Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности
Подождите немного. Документ загружается.
Дезинформирование осуществляется путем подгонки признаков
информационного портрета защищаемого объекта под признаки
информационного портрета ложного объекта, соответствующего заранее
разработанной версии. От тщательности подготовки версии и
безукоризненности ее реализации во многом зависит правдоподобность
дезинформации. Версия должна предусматривать комплекс распределенных
во времени и в пространстве мер, направленных на имитацию признаков
ложного объекта. Причем, чем меньше при дезинформации используется
ложных сведений и признаков, тем труднее вскрыть ее ложный характер.
Различают следующие способы дезинформирования:
- Замена реквизитов защищаемых информационных портретов в том
случае, когда информационный портрет объекта защиты похож на
информационные портреты других открытых объектов и не имеет
специфических информативных признаков. В этом случае ограничиваются
разработкой и поддержанием версии о другом объекте, выдавая в качестве
его признаков признаки защищаемого объекта. Например, в настоящее время
большое внимание уделяется разработкам продукции двойного применения:
военного и гражданского. Распространение информации о производстве
продукции сугубо гражданского использования является надежным
прикрытием для вариантов военного назначения;
- Поддержание версии с признаками, заимствованными из разных
информационных портретов реальных объектов. Применяется в тех случаях,
когда в организации одновременно выполняется несколько закрытых тем.
Путем различных сочетаний признаков, относящихся к различным темам,
можно навязать противоположной стороне ложное представление о
ведущихся работах без имитации дополнительных признаков;
- Сочетание истинных и ложных признаков, причем ложными заменяется
незначительная, но самая ценная часть информации, относящейся к
защищаемому объекту;
- Изменение только информационных узлов с сохранением неизменной
остальной части информационного портрета.
Как правило, используются различные комбинации этих вариантов.
Другим эффективным методом скрытия информации является
энергетическое скрытие. Оно заключается в применении способов и средств
111
защиты информации, исключающих или затрудняющих выполнение
энергетического условия разведывательного контакта.
Энергетическое скрытие достигается уменьшением отношения энергии
(мощности) сигналов, то есть носителей (электромагнитного или
акустического полей и электрического тока) с информацией, и помех.
Уменьшение отношения сигнал/шум (помеха) (слово «мощность», как
правило, опускается) возможно двумя методами: снижением мощности
сигнала или увеличением мощности помехи на входе приемника.
Воздействие помех приводит к изменению информационных параметров
носителей: амплитуды, частоты, фазы. Если носителем информации является
амплитудно-модулированная электромагнитная волна, а в среде
распространения канала присутствует помеха в виде электромагнитной
волны, имеющая одинаковую с носителем частоту, но случайную амплитуду
и фазу, то происходит интерференция этих волн. В результате этого значения
информационного параметра (амплитуды суммарного сигнала) случайным
образом изменяются и информация искажается. Чем меньше отношение
мощностей, а, следовательно, амплитуд сигнала и помехи, тем значительнее
значения амплитуды суммарного сигнала будут отличаться от исходных
(устанавливаемых при модуляции) и тем больше будет искажаться
информация.
Атмосферные и промышленные помехи, которые постоянно
присутствуют в среде распространения носителя информации, оказывают
наибольшее влияние на амплитуду сигнала, в меньшей степени – на его
частоту. Но частотно-модулируемые (ЧМ) сигналы имеют более широкий
спектр частот. Поэтому в функциональных каналах, допускающих передачу
более широкополосных сигналов, например, в УКВ диапазоне, передачу
информации осуществляют, как правило ЧМ сигналами как более
помехоустойчивыми, а в узкополосных ДВ, СВ и КВ диапазонах – АМ
сигналами.
В общем случае качество принимаемой информации ухудшается с
уменьшением отношения сигнал/помеха. Характер зависимости качества
принимаемой информации от отношения сигнал/помеха отличается для
различных видов информации (аналоговой, дискретной), носителей и помех,
способов записи на носитель (вида модуляции), параметров средств приема и
обработки сигналов.
112
Наиболее жесткие требования к качеству информации предъявляются
при передаче данных (межмашинном обмене): вероятность ошибки знака по
плановым задачам, задачам статистического и бухгалтерского учета
оценивается порядка – 10
-5
-10
-6
, по денежным данным 10
-8
-10
-9
. Для
сравнения, в телефонных каналах хорошая слоговая разборчивость речи
обеспечивается при 60-80%, то есть требования к качеству принимаемой
информации существенно менее жесткие. Это различие обусловлено
избыточностью речи, которая позволяет при пропуске отдельных звуков и
даже слогов восстанавливать речевое сообщение. Вероятность ошибки знака
10
-5
достигается при его передаче двоичным амплитудно-модулируемым
(АМ) сигналом и отношении мощности сигнала к мощности
флуктуационного шума на входе приемника приблизительно 20, при
передаче ЧМ сигналом – около 10. Для обеспечения разборчивости речи
порядка 85% превышение амплитуды сигнала над шумом должно составлять
около 10 дБ, для получения удовлетворительного качества факсимильного
изображения – приблизительно 35 дБ, качественного телевизионного
изображения – более 40 дециБел (дБ).
В общем случае при уменьшении отношения сигнал/шум до единицы и
менее качество информации настолько ухудшается, что она не может
практически использоваться. Для конкретных видов информации и
модуляции сигнала существуют граничные значения отношения
сигнал/помеха, ниже которых обеспечивается энергетическое скрытие
информации.
Так как разведывательный приемник в принципе может быть
приближен к границам контролируемой зоны организации, то значения
отношения сигнал/шум измеряются, прежде всего, на границе этой зоны.
Обеспечение на границе зоны значений отношения сигнал/шум ниже
минимально допустимой величины гарантирует безопасность защищаемой
информации от утечки за пределами контролируемой зоны.
8.3. Каналы утечки информации
Возможные каналы утечки информации можно разбить на четыре
группы.
1-я группа – каналы, связанные с доступом к элементам системы
113
обработки данных, но не требующие изменения компонентов системы. К
этой группе относятся каналы образующиеся за счет:
- дистанционного скрытого видеонаблюдения или фотографирования;
- применения подслушивающих устройств;
- перехвата электромагнитных излучений и наводок и т.д.
2-я группа – каналы, связанные с доступом к элементам системы и
изменением структуры ее компонентов. Ко второй группе относятся:
- наблюдение за информацией с целью ее запоминания в процессе
обработки;
- хищение носителей информации;
- сбор производственных отходов, содержащих обрабатываемую
информацию;
- преднамеренное считывание данных из файлов других пользователей;
- чтение остаточной информации, то есть данных, остающихся на
магнитных носителях после выполнения заданий;
- копирование носителей информации;
- преднамеренное использование для доступа к информации терминалов
зарегистрированных пользователей;
- маскировка под зарегистрированного пользователя путем похищения
паролей и других реквизитов разграничения доступа к информации,
используемой в системах обработки;
- использование для доступа к информации так называемых "люков", дыр и
"лазеек", то есть возможностей обхода механизма разграничения доступа,
возникающих вследствие несовершенства общесистемных компонентов
программного обеспечения (операционных систем, систем управления
базами данных и др.) и неоднозначностями языков программирования
применяемых в автоматизированных системах обработки данных.
3-я группа – к этой группе относятся:
- незаконное подключение специальной регистрирующей аппаратуры к
устройствам системы или линиям связи (перехват модемной и факсимильной
связи);
- злоумышленное изменение программ таким образом, чтобы эти
программы наряду с основными функциями обработки информации
114
осуществляли также несанкционированный сбор и регистрацию защищаемой
информации;
- злоумышленный вывод из строя механизмов защиты.
4-я группа – к этой группе относятся:
- несанкционированное получение информации путем подкупа или
шантажа должностных лиц соответствующих служб;
- получение информации путем подкупа и шантажа сотрудников,
знакомых, обслуживающего персонала или родственников, знающих о роде
деятельности.
8.4. Средства обеспечения информационной безопасности в
компьютерных системах
8.4.1. Устройство для быстрого уничтожения информации на жестких
магнитных дисках «Стек-Н»
Предназначено для быстрого (экстренного) стирания информации,
записанной на жестких магнитных дисках, как эксплуатируемых, так и не
эксплуатируемых в момент стирания (рис. 1).
Основные особенности изделий серии «Стек»:
- предельно возможная скорость
уничтожения информации;
- способность находиться во
взведенном состоянии сколь угодно
долго без ухудшения характеристик;
- возможность применения в
дистанционно управляемых системах с
автономным электропитанием;
Рис. 1.
- отсутствие движущихся частей;
- стирание информации, записанной на магнитном носителе, происходит
без его физического разрушения, но последующее использование диска
вновь проблематично.
Устройство выпускается в виде трех базовых моделей: «Стек-HCl»,
«Стек-НС2», «Стек-НА1».
115
Модель «Стек-HCl» ориентирована на создание рабочего места для
быстрого стирания информации с большого количества винчестеров перед их
утилизацией. Имеет только сетевое электропитание, характеризуется малым
временем перехода в режим «Готовность» после очередного стирания.
Модель имеет невысокую стоимость и предельно проста в управлении.
Модель «Стек-НС2» ориентирована на создание стационарных
информационных сейфов для компьютерных данных, имеет только сетевое
электропитание. Оборудована системами поддержания температурного
режима НЖМД, самотестирования, а также может быть дооборудована
модулем дистанционной инициализации.
Модель «Стек-HAl» ориентирована на создание портативных
информационных сейфов для компьютерных данных, имеет сетевое и
автономное электропитание. Оборудована системой самотестирования и
модулем дистанционной инициализации.
Устройство может быть использовано для стирания информации с
носителей других типов, помещающихся в рабочую камеру 145х105x41мм и
имеющих аналогичные свойства.
Изделие обеспечивает стирание полезной и служебной информации,
записанной на магнитном носителе. Поэтому носитель может быть
использован только при наличии спецоборудования. Кроме того, в ряде
случаев возможно разъюстирование блока головок.
Перечислим основные характеристики Стек-НС1(2):
1. Максимальная продолжительность перехода устройства в режим
«Готовность» – 7...10 с.
2. Длительность стирания информации на одном диске – 300 мс.
3. Электропитание изделия – 220 В, 50 Гц.
4. Максимальная отводимая тепловая мощность – 8 Вт.
5. Допустимая продолжительность непрерывной работы изделия:
- в режиме «Готовность» – не ограничена;
- в цикле «Заряд»/«Стирание» – не менее 0,5 ч.
6. Габариты – 235x215x105 мм.
Перечислим основные характеристики Стек-HA1:
1. Максимальная продолжительность перехода устройства в режим
«Готовность» – не более 15...30 с.
2. Длительность стирания информации на одном диске – 300 мс.
116
3. Электропитание изделия – 220 В, 50 Гц или внешний аккумулятор 12 В.
4. Допустимая продолжительность непрерывной работы изделия:
- в режиме «Готовность» – не ограничена;
- в цикле «Заряд»/«Стирание» – не менее 30 раз по 0,5 ч.
5. Габариты – 235x215x105 мм.
8.4.2. Обнаружитель подключения к LAN (локальной сети) FLUKE
Меры противодействия на компьютерных сетях – очень специфичная
задача, которая требует навыков наблюдения и работы в фоновом режиме. В
этом виде сервиса применяется несколько приборов:
- ручной осциллограф;
- кабельный сканер (100 МГц, 5 категория);
- рефлектометр временных интервалов с анализом переходных связей для
работы на «свободной линии»;
- анализатор сетевого трафика/протокольный анализатор;
- компьютер со специальным пакетом обнаруживающего программного
обