Арутюнов В.В. Основы информационной безопасности

Подождите немного. Документ загружается.

развитием банковского и страхового бизнеса, ростом и развитием крупных

коммерческих структур, их выходом на международный уровень, повыше-

нием уровня криминогенной обстановки и терроризма, другими факторами.

Поэтому прблема защиты информации в ЭВМ и обеспечения безопасности

АС и информационно-вычислительных сетей находится в центре внимания

не только специалистов по разработке и эксплуатации этих систем, но и ши-

рокого круга пользователей.

Основными факторами, способствующими повышению уязвимости ин-

формации, являются следующие:

– увеличение объемов информации, накапливаемой, хранимой и обра-

батываемой с помощью компьютеров и других средств автоматизации;

– рост числа организаций (фирм), обладающих информацией, которая

содержит коммерческую тайну;

– централизация в интегрированных базах данных информации много-

аспектного назначения;

– развитие телекоммуникационных режимов обработки информации и

автоматизация межмашинного обмена данными;

– расширение круга пользователей, имеющих доступ к различным мно-

гофункциональным ВС.

По последним данным статистики, каждый двадцатый компьютер в Ин-

тернете заражен шпионскими программами, которые могут вести запись

действий пользователя и запускать рекламные картинки. «Шпионский софт

(«spyware») представляет собой реальную угрозу для безопасности»,— со-

общает Webplanet.ru.

«Spyware» обычно поставляется в комплекте с популярными бесплат-

ными программами, например, с файлообменными или музыкальными. Во

время их установки незаметно инсталлируется дополнительный софт.

Компьютерные специалисты из Вашингтонского университета раз-

работали программу, которая анализировала сетевой трафик и способна

идентифицировать активность четырех самых популярных шпионских

программ. Ученые проанализировали трафик в сети студенческого кампуса

и определили, что 5,1% всех подключенных компьютеров генерируют этот

паразитный трафик. В целом по университету 69% департаментов и офи-

сов имеют в своем составе хотя бы один зараженный компьюте. Всего было

исследовано 31303 компьютеров, подключенных к Интернету. Результаты

работы опубликованы в научном журнале New Scientist.

ИБ сводится не только к компьютерной безопасности, также как инфор-

матизация не тождественна компьютеризации общества. Поэтому понятие

ИБ, включая в себя компьютерную безопасность в качестве неотъемлемой

составной части, распространяется также на все информационные процес-

сы объекта защиты, в той или иной степени влияющие на информацию и

средства информатизации.

Глава 1. Основные термины и определения в области ИБ

1.1. Содержание основных терминов

Общее определение понятия «безопасность» введено законом РФ «О

безопасности».

Безопасность — это состояние защищенности жизненно важных ин-

тересов личности, общества и государства от внутренних и внеш них угроз.

Принятым видам угроз безопасности соответствуют виды безопасности, за-

фиксированные правовыми нормативными актами и являющиеся состав-

ными частями (видами) национальной безопасно сти России.

В общем случае безопасность — это отсутствие опасностей. При этом

понятие «опасность» включает совокупность действий, приво дящих к на-

несению того или иного ущерба личности, обществу или государству.

Однако в реальной жизни понятие «безопасность» является бо лее ши-

роким, чем просто «отсутствие опасностей». Целый ряд ис следователей

предлагает рассматривать понятие «безопасность» пользованием иерархи-

ческого подхода, разделяя его на три уровня: философский, общетеорети-

ческий, специальный.

Очень часто под безопасностью понимают состояние той или иной си-

стемы, когда она защищена от опасности. Именно такой подход реализован

при определении понятия «безопасность» в Законе Рос сийской Федерации

«О безопасности».

Если проблему безопасности рассматривать с точки зрения сис темного

подхода, то она будет являться неотъемлемым свойством системы. Обобщая

приведенные в литературе определения понятия «безопасность», с точки

зрения общетеоретического подхода можно сказать, что безопасность неко-

торой системы означает отсутствие опасности для нормальной ее жизне-

деятельности (безопасность как состояние), надежную защищенность при

возникновении угроз (безо пасность как свойство), способность преодоле-

вать и устранять угро зы, имея для этого адекватные средства, структуры и

силы (безопас ность как система защиты).

Безопасность не является изолированной системой, ее состояние зави-

сит от ситуации в различных сферах жизнедеятельности. Важ нейшим по-

нятием, используемым для описания указанных ситуаций и, как следствие,

состояния безопасности объекта является понятие «угроза».

Под угрозой безопасности некоторого объекта в общем случае можно

понимать совокупность условий и факторов, создающих опас ность интере-

сам и целям данного объекта.

В Законе «О безопасности» и некоторых других документах пред-

лагается разделять все угрозы на потенциальные и реальные, а так же на

внутренние и внешние.

Все события, явления и процессы, являющиеся угрозами бе зопасности, и

их причины являются результатом целенаправленной деятельности чело-

века, общества, государства или представляют те или иные природные яв-

ления. Поэтому при рассмотрении состоя ния безопасности необходимо учи-

тывать пересечение и взаимное влияние событий, явлений и процессов.

Чтобы лучше понять все эти особенности, введем в рассмотре ние еще

два понятия: причина угрозы и последствие угрозы.

Причина угрозы — событие, явление или процесс, который (от дельно

или в совокупности с другими причинами) порождает угрозу безопасности.

Последствие угрозы безопасности — событие, явление или про цесс, ха-

рактеризующий в совокупности с другими событиями, явле ниями или про-

цессами состояние и тенденции развития ситуации, возникающий после

возможной реализации угрозы.

Исходя из этого, все события, явления и процессы, касающиеся сферы

безопасности, можно отнести к трем непересекающимся кате гориям: угро-

зам безопасности их причинам или последствиям.

Само состояние угроз можно оценить по наличию и динамике собы тий,

явлений и процессов, представляющих их причины и последствия.

Причины угроз безопасности можно оценить такой характерис тикой,

как «активность», отражающей наличие или отсутствие со ответствующего

явления или процесса. А для последствий угроз безопасности (как и для са-

мих угроз) можно использовать понятие «возможность реализации».

На основе введенных понятий, их определений и определения взаимос-

вязей данной сферы с другими областями жизнедеятельнос ти можно соз-

дать различные инструментальные средства, позволяю щие решать задачи

анализа состояния безопасности, а также давать рекомендации руковод-

ству по мерам укрепления безопасности и ме роприятиям, которые необхо-

димо провести.

Обеспечение безопасности некоторого объекта (предприятия, органи-

зации, частного лица и т. п.) возлагается на систему безопасности (систе-

му обеспечения безопасности). Она включает силы и средства обеспече-

ния безопасности, которые действуют и ис пользуются на основе разрабо-

танных заранее и закрепленных неко торым формальным образом (в виде

нормативных правовых актов, ведомственных инструкций, положений и т.

п.) принципов и правил В их основе, с одной стороны, лежит изложение це-

лей и интересов объекта, в защите которых и состоит по сути обеспечение

безопас ности, и, с другой стороны, осмысление и адаптация к конкретной

ситуации существующих методик и приемов формирования, осна щения и

использования сил и средств защиты различного характе ра (физическая

защита, защита с использованием технических средств и т. п.).

Можно говорить, что сущность функционирования системы безо-

пасности заключается в выявлении, прогнозировании, предотвраще нии,

нейтрализации, пресечении, локализации, устранении, отражении и уни-

чтожении угроз защищаемому объекту, а также формировании условий,

благоприятствующих деятельности данного объекта, дости жению им сво-

их целей, защите его интересов.

