Целостность

Согласно стандарта ГОСТ Р ИСО 7498-2-99 целостность имеет две базовые реализации: для сетей с установлением связи и без установления связи, каждая из которых может применяться для избранных групп информационных полей. Однако услуги защиты целостности в сетях с установлением связи могут дополнительно включать функции восстановления данных в случае, если нарушена их целостность. Таким образом, обеспечение целостности данных в сетях с установлением связи предполагает обнаружение "любой модификации, включения, удаления, или повторной передачи данных в последовательности (пакетов)". Использование услуг обеспечения целостности данных в сетях с установлением связи совместно с идентификацией объекта коммуникаций (peer-entity) позволяет достичь высокой степени защищенности. Эта услуга используется на уровнях Сетевом, Транспортном и Прикладном, при этом средства восстановления данных возможны только на двух верхних уровнях.

Целостность в сетях без установления связи ориентирована на определение модификаций каждого пакета, без анализа большего обьема информации, например, сеанса или цикла передачи. Таким образом, эта услуга не предотвращает умышленное удаление, включение или повторную передачу пакетов и является естественным дополнением аутентификации источника данных. Эта услуга также доступна на уровнях Сетевом, Транспортном и Прикладном. Здесь также возможно применение протокола IEEE802.10 SDE для обеспечения целостности на уровне данных при коммуникации без установления связи. 

Контроль доступа

В стандарте ГОСТ Р ИСО 7498-2-99 контроль доступа определен как "предотвращение неавторизованного использования ресурсов, включая предотвращение использования ресурсов недопустимым способом". Т.е. данная услуга не только обеспечивает доступ только авторизованных пользователей (и процессов), но и гарантирует только указанные права доступа для авторизованных пользователей. Таким образом эта услуга предотвращает неавторизованный доступ как "внутренних", так и "внешних" пользователей.

Контроль доступа часто путается с аутентификацией и конфиденциальностью, но на самом деле эта услуга с предоставляет более широкие возможности. Услуга контроля доступа используется для установления политики контроля/ограничения доступа. Политика контроля доступа (или авторизации) согласно  ГОСТ Р ИСО 7498-2-99  устанавливается в двух измерениях: критерии для принятия решения о доступе и средства, при помощи которых регулируется контроль. Два типа политики доступа в зависимости от используемых критериев принятия решения могут быть основаны на идентичности явлений и объектов (identity-based) или на правилах (последовательности) доступа (rule-based). Первый тип политики контроля доступа основан на использовании услуги аутентификации для проверки идентичности субъекта доступа (пользователя, процесса, промежуточной или конечной системы, или сети) прежде, чем предоставить им доступ к ресурсам. Форма идентичности зависит от различия и типа аутентификации для различных уровней, на которых эта услуга обеспечивается. Так, например, пользователь и процесс является объектом контроля доступа на Прикладном уровне, но не на Сетевом уровне.

---

Политика, использующая регламентированные правила доступа, предполагает принятие решения о доступе на основе последовательности правил, которые соотносят аутентификацию с точностью. Например, правила могут быть выражены в терминах времени и даты доступа или "благонадежности", которую имеет данный пользователь.

Услуга контроля доступа может использоваться на уровнях Сетевом, Транспортном и Прикладном. 

Причастность ("неотпирательство")

Данная услуга относится только к Прикладному уровню и, обычно, широко не обсуждается. В стандарте ГОСТ Р ИСО 7498-2-99 причастность определяется, как "предотвращение возможности отказа одним из реальных участников коммуникаций от факта его полного или частичного участия в передаче данных". Две формы причастности определены: причастность к посылке сообщения и подтверждение (доказательство) получения сообщения.

Первая форма данной услуги предоставляет получателю доказательства, что сообщение было послано источником и его целостность не нарушена, на случай отказа отправителя от этого факта. Вторая форма причастности предоставляет источнику доказательства того, что данные были получены получателем, в случае попыток последнего отказаться от этого факта. Обе формы являются более мощными по сравнению с аутентификацией происхождения данных. Отличием здесь является то, что получатель или отправитель данных может доказать третьей стороне факт посылки (получения) данных и невмешательства посторонних. Основными объектами реализации данных сервисов являются протоколы обмена данными, как например, Electronic Data Interchange. 

Доступность

Доступность может быть определена как дополнительная услуга обеспечения защищенности сетей. Доступность, как одна из услуг обеспечения безопасности, может быть предметом атаки с целью сделать ресурсы или сервисы компьютерной системы недоступными (или сделать их "качество" неудовлетворительным) для пользователя.

Доступность может быть характеристикой качества данного ресурса или услуги, или, частично, определяться услугой контроля доступа. Однако характер атак с целью ограничения доступа пользователя и средства борьбы с ними не относиться к собственно услугам и ресурсам или не обеспечиваются услугами контроля доступа. Поэтому целесообразно выделение отдельно услуги обеспечения доступности, который должен реализовываться специальными механизмами на Сетевом уровне (как например, возможность использования альтернативного пути при атаке на доступную полосу основного канала) или Прикладном уровне. 

---

Для реализации базовых услуг безопасности в сети могут применяться как специальные механизмы защиты («Шифрование», «Заполнение трафика», «Управление маршрутизацией», «Цифровая подпись», «Контроль доступа», «Обеспечение целостности», «Аутентификация», «Нотаризация»), так и общие механизмы защиты («Доверительная функциональность», «Метки безопасности», «Аудиторская проверка»), которые могут быть задействованы для усиления последних. На практике услуги безопасности должны быть включены в соответствующие уровни логической структуры сети для обеспечения требований ее политики ИБ. 

7. Модель нарушителя в инфокоммуникационной системе в закрытом контуре ЛВС

Ответ:

Модель нарушителя в «закрытом» контуре

В «закрытом» контуре модель нарушителя и угроз строится с учетом обеспечения следующей архитектуры приоритетов базовых услуг безопасности 1) конфиденциальность, 2) целостность и 3) доступность активов «закрытого» контура.

Под нарушителем понимается человек или группа лиц, имеющая своей целью нанесение целью нанесения ущерба пользователям ИС в целом путем преодоления (нарушения) целевых функций, реализуемых подсистемой защиты информации «закрытого» контура ИС и нанесением удара на конфиденциальность, доступность и целостность «закрытого» контура.

Нарушителем может быть как физическое лицо, так и некоторый процесс, выполняющийся на вычислительных средствах «закрытого» контура. Все физические лица, имеющие доступ к ресурсам ИС, могут быть отнесены к следующим категориям:

• 
  
    1   2   3   4   5   6   7

---

§категория I - лица, не имеющие права доступа в контролируемую зону, в которой располагаются ресурсы ИС;

§категория II - лица, имеющие право постоянного или разового доступа в контролируемую зону, в которой располагаются ресурсы ИС.

Нарушители из числа лиц категории I являются внешними нарушителями, а из числа лиц категории II - внутренними нарушителями.

Предполагается, что все лица рассмотренных категорий и классов относятся к потенциальным нарушителям.

При разработке Модели нарушителя предполагается, что

• 
  §внешний нарушитель может проводить атаку только из-за пределов контролируемой зоны;
  
• 
  §физическое проникновение внешнего нарушителя на объект защиты с целью внедрения в «закрытый» контур ИС программных средств скрытого информационного воздействия (ПССИВ, например, компьютерные вирусы, программные закладки, эксплоиты и т. д.) исключено;
  
• 
  §осуществление атак внешним нарушителем посредством перехвата секретной информации и последующего ее анализа в каналах связи межсетевого обмена «закрытого» контура и системами Ведомственного сегмента, защищенных СКЗИ, исключено и малоэффективно с учетом степени защищенности используемых каналов связи, стоимости и времени на проведение криптоанализа и времени потери ценности перехваченной информации;
  
• 
  §организационными мерами исключается возможность реализации атак на закрытый контур со стороны внешнего нарушителя (в том числе, реализации каналов выноса информации) за счет использования неучтенных носителей внутренним нарушителем - пользователем «закрытого» контура ИС;
  
• 
  §организационными мерами (контроль за соблюдением правил работы с носителями, установленными ведомственными инструкциями) исключается попадание к внешнему нарушителю секретной информации из закрытого «закрытого» контура с использованием учтенных носителей пользователей;
  
• 
  §для реализации атак на «закрытый» контур внешний нарушитель не использует недекларированные возможности программных компонент, совместно с которыми предполагается штатное функционирование средств защиты информации;
  
• 
  §осуществление внешних атак на «закрытый» контур через «открытый» контур исключено ввиду организации двойного экранирования: межсетевое взаимодействие «открытого» контура с внешними системами должно осуществляться только через «демилитаризационные зоны», а с «закрытым» контуром только через однонаправленный шлюз. Межсетевое взаимодействие «закрытого» контура с внешними системами через «открытый» контур запрещено.
  

