Студопедия

КАТЕГОРИИ:


Архитектура-(3434)Астрономия-(809)Биология-(7483)Биотехнологии-(1457)Военное дело-(14632)Высокие технологии-(1363)География-(913)Геология-(1438)Государство-(451)Демография-(1065)Дом-(47672)Журналистика и СМИ-(912)Изобретательство-(14524)Иностранные языки-(4268)Информатика-(17799)Искусство-(1338)История-(13644)Компьютеры-(11121)Косметика-(55)Кулинария-(373)Культура-(8427)Лингвистика-(374)Литература-(1642)Маркетинг-(23702)Математика-(16968)Машиностроение-(1700)Медицина-(12668)Менеджмент-(24684)Механика-(15423)Науковедение-(506)Образование-(11852)Охрана труда-(3308)Педагогика-(5571)Полиграфия-(1312)Политика-(7869)Право-(5454)Приборостроение-(1369)Программирование-(2801)Производство-(97182)Промышленность-(8706)Психология-(18388)Религия-(3217)Связь-(10668)Сельское хозяйство-(299)Социология-(6455)Спорт-(42831)Строительство-(4793)Торговля-(5050)Транспорт-(2929)Туризм-(1568)Физика-(3942)Философия-(17015)Финансы-(26596)Химия-(22929)Экология-(12095)Экономика-(9961)Электроника-(8441)Электротехника-(4623)Энергетика-(12629)Юриспруденция-(1492)Ядерная техника-(1748)

Лекция 2. Основные понятия информационной безопасности. Законы и стандарты в области информационной безопасности

"ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ - это состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государств" (Закон РФ "Об участии в международном информационном обмене").

Система защиты информации - организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

Можно предложить следующие компоненты модели информационной безопасности на первом уровне декомпозиции:

• объекты угроз;

• угрозы;

• источники угроз;

• цели угроз со стороны злоумышленников;

• источники информации;

• способы неправомерного овладения конфиденциальной информацией (способы доступа);

• направления защиты информации;

• способы защиты информации;

• средства защиты информации.

Объектом угроз информационной безопасности выступают сведения о составе, состоянии и деятельности объекта защиты (персонала, материальных и финансовых ценностей, информационных ресурсов).

Угрозы информации выражаются в нарушении ее целостности, конфиденциальности, полноты и доступности.

Источниками угроз выступают конкуренты, преступники, коррупционеры, административно-управленческие органы.

Источники угроз преследуют при этом следующие цели: ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба

Неправомерное овладение конфиденциальной информацией возможно за счет ее разглашения источниками сведений, за счет утечки информации через технические средства и за счет несанкционированного доступа к охраняемым сведениям.

Источниками конфиденциальной информации являются люди, документы, публикации, технические носители информации, технические средства обеспечения производственной и трудовой деятельности, продукция и отходы производства.

Основными направлениями защиты информации являются правовая, организационная и инженерно-техническая защиты информации как выразители комплексного подхода к обеспечению информационной безопасности.

Средствами защиты информации являются физические средства, аппаратные средства, программные средства и криптографические методы. Последние могут быть реализованы как аппаратно, программно, так и так и смешанно - программно-аппаратными средствами.

В качестве способов защиты выступают всевозможные меры, пути, способы и действия, обеспечивающие упреждение противоправных действий, их предотвращение, пресечение и противодействие несанкционированному доступу.

В обобщенном виде рассмотренные компоненты в виде концептуальной модели безопасности информации приведены на следующей схеме (рис. 1.4).

Под угрозами конфиденциальной информации принято понимать потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями. Такими действиями являются:

• ознакомление с конфиденциальной информацией различными путями и способами без нарушения ее целостности;

• модификация информации в криминальных целях как частичное или значительное изменение состава и содержания сведений;

• разрушение (уничтожение) информации как акт вандализма с целью прямого нанесения материального ущерба.

В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности, полноты, достоверности и доступности (рис. 1.5), что, в свою очередь, приводит к нарушению как режима, управления, так и его качества в условиях ложной или неполной информации.

Пример стандарта в области ИБ, использующего концепцию управление рисками: ISO‑15408.