Система обеспечения безопасности того или иного объекта, таким об-

разом, должна быть готова к решению следующих задач:

своевременное выявление и прогнозирование внешних и внут-1)

ренних угроз;

осуществление комплекса оперативных и долговременных мер по 2)

предупреждению и нейтрализации внутренних и внешних угроз;

создание и поддержание в готовности сил и средств для обес печения 3)

безопасности;

управление силами и средствами обеспечения безопасности в нор-4)

мальных (повседневных) условиях и при возникновении чрезвы чайных си-

туаций;

осуществление системы мер по нормальному функциониро ванию 5)

объектов безопасности после возникновения чрезвычайных ситуаций;

участие в мероприятиях по обеспечению безопасности за пре делами 6)

своего объекта в соответствии с договоренностями (соглаше ниями) внутри

корпорации или объединения фирм (предприятий).

В последнее время все чаще в обиход входит понятие система комплекс-

ной безопасности. Под этим термином понимается сово купность организа-

ционных мероприятий и действий подразделений охраны и служб безопас-

ности организаций и АС по защите информа ции, направленных на обеспе-

чение установленного режима, порядка и правил поведения, предотвраще-

ние, обнаружение и ликвидацию угроз жизни, среде обитания, имуществу и

информации, а также поддержание работоспособности технических средств

и систем на охраняемом объекте с целью ограничения или предотвращения

дей ствий нарушителя по осуществлению опасных несанкционированных

операций на объекте, приводящих к частичному или полному нару шению

функционирования данного объекта.

Оценка качества той или иной системы безопасности, в свою очередь,

осуществится по тому, как она реагирует на угрозы (внут ренние и внеш-

ние), воздействующие на объект. При этом сам пере чень угроз формиру-

ется исходя из целей и интересов деятельности защищаемого объекта и с

течением времени, очевидно, может изме няться, что должно вести к изме-

нению работы и системы безопасно сти, делая ее актуальной по отношению

к текущему состоянию объекта защиты.

Все рассмотренные здесь понятия далее будут детализированы приме-

нительно к защите информации в ВС, сетях и конкретных АС. Однако следу-

ет заметить, что применительно к АС наибольшее вни мание уделяется тем

угрозам, которые связаны с действиями чело века, злонамеренными или

нет, хотя в общем случае во внимание следует принимать все виды угроз.

Под ИБ понимается защищенность информации и поддерживаю щей ин-

фраструктуры от случайных или преднамеренных воздействий естествен-

ного или искусственного характера, чреватых нанесением ущерба владель-

цам или пользователям информации и поддержи вающей инфраструктуры.

Правильный с методологической точки зрения подход к пробле мам ИБ

начинается с выявления субъектов информационных отно шений и интере-

сов этих субъектов, связанных с использованием информационных систем.

Из этого положения можно вывести два важных следствия:

– трактовка проблем, связанных с информационной безопасно стью, для

разных категорий субъектов может существенно разли чаться. Для иллю-

страции достаточно сопоставить режимные госу дарственные организации

и заводы или фабрики;

– ИБ не сводится исключительно к защите информации, это прин-

ципиально более широкое понятие. Субъект информационных отноше ний

может пострадать (понести материальные и/или моральные убыт ки) не

только от несанкционированного доступа к информации, но и от поломки

системы, вызвавшей перерыв в работе. Более того, для мно гих открытых

организаций (например, заводов, фабрик) собственно защита информации

стоит по важности отнюдь не на первом месте.

ИБ - многогранная область деятельности, в которой успех может прине-

сти только систематический, комплексный подход. В этом раз деле укажем

важнейшие грани (категории) информации, безопасность которых необхо-

димо обеспечивать.

Спектр интересов субъектов, связанных с использованием ин-

формационных систем, можно подразделить на следующие основ ные кате-

гории (грани):

– доступность (возможность за приемлемое время получить тре буемую

информационную услугу);

– целостность (актуальность и непротиворечивость информа ции, ее

защищенность от разрушения и несанкционированного из менения);

– конфиденциальность (свойство конкретной информации быть до-

ступной только тому кругу лиц, для которого она предназначена; наруше-

ние этой категории называется хищением либо раскрытием информации);

– аутентичность (гарантия того, что источником информации являет-

ся именно то лицо, которое заявлено как ее автор; нарушение этой катего-

рии называется фальсификацией, но уже автора сообщения).

