17291

Основні поняття інформаційної безпеки

Лекция

Информатика, кибернетика и программирование

Лекція 1. Основні поняття інформаційної безпеки Під інформаційною безпекою розуміють стан захищеності оброблюваних даних та даних що зберігаються та передаються від незаконного ознайомлення перетворення і знищення а також стан захищеності інформаційних ресурсів

Украинкский

2013-06-30

60.5 KB

11 чел.

Лекція 1. Основні поняття інформаційної безпеки

Під  інформаційною безпекою розуміють стан захищеності оброблюваних даних та даних що зберігаються та передаються від незаконного ознайомлення, перетворення і  знищення, а також стан захищеності інформаційних ресурсів від дій, спрямованих на порушення їх працездатності.

Природа цих дій може бути найрізноманітнішою. Це і спроби проникнення зловмисників, і помилки персоналу, і вихід з ладу апаратних і програмних засобів, стихійні лиха (землетрус, ураган, пожежа і т.ін.).

Інформаційна безпека комп'ютерних систем і мереж досягається ухваленням комплексу заходів по забезпеченню конфіденційності, цілісності, достовірності, юридичної значущості інформації, оперативності доступу до неї, а також по забезпеченню цілісності і доступності інформаційних ресурсів і компонентів системи або мережі.

Перераховані вище базові властивості інформації потребують більш повного тлумачення.

Конфіденційність інформації – це її властивість бути доступною тільки обмеженому колу користувачів інформаційної системи, в якій циркулює дана інформація. По суті, конфіденційність інформації – це її властивість бути відомою тільки допущеним суб'єктам системи і тим хто пройшов перевірку (користувачам, процесам, програмам). Для решти суб'єктів системи інформація повинна бути невідомою.

Під цілісністю інформації розуміється її властивість зберігати свою структуру та/або зміст в процесі передачі і зберігання. Цілісність інформації забезпечується в тому випадку, якщо дані в системі не відрізняються в семантичному відношенні від даних в початкових документах, тобто якщо не відбулося їх випадкового або навмисного спотворення або руйнування.

Достовірність інформації – властивість, яка виражається в строгій приналежності інформації суб'єкту, що є її джерелом, або тому суб'єкту, від якого вона прийнята.

Юридична значущість інформації означає, що документ, який є носієм інформації, володіє юридичною силою.

Під доступом до інформації розуміється ознайомлення з інформацією і її обробка, зокрема, копіювання, модифікація або знищення. Розрізняють санкціонований і несанкціонований доступ до інформації.

Санкціонований доступ до інформації не порушує встановлені правила розмежування доступу.

Несанкціонований доступ (НСД) характеризується порушенням встановлених правил  розмежування доступу (ПРД). Особа або процес, що здійснює несанкціонований доступ до інформації, є порушниками таких ПРД. Несанкціонований доступ – найпоширеніший вид комп'ютерних порушень.

Правила розмежування доступу служать для регламентації права доступу до компонентів системи.

Оперативність доступу до інформації – це здатність інформації або деякого інформаційного ресурсу бути доступними кінцевому користувачу відповідно до його оперативних потреб.

Цілісність ресурсу або компоненту системи – це його властивість бути незмінним в семантичному значенні при функціонуванні системи в умовах випадкових або навмисних спотворень або руйнуючих дій.

Доступність ресурсу або компоненту системи – це його властивість бути доступним законним користувачам системи.

З допуском до інформації і ресурсів системи зв'язана група таких понять, як ідентифікація, автентифікація, авторизація.

З кожним об'єктом системи (мережі) зв'язують деяку інформацію – число, рядок символів, – ідентифікуючу об'єкт. Ця інформація є ідентифікатором об'єкту системи (мережі). Об'єкт, що має зареєстрований ідентифікатор, вважається законним (легальним).

Ідентифікація об'єкту – це процедура розпізнавання об'єкту по його ідентифікатору. Виконується при спробі об'єкту увійти до системи (мережі).

Наступний етап взаємодії системи з об'єктом – автентифікація.

