Файл: Конспект лекций профессиональная образовательная программа.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 09.11.2023
Просмотров: 1043
Скачиваний: 3
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
ФЕДЕРАЛЬНОЕ АГЕНТСТВО СВЯЗИФедеральное государственное образовательное бюджетное учреждениевысшего профессионального образования«Санкт-Петербургский государственный университет телекоммуникацийим. проф. М. А. Бонч-Бруевича»Кафедра информационных управляющих системН.Н. МошакКурс: Безопасность информационных систем и технологийКонспект лекцийпрофессиональная образовательная программа:10.04.02 Информационная безопасность Квалификация – бакалаврПрофиль - Безопасность компьютерных системСанкт-Петербург2020АннотацияВ лекционном курсе «Безопасность информационных систем и технологий» для баколавров приводятся общие подходы к обеспечению безопасности информационных систем. Основное внимание уделяется построению политики информационной безопасности современной корпоративной информационной системы (ИС) на базе архитектуры «клиент-сервер». Описываются модели нарушителей, угрозы информационной безопасности ИС, формулируются требования информационной безопасности. Приводится комплекс организационно-технических мер по реализации требований и построению системы информационной безопасности, а также организационно-технической схемы контроля состояния информационной безопасности информационной системы организации. Предназначен для подготовки баколавров по профессиональной образовательной программе 10.04.02 Информационная безопасность. Профиль - Безопасность компьютерных систем.ВведениеИнформация - самый ценный ресурс организации, от сохранности которого зависяттехнологические и бизнес процессы. С развитием информационных технологийувеличивается риск утечки информации, заражение вирусами, вмешательства вработу информационных систем организации. Информационная система — это взаимосвязанная совокупность средств,методов и персонала, которые используются для хранения, обработки, передачии получения информации в интересах достижения поставленной
цели (ЭВМ всех классов иназначений; вычислительные комплексы исистемы; вычислительные сети (локальные, региональные иглобальные)).Объектом защиты является автоматизированная информационнаясистема (ИС) организации. Предметом защиты в ИС является информация. Целью обеспечения информационной безопасности (ИБ) в ИС организации, является надежное и качественное ее функционирование в условиях возникающих угроз и воздействий, которые могут привести к нарушению и дестабилизации работы ее компонент, в т. ч. и ее подсистемы информационной безопасности. Словосочетание «информационная безопасность» в разных контекстахможет иметь различныйсмысл. Вширокомсмыслеинформационная безопасность – это состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан,организаций,государства. Информационная безопасность создает условия формирования безопасного состояния информационной среды общества, его использование и развитие в интересах граждан, предприятий и даже государства. Под информационной безопасностью в узком смысле мы будемпонимать защищенность информации и поддерживающей инфраструктуры отслучайных или преднамеренных воздействий естественного илиискусственного характера, которые могут нанестинеприемлемый ущербсубъектаминформационных отношений, в том числе владельцам и пользователяминформации и поддерживающей инфраструктуре, ккоторой можно отнести системы электро-, водо- и теплоснабжения,кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Информационная безопасность ИС организации – есть заданная вероятность защищенности ее активов (информационное и программное обеспечение, технические средства) с учетом приоритетов услуг защиты, модели угроз и нарушителя. Информационные системы, в которыхобеспечивается безопасность информации, называютсязащищенными.Информационная безопасность достигается проведением руководствомсоответствующего уровня политики информационной безопасности ИС.Одноименный документ разрабатывается и принимается как официальныйруководящий документ, ведомством, организацией. В документе приводятся цели
политики информационной безопасности и основные направления решениязадач защиты информации в ИС.На рис. 01. Представлена модель процессов естественных и управляющих воздействий на безопасность ИС. Представленная модель описывает совокупность объективных внешних и внутренних факторов и демонстрирует их влияние на состояние информационной безопасности в организации и на сохранность материальных или информационных ресурсов.Рис. 01 - Модель процессов естественных и управляющих воздействий на безопасность информационных системДанная модель включает следующие объективные факторы:- угрозы информационной безопасности, характеризующиеся вероятностью возникновения и вероятностью реализации;- уязвимости информационной системы или системы контрмер, влияющие на вероятность реализации угрозы;- риск - фактор, отражающий возможный ущерб организации в результате реализации угрозы информационной безопасности: утечки информации и ее неправомерного использования.Защита информации — это комплекс мероприятий, направленныхна обеспечение информационнойбезопасности ИС. Цель защиты информации - уменьшение размеров ущерба до допустимых значений. Под системой защиты информации в ИС понимается единыйкомплекс правовых норм, организационных и технических мер, обеспечивающий защищенность информации в ИС всоответствии с принятой политикойбезопасности. Эти меры можно разделить на две группы:
Раздел 1. Тема 1.1. Эволюция архитектур информационных системДецентрализация архитектуры первых вычислительных систем (мэнфремов) стала возможной в связи с появлением персональных компьютеров, к которым мигрировала часть функций центральных ЭВМ. В результате появились распределенные локальные и глобальные вычислительные системы, объединяющие персональные компьютеры и компьютеры, полностью предоставляющие свои ресурсы в общее пользование для других компьютеров сети. Компьютеры, предоставляющие те или иные общие ресурсы, были названы серверами, а компьютеры, использующие общие ресурсы, - клиентами. Соответственно архитектуру таких распределенных вычислительных систем стали называть архитектурой «клиент-сервер» (рис. 1.1). Персональные компьютеры, исполняющие роль клиентов, называют еще рабочими станциями сети.Рис. 1.1 - Типовая сетевая архитектура «клиент-сервер»Конкретный сервер характеризуется видом ресурса, которым он владеет. Так, если ресурсом является только база данных, то речь идет о сервере базы данных, назначение которого - обслуживать запросы клиентов, связанные с обработкой данных; если ресурс - это файловая система, то говорят о файловом сервере, или файл-сервере. Традиционные архитектурные решения ИС основаны на использовании выделенных файл-серверов или серверов баз данных. Особенностью серверов баз данных заключается в их способности выполнять специальные запросы к данным. Язык запросов устроен таким образом, что одна команда этого языка может заключать в себе множество элементарных операций над данными. Это позволяет значительно снизить сетевой трафик, а для увеличения производительности информационной системы требуется увеличения производительности только сервера баз данных. Кроме этого современные сервера баз данных позволяют хранить на стороне сервера программные модули (хранимые процедуры, триггеры и др.), которые по команде со стороны пользователя (клиента) могут быть запущены на выполнение. В результате, появляется реальная возможность выполнять на стороне сервера не только обработку данных, но и другие действия.Существуют также варианты архитектур корпоративных информационных систем, базирую
щихся на технологии Internet (Intranet-приложения). Следующая разновидность архитектуры информационной системы основывается на концепции «хранилища данных» (DataWarehouse) — интегрированной информационной среды, включающей разнородные информационные ресурсы. И, наконец, для построения глобальных распределенных информационных приложений используется архитектура интеграции информационно-вычислительных компонентов на основе объектно-ориентированного подхода.Различают несколько моделей архитектуры «клиент-сервер», каждая из которых отражает соответствующее распределение компонентов программного обеспечения между компьютерами сети. Распределяемые программные компоненты выделяют по функциональному признаку.Функции любого программного приложения могут быть разделены на три группы:
цели (ЭВМ всех классов иназначений; вычислительные комплексы исистемы; вычислительные сети (локальные, региональные иглобальные)).Объектом защиты является автоматизированная информационнаясистема (ИС) организации. Предметом защиты в ИС является информация. Целью обеспечения информационной безопасности (ИБ) в ИС организации, является надежное и качественное ее функционирование в условиях возникающих угроз и воздействий, которые могут привести к нарушению и дестабилизации работы ее компонент, в т. ч. и ее подсистемы информационной безопасности. Словосочетание «информационная безопасность» в разных контекстахможет иметь различныйсмысл. Вширокомсмыслеинформационная безопасность – это состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан,организаций,государства. Информационная безопасность создает условия формирования безопасного состояния информационной среды общества, его использование и развитие в интересах граждан, предприятий и даже государства. Под информационной безопасностью в узком смысле мы будемпонимать защищенность информации и поддерживающей инфраструктуры отслучайных или преднамеренных воздействий естественного илиискусственного характера, которые могут нанестинеприемлемый ущербсубъектаминформационных отношений, в том числе владельцам и пользователяминформации и поддерживающей инфраструктуре, ккоторой можно отнести системы электро-, водо- и теплоснабжения,кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Информационная безопасность ИС организации – есть заданная вероятность защищенности ее активов (информационное и программное обеспечение, технические средства) с учетом приоритетов услуг защиты, модели угроз и нарушителя. Информационные системы, в которыхобеспечивается безопасность информации, называютсязащищенными.Информационная безопасность достигается проведением руководствомсоответствующего уровня политики информационной безопасности ИС.Одноименный документ разрабатывается и принимается как официальныйруководящий документ, ведомством, организацией. В документе приводятся цели
политики информационной безопасности и основные направления решениязадач защиты информации в ИС.На рис. 01. Представлена модель процессов естественных и управляющих воздействий на безопасность ИС. Представленная модель описывает совокупность объективных внешних и внутренних факторов и демонстрирует их влияние на состояние информационной безопасности в организации и на сохранность материальных или информационных ресурсов.Рис. 01 - Модель процессов естественных и управляющих воздействий на безопасность информационных системДанная модель включает следующие объективные факторы:- угрозы информационной безопасности, характеризующиеся вероятностью возникновения и вероятностью реализации;- уязвимости информационной системы или системы контрмер, влияющие на вероятность реализации угрозы;- риск - фактор, отражающий возможный ущерб организации в результате реализации угрозы информационной безопасности: утечки информации и ее неправомерного использования.Защита информации — это комплекс мероприятий, направленныхна обеспечение информационнойбезопасности ИС. Цель защиты информации - уменьшение размеров ущерба до допустимых значений. Под системой защиты информации в ИС понимается единыйкомплекс правовых норм, организационных и технических мер, обеспечивающий защищенность информации в ИС всоответствии с принятой политикойбезопасности. Эти меры можно разделить на две группы:
-
организационные меры; -
технические меры.