Нарушение безопасности информации — событие, при котором ком-

прометируется один или несколько аспектов безопасности информа ции

(доступность, конфиденциальность, целостность и аутентичность).

В отношении информационных систем применяются иные катего рии

ИБ:

– надежность — гарантия того, что система ведет себя в нормаль ном и

внештатном режимах так, как запланировано;

– точность — гарантия точного и полного выполнения всех команд;

– контроль доступа — гарантия того, что различные группы лиц имеют

различный доступ к информационным объектам, и эти ограни чения досту-

па постоянно выполняются;

– контролируемость — гарантия того, что в любой момент может быть

произведена полноценная проверка любого компонента про граммного

комплекса;

– контроль идентификации — гарантия того, что клиент, подклю ченный

в данный момент к системе, является именно тем, за кого себя выдает;

– устойчивость к умышленным сбоям — гарантия того, что при умыш-

ленном внесении ошибок в пределах заранее оговоренных норм система

будет вести себя так, как оговорено заранее.

Полный перечень терминов и их содержание приводится в при ложении

1.2. Информация как защищаемый объект

и ценность информации

При построении систем защиты информации очень важное значе ние

имеет определение ценности защищаемой информации, посколь ку стои-

мость самой системы защиты не может превышать стоимости защищаемой

информации. Поэтому основополагающими для сферы защиты информа-

ции являются понятия информации как защищаемого объекта и ценности

информации как одного из свойств объекта защи ты, существенно влияю-

щих на организацию системы безопасности.

Вместе с тем определение этих терминов является сложной тео-

ретической и практической задачей, универсального решения кото рой не

найдено и, наверное, не может быть найдено.

Пользуясь англоязычной терминологией, всю информацию (вер-

бальную и невербальную) можно разделить на две другие категории: «мяг-

кая» и «твердая» информация.

«Мягкая» информация — информация, носителем которой является не-

кое физическое поле (акустическое или электромагнитное). Такая инфор-

мация «живет» очень короткий промежуток времени: однажды озвученная

(произведенная), она исчезнет и повторно воспроизведена быть не может.

Говоря проще, «мягкая» информация — это сведения, которые содержатся

в произнесенных (по телефону или в личной бе седе) словах, в передавае-

мых сигналах, или отраженные в иных те кущих действиях.

«Твердая» информация — информация, зафиксированная на ка ком-то

материальном носителе (бумага, магнитный или оптический диск и т. д.).

Такая информация при правильных условиях хранения может существо-

вать до тех пор, пока существует сам носитель.

Информацию также можно классифицировать по способам оценки ее

ценности, которую, как правило, измеряют либо абсолютными ве личинами

в денежном выражении, либо порядковыми величинами, позволяющими

сравнивать ценность конкретных информационных объектов. Например,

ценность информации в государственных уч реждениях оценивается гри-

фом секретности:

– несекретно (unclassied);

– для служебного пользования (condential);

– секретно (secret);

– совершенно секретно (top secret);

– особой важности.

Также можно оценивать информацию по важности для той или иной

организации.

1. Жизненно важная информация, наличие которой необходимо для

обеспечения работоспособности организации.

2. Важная информация, которая может быть заменена или восста-

новлена, но процесс восстановления очень труден и связан с боль шими за-

тратами.

3. Полезная информация, трудная для восстановления, но орга низация

может функционировать и без нее.

4. Несущественная информация, не имеющая какого-либо инте реса для

организации.

При оценке информации в денежном выражении обычно руковод-

ствуются следующими критериями;

1) средства, затраченные на получение информации;

2) возможные потери в случае нанесения определенного ущерба ин-

формации;

3) вероятность нанесения ущерба информации.