Автентифікація об'єкту – це перевірка достовірності об'єкту з даним ідентифікатором. Процедура автентифікації встановлює, чи є об'єкт саме тим, ким він себе оголосив.

Після ідентифікації і автентифікації об'єкту виконують авторизацію.

Авторизація об'єкту – це процедура надання законному об'єкту, що успішно пройшов ідентифікацію і автентифікацію, відповідних повноважень і доступних ресурсів системи (мережі).

Під загрозою безпеки для системи (мережі) розуміються можливі дії, які прямо або побічно можуть завдати збитку її безпеки.

Збиток безпеки має на увазі порушення стану захищеності інформації, що міститься і обробляється в системі (мережі).

З поняттям загрози безпеки тісно зв'язане поняття уразливості комп'ютерних систем системи (мережі).

Уразливість системи (мережі) – це будь-яка характеристика комп'ютерних систем, використовування якої може привести до реалізації загрози.

Атака на комп'ютерну систему (мережу) – це дія, що робиться зловмисником з метою пошуку і використовування тієї або іншої уразливості системи. Таким чином, атака – це реалізація загрози безпеки.

Протидія загрозам безпеки – мета, яку покликані виконати засоби захисту комп'ютерних систем і мереж.

Безпечна або захищена система – це система із засобами захисту, які успішно і ефективно протистоять визначеним загрозам безпеки.

Комплекс засобів захисту (КЗЗ) є сукупністю програмних і технічних засобів мережі. КЗЗ створюється і підтримується відповідно до прийнятої в даній організації політики забезпечення інформаційної безпеки системи.

Політика безпеки (ПБ) – це сукупність норм, правил і практичних рекомендацій, що регламентують роботу засобів захисту комп'ютерних систем (мережі) від заданої множині загроз безпеки.

Два підходи щодо вирішення проблеми забезпечення безпеки

Корпоративні системи (КС) відносяться до розподілених комп'ютерних систем, що здійснюють автоматизовану обробку інформації. Проблема забезпечення інформаційної безпеки є центральною для таких комп'ютерних систем. Забезпечення безпеки КС передбачає організацію протидії будь-якому несанкціонованому вторгненню в процес функціонування КС, а також спробам модифікації, викрадення, виходу з ладу або руйнування її компонентів, тобто захист всіх компонентів КС – апаратних засобів, програмного забезпечення, даних і персоналу.

Існують два підходи до проблеми забезпечення безпеки КС: фрагментарний і комплексний.

Фрагментарний підхід направлений на протидію чітко певним загрозам в заданих умовах. Як приклади реалізації такого підходу можна вказати окремі засоби управління доступом, автономні засоби шифрування, спеціалізовані антивірусні програми і т.п.

Достоїнство цього підходу полягає у високій вибірковості до конкретної загрози. Істотним недоліком його є відсутність єдиного захищеного середовища обробки інформації. Фрагментарні заходи захисту інформації забезпечують захист конкретних об'єктів КС тільки від конкретної загрози. Навіть невелика видозміна загрози веде до втрати ефективності захисту.

Комплексний підхід орієнтований на створення захищеного середовища обробки інформації в КС, що зводить воєдино різнорідні заходи протидії загрозам. Організація захищеного середовища обробки інформації дозволяє гарантувати певний рівень безпеки КС, що можна віднести до безперечних достоїнств комплексного підходу. До його недоліків відносяться обмеження на свободу дій користувачів КС, чутливість до помилок установки і настройки засобів захисту, складність управління.

Комплексний підхід до проблеми забезпечення безпеки заснований на розробленій для конкретної КС ПБ.

Оскільки ПБ є набором норм, правил і практичних рекомендацій, на яких будуються управління, захист і розподіл інформації в КС, саме вона регламентує ефективну роботу засобів захисту КС. Вона охоплює всі особливості процесу обробки інформації, визначаючи поведінку системи в різних ситуаціях.

ПБ реалізується за допомогою комплексного застосування адміністративно-організаційних заходів, фізичних заходів і програмно-апаратних засобів і визначає архітектуру системи захисту. Для конкретної організації ПБ повинна носити індивідуальний характер і залежати від конкретної технології обробки інформації і використовуваних програмних і технічних засобів.

