования» ..................................................................................................... 141 4.4. Методики построения систем защиты информации ..................... 145 4.4.1. Модель Lifecycle Security ......................................................... 145 4.4.2. Модель многоуровневой защиты ............................................ 149 4.4.3. Методика управления рисками, предлагаемая
Майкрософт ..................................................................................................... 152 4.5. Методики и программные продукты для оценки рисков .............. 158 4.5.1. Методика CRAMM ................................................................... 158 4.5.2. Методика FRAP ......................................................................... 164 4.5.3. Методика OCTAVE .................................................................. 168

5 4.5.4. Методика RiskWatch ................................................................. 172 4.5.5. Проведение оценки рисков в соответствии с методикой
Майкрософт ..................................................................................................... 177 4.5.6. Анализ существующих подходов ............................................ 190 4.6. Выбор проекта системы обеспечения информационной безопасности. Игровая модель конфликта «защитник-нарушитель» ........ 192 5. Практикум по информационной безопасности ........................................ 195 5.1. Управление доступом к файлам на NTFS ....................................... 195 5.2. Управление доступом в СУБД SQL SERVER................................. 202 5.3. Выявление уязвимостей с помощью Microsoft Baseline
Security analyzer ............................................................................................... 211 5.4. Использование сканеров безопасности для получения информации о хостах в сети ........................................................................... 217 5.5. Встроенный межсетевой экран (Firewall) Windows Server
2008 ................................................................................................................... 219 5.6. Использование цифровых сертификатов ......................................... 224 5.7. Создание центра сертификации (удостоверяющего центра) в
Windows Server 2008 ....................................................................................... 229 5.8. Шифрование данных при хранении – файловая система EFS ...... 237 5.9. Использование Microsoft Security Assessment Tool ........................ 243 5.10. Лабораторный практикум «Kaspersky Security Center» ............... 247 5.10.1. Установка Kaspersky Security Center ..................................... 250 5.10.2. Развертывание антивирусной защиты: установка агентов администрирования, проверка совместимости .............................. 263 5.10.3. Развертывание антивирусной защиты и управление лицензионными ключами ............................................................................... 278 5.10.4. Конфигурирование сервера администрирования ................ 284 5.10.5. Работа с вирусными инцидентами ........................................ 299 5.11. Настройка протокола IPSec в Windows Server 2008 ..................... 309
Библиографический список............................................................................ 319

6
СПИСОК ПРИНЯТЫХ СОКРАЩЕНИЙ
АС — автоматизированная система (обработки информации);
БД — база данных;
ИБ — информационная безопасность;
ИС — информационная система;
ИТ — информационные технологии;
ЛК — Лаборатория Касперского;
МЭ — межсетевой экран;
НСД — несанкционированный доступ;
ОО — объект оценки;
ОС — операционная система;
ПО — программное обеспечение;
СЗИ — средство защиты информации;
СМИБ — система менеджмента информационной безопасности;
СФБ — стойкость функции безопасности;
ЦС — центр сертификации;
ЭЦП — электронная цифровая подпись;
ACL (Access Control List) — список управления доступом;
AH (Authentication Header) — протокол аутентифицирующего заго- ловка;
CA (Certification Authority) — центр сертификации или удостоверяю- щий центр;
CBC (Cipher Block Chaining) — сцепление блоков шифра (режим ра- боты шифра DES);
CFB (Cipher FeedBack) — обратная связь по шифртексту (режим ра- боты шифра DES);
CRL (Certificate Revocation List) — список отозванных сертификатов;
ECB (Electronic Code Book) — электронная кодовая книга (режим ра- боты шифра DES);
ESP (Encapsulating Security Payload) — протокол инкапсулирующей защиты данных;

7
ICV (Integrity Check Value) — значение контроля целостности;
MAC (Message Authentication Code) — код аутентификации сообще- ний, имитовставка;
OFB (Output FeedBack) — обратная связь по выходу (режим работы шифра DES);
PKI (Public Key Infrastructure) — инфраструктура открытых ключей;
SA (Security Association) — контекст защиты или ассоциация без- опасности;
SPI (Security Parameter Index) — индекс параметров защиты.