Международный стандарт ISO 15408 был разработан на основе стандарта «Общие критерии безопасности информационных технологий» вер.2.1. В 2002 году этот стандарт был принят в России как ГОСТ Р ИСО/МЭК 15408-2002 «Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий» [3], часто в литературе называемый «Общие критерии». Ранее в отечественных нормативных документах в области ИБ понятие риска не вводилось.

оценивают   хотят минимизировать   предпринимают чтобы уменьшить     которые которые могут направлены на быть уменьшены   могут знать     ведущие к которые используют     которые для повышают     порождают   для     хотят злоупотребить и/или могут нанести ущерб
ВЛАДЕЛЬЦЫ
КОНТРМЕРЫ
УЯЗВИМОСТИ
РИСК
АКТИВЫ
ИСТОЧНИКИ УГРОЗ (НАРУШИТЕЛИ)
УГРОЗЫ

Рисунок 4. Понятия безопасности и их взаимосвязь в соответствии с ГОСТ Р ИСО/МЭК 15408-2002.

На рис. 4 представлена определяемая стандартом взаимосвязь высокоуровневых понятий в области ИБ. Безопасность связана с защитой активов ИС от угроз. За сохранность рассматриваемых активов отвечают их владельцы, для которых эти активы имеют ценность. Существующие или предполагаемые нарушители также могут придавать значение этим активам и стремиться использовать их вопреки интересам их владельца. Владельцы будут воспринимать подобные угрозы как потенциал воздействия на активы, приводящего к понижению их ценности для владельца.

Владельцы активов будут анализировать возможные угрозы, чтобы решить, какие из них действительно присущи их среде. В результате анализа определяются риски. Анализ может помочь при выборе контрмер для противостояния угрозам и уменьшения рисков до приемлемого уровня.

Контрмеры предпринимают для уменьшения уязвимостей и выполнения политики безопасности владельцев активов (прямо или косвенно распределяя между этими составляющими). Но и после введения этих контрмер могут сохраняться остаточные уязвимости. Такие уязвимости могут использоваться нарушителями, представляя уровень остаточного риска для активов. Владельцы будут стремиться минимизировать этот риск, задавая дополнительные ограничения.

Стандарт разработан таким образом, чтобы удовлетворить потребности трех групп специалистов: разработчиков, экспертов по сертификации и пользователей объекта оценки. Под объектом оценки (ОО) понимается «подлежащие оценке продукт информационных технологий (ИТ) или система с руководствами администратора и пользователя». К таким объектам относятся, например, операционные системы, прикладные программы, ИС и т.д.

«Общие критерии» предусматривают наличие двух типов требований безопасности – функциональных и доверия. Функциональные требования относятся к сервисам безопасности, таким как идентификация, аутентификация, управление доступом, аудит и т.д. Требования доверия к безопасности относятся к технологии разработки, тестированию, анализу уязвимостей, поставке, сопровождению, эксплуатационной документации и т.д.

Описание обоих типов требований выполнено в едином стиле: они организованы в иерархию «класс – семейство – компонент – элемент». Термин «класс» используется для наиболее общей группировки требований безопасности, а элемент – самый нижний, неделимый уровень требований безопасности.

Основные структуры «Общих критериев» – это профиль защиты и задание по безопасности. Профиль защиты определяется как «независимая от реализации совокупность требований безопасности для некоторой категории ОО, отвечающая специфическим запросам потребителя». Профиль состоит из компонентов или пакетов функциональных требований и одного из уровней гарантированности. Структура профиля защиты представлена на рис. 5. Количество стандартизованных профилей потенциально не ограничено.

Профиль защиты служит основой для создания задания по безопасности, которое можно рассматривать как технический проект для разработки ОО. Задание по безопасности может включать требования одного или нескольких профилей защиты. Оно описывает также уровень функциональных возможностей средств и механизмов защиты, реализованных в ОО, и приводит обоснование степени их адекватности.

Но вернемся к теме оценки рисков. Как отмечалось выше, при оценке риска требуется оценить вероятность успеха атаки на ИС, в случае попытки ее реализации. Этот показатель очевидным образом зависит от того, насколько эффективно реализуются функции безопасности объекта. Стойкость функции безопасности (СФБ) определяется в стандарте как «характеристика функции безопасности ОО, выражающая минимальные усилия, предположительно необходимые для нарушения ее ожидаемого безопасного поведения при прямой атаке на лежащие в ее основе механизмы безопасности». Процедуры анализа стойкости функции безопасности (СФБ) объекта оценки (ОО) и анализа уязвимостей используют понятие «потенциал нападения». Потенциал нападения – прогнозируемый потенциал для успешного (в случае реализации) нападения, выраженный в показателях компетентности, ресурсов и мотивации.

В [4] описывается методика определения потенциала нападения при оценке стойкости функций безопасности и анализе уязвимостей сетевых ИТ. СФБ может быть базовой, средней и высокой.

Базовая стойкость означает, что функция обеспечивает адекватную защиту от случайного нарушения безопасности ОО нарушителем с низким потенциалом нападения.

Средняя стойкость – функция обеспечивает защиту от целенаправленного нарушения безопасности ОО нарушителем с умеренным потенциалом нападения.

Высокая стойкость – уровень стойкости функции безопасности ОО, на котором она обеспечивает защиту от тщательно спланированного и организованного нарушения безопасности ОО нарушителем с высоким потенциалом нападения.

Потенциал нападения зависит от компетенции ресурсов и мотивации нарушителя.

Мотивация – фактор потенциала нападения, который может использоваться, чтобы описать разные аспекты, связанные с нарушителем и активами, которые его интересуют. Мотивация может:

· косвенно выражать вероятность нападения;

· быть связана с ценностью актива (хотя ценность актива может быть субъективна);

· быть связана с компетентностью и ресурсами нарушителя.

 

Вычисление потенциала нападения может производиться следующим образом. Предполагается, что для реализации угрозы нарушитель сначала должен выявить соответствующую уязвимость. Поэтому, при анализе потенциала нападения учитываются следующие факторы:

1) при идентификации уязвимости:

- время, затрачиваемое на идентификацию уязвимости (x1) («за минуты», «за часы», «за дни», «за месяцы»);

- уровень специальной подготовки (x2) («эксперт», «специалист», «неспециалист»);

- знание проекта и функционирования ОО (x3) («отсутствие информации об ОО», «общедоступная информация об ОО», «закрытая информация об ОО»);

- доступ к ОО (x4) (требуемое время на доступ к ОО, как в случае x1);

- аппаратные средства, программное обеспечение или другое оборудование (x5) («стандартное оборудование», «специализированное оборудование», «уникальное оборудование»).

2) При использовании:

- время, затраченное на использование уязвимости (y1);

- уровень специальной подготовки (y2);

- знание проекта функционирования ОО (y3);

- доступ к ОО (y4);

- аппаратные средства, программное обеспечение или другое оборудование, необходимое для использования уязвимости (y5).

Далее 10 факторам x1-x5 и y1-y5 назначаются веса и они суммируются. Сумма используется для оценки уязвимости (потенциала нападения и СФБ ОО).


 

Лекция 3. Методики построения систем защиты информации (курс.doc)

Модель Lifecycle Security, разработана компанией Axent, впоследствии приобретенной Symantec.

Lifecycle Security – это обобщенная схема построения комплексной защиты компьютерной сети предприятия. Выполнение описываемого в ней набора процедур позволяет системно решать задачи, связанные с защитой информации, и дает возможность оценить эффект от затраченных средств и ресурсов. Идеология Lifecycle Security может быть противопоставлена тактике “точечных решений”, заключающейся в том, что все усилия сосредотачиваются на внедрении отдельных частных решений (например, межсетевых экранов или систем аутентификации пользователей по смарт-картам). Без предварительного анализа и планирования, подобная тактика может привести к появлению в компьютерной системе набора разрозненных продуктов, которые не стыкуются друг с другом и не позволяют решить проблемы предприятия в сфере информационной безопасности.

Lifecycle Security включает в себя 7 основных компонентов (рис 6).

 

 

Рис 6. Компоненты модели LifeCycle Security.