Раздел 1. Тема 1.1. Эволюция архитектур информационных системДецентрализация архитектуры первых вычислительных систем (мэнфремов) стала возможной в связи с появлением персональных компьютеров, к которым мигрировала часть функций центральных ЭВМ. В результате появились распределенные локальные и глобальные вычислительные системы, объединяющие персональные компьютеры и компьютеры, полностью предоставляющие свои ресурсы в общее пользование для других компьютеров сети. Компьютеры, предоставляющие те или иные общие ресурсы, были названы серверами, а компьютеры, использующие общие ресурсы, - клиентами. Соответственно архитектуру таких распределенных вычислительных систем стали называть архитектурой «клиент-сервер» (рис. 1.1). Персональные компьютеры, исполняющие роль клиентов, называют еще рабочими станциями сети.Рис. 1.1 - Типовая сетевая архитектура «клиент-сервер»Конкретный сервер характеризуется видом ресурса, которым он владеет. Так, если ресурсом является только база данных, то речь идет о сервере базы данных, назначение которого - обслуживать запросы клиентов, связанные с обработкой данных; если ресурс - это файловая система, то говорят о файловом сервере, или файл-сервере. Традиционные архитектурные решения ИС основаны на использовании выделенных файл-серверов или серверов баз данных. Особенностью серверов баз данных заключается в их способности выполнять специальные запросы к данным. Язык запросов устроен таким образом, что одна команда этого языка может заключать в себе множество элементарных операций над данными. Это позволяет значительно снизить сетевой трафик, а для увеличения производительности информационной системы требуется увеличения производительности только сервера баз данных. Кроме этого современные сервера баз данных позволяют хранить на стороне сервера программные модули (хранимые процедуры, триггеры и др.), которые по команде со стороны пользователя (клиента) могут быть запущены на выполнение. В результате, появляется реальная возможность выполнять на стороне сервера не только обработку данных, но и другие действия.Существуют также варианты архитектур корпоративных информационных систем, базирую
щихся на технологии Internet (Intranet-приложения). Следующая разновидность архитектуры информационной системы основывается на концепции «хранилища данных» (DataWarehouse) — интегрированной информационной среды, включающей разнородные информационные ресурсы. И, наконец, для построения глобальных распределенных информационных приложений используется архитектура интеграции информационно-вычислительных компонентов на основе объектно-ориентированного подхода.Различают несколько моделей архитектуры «клиент-сервер», каждая из которых отражает соответствующее распределение компонентов программного обеспечения между компьютерами сети. Распределяемые программные компоненты выделяют по функциональному признаку.Функции любого программного приложения могут быть разделены на три группы:
-
функции ввода и отображения данных; -
прикладные функции, характерные для предметной области приложения; -
функции накопления информации и управления данными (базами данных, файлами).
-
компонент представления (presentation), реализующий интерфейс с пользователем; -
прикладной компонент (business application), обеспечивающий выполнение прикладных функций; -
компонент доступа к информационным ресурсам (resource access) или менеджер ресурсов (resource manager), выполняющий накопление информации и управление данными.
-
Модель доступа к удаленным данным (на сервере расположены только данные); -
Модель сервера управления данными (кроме данных на сервере расположен менеджер информационных ресурсов, например система управления базой данных) - Remote Data Access - RDA; -
Модель комплексного сервера (на сервере сконцентрированы как данные и менеджер ресурсов, так и прикладной компонент) - DataBase Server - DBS; -
Модель трехзвенной архитектуры «клиент-сервер» (на одном сервере расположен прикладной компонент, а на другом данные и менеджер ресурсов) - Application Server - AS.