30538

Аудит системы информационной безопасности на объекте как основание для подготовки организационных и правовых мероприятий. Его критерии, формы и методы

Доклад

Математика и математический анализ

Управление ключами: генерация ключей; накопление ключей; распределение ключей. Главное свойство симметричных ключей: для выполнения как прямого так и обратного криптографического преобразования шифрование расшифровывание вычисление MC проверка MC необходимо использовать один и тот же ключ либо же ключ для обратного преобразования легко вычисляется из ключа для прямого преобразования и наоборот. С одной стороны это обеспечивает более высокую конфиденциальность сообщений с другой стороны создаёт проблемы распространения ключей в...

Русский

2013-08-24

55.85 KB

6 чел.

Вопрос №76: Аудит системы информационной безопасности на объекте как основание для подготовки организационных и правовых мероприятий. Его критерии, формы и методы.

  1.  Доска:

Виды аудита (@):

  1. первоначальное обследование (первичный аудит);
  2. предпроектное обследование (технический аудит);
  3. аттестация объекта;
  4. сюрвей;
  5. контрольное обследование.

Методы аудита (@@):

  1. Экспертно-аналитические;
  2. Экспертно-инструментальные;
  3. Моделирование действий злоумышленника;

  1.  Устно:

Под аудитом безопасности понимается системный процесс получения и оценки объективных данных о текущем состоянии обеспечения безопасности на объектах информатизации, действиях и событиях, происходящих в информационной системе, определяющих уровень их соответствия определенному критерию.

Прежде чем решить, как и от кого защищать информацию, необходимо уяснить реальное положение в области обеспечения безопасности информации на предприятии и оценить степень защищенности информационных активов. 

Для этого проводится комплексное обследование защищенности ИС (или аудит безопасности), основанные на выявленных угрозах безопасности информации и имеющихся методах их парирования, результаты которого позволяют:

  1. оценить необходимость и достаточность принятых мер обеспечения безопасности информации;
  2. сформировать политику безопасности;
  3. правильно выбрать степень защищенности информационной системы;
  4. выработать требования к средствам и методам защиты;
  5. добиться максимальной отдачи от инвестиций в создание и обслуживание СОБИ.

Цель проведения аудита безопасности получение объективных данных о текущем состоянии обеспечения безопасности информации на объектах ИС, позволяющих провести минимизацию вероятности причинения ущерба собственнику информационных активов в результате нарушения конфиденциальности, целостности или доступности информации, подлежащей защите, за счет получения несанкционированного доступа к ней, а также выработка комплекса мер, направленных на повышение степени защищенности информации ограниченного доступа. Методологическое обследование процессов, методов и средств обеспечения безопасности информации при выполнении ИС своего главного предназначения – информационное обеспечение бизнеса. Причем предполагается, что ИС является оптимальной для решения бизнес-задач.

Виды аудита (@):

  1. Заказчик принимает решение о защите своей инф. Заказчику необходимо получить ответ на вопросы – что у него есть реально, на сколько это соответствует определенным требованиям и критериям и после этого получить общее видение проблемы и направление ее решения. Результатом этого аудита может стать концепция информационной безопасности предприятия, политика безопасности. Как только проведено первичное обследование, собраны некоторые данные, получена общая картина состояния, выработана некоторая система взглядов, о том, что делать дальше, наступает технический аудит.

  1. При проведении технического аудита берется имеющаяся или проектируемая информационная система и сравнивается с моделью угроз данного объекта, и определяется, какие требования должны быть заложены. Результатом технического аудита является набор требований к системе информационной безопасности. Т.е. если говорить о программно-аппаратных средствах защиты, то это может быть профиль защиты или техническое задание. Также определяются комплекс организационных мероприятий, уровень защиты, и т.д.

  1. После того как систему безопасности информации построили, заказчик может убедиться, а действительно ли исполнитель сделал систему, удовлетворяющую требованиям. Проводят аттестацию объекта. Результатом аттестации является строго определенный документ – аттестат соответствия. Это государственный документ, подтверждающий соответствию государственным требованиям, т.е. ГОСТу, руководящим документам и т.д.

  1. Если собственник информации осознал ценность своей информации, а после первичного обследования пришел к выводу, что в результате потери информации он может понести значительные финансовые потери, он может задуматься над возможностью компенсации ущерба. И одним из вариантов является страхование информационных рисков. И в таком случае проводится следующая форма аудита безопасности - сюрвей. Это специфическая форма, но все-таки форма аудита (или обследования). Сюрвей проводится с целью предстрахового обследования. И особенностью сюрвея является то, что результаты обследования передаются третей стороне – страховой компании, для определения размера страхового взноса. Результатом является сюрвей-рипорт (экспертное заключение).

  1. Контрольное обследование – проводится в основном в двух критических случаях. это если произошло событие, приведшее к потере (утрате, искажению и т.д.) информации, и в данном случае необходимо выяснить причины происшедшего. И второй случай - это плановое контрольное обследование с целью проверки соблюдения правил безопасности информации.

Методы аудита (@@):

На разных этапах обследования используются различные методы: технические, аналитические, экспертные, расчетные. При этом результаты, полученные одними методами, могут дублироваться (дополняться) результатами, полученными другими методами. Совокупность всех применяемых методов позволяет дать объективную оценку состояния обеспечения безопасности информации на обследуемом объекте. Основными группами методов при обследовании являются:

  1.  Экспертно-аналитические методы предусматривают проверку соответствия обследуемого объекта установленным требованиям по безопасности информации на основании экспертной оценки полноты и достаточности представленных документов по обеспечению необходимых мер защиты информации, а также соответствия реальных условий эксплуатации оборудования предъявляемым требованиям по размещению, монтажу и эксплуатации технических и программных средств.

  1.  Экспертно-инструментальные методы предполагают проведение проверки функций или комплекса функций защиты информации с помощью специального инструментария (тестирующих средств) и средств мониторинга, а также путем пробного запуска средств защиты информации и наблюдения реакции за их выполнением. В процессе испытаний технических и программных средств используются тестирующие средства, принятые в установленном порядке.

  1.  Моделирование действий злоумышленника («дружественный взлом» системы защиты информации) применяются после анализа результатов, полученных в ходе использования первых двух групп методов, - они необходимы как для контроля данных результатов, а также для подтверждения реальных возможностей потенциальных злоумышленников (как внутренних, легально допущенных к работе с тем или иным уровнем привилегий в ИС, так и внешних – в случае подключения ИС к глобальным информационным сетям). Кроме того, подобные методы могут использоваться для получения дополнительной исходной информации об объекте, которую не удалось получить другими методами. Применение методов моделирования действий злоумышленника ограниченно. При использовании данных методов необходимо учитывать, что при осуществлении тестовой атаки, используемое в ИС оборудование может быть выведено из строя, информационные ресурсы утрачены или искажены. Применение методов моделирования действий злоумышленника осуществляется только с согласия заказчика и под его контролем.

  1.  Дополнительно:

Планирование проведения аудита безопасности

На этом этапе необходимо провести:

  1. Определение границ проведения аудита;
  2. Выбор критериев оценки, по которым проводится аудит;
  3. Определить порядок взаимодействия в ходе обследования;
  4. Разработать программу обследования
  5. Определить условия обращения с конфиденциальной информацией

Предварительный сбор информации для проведения аудита

ППланирование проведения аудита безопасности

На этом этапе необходимо провести:

  1. Определение границ проведения аудита;
  2. Выбор критериев оценки, по которым проводится аудит;
  3. Определить порядок взаимодействия в ходе обследования;
  4. Разработать программу обследования
  5. Определить условия обращения с конфиденциальной информацией

ланирование проведения аудита безопасности

На этом этапе необходимо провести:

  1. Определение границ проведения аудита;
  2. Выбор критериев оценки, по которым проводится аудит;
  3. Определить порядок взаимодействия в ходе обследования;
  4. Разработать программу обследования
  5. Определить условия обращения с конфиденциальной информацией

Анализ исходных данных

Этот этап включает:

  1. Проверку, отбор, сортировку и анализ данных, полученных на первом этапе;
  2. Определение и ранжирование (классификацию) проблем, выявленных в ходе исследования.

Выработка рекомендаций

Этот этап включает:

  1. Определение пути решения выявленных проблем с использованием ряда методик;
  2. Оптимизацию данных решений и выдачу практических рекомендаций по совершенствованию системы безопасности в виде аудиторского отчета.

Составление отчета

Контроль выполнения рекомендаций

На этом этапе осуществляется:

  1. Оперативное управление изменениями, с внесением необходимых корректировок;
  2. Определение задач и сроков выполнения следующего аудита с целью поддержания требуемого уровня.

