§ 1.2. Средства и методы защиты информации. Защита информации в локальной вычислительной сети.
Как уже говорилось выше, для того, чтобы в полной мере защитить информацию, курсирующую по локальной вычислительной сети, необходимо комплексное применение различных видов мер: законодательных, административных и программно-технических. Конечно, сами по себе меры не обеспечат должный уровень защиты информации, ведь для того, чтобы их применение было успешным, необходим комплекс средств, позволяющих увеличить эффективность применяемых мер. Средства защиты информации можно разделить на три группы, в соответствии с классификацией мер, обеспечивающих информационную безопасность:
Законодательные средства защиты – законодательные акты Российской Федерации, в которых регламентируются правила работы с информацией, доступ к которой ограничен, а так же устанавливаются меры ответственности за нарушение этих норм.
Организационные средства защиты – организационно-правовые мероприятия по защите информации, применяемые в процессе создания и эксплуатации информационной системы. К организационным средствам защиты так же относятся правила, которые устанавливают и регулируют режим работы с информацией внутри самой системы или организации. Одним из важнейших организационных средств защиты является политика безопасности системы, в которой описан режим защиты информации и самой системы. К основным организационным мероприятиям можно отнести [4]:
организацию режима и охраны. Их цель — исключение возможности тайного проникновения в систему посторонних лиц;
организацию работы с сотрудниками, которая предусматривает обучение правилам работы с конфиденциальной информацией, а так же ознакомление с мерами ответственности за нарушение правил защиты информации;
организацию работы с документами и документированной информацией, включая организацию разработки и использования документов и носителей конфиденциальной информации, их учет, исполнение, возврат, хранение и уничтожение;
организацию использования технических средств работы с конфиденциальной информацией;
организацию работы по анализу внутренних и внешних угроз конфиденциальной информации и выработке мер по обеспечению ее защиты;
организацию работы по проведению систематического контроля работы персонала с конфиденциальной информацией, порядком учета, хранения и уничтожения документов и технических носителей.
Программные средства защиты – программы, специально предназначенные для защиты информации. Эти программы выполняют функции по обеспечению информационной безопасности, а так же препятствуют несанкционированному доступу в систему информации. Примером таких программ могут служить антивирусы, сетевые экраны, брандмауэры.
Технические средства защиты – чаще всего это электрические или электронные устройства, затрудняющие несанкционированный доступ к ресурсам информационной системы. Так же к техническим средствам защиты относятся физические препятствия, встающие на пути злоумышленника, при его попытке получить незаконный доступ к информации. Таким образом, технические средства защиты можно разделить на аппаратные и физические. Аппаратные средства – те устройства, которые применяются как к аппаратуре, обеспечивающей функционирование информационной системы, так и к другим аппаратным средствам, имеющим отношение к конфиденциальной информации или самой информационной системе. Физические – это те средства, которые усложняют возможность физического доступа к информации или аппаратуре информационной системы.
Такое многообразие средств защиты обусловлено тем, что для совершения атак злоумышленники так же используют различные программные, технически, физические и даже психологические средства. Богатый арсенал средств защиты позволяет успешно противостоять большинству угроз безопасности и помогает повысить уровень защиты системы. Однако, как уже не раз было сказано, использование только одного вида защиты информации не гарантирует ее безопасность. Вот почему так важно использовать комплексный подход к защите информации, сочетая при этом различные способы, средства, методы и меры защиты информации. Поговорим поподробнее об уровнях информационной безопасности, а так же о методах и средствах защиты, применяемых на этих уровнях.
Законодательный уровень
Законодательный уровень – высший уровень защиты информации. На этом уровне безопасность информации защищается законом. Ведь большинство людей не совершают преступления не потому, что это невозможно, а потому, что это осуждается или наказывается обществом, а так же потому, что порой наказание за преступление может быть серьезней, чем само преступление. Владимир Галатенко на этом уровне различает две группы мер:
Меры ограничительной направленности – меры, направленные на создание и поддержание в обществе негативного отношения к нарушениям и нарушителям информационной безопасности.
Меры созидательной направленности – направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности.
Эти две группы мер необходимо сочетать, используя «метод кнута и пряника». Только так защита информации на законодательном уровне может быть эффективной. Основными средствами, обеспечивающими информационную безопасность на этом уровне, являются законы и другие нормативные акты, в которых правила работы с конфиденциальной информацией, а так же меры ответственности за их нарушение. Самым важным на законодательном уровне является создание механизма, который позволил бы согласовать процесс разработки законов с текущим уровнем развития информационных технологий. Сложность заключается в том, что этот уровень постоянно изменяется, и создание такого механизма практически невозможно. Так же, очень сложно учесть все направления информационной безопасности и интересы всех субъектов информационных отношений. Подводя итог, можно выделить основные направления развития законодательного уровня информационной безопасности [3]:
разработка новых законов с учетом интересов всех категорий субъектов информационных отношений;
обеспечение баланса созидательных и ограничительных законов;
интеграция в мировое правовое пространство;
учет современного состояния информационных технологий.
Организационный уровень
Меры этого уровня направлены на людей, а не на технические средства. Это очень важный уровень, так как именно люди имеют непосредственный контакт с информацией, формируют режим информационной безопасности и являются основным (и самым опасным) источником угроз. На этом уровне специалистами выделяются [3] следующие классы мер:
Управление персоналом. Основной составляющей этого класса мер является контроль над персоналом и пользователями информационной системы, их обучение и протоколирование их действий. Управление персоналом включает в себя два принципа, которые стоит иметь в виду:
Разделение обязанностей – этот принцип предписывает, как распределять роли и ответственность так, чтобы один человек не мог нарушить критически важный для системы процесс.
Минимизация привилегий – это принцип предписывает выделять пользователям только те права доступа, которые необходимы им для выполнения служебных обязанностей. Назначение этого принципа – уменьшить ущерб от случайных или умышленных некорректных действий.
Физическая защита. Основной составляющей этого класса мер является обеспечение физической безопасности информационной системы и поддерживающей ее инфраструктуры. К основным направлениям физической защиты можно отнести:
Физическое управление доступом – позволяет контролировать доступ к информации на физическом уровне.
Противопожарные меры – меры, применение которых необходимо для того, чтобы избежать потери информации вследствие пожара.
Защиту поддерживающей инфраструктуры, т.е. защиту оборудования, обеспечивающего функционирование информационной системы.
Защиту от перехвата данных, которая включает в себя и наблюдение за возможными каналами утечки информации.
Защиту мобильных систем, как наиболее привлекательных объектов для кражи, ведь украсть мобильный телефон или планшетный компьютер не так уж и сложно.
Поддержание работоспособности. Меры этого класса направлены на обеспечение внутренней безопасности информационной системы. К основным направлениям деятельности в этого класса мер можно отнести:
Поддержку пользователей.
Поддержку программного обеспечения.
Конфигурационное управление.
Резервное копирование.
Управление носителями.
Документирование.
Регламентные работы
Реагирование на нарушения режима безопасности – этот класс мер включает в себя мероприятия, направленные на обнаружение и устранение последствий нарушения режима безопасности. Преследует три главные цели:
локализация инцидента и уменьшение наносимого вреда;
выявление нарушителя;
предупреждение повторных нарушений.
Планирование восстановительных работ – меры, направленные на подготовку к авариям в информационной системе и уменьшение их последствий. Включает в себя следующие этапы:
Выявление критически важных функций системы, установление приоритетов.
Идентификация ресурсов, необходимых для выполнения критически важных функций.
Определение перечня возможных аварий.
Разработка стратегии восстановительных работ.
Подготовка к реализации выбранной стратегии.
Проверка стратегии.
Программно-технический уровень
Программно-технический уровень является последним, и, пожалуй, самым важным рубежом защиты информации. Меры этого уровня направлены на защиту программ и данных посредством электронных и технических устройств, а так же механизмов, основанных на применении таких устройств. Стремительное развитие информационных технологий позволяет использовать совершенные и надежные механизмы защиты информации, однако оно же дает злоумышленникам все более и более совершенные инструменты для совершения атак. Средства для защиты информации на программно-техническом уровне называются сервисами безопасности. К основным сервисам безопасности относятся:
Идентификация и аутентификация.
Протоколирование и аудит.
Управление доступом.
Криптография.
Экранирование.
Для того чтобы понять, что эти сервисы собой представляют и как они работаю, рассмотрим каждый из них более подробно.
Идентификация и аутентификация.
Идентификация и аутентификация – основа всех программно-технических средств безопасности. Этот сервис позволяет, как разграничить пользователей системы по привилегиям, так и отделить пользователей системы от посторонних, не имеющих доступа к этой системе. Аутентификация – это процесс подтверждения личности пользователя, который идентифицируется в системе. Иными словами в процессе аутентификации система получает подтверждение того, что пользователь является именно тем, за кого себя выдает. Подтвердить свою подлинность пользователь может предъявить:
нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.);
нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения);
нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).
Несмотря на то, что существует огромное множество технических средств и механизмов аутентификации, обеспечить надежность процессов идентификации и аутентификации, к сожалению, достаточно сложно по ряду причин. Во-первых, в сетевой среде не существует доверенного маршрута между сторонами, что ведет к появлению риска перехвата идентификационных данных. Во-вторых, почти все аутентификационные сущности могут быть узнаны, украдены или подделаны злоумышленником. В-третьих, надежная система может быть неудобной для пользователей и персонала системы, что может повлечь за собой халатное отношение к механизмам защиты, и, как следствие, кражу, уничтожение или изменение данных. Ну и в-третьих, самые современные и надежные механизмы идентификации и аутентификации, к сожаления, очень дороги. Таким образом, необходимо искать компромисс между надежностью, доступностью по цене и удобством использования и администрирования средств идентификации и аутентификации.