Во всех перечисленных случаях определение ценности происхо дит на

основе экспертизы.

Под угрозой информации обычно понимается возможность реа лизации

различных воздействий, преднамеренных или непреднаме ренных, пред-

ставляющих опасность для защищаемой информации, выражающуюся в

потере ее ценности для владельца. Угроза харак теризует способ, время и

место такого воздействия.

Непреднамеренные угрозы могут возникать в результате природ ных ка-

таклизмов, технических сбоев аппаратуры и программного обес печения, в

результате неквалифицированных действий персонала и т. д.

Преднамеренные угрозы, возникающие в результате целенаправ ленной

деятельности людей, напротив, менее предсказуемы, но од новременно, как

субъективные явления, дают больше возможностей по их предотвращению

и нейтрализации.

Как было показано выше, опасность для информации представ ляет лю-

бое воздействие, ведущее к снижению или утрате ее ценно сти. Исходя из

этого, выделяют три группы опасностей.

1. Опасность нарушения конфиденциальности — существует, ког да цен-

ность информации теряется при ее раскрытии.

2. Опасность нарушения целостности — существует, когда цен ность ин-

формации теряется при ее удалении или изменении.

3. Опасность нарушения доступности — существует, когда ценность ин-

формации теряется при снижении оперативности доступа к ней.

Имеются несколько признаков классификации угроз информации.

Источники угроз.1.

Средства, применяемые для реализации угроз.2.

Этап жизненного цикла АС, на котором происходит реализация угро-3.

зы.

Вид наносимого реализацией угрозы ущерба.4.

Направленность угроз.5.

По источнику возникновения разделяют внешние и внутренние угрозы.

Источниками внешних угроз являются:

– атмосферные явления, стихийные бедствия, катастрофы, аварии;

– деятельность конкурирующих экономических структур;

– деятельность преступных группировок и лиц и др.

Источниками внутренних угроз выступают:

– нарушение персоналом режимов безопасности;

– отказы и сбои аппаратных средств и носителей информации;

– ошибки программного обеспечения;

– деятельность сообщников преступных группировок и лиц и др.

Для реализации угроз могут быть применены физические, радио

технические, формационные и программные средства.

К физическим средствам относят:

– уничтожение и разрушение средств обработки информации;

– хищение аппаратных и программных ключей, добывание образцов;

– воздействие на персонал.

К радиотехническим средствам относят:

– перехват информации в каналах связи;

– радиоэлектронное подавление и др.

К информационным средствам относят:

– несанкционированное проникновение;

– нарушение регламента информационного обмена;

– хищение из баз данных и др.

К программным средствам относят:

– внедрение компьютерных вирусов;

– внедрение программных закладок;

– использование операционных и функциональных дефектов;

– дешифрование и др.

С точки зрения этапа жизненного цикла АС, на котором происхо дит реа-

лизация угрозы, различают угрозы:

– внедряемые на этапе проектирования АС;

– внедряемые на этапе создания АС (реализации проекта);

– внедряемые на этапе эксплуатации АС.

По виду наносимого ущерба различают:

– угрозы, наносящие явный ущерб,— то есть заключающийся в непо-

средственной потере ценности обрабатываемой информации;

– угрозы, наносящие косвенный ущерб,— в этом случае, как пра вило,

выводятся из строя аппаратура и программное обеспечение, то есть мате-

риальные ресурсы, связанные с обработкой информации, а ценность самой

информации не теряется;

– угрозы, наносящие непрямой ущерб,— промышленный шпио наж, хи-

щение программно-аппаратного обеспечения и документации, моральный

ущерб.

Однако основным признаком классификации угроз является их направ-

ленность, то есть путь, которым осуществляется уменьшение ценности об-

рабатываемой информации. Здесь выделяют:

1) угрозы нарушения конфиденциальности;

2) угрозы нарушения целостности;

3) угрозы нарушения доступности.

I. Выделяют два направления реализации угроз нарушения кон-

фиденциальности:

– утрата контроля над системой защиты;

– существование каналов утечки информации.