Комплексный подход к аудиту:

  1. Проверка достаточности правовых, экономических и организационных мер защиты (физической защиты, работы персонала, регламентация его действий);
  2. Проверка достаточности принятых программно-аппаратных и технических мер защиты (соответствие установленным требованиям применяемых в ИС программно-аппаратных средств защиты).

Критерии аудита проверка на:

  1. Выполнение системой своих функций
  2. Экономически оправданная система

Как правило, аудит предполагает наличие уже работающей системы безопасности, которую требуется проверить и  улучшить (изменить) в соответствии с текущими нуждами организации. Результат аудита — адаптация, приближение обследуемой системы к требуемому уровню обеспечения безопасности.

Стандарты международные:

  1.  BS 7799 - построение систем аудита ИБ, описание типовых угроз и контрмер, характеристики принятых программных средств аудита информационной безопасности.

  1.  TCSec – определяет требования, предъявляемые к аппаратному, прогр. и специальному обеспечению комп систем, выработке соответствующих методик и технологий анализа степени поддержки ПБ. Три вида требований: к ПБ, к аудиту систем, к корректности работы систем. Принят в США.


  1.  Доска:

Криптографические ключи различаются согласно алгоритмам, в которых они используются:

  1. Симметричный;
  2. Асимметричный;
  3. Закрытый;  
  4. Открытый;  
  5. Сеансовый (сессионный);
  6. Эфемерный;
  7. Подключи.

Управление ключами:

  1. генерация ключей;
  2. накопление ключей;
  3. распределение ключей.

  1.  Устно:

Ключ — секретная информация, используемая криптографическим алгоритмом при шифровании/расшифровке сообщений, постановке и проверке цифровой подписи, вычислении кодов аутентичности. При использовании одного и того же алгоритма результат шифрования зависит от ключа. Для современных алгоритмов сильной криптографии утрата ключа приводит к практической невозможности расшифровать информацию.

Количество информации в ключе, как правило, измеряется в битах.

Для современных симметричных алгоритмов основной характеристикой криптостойкости является длина ключа. Шифрование с ключами длиной 128 бит и выше считается сильным, так как для расшифровки информации без ключа требуются годы работы мощных суперкомпьютеров.

Для асимметричных алгоритмов, основанных на проблемах теории чисел в силу их особенностей минимальная надёжная длина ключа в настоящее время — 1024 бит.

Для асимметричных алгоритмов, основанных на использовании теории эллиптических кривых, минимальной надёжной длиной ключа считается 163 бит, но рекомендуются длины от 191 бит и выше.

Криптографические ключи различаются согласно алгоритмам, в которых они используются.

  1.  Секретные (Симметричные) ключи — ключи, используемые в симметричных алгоритмах (шифрование, выработка кодов аутентичности). Главное свойство симметричных ключей: для выполнения как прямого, так и обратного криптографического преобразования (шифрование/расшифровывание, вычисление MAC/проверка MAC) необходимо использовать один и тот же ключ (либо же ключ для обратного преобразования легко вычисляется из ключа для прямого преобразования, и наоборот). С одной стороны, это обеспечивает более высокую конфиденциальность сообщений, с другой стороны, создаёт проблемы распространения ключей в системах с большим количеством пользователей.
  2.  Асимметричные ключи — ключи, используемые в асимметричных алгоритмах (шифрование, ЭЦП);  Асимметричные ключи являются ключевой парой, поскольку состоят из двух ключей:
  3.  Закрытый ключ  — ключ, известный только своему владельцу. Только сохранение пользователем в тайне своего закрытого ключа гарантирует невозможность подделки злоумышленником документа и цифровой подписи от имени заверяющего.
  4.  Открытый ключ  — ключ, который может быть опубликован и используется для проверки подлинности подписанного документа, а также для предупреждения мошенничества со стороны заверяющего лица в виде отказа его от подписи документа. Открытый ключ подписи вычисляется, как значение некоторой функции от закрытого ключа, но знание открытого ключа не дает возможности определить закрытый ключ.

Главное свойство ключевой пары: по секретному ключу легко вычисляется открытый ключ, но по известному открытому ключу практически невозможно вычислить секретный.

Асимметричные алгоритмы обеспечивают не только целостность информации, но и её аутентичность.