ПБ залежить від способу управління доступом, що визначає порядок доступу до об'єктів системи. Розрізняють два основні види ПБ: виборчу і повноважну.

Виборча ПБ заснована на виборчому способі управління доступом. Виборче, або дискреційне, управління доступом характеризується множиною дозволених відносин доступу (наприклад, у вигляді трійок <об’єкт, суб’єкт, тип доступу>), що задається адміністратором. Звичайно для опису властивостей виборчого управління доступом застосовують математичну модель на основі матриці доступу.

Матриця доступу є матрицею, в якій стовпець відповідає об'єкту системи, а рядок – суб'єкту. На перетині стовпця і рядка указується тип дозволеного доступу суб'єкта до об'єкту. Звичайно виділяють такі типи, як «доступ на читання», «доступ па запис», «доступ на виконання» і т.п. Матриця доступу – найпростіший підхід до моделювання систем управління доступом, проте вона є основою складних моделей, що більш адекватно описують реальні КС.

Повноважна ПБ заснована на повноважному (мандатному) способі управління доступом. Повноважне або мандатне управління доступом характеризується сукупністю правил надання доступу, що базуються на множині атрибутів безпеки суб'єктів і об'єктів, наприклад залежно від мітки конфіденційності інформації і рівня допуску користувача. Повноважне управління доступом має на увазі, що:

  •  всі суб'єкти і об'єкти системи однозначно ідентифіковані;
  •  кожному об'єкту системи привласнена мітка конфіденційності, що визначає цінність інформації, що міститься в ньому;
  •  кожному суб'єкту системи привласнений якийсь рівень допуску, що визначає максимальне значення мітки конфіденційності інформації об'єктів, до яких суб'єкт має доступ.

Чим важливіший об'єкт, тим вище його мітка конфіденційності. Тому найбільш захищеними є об'єкти з найвищими значеннями мітки конфіденційності.

Основним призначенням повноважної ПБ є регулювання доступу суб'єктів системи до об'єктів з різними рівнями конфіденційності, запобігання просочуванню інформації з верхніх рівнів посадової ієрархії на нижні, а також блокування можливих проникнень з нижніх рівнів на верхні. При цьому повноважна ПБ може функціонувати на фоні виборчої, додаючи її вимогам ієрархічно впорядкований характер відповідно до рівнів безпеки.

Крім управління доступом суб'єктів до об'єктів системи проблема захисту інформації має ще один аспект. Для отримання інформації про який-небудь об'єкт системи зовсім необов'язково шукати шляхи НСД до нього. Необхідні відомості можна зібрати, спостерігаючи за обробкою необхідного об'єкту, тобто використовуючи канали просочування інформації. У системі завжди існують інформаційні потоки. Тому адміністратору необхідно визначити, які інформаційні потоки в системі є «легальними», тобто не ведуть до просочування інформації, а які ведуть. Як наслідок, виникає необхідність розробки правил, що регламентують управління інформаційними потоками в системі. Звичайно воно застосовується в рамках виборчої або повноважної ПБ, доповнюючи її та сприяючи підвищенню надійності системи захисту.

Комплексний підхід до вирішення проблеми забезпечення безпеки при раціональному поєднанні виборчого і повноважного управління доступом, а також управління інформаційними потоками служить тим фундаментом, на якому будується вся система захисту.

Резюме

Інформаційна безпека комп'ютерних систем і мереж досягається ухваленням комплексу заходів по забезпеченню конфіденційності, цілісності, достовірності, юридичної значущості інформації, оперативності доступу до неї, а також по забезпеченню цілісності і доступності інформаційних ресурсів і компонентів системи або мережі.

Забезпечення безпеки КС передбачає організацію протидії будь-якому несанкціонованому вторгненню в процес функціонування КС, а також спробам модифікації, викрадення, виходу з ладу або руйнування її компонентів, тобто захист всіх компонентів КС – апаратних засобів, програмного забезпечення, даних і персоналу.

Існують два підходи до проблеми забезпечення безпеки КС: фрагментарний і комплексний.

Важливе місце в створенні систем захисту інформації займає термінологія, тобто правильне тлумачення термінів, що використовуються.

Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованого доступу визначена в НД ТЗІ 1.1–003–99.

Питання для самоперевірки

  1.  Дайте визначення терміну конфіденційність інформації.
  2.  Дайте визначення терміну цілісністність інформації.
  3.  Чим характеризується несанкціонований доступ (НСД)?
  4.  Як виконується процедура ідентифікації об'єкту?
  5.  Як виконується процедура автентифікації об'єкту?
  6.  Як виконується процедура авторизації об'єкту?
  7.  Що розуміють під загрозою безпеки для системи?
  8.  Що таке уразливість системи
  9.  Що таке атака на комп'ютерну систему
  10.  Дайте визначення терміну безпечна або захищена система


 

А также другие работы, которые могут Вас заинтересовать

18000. Административные избирательные технологии и борьба с ними 1.04 MB
  Андрей Бузин Административные избирательные технологии и борьба с ними Книга посвящена анализу использования административного ресурса на российских выборах и мерам борьбы с этим явлением. Основное внимание уделено способам противодействия административным и...
18001. Афера на выборах 757.5 KB
  Смирнов В. М. Афера на выборах Абсолютно за каждой российской избирательной кампанией тянется длинный шлейф подтасовок судебных процессов и скандалов после которых в честность проходящих в России выборов не верят даже дети. О представительности же то есть выра
18002. ЖЕНЩИНА И СОЦИАЛИЗМ 3.68 MB
  А. БЕБЕЛЬ ЖЕНЩИНА И СОЦИАЛИЗМ ГОСУДАРСТВЕННОЕ ИЗДАТЕЛЬСТВО ПОЛИТИЧЕСКОЙ ЛИТЕРАТУРЫ СОДЕРЖАНИЕ От издательства Предисловие Предисловие автора к двадцать пятому изданию Предисловие автора к тридцать четвертому изданию Предисловие автора к пятид
18003. Азбука валютного дилинга 2.27 MB
  Азбука валютного дилинга 1. Введение Если до недавнего времени для советского человека существовал практически единственный вариант использования капитала хранить деньги в сберкассе то сегодня в России становятся все более доступными для широких слоев населения н...
18004. БАНКОВСКАЯ СТАТИСТИКА 764.5 KB
  Е.В. Глухова БАНКОВСКАЯ СТАТИСТИКА Учебное пособие ВВЕДЕНИЕ Учебное пособие разработано в соответствии с программой дисциплины Банковская статистика для студентов специальностей 060400 Финансы и кредит 061700 Статистика 351400 Прикладная информатика в эк...
18005. Банковские автоматизированные системы 334.5 KB
  Автоматизированная банковская система - совокупность средств, выполняющих в банке операции с вкладами, кредитами и платежами. Банковская система характеризуется разнообразием и большими объемами информации. В своей работе она опирается на систему электронных платежей и использование электронных документов
18006. Банковский маркетинг 1.07 MB
  Изучение курса направлено на формирование у студентов знаний теоретических основ и практических навыков в области организации банковского маркетинга, усвоение его принципов в условиях развития рыночных отношений и российской банковской системы.
18007. Банковское дело. Опорный конспект лекций 691.5 KB
  Тишина В. Н. Банковское дело Опорный конспект лекций Оглавление [1] Введение [2] Лекция 1.Роль банков в накоплении и мобилизации ссудного капитала. Структура кредитной системы [3] Лекция 2. Коммерческий банк принципы деятель
18008. БАНКОВСКОЕ ДЕЛО. Учебное пособие 707 KB
  Учебное пособие Елфимова Ирина Федоровна БАНКОВСКОЕ дело Введение Коммерческие банки – это социальноэкономическая отрасль которая наиболее гибко реагирует на любые изменения как в экономической так и политической жизни общества и выполняет следующие со...