ТЕХНОЛОГИИ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ОБРАБОТКИ ИНФОРМАЦИИ
Борисов В.А.
КАСК – филиал ФГБОУ ВПО РАНХ и ГС
Красноармейск 2011 г.
Современные подходы к технологиям и методам обеспечения ИБ
- Современные автоматизированные информационные технологии (АИТ), используемые при управлении различными сферами деятельности общества, базируются на применении КС широкого спектра назначений.
Основные признаки ИБ
- наличие информации различной степени конфиденциальности;
- необходимость криптографической защиты процессов пользования информацией различной степени конфиденциальности при передаче данных;
- иерархичность полномочий субъектов доступа и программ к автоматизированным рабочим местам (АРМ), файл-серверам, каналам связи и информации системы;
Основные признаки ИБ
- организация обработки информации в диалоговом режиме, режиме разделения времени между пользователями и режиме реального времени;
- обязательное управление потоками информации как в сетях;
- необходимость регистрации и учета попыток несанкционированного доступа, событий в системе и документов, выводимых на печать;
Основные признаки ИБ
- обязательное сохранение целостности программного обеспечения и информации в АИТ;
- наличие средств восстановления системы защиты процессов переработки информации;
- обязательный учет магнитных носителей;
- наличие физической охраны средств вычислительной техники и магнитных носителей.
Препятствие
- Метод физического преграждения пути злоумышленнику к защищаемой информации.
Управление доступом
- Метод защиты переработки информации регулированием использования всех ресурсов компьютерной информационной системы.
Управление доступом включает в себя
- идентификация пользователей, персонала и ресурсов системы;
- опознание объекта или субъекта по предъявленному им идентификатору;
- проверка полномочий;
Управление доступом включает в себя
- разрешение и создание условий работы в пределах установленного регламента;
- регистрация обращений к защищаемым ресурсам;
- реагирование при попытках несанкционированных действий.
Маскировка
- Метод защиты процессов переработки информации путем ее криптографического закрытия.
Регламентация
Принуждение
Побуждение
- Метод защиты процессов переработки информации, который побуждает пользователя и персонал системы не разрушать установленные порядки за счет соблюдения сложившихся моральных и этических норм.
Методы средства обеспечения безопасности информации
Криптография
Симметричное шифрование
- Основывается на использовании одного и того же секретного ключа для шифрования и дешифрования.
Асимметричное шифрование
- Характеризуется тем, что для шифрования используется один ключ, являющийся общедоступным, а для дешифрования — другой, являющийся секретным.
Другие механизмы безопасности
Общая классификация методов и средств защиты от угроз ИБ
Технологии предотвращения угроз ИБ
Способы частотного преобразования сигнала
- частотная инверсия спектра сигнала;
- частотная инверсия спектра сигнала со смещением несущей частоты;
- разделение полосы частот речевого сигнала на поддиапазоны с последующей перестановкой и инверсией.
Методы защиты от прослушивания акустических сигналов
- звукоизоляция и звукопоглощение акустического сигнала;
- зашумление помещений или твердой среды для маскировки акустических сигналов;
- защита от несанкционированной записи речевой информации на диктофон;
- обнаружение и изъятие закладных устройств.
Дополнительные меры защиты информации
- методы и средства разграничения доступа к информации;
- методы и средства защиты от копирования программных средств;
- методы и средства защиты от исследования программных средств.
- Для блокирования несанкционированного исследования и копирования информации КС используется комплекс средств и мер защиты, которые объединяются в систему защиты от исследования и копирования информации (СЗИК).
- Дублирование информации является одним из самых эффективных способов обеспечения целостности информации.
Классификация методов дублирования
- время восстановления информации;
- вид копирования и число копий;
- применяемые для дублирования средства;
- вид дублирующей информации;
- удаленность носителей основной и дублирующей информации.
Надежность
- Свойство системы выполняющей, возложенные на нее задачи в определенных условиях эксплуатации.
- Надежность КС достигается на этапах их разработки, производства и эксплуатации.
Основные направления повышения надежности программных средств
- корректная постановка задачи на разработку;
- использование прогрессивных технологий программирования;
- контроль правильности функционирования.
Отказоустойчивость
- Свойство КС сохранять работоспособность при отказах отдельных устройств, блоков, схем.
Подходы к созданию отказоустойчивых систем
- простое резервирование информации или отдельных блоков;
- помехоустойчивое кодирование информации;
- создание адаптивных систем.
Блокировка ошибочных операций
Криптографическое преобразование информации
Кодирование
- Замена смысловых конструкций исходной информации кодами.
Стеганография
Шифрование
- Преобразование открытой информации в зашифрованную информацию или обратное преобразование зашифрованной информации в открытую.
- Процесс преобразования открытой информации в закрытую получил название зашифрование , а обратный процесс — расшифрование .
Метод шифрования (шифр)
- Совокупность обратимых преобразований открытой информации в закрытую в соответствии с алгоритмом шифрования.
Атака на шифр (криптоанализ)
- Процесс расшифрования закрытой информации без знания ключа и при отсутствии сведений об алгоритме шифрования.
- Криптостойкость шифра является основным показателем его эффективности.
Методы и средства парирования угроз
Методы и средства нейтрализации угроз
Базы данных
- Надежное хранилище структурированных данных, снабженное специальным механизмом для их эффективного использования в интересах пользователей.
Система управления базой данных (СУБД)
- Программные или аппаратно-программные средства, реализующие функции управления данными.
Методы устранения и нейтрализации угроз в БД
- блокировка ответа;
- коррекция данных и искажение ответа;
- разделение баз данных на группы;
- случайный выбор записи для обработки;
- контекстно-ориентированная защита;
- контроль поступающих запросов.
- Одним из перспективных направлений создания программного обеспечения повышенной безопасности является использование объектно-ориентированного программирования.
Автоматизированные системы разработки программных средств
- Одно из эффективных средств защиты процессов переработки информации не только на этапе разработки, но и при эксплуатации программных продуктов.