  1.  Сеансовые (сессионные) ключи — ключи, вырабатываемые между двумя пользователями, обычно для защиты канала связи. Обычно сеансовым ключом является общий секрет — информация, которая вырабатывается на основе секретного ключа одной стороны и открытого ключа другой стороны. Существует несколько протоколов выработки сеансовых ключей и общих секретов, среди них, в частности, алгоритм Диффи — Хеллмана.
  2.  Подключи — ключевая информация, вырабатываемая в процессе работы криптографического алгоритма на основе ключа. Зачастую подключи вырабатываются на основе специальной процедуры развёртывания ключа.
  3.  Эфемерный ключ создан специально для выполнения только одного распределения ключей. Иногда эфемерные ключи используют несколько раз в одной сессии, например при широковещании, где эфемерный ключ создаётся для каждого отдельного сообщения, а не отдельной стороны.

Эфемерный ключ используется, например, в системе открытого шифрования при передаче сообщения.

Жизненный цикл ключей.

Жизненный цикл ключей — последовательность стадий, которые проходят ключи от момента генерации до уничтожения.

Включает такие стадии, как:

  1. генерация ключей;
  2. регистрация пользователей и ключей;
  3. инициализация ключей;
  4. период действия;
  5. хранение ключа;
  6. замена ключа;
  7. архивирование;
  8. уничтожение ключей;
  9. восстановление ключей;
  10. отмена ключей.

Обеспечение безопасности закрытых ключей.

Безопасность закрытого ключа пользователя должна быть обеспечена на каждом этапе его жизненного цикла:

  1. генерация ключевой пары (открытый и закрытый ключи);
  2. хранение закрытого ключа;
  3. использование закрытого ключа (выполнение криптографических операций, использующих его, например, формирование электронной цифровой подписи);
  4. уничтожение закрытого ключа. 

Управление ключами.

Управление ключами - информационный процесс, включающий в себя три элемента:

  1.  генерацию ключей;
  2.  накопление ключей;
  3.  распределение ключей.

Кроме выбора подходящей для конкретной ИС криптографической системы, важная проблема - управление ключами. Как бы ни была сложна и надежна сама криптосистема, она основана на использовании ключей.

Под ключевой информацией понимается совокупность всех действующих в ИС ключей. Если не обеспечено достаточно надежное управление ключевой информацией, то завладев ею, злоумышленник получает неограниченный доступ ко всей информации.

Задача управления ключами сводится к поиску такого протокола распределения ключей, который обеспечивал бы:

  1.  возможность отказа от центра распределения ключей;
  2.  взаимное подтверждение подлинности участников сеанса;
  3.  подтверждение достоверности сеанса механизмом запроса-ответа, использование для этого программных или аппаратных средств;
  4.  использование при обмене ключами минимального числа сообщений.

Генерация ключей.

Не стоит использовать неслучайные ключи с целью легкости их запоминания.  Как правило используют датчики ПСЧ. Однако степень случайности их генерации должна быть достаточно высоким. Идеальным генераторами являются устройства на основе “натуральных” случайных процессов.

Накопление ключей.

Под накоплением ключей понимается организация их хранения, учета и удаления. Секретные ключи никогда не должны записываться в явном виде на носителе, который может быть считан или скопирован. Каждая информация об используемых ключах должна храниться в зашифрованном виде. Ключи, зашифровывающие ключевую информацию называются мастер-ключами. Очень важным условием безопасности информации является периодическое обновление ключевой информации в ИС. При этом переназначаться должны как обычные ключи, так и мастер-ключи.

Распределение ключей.

Распределение ключей - самый ответственный процесс в управлении ключами. К нему предъявляются два требования:

  1.  Оперативность и точность распределения;
  2.  Скрытность распределяемых ключей.

Распределение ключей между пользователями реализуются двумя разными подходами:

  1.  Путем создания одного ли нескольких центров распределения ключей. Недостаток такого подхода состоит в том, что в центре распределения известно, кому и какие ключи назначены и это позволяет читать все сообщения, циркулирующие в ИС. Возможные злоупотребления существенно влияют на защиту.

  1.  Прямой обмен ключами между пользователями информационной системы. В этом случае проблема состоит в том, чтобы надежно удостоверить подлинность субъектов. Для обмена ключами можно использовать криптосистемы с открытым ключом, используя тот же алгоритм RSA.

  1.  Дополнительно:

Примеры распространненых  симметричных и асимметричных алгоритмов.