8
ВВЕДЕНИЕ
Современный специалист в области информационных техноло- гий должен обладать знаниями и навыками обеспечения информаци- онной безопасности. Связано это с тем, что в информационных си- стемах предприятий и организаций хранится и обрабатывается крити- чески важная информация, нарушение конфиденциальности, целост- ности или доступности которой может привести к нежелательным по- следствиям. Поэтому вопросам обеспечения информационной без- опасности должно уделяться внимание на всех этапах разработки и эксплуатации информационных систем.
В данном пособии изложен материал учебной дисциплины «Ос- новы информационной безопасности», в ходе изучения которой слу- шатели получают базовые знания о теории защиты информации, ме- тодах и средствах обеспечения информационной безопасности, а так- же практические навыки организации защиты информационных си- стем. Пособие включает в себя пять разделов.
В разделе 1 «Теоретические основы защиты информации» вво- дятся базовые понятия, связанные с обеспечением информационной безопасности, рассматриваются основные угрозы безопасности и ме- ры противодействия им. Также делается обзор формальных моделей безопасности и современных стандартов в этой области.
Раздел 2 «Основы криптографии» включает описание основных понятий криптографии. Также изучаются наиболее распространенные алгоритмы симметричного и асимметричного шифрования, формиро- вания дайджестов сообщений с помощью хэш-функций, процесс со- здания инфраструктуры открытых ключей (PKI).
В разделе 3 «Защита информации в IP-сетях» рассматриваются протоколы криптографической защиты данных, передаваемых по те- лекоммуникационным сетям, использующим стек протоколов TCP/IP, использование межсетевых экранов для защиты сетей.

9
В разделе 4 рассматриваются современные методики анализа и управления рисками, связанными с информационной безопасностью.
В разделе 5 приведены описания лабораторных работ.
Пособие может использоваться в системах повышения квалифи- кации в рамках образовательной программы дополнительного про- фессионального образования «Информатика и вычислительная техни- ка». Также оно может быть полезно широкому кругу специалистов в области информационных технологий.

10
1. ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
1.1. БАЗОВЫЕ ПОНЯТИЯ
Начнем изучение дисциплины с определения ряда базовых по- нятий.
Информация — это сведения о лицах, предметах, фактах, собы- тиях, явлениях и процессах независимо от формы их представления.
Информация может существовать в различных формах в виде сово- купностей некоторых знаков (символов, сигналов и т. д.) на носителях различных типов. Она может представлять ценность для отдельных лиц или организаций.
Защищаемая информация — информация, являющаяся предме- том собственности и подлежащая защите в соответствии с требовани- ями правовых документов или требованиями, устанавливаемыми соб- ственниками информации. Собственниками информации могут быть государство, юридическое лицо, группа физических лиц, отдельное физическое лицо [1].
В последнее время все большие объемы информации, в том чис- ле и критически важной для отдельных людей, организаций или госу- дарств, хранятся, обрабатываются и передаются с использованием ав- томатизированных систем (АС) обработки информации. Система об-
работки информации — совокупность технических средств и про- граммного обеспечения, а также методов обработки информации и действий персонала, необходимых для выполнения автоматизирован- ной обработки информации [2]. Объект информатизации — сово- купность информационных ресурсов, средств и систем обработки ин- формации, используемых в соответствии с заданной информационной технологией, а также средств их обеспечения, помещений или объек- тов (зданий, сооружений, технических средств), в которых эти сред- ства и системы установлены, или помещений и объектов, предназна- ченных для ведения конфиденциальных переговоров.