 

Политики безопасности, стандарты, процедуры и метрики. Этот компонент определяет рамки, в которых осуществляются мероприятия по обеспечению безопасности информации, и задает критерии оценки полученных результатов. Под стандартами здесь понимаются не только государственные и международные стандарты в сфере информационной безопасности, но и корпоративные стандарты, которые в ряде случаев могут оказать очень существенное влияние на создаваемую систему защиты информации. Метрики позволяют оценить состояние системы до и после проведения работ по защите информации. Метрика определяет, в чем и как измеряем защищенность системы, и позволяет соотнести сделанные затраты и полученный эффект.

Анализ рисков. Этот этап является отправной точкой для установления и поддержания эффективного управления системой защиты. Проведение анализа рисков позволяет подробно описать состав и структуру информационной системы, расположить имеющиеся ресурсы по приоритетам, основываясь на степени их важности для нормальной работы предприятия, оценить угрозы и идентифицировать уязвимости системы.

По мнению разработчиков модели Lifecycle Security, он должен проводиться в следующих случаях:

  • до и после обновления или существенных изменений в структуре системы;
  • до и после перехода на новые технологии;
  • до и после подключения к новым сетям (например, подключения локальной сети филиала к сети головного офиса);
  • до и после подключения к глобальным сетям (в первую очередь, Интернет);
  • до и после изменений в порядке ведения бизнеса (например, при открытии электронного магазина);
  • периодически, для проверки эффективности системы защиты.

 

Ключевые моменты этапа анализа рисков:

1) Подробное документирование компьютерной системы предприятия. При этом особое внимание необходимо уделять критически важным приложениям.

2) Определение степени зависимости организации от нормального функционирования фрагментов компьютерной сети, конкретных узлов, от безопасности хранимых и обрабатываемых данных.

3). Определение уязвимых мест компьютерной системы.

4). Определение угроз, которые могут быть реализованы в отношении выявленных уязвимых мест.

5). Определение и оценка всех рисков, связанных с эксплуатацией компьютерной системы.

 

Стратегический план построения системы защиты. Результаты анализа рисков используются как основа для разработки стратегического плана построения системы защиты. Наличие подобного плана помогает распределить по приоритетам бюджеты и ресурсы, и в последующем осуществить выбор продуктов и разработать стратегию их внедрения.

Выбор и внедрение решений. Хорошо структурированные критерии выбора решений в сфере защиты информации и наличие программы внедрения уменьшает вероятность приобретения продуктов, становящихся "мертвым грузом", мешающим развитию информационной системы предприятия. Кроме непосредственно выбора решений, также должно учитываться качество предоставляемых поставщиками сервисных и обучающих услуг. Кроме того, необходимо четко определить роль внедряемого решения в выполнении разработанных планов и достижении поставленных целей в сфере безопасности.

Обучение персонала. Знания в области компьютерной безопасности и технические тренинги необходимы для построения и обслуживания безопасной вычислительной среды. Усилия, затраченные на обучение персонала, значительно повышают шансы на успех мероприятий по защите сети.

Мониторинг защиты. Он помогает обнаруживать аномалии или вторжения в ваши компьютеры и сети и является средством контроля над системой защиты, чтобы гарантировать эффективность программ защиты информации.

Разработка методов реагирования в случае инцидентов и восстановление. Без наличия заранее разработанных и «отрепетированных» процедур реагирования на инциденты в сфере безопасности невозможно гарантировать, что в случае обнаружения атаки ей будут противопоставлены эффективные меры защиты, и работоспособность системы будет быстро восстановлена.

Все компоненты программы взаимосвязаны и предполагается, что процесс совершенствования системы защиты идет непрерывно.

<== предыдущая лекция | следующая лекция ==>
Лекция 1. Информационная инфраструктура предприятия воздушного транспорта | Поддержка принятия решений
Поделиться с друзьями:


Дата добавления: 2014-01-20; Просмотров: 1274; Нарушение авторских прав?; Мы поможем в написании вашей работы!


Нам важно ваше мнение! Был ли полезен опубликованный материал? Да | Нет



studopedia.su - Студопедия (2013 - 2024) год. Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав! Последнее добавление




Генерация страницы за: 0.049 сек.