Симметричные алгоритмы: DES, AES, ГОСТ 28147-89, Camellia, Twofish, Blowfish, IDEA, RC4 и др.;

Асимметричные алгоритмы: RSA, Криптосистема Меркля-Хеллмана,  Elgamal, DSA, ГОСТ Р 34.10-2001;

Хэш-функций: MD4, MD5, SHA-1, ГОСТ Р 34.11-94.


 

А также другие работы, которые могут Вас заинтересовать

44398. Підвищенню конкурентоспроможності продукції підприємства ВАТ ПівнГЗК на зовнішніх ринках 658.5 KB
  Предмет дослідження: є розробка методологічних основ та практичних рекомендацій щодо оцінки конкурентоспроможності ВАТ ПівнГЗК. Мета дипломної роботи: розробка заходів по підвищенню конкурентоспроможності продукції підприємства ВАТ ПівнГЗК“ на зовнішніх ринках. Завдання дослідження: провести аналіз технікоекономічних показників виробничогосподарської діяльності; проаналізувати фінансове становище та показники...
44399. Совершенствование организационной структуры учетной политики в ООО «Агроцех» 732 KB
  Периодичность и масштабы инвентаризации порядок ее проведения Конкретные способы оценки имущества и обязательств Конкретные способы калькуляции себестоимости продукции и т. Масштабы деятельности организации объем производства и реализации продукции численность работающих стоимость имущества организации и т. К способам ведения бухгалтерского учета принятым при формировании учетной политики относятся: способы амортизации основных средств; способы амортизации нематериальных активов и иных активов; оценка производственных...
44400. Дослідження математичних моделей інвестиційного аналізу 1.13 MB
  Потім серед багатьох показників що мають відношення до аналізу цієї спроможності виділяються чистий приведений прибуток NPV внутрішня норма прибутковості IRR дисконтний термін окупності DPM індекс прибутковості рентабельності PI та коефіцієнти ефективності інвестицій RR. Чиста приведена вартість NPV чистий наведений ефект. Net present vlue загальноприйняте скорочення NPV це сума дисконтованих значень потоку платежів приведених до сьогоднішнього дня.
44401. Создание программы, выполняющей функции: шифровку/дешифровку введенной символьной последовательности 3.41 MB
  Для реализации поставленной задачи будет использоваться среда программирования Microsoft Visual Basic 6.0, так как она дает возможность широко использовать идеи структурного программирования, располагает большим числом операторов, позволяющих реализовывать блочную структуру программ
44402. Многоквартирный жилой дом по ул. Первомайская 15 в г. Бугульма 2.13 MB
  Объемно-планировочные решения предусмотрены с учетом обеспечения площади ограждающих конструкций, площадь световых проемов в соответствии нормативным значениям коэффициента естественной освещенности предусмотренного СНиП.
44403. Создание брошюры «Калорийность продуктов питания» в программе Scribus 6.22 MB
  Нажимаем на иконку Блок изображения и путем протягивания с зажатой левой кнопкой мыши создаём прямоугольный блок после этого на блоке изображения вызываем контекстное меню и нажимаем вставить изображение и сверху добавляем желтый блок с 30 непрозрачностью Нажимаем на иконку Фигура и путем протягивания с зажатой левой кнопкой мыши создаём прямоугольный блок далее вызываем контекстное меню нажимаем свойства выбираем вкладку цвета ставим цвет и непрозрачность. Создаем текстовый блок и пишем Калорийность продуктов питания и...
44404. Решение задач с использованием MS Excel 1.94 MB
  Построить график функции y=Fx на заданном диапазоне изменения аргумента. Для того чтобы построить график функции надо найти У. По исходным данным Х и У строю график функции. Построить график кусочнозаданной функции.
44405. Проект участа автомобильной дороги протяженностью 3,066 км 1023 KB
  Определение требуемого модуля упругости дорожной одежды Расчетные характеристики дорожной одежды Расчетные характеристики грунта земляного полотна и характеристика материалов дорожной одежды Определение оптимального соотношения толщины слоев дорожной одежды
44406. Рекурсия и матрицы 2.31 MB
  Программный продукт должен моделировать физическую лабораторную установку для исследования радиоактивного излучения и нахождения неизвестных: массового коэффициента поглощения и линейного коэффициента поглощения. Должна быть реализована обработка результатов, а также построение гистограмм и графиков