11
В зависимости от конкретных условий может решаться задача обеспечения комплексной безопасности объекта информатизации или защиты отдельных ресурсов — информационных, программных и т. д.
Информационные ресурсы (активы) — отдельные документы и отдельные массивы документов, документы и массивы документов, содержащиеся в информационных системах (библиотеках, архивах, фондах, банках данных, информационных системах других видов).
Рассматривая вопросы безопасности АС, можно говорить о наличии некоторых «желательных» состояний системы, через кото- рые и описывается ее «защищенность» или «безопасность». Безопас- ность является таким же свойством системы, как надежность или производительность, и в последнее время ей уделяется все большее внимание. Чтобы указать на причины выхода системы из безопасного состояния, вводятся понятия «угроза» и «уязвимость».
Угроза (безопасности информации) — совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.
Источник угрозы безопасности информации — субъект (физи- ческое лицо, материальный объект или физическое явление), являю- щийся непосредственной причиной возникновения угрозы безопасно- сти информации. По типу источника угрозы делят на связанные и не- связанные с деятельностью человека. Примерами могут служить, со- ответственно, удаление пользователем файла с важной информацией и пожар в здании. Угрозы, связанные с деятельностью человека, раз- деляют на угрозы случайного и преднамеренного характера. В по- следнем случае источник угрозы называют нарушителем или зло- умышленником.
Уязвимость (информационной системы) — свойство информа- ционной системы, обуславливающее возможность реализации угроз безопасности обрабатываемой в ней информации. Например, угроза потери информации из-за сбоя в сети электропитания реализуется, ес-

12 ли в АС не применяются источники бесперебойного питания или средства резервного электроснабжения (это является уязвимостью).
Если говорить об информационных ресурсах, то реализация угрозы может привести к таким последствиям, как получение инфор- мации людьми, которым она не предназначена, уничтожение или из- менение информации, недоступность ресурсов для пользователей. Та- ким образом, мы подошли к определению трех основных угроз без- опасности.
Угроза конфиденциальности (угроза раскрытия) — это угроза, в результате реализации которой конфиденциальная или секретная информация становится доступной лицу, группе лиц или какой-либо организации, которой она не предназначалась. Здесь надо пояснить разницу между секретной и конфиденциальной информацией. В оте- чественной литературе «секретной» обычно называют информацию, относящуюся к разряду государственной тайны, а «конфиденциаль- ной» — персональные данные, коммерческую тайну и т. п.
Угроза целостности — угроза, в результате реализации которой информация становится измененной или уничтоженной. Необходимо отметить, что и в нормальном режиме работы АС данные могут изме- няться и удаляться. Являются ли эти действия легальными или нет, должно определяться политикой безопасности. Политика безопасно-
сти — совокупность документированных правил, процедур, практи- ческих приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей дея- тельности.
Угроза отказа в обслуживании (угроза доступности) — угроза, реализация которой приведет к отказу в обслуживании клиентов АС, несанкционированному использованию ресурсов злоумышленниками по своему усмотрению.
Ряд авторов [3] дополняют приведенную классификацию, вводя
угрозу раскрытия параметров АС, включающей в себя подсистему защиты. Угроза считается реализованной, если злоумышленником в

13 ходе нелегального исследования системы определены все ее уязвимо- сти. Данную угрозу относят к разряду опосредованных: последствия ее реализации не причиняют какой-либо ущерб обрабатываемой ин- формации, но дают возможность для реализации первичных (непо- средственных) угроз.
Таким образом, безопасность информации — это состояние за- щищенности информации, при котором обеспечены ее конфиденци- альность, доступность и целостность. Защита информации может быть определена как деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непредна- меренных воздействий на защищаемую информацию. Выделяются следующие направления защиты информации:
- правовая защита информации—защита информации право- выми методами, включающая в себя разработку законодательных и нормативных правовых документов (актов), регулирующих отноше- ния субъектов по защите информации, применение этих документов
(актов), а также надзор и контроль за их исполнением;
- техническая защита информации—защита информации, за- ключающаяся в обеспечении некриптографическими методами без- опасности информации (данных), подлежащей (подлежащих) защите в соответствии с действующим законодательством, с применением технических, программных и программно-технических средств;
- криптографическая защита информации—защита информа- ции с помощью ее криптографического преобразования
1
;
- физическая защита информации— защита информации путем применения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполно- моченных физических лиц к объекту защиты.
Защита информации осуществляется с использованием способов и средств защиты. Способ защиты информации— порядок и правила
1
Вопросы, связанные с криптографической защитой информации, будут более подробно рассмотрены в разделе 2.