---

 В модели нарушителя «закрытого» контура ИС предположительно должны быть учтены следующие группы потенциальных нарушителей:

• 
  §внешний нарушитель (далее - нарушитель группы Н1), не являющийся пользователями «закрытого» контура - субъект, имеющий доступ на контролируемую территорию ИС, но не имеющие доступа к работе со штатными средствами «закрытого» контура. К этой группе нарушителей относится  администратор ЛВС «открытого» контура. Нарушитель данной группы осуществляет атаки, используя возможности по доступу к информации, передаваемой по соответствующим протоколам информационного обмена, с целью внедрения в «закрытый» «закрытый» контур ИС. Администратор ЛВС «открытого» контура имеет возможность производить разграничение доступа к секретной информации, используя штатные средства защиты, не имея фактического доступа к преобразованной информации на сервере, а также производить ее архивирование. Администратор ЛВС как лицо, обладающее максимальными полномочиями по администрированию сетевой операционной системы «открытого» контура, имеет максимальные возможности для внесения «программ-закладок» через однонаправленный шлюз в «закрытый» контур;
  
• 
  §внешний нарушитель (далее - нарушитель группы Н2), осуществляющий атаки с удаленных рабочих мест корпоративной сети. Нарушитель данной группы осуществляет атаки, используя возможности по доступу к информации, передаваемой по соответствующим протоколам информационного обмена, с целью внедрения в «закрытый» «закрытый» контур ИС;
  
• 
  §внутренний нарушитель не являющийся пользователем «закрытого» контура ИС и не имеющий доступа к информации и работе со штатными средствами   (далее - нарушитель группы Н3). К данной группе относятся:
  

а) сотрудники организации, имеющие санкционированный доступ в помещения, в которых размещается оборудование компонентов ИС;

б) эксплуатационно-технический персонал «закрытого» контура (работники инженерно-технических служб и т. д.);

в) уполномоченный персонал разработчиков ИС СН, который на договорной основе имеет право на техническое обслуживание и модификацию компонентов ИС СН под контролем пользователей.

• 
  §внутренний нарушитель не являющийся пользователем «закрытого» контура ИС и не имеющий доступа к работе со штатными средствами ИС, но пытающийся нарушить конфиденциальность обрабатываемой в закрытом «закрытом» контуре ИС информации (далее именуемый - нарушитель Н4).
  
• 
  §внутренний нарушитель (далее - нарушитель группы Н5), являющийся легальным пользователем «закрытого» контура, имеющий доступ к работе со штатными средствами «закрытого» контура и возможность обработки информации в системе, но пытающиеся получить доступ к объектам защиты «закрытого» контура в нарушение предоставленных им полномочий. К данной группе нарушителей относятся операторы «закрытого» контура;
  
• 
  §внутренний нарушитель (далее - нарушитель группы Н6), являющийся привилегированным легальным пользователем «закрытого» контура, имеющий доступ к работе со штатными средствами «закрытого» контура, но пытающиеся получить доступ к объектам защиты «закрытого» контура в нарушение предоставленных им полномочий. К данной группе нарушителей относятся     
  

---

Смотрите также файлы

• Внешняя политика Это деятельность на международной арене, регулирующая взаимоотношения с другими государствами и народами.docx

• Жасспірімдерді нашаорлыа атынасы сауалнамасы.docx

• Программа среднего профессионального образования 39. 02. 01 Социальная работа (базовая подготовка).rtf

• азастан республикасы білім жне ылым министрлігі м.Уезов атындаы ОТстік азастан университеті филология факультеті.docx

• Методические приемы обучения решению задач в начальной школе.pptx