Пожалуй, самым распространенным механизмом аутентификации являются пароли. Главное достоинство такой идентификации – простота и привычность. Наверное, каждый человек, активно использующий в своей деятельности компьютерные технологии, сталкивался с этим способом. Однако то, что он распространен, еще не значит, что он надежен. Из всех механизмов аутентификации, пароли являются самым слабым. Дело в том, что
пароль легко угадать, так как многие используют в качестве пароля личную информацию, узнать которую не слишком сложно;
пароли не всегда хранятся в тайне;
ввод пароля можно подсмотреть;
пароль часто доверяют другим пользователям системы «на всякий случай»;
пароль можно взломать.
Тем не менее, существуют меры, позволяющие повысить эффективность паролей и надежность защиты. Примером таких мер может служить использование одноразовых паролей, то есть паролей, которые можно использовать только один раз. Еще одной мерой, позволяющей повысить защиту системы с использованием паролей, является генерация нового пароля через определенный промежуток времени.
Еще одним способом аутентификации является биометрия. Биометрия – это способ аутентификации человека на основе его физических характеристик, таких как сетчатка глаза, отпечаток пальца, голос. Принцип работы биометрической системы аутентификации достаточно прост. Сначала создается база данных, содержащая характеристики всех пользователей системы. Когда требуется идентификация пользователя, его характеристики снова снимаются и сравниваются с готовой базой данных. Если в базе данных эти характеристики присутствуют, то аутентификация прошла успешна. Такой способ идентификации и аутентификации куда надежнее, чем пароли, однако, стоит отметить, что использование биометрии сопряжено с большими затратами и применяется на практике только в крупных организациях, ставящих безопасность информации превыше затрат на средства защиты.
Протоколирование и аудит.
Согласно определению, которое дает Владимир Галатенко [3], протоколирование – это сбор и накопление информации о событиях, происходящих в информационной системе. Аудит же – это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически. Реализация этих двух механизмов решает следующие задачи:
обеспечение подотчетности пользователей и администраторов – помогает удерживать пользователей и администраторов от несанкционированных действий;
обеспечение возможности реконструкции последовательности событий – помогает найти злоумышленника в случае, если была произведена атака, а так же выявить уязвимости, с помощью которых была произведена атака, и устранить их;
обнаружение попыток нарушений информационной безопасности – помогает обнаружить атаку и, как следствие, не дать ей осуществиться, или, хотя бы, смягчить ее последствия;
предоставление информации для выявления и анализа проблем – помогает проанализировать проблему и найти пути ее решения.
Управление доступом.
Средства управления доступом позволяют разграничить полномочия различных пользователей. Иными словами они позволяют специфицировать и контролировать действия, которые пользователи могут выполнять над информацией и другими информационными ресурсами. В данном случае речь идет о логическом управлении доступом, то есть тем, которое реализуется программными средствами. Логическое управление доступом – это механизм, призванный обеспечить конфиденциальность и целостность информации. Его задача состоит в том, чтобы для каждого пользователя и каждого информационного объекта определить операции, которые данный пользователь может совершать с данным объектом. Это отношение чаще всего представляется в виде матрицы доступа, где для каждого пользователя (строка) и информационного объекта (столбец) представлены возможные операции с комментариями (пересечение столбца и строки). В зависимости от того, какая информация анализируется при принятии решения о предоставлении доступа, управление доступом можно разделить на два вида:
Произвольное (или дискреционное) управление доступом – анализируется идентификатор пользователя, сетевой адрес компьютера и т.п.
Принудительное (мандатное) управление доступом – анализируются атрибуты пользователя (метка безопасности, группа пользователя и т.д.).
Криптография.
Криптография – одно из самых мощных средств обеспечения конфиденциальности информации. Об этом говорит то, что она является основой большей части средств обеспечения информационной безопасности. Шифрование осуществляется на уровне, не доступном взгляду пользователей сети. Выделяют симметричное и ассиметричное шифрование. В случае с симметричным шифрованием, для кодирования и декодирования сообщения используется один и тот же ключ. Основной проблемой этого метода шифрования является проблема хранения и передачи ключей, ведь для того, чтобы расшифровать сообщение, получатель должен знать ключ, которым оно было зашифровано. При ассиметричном шифровании эта проблема решается путем использования разных ключей для шифровки сообщения и его дешифровки. Это возможно благодаря использованию двух ключей – открытого и закрытого, которые связаны между собой, так как для их генерации используются односторонние функции. Существенным недостатком этого метода является низкая скорость шифрования, поэтому на практике приходится сочетать оба метода шифрования.
Экранирование.
Экран – это средство разграничения доступа клиентов из одного множества серверов к серверам другого множества. Экран контролирует все информационные потоки между множествами информационных систем. Контроль состоит в фильтрации этих потоков с их возможным преобразованием. Задачей экранирования является защита внутренней области от угроз, которые исходят из внешней информационной системы (например, сети Интернет). Экранирование помогает поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, вызванную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно. Экранирование также дает возможность контролировать информационные потоки, направленные во внешнюю область, что позволяет сохранить конфиденциальность данных. Стоит отметить, что экранирование может применяться не только внутри сети, но и в другой среде, в которой происходит обмен сообщениями, например, для защиты электронной почты.
|