Утрата контроля над системой защиты может происходить в слу чаях

аппаратно-программного сбоя в системе, взлома системы защи ты, опера-

тивных мероприятий, искусственного или стихийного воз никновения кри-

тических или нештатных ситуаций.

Каналы утечки информации могут возникать вследствие дефектов в

функционирующей системе защиты, допущенных при ее проекти ровании

или реализации. К самым распространенным каналам утечки относятся:

– канал утечки по памяти — в этом случае злоумышленник может иметь

доступ к объекту, в который санкционированный пользователь записывает

секретную информацию;

– канал утечки по времени — в этом случае злоумышленник может

иметь доступ к субъекту, представляющему интерес для злоумыш ленника.

Все возможные каналы утечки информации в АС и СВТ можно классифи-

цировать исходя из типа средства, являющегося основным при получении

информации по этим каналам. Различают три типа таких средств: человек,

аппаратура, программа.

Соответственно, возможные каналы утечки также разбиваются на ана-

логичные три группы.

К сожалению, даже согласно официальным данным, состояние ИБ в

мире и в России не просто оказывается тревожным, но продол жает быстро

ухудшаться.

В целом, по данным ассоциации Интернет-экспертов при Carnegie Mellon

University, в США только в 2003 г, было совершено более 137 тыс. компью-

терных преступлений, суммарный ущерб от которых составил $215 млрд. В

2004 г. эта сумма увеличилась до $411 млрд.

К наиболее распространенным преступлениям в России в сфере ИТ в

настоящее время относят мошенничества, совершенные с ис пользованием

средств вычислительной техники в кредитно-финансо вой сфере,— они за-

фиксированы в трети регионов России. Ущерб от этих преступлений еже-

годно превышает десятки миллиардов рублей. Так, в 2004 г. только в ре-

зультате мошенничества с кредитными кар тами российские банки понесли

убытки в размере 20 млн. долл.

В России в 2003 г. органами МВД было зафиксировано 7053 пре ступления

в сфере информационных технологий, в 2004 г. — свыше 15 тыс. При этом

следует заметить, что компьютерная преступность обладает чрезвычайно

высокой латентностью. Правоохранительным органам становятся извест-

ными не более 5-10% совершаемых пре ступлений. Их раскрываемость, в

свою очередь, также составляет не более 1-5%.

В последнее время «головной болью» для администраторов кор-

поративных серверов становится спам (несанкционированная рас сылка

электронных писем, содержащих в основном рекламу). По данным россий-

ской Национальной коалиции против спама, письма спамеров составляют

до 70% трафика электронной почты в мире — это 20 млрд. писем ежеднев-

но. По некоторым оценкам, ущерб от спама в 2003 г. во всем мире составил

около $8 млрд., а в России — более $200 млн.

В США был вынесен обвинительный приговор некоему Говарду Кар-

мэку, который в течение 2002 г. разослал с подставных адресов 850 млн.

электронных писем. В 2004 г. суд присяжных признал его виновным и при-

говорил к 7 годам заключения и многомиллионному штрафу.

Только в 2005-2006 годах было зафиксировано более 2 млн. слу чаев

компьютерного нападения на защищаемые ФСБ России ресур сы органов

государственной власти, в том числе свыше 300 тыс. атак на интернет-

представительство Президента Российской Федера ции. Все эти действия

были пресечены специальным центром ФСБ.

Каковы возможные последствия атак на ИС?

В первую очередь, конечно, интерес представляют экономичес кие по-

тери:

1. Раскрытие коммерческой информации может привести к серь езным

прямым убыткам на рынке.

2. Известие о краже большого объема информации обычно серь езно

влияет на репутацию фирмы, приводя косвенно к потерям в объемах тор-

говых операций.

3. Фирмы-конкуренты могут воспользоваться кражей информации,

если та осталась незамеченной, для того чтобы полностью разорить фирму,