Информационная безопасность

Под информационной безопасностью будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Угрозы информационной безопасности это оборотная сторона использования информационных технологий.

Из этого положения можно вывести два важных следствия:

·         Трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов может существенно различаться. Для иллюстрации достаточно сопоставить режимные государственные организации и учебные институты. В первом случае "пусть лучше все сломается, чем враг узнает хоть один секретный бит", во втором – "да нет у нас никаких секретов, лишь бы все работало".

·         Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем–то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения. Наконец, конфиденциальность – это защита от несанкционированного доступа к информации.

Основные определения и критерии классификации угроз

Угроза – это потенциальная возможность определенным образом нарушить информационную безопасность.

Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, – злоумышленником. Потенциальные злоумышленники называются источниками угрозы.

Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на информационную систему.

Например, если речь идет об ошибках в ПО, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда – недель), поскольку за это время должны произойти следующие события:

·         должно стать известно о средствах использования пробела в защите;

·         должны быть выпущены соответствующие заплаты;

·         заплаты должны быть установлены в защищаемой ИС.

Поскольку новые уязвимые места и средства их использования появляются постоянно; это значит, во–первых, что почти всегда существуют окна опасности и, во–вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат – как можно более оперативно.

Угрозы можно классифицировать по нескольким критериям:

·         по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;

·         по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

·         по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера);

·         по расположению источника угроз (внутри/вне рассматриваемой ИС).

Требования, предъявляемые к комплексным системам защиты информации

К любой качественной комплексной защите информации предъявляется основные требования: информация должна быть доступна, целостна и конфиденциальна. И здесь есть очень важный момент. Информация защищается для минимизации денежных затрат связанных с соответственно «недоступностью», «нецелостностью» или «неконфиденциальностью». Как следствие основное и главное требование, про которое нельзя забывать это стоимость системы защиты информации. Принято считать, что если потери той или ной компании в результате того что та или иная информация может оказаться либо недоступной какое–либо время, испорченно либо скомпрометированной можно оценить в некую сумму, то на защиту данной информации можно потратить сумму порядка десятой части этой суммы.

Составными частями практически любой системы защиты информации, являются:

·         законодательная, нормативно–правовая и научная база;

·         структура и задачи органов (подразделений), обеспечивающих безопасность ИТ;

·         организационно–технические и режимные меры (политика информационной безопасности);

·         программно–технические способы и средства.

Для оценки качества всей системы в целом следует оценить качество составных частей системы защиты информации:

·         уровень защиты процессов, процедур и программ обработки информации;

·         уровень защиты каналов связи;

·         уровень подавления побочных электромагнитных излучений;

·         качество управления системой защиты.

Этапы построения комплексной системы защиты информации

·         полнота определения информации, подлежащей защите;

·         полнота выявления множества потенциально возможных угроз и каналов утечки информации;

·         качество проведения оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;

·         качество определения требований к системе защиты;

·         качество выбора средств защиты информации и их характеристик;

·         уровень внедрения и организация использования выбранных мер, способов и средств защиты;

·         качество контроля целостности и управление системой защиты.

Способы несанкционированного доступа к информации в компьютерной системе

Несанкционированный доступ к информации – доступ к информации, хранящейся на различных типах носителей в компьютерных данных, файловых хранилищах, архивах, секретных частях и т. д. различных организаций путём изменения (повышения, фальсификации) своих прав доступа.

Другими словами, это доступ к информации в нарушение должностных полномочий сотрудника, доступ к закрытой для публичного доступа информации со стороны лиц, не имеющих разрешения на доступ к этой информации. Так же иногда несанкционированным доступом называют получение доступа к информации лицом, имеющим право на доступ к этой информации в объёме, превышающем необходимый для выполнения служебных обязанностей.

Изменения уровня доступа достигаются путём использования методов социальной инженерии, ошибок и просчётов в системах безопасности, ошибок в программном обеспечении, а также подделки различных документов и удостоверений личности.

Причины несанкционированного доступа к информации

·         ошибки конфигурации (прав доступа, файрволов, ограничений на массовость запросов к базам данных)

·         слабая защищённость средств авторизации (хищение паролей, смарт–карт, физический доступ к плохоохраняемому оборудованию, доступ к незаблокированным рабочим местам сотрудников в отсутствие сотрудников)

·         ошибки в программном обеспечении

·         злоупотребление служебными полномочиями (воровство резервных копий, копирование информации на внешние носители при праве доступа к информации)

·         Прослушивание каналов связи при использовании незащищённых соединений внутри ЛВС

·         Использование клавиатурных шпионов, вирусов и троянов на компьютерах сотрудников для имперсонализации.

Приемы несанкционированного доступа к информации

·         За дураком – физическое проникновение в производственные помещения – злоумышленник ожидает у закрытого помещения, держа в руках предметы связанные с работой на компьютерной технике (элементы маскировки), пока не появится кто–либо, имеющий легальный доступ в него, затем остается только войти внутрь вместе с ним или попросить его помочь занести якобы необходимые для работы на компьютере предметы. Другой вариант – электронное проникновение в СВТ – подключение дополнительного компьютерного терминала к каналам связи с использованием шлейфа "шнурка" в тот момент времени, когда законный пользователь кратковременно покидает свое рабочее место, оставляя свой терминал или персональный компьютер в активном режиме.

·         За хвост – злоумышленник подключается к линии связи законного пользователя и терпеливо дожидается сигнала, обозначающего конец работы, перехватывает его на себя, а потом, когда законный пользователь заканчивает активный режим, осуществляет доступ к системе. Подобными свойствами обладают телефонные аппараты с функцией удержания номера, вызываемого абонентом.

·         Компьютерный абордаж – злоумышленник вручную или с использованием автоматической программы подбирает код (пароль) доступа к системе с использованием обычного телефонного аппарата.

·         Неспешный выбор – злоумышленник изучает и исследует систему защиты от несанкционированного доступа, используемую в компьютерной системе, ее слабые места, выявляет участки, имеющие ошибки или неудачную логику программного строения, разрывы программы (брешь, люк) и вводит дополнительные команды, разрешающие доступ.

·         Маскарад – злоумышленник проникает в компьютерную систему, выдавая себя за законного пользователя с применением его кодов (паролей) и других идентифицирующих шифров.

·         Мистификация – злоумышленник создает условия, когда законный пользователь банковской системы осуществляет связь с нелегальным терминалом, будучи абсолютно уверенным в том, что он работает с нужным ему законным абонентом. Формируя правдоподобные ответы на запросы законного пользователя и поддерживая его заблуждения некоторое время, злоумышленник добывает коды (пароли) доступа или отклик на пароль.

·         Аварийный – злоумышленник создает условия для возникновения сбоев или других отклонений в работе СВТ банковской компьютерной системы. При этом включается особая программа, позволяющая в аварийном режиме получать доступ к наиболее ценным данным. В этом режиме возможно “отключение” всех имеющихся в банковской компьютерной системе средств защиты информации, что облегчает доступ к ним злоумышленника.

Идентификация и аутентификация

Идентификацию и аутентификацию можно считать основой программно–технических средств безопасности, поскольку остальные сервисы рассчитаны на обслуживание именованных субъектов. Идентификация и аутентификация – это первая линия обороны, "проходная" информационного пространства организации.

Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно–программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентификация" иногда используют словосочетание "проверка подлинности".

Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной). Пример односторонней аутентификации – процедура входа пользователя в систему.

В сетевой среде, когда стороны идентификации/аутентификации территориально разнесены, у рассматриваемого сервиса есть два основных аспекта:

·         что служит аутентификатором (то есть используется для подтверждения подлинности субъекта);

·         как организован (и защищен) обмен данными идентификации/аутентификации.

Субъект может подтвердить свою подлинность, предъявив по крайней мере одну из следующих сущностей:

·         нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ);

·         нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения);

·         нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).

В открытой сетевой среде между сторонами идентификации/аутентификации не существует доверенного маршрута; это значит, что в общем случае данные, переданные субъектом, могут не совпадать с данными, полученными и использованными для проверки подлинности. Необходимо обеспечить защиту от пассивного и активного прослушивания сети, то есть от перехвата, изменения и/или воспроизведения данных. Передача паролей в открытом виде, очевидно, неудовлетворительна; не спасает положение и шифрование паролей, так как оно не защищает от воспроизведения. Нужны более сложные протоколы аутентификации.

Надежная идентификация затруднена не только из–за сетевых угроз, но и по целому ряду причин. Во–первых, почти все аутентификационные сущности можно узнать, украсть или подделать. Во–вторых, имеется противоречие между надежностью аутентификации, с одной стороны, и удобствами пользователя и системного администратора с другой. Так, из соображений безопасности необходимо с определенной частотой просить пользователя повторно вводить аутентификационную информацию (ведь на его место мог сесть другой человек), а это не только хлопотно, но и повышает вероятность того, что кто–то может подсмотреть за вводом данных. В–третьих, чем надежнее средство защиты, тем оно дороже.

Процедура авторизации

Авторизация – это процесс в результате которого, для пользователя определяется набор прав, которыми обладает пользователь.

Авторизация может быть: статической и динамической

При статической авторизации вопрос о доступе к объекту решается один раз, когда права задаются или изменяются, при этом пользователю ставится в соответствие некоторый номинальный субъект системы.

При динамической авторизации принятие решения о доступе производится при каждом обращении к объекту, часто это носит характер ограничения возможностей пользователя по объёму памяти и дискового пространства, времени работы и т. п.

Как правило, процедура авторизации соседствует с задачей однозначной идентификации пользователя по его логину (уникальному имени) и паролю (секретному кодовому слову). То есть процессу авторизации всегда должен предшествовать процесс аутентификации.

Парольная защита

Главное достоинство парольной аутентификации – простота и привычность. Пароли давно встроены в операционные системы и иные сервисы. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности. Тем не менее, по совокупности характеристик их следует признать самым слабым средством проверки подлинности.

Чтобы пароль был запоминающимся, его зачастую делают простым (имя подруги, название спортивной команды и т.п.). Однако простой пароль нетрудно угадать, особенно если знать пристрастия данного пользователя. Иногда пароли с самого начала не хранятся в тайне, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки системы производится их смена. Ввод пароля можно подсмотреть. Иногда для подглядывания используются даже оптические приборы.

Пароли нередко сообщают коллегам, чтобы те могли, например, подменить на некоторое время владельца пароля. Теоретически в подобных случаях более правильно задействовать средства управления доступом, но на практике так никто не поступает; а тайна, которую знают двое, это уже не тайна.

Пароль можно угадать "методом грубой силы", используя, скажем, словарь. Если файл паролей зашифрован, но доступен для чтения, его можно скачать к себе на компьютер и попытаться подобрать пароль, запрограммировав полный перебор (предполагается, что алгоритм шифрования известен).

Тем не менее, следующие меры позволяют значительно повысить надежность парольной защиты:

·         наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.);

·         управление сроком действия паролей, их периодическая смена;

·         ограничение доступа к файлу паролей;

·         ограничение числа неудачных попыток входа в систему (это затруднит применение "метода грубой силы");

·         обучение пользователей;

·         использование программных генераторов паролей (такая программа, основываясь на несложных правилах, может порождать только благозвучные и, следовательно, запоминающиеся пароли).

Перечисленные меры целесообразно применять всегда, даже если наряду с паролями используются другие методы аутентификации.

Реализация механизмов парольной защиты

Идентификатор – некоторое уникальное количество информации, позволяющее различать индивидуальных пользователей парольной системы (проводить их идентификацию). Часто идентификатор также называют именем пользователя или именем учетной записи пользователя или еще проще логином.

Учетная запись – совокупность идентификатора и пароля пользователя.

Одним из наиболее важных компонентов парольной системы является база данных учетных записей (база данных системы защиты). Возможны следующие варианты хранения паролей в системе:

·         в открытом виде;

·         в виде хэш–значений;

·         зашифрованными на некотором ключе.

Хэширование не обеспечивает защиту от подбора паролей по словарю в случае получения базы данных злоумышленником. При выборе алгоритма хэширования, который будет использован для вычисления хэш–значений паролей, необходимо гарантировать несовпадение хэш–значений, полученных на основе различных паролей пользователей. Кроме того, следует предусмотреть механизм, обеспечивающий уникальность хэш–значений в том случае, если два пользователя выбирают одинаковые пароли. Для этого при вычислении каждого хэш–значения обычно используют некоторое количество "случайной" информации, например, выдаваемой генератором псевдослучайных чисел.

При шифровании паролей особое значение имеет способ генерации и хранения ключа шифрования базы данных учетных записей. Возможны следующие варианты:

·         ключ генерируется программно и хранится в системе, обеспечивая возможность ее автоматической перезагрузки;

·         ключ генерируется программно и хранится на внешнем носителе, с которого считывается при каждом запуске;

·         ключ генерируется на основе выбранного администратором пароля, который вводится в систему при каждом запуске.

Наиболее безопасное хранение паролей обеспечивается при их хэшировании и последующем шифровании полученных хэш–значений, т.е. при комбинации второго и третьего способов хранения паролей в системе.

При это пароль может попасть в руки злоумышленниками только следующими способами:

·         записанный вами пароль найден злоумышленником;

·         пароль был подсмотрен злоумышленником при вводе легальным пользователем;

·         злоумышленник получил доступ к базе данных системы защиты.

Двухфакторная аутентификация пользователя.

Многофакторной аутентификацией называют аутентификацию, при которой используются аутентификационные признаки разных типов (не несколько признаков, а признаки нескольких типов).

Типы аутентифицирующих признаков и называются аутентификационными факторами.

Принято выделять следующие факторы: пароль, биометрика и документ или предмет, характеризующийся какой–то уникальной информацией (обычно это некое устройство или иное программно–аппаратное средство).

Двухфакторная аутентификация, согласно такой системе понятий, это аутентификация, при которой используется одновременно: пароль + устройство, пароль + биометрические данные или биометрические данные + устройство.

Стандартный (и, надо сказать, эффективный) ход заключается в том, что ввод пароля с клавиатуры как метод аутентификации имеет целый ряд очевидных недостатков и не может гарантировать надежной аутентификации. Именно поэтому в ряде случаем используют двухфакторную аутентификацию.

Существуют другие методы, например, электронная цифровая подпись (ЭЦП). Подписывать ею документ может человек (автор, отправитель, архивариус) с использованием технических средств, а может какой–то процесс (например, при взаимной аутентификации технических средств путем обмена подписанными пакетами). Соответственно, ЭЦП, являясь реквизитом документа, позволяет аутентифицировать автора документа (отправителя пакета) или сам документ. Вне зависимости от того, каким устройством сформирована и каким устройством проверяется ЭЦП, сама по себе она представляет собой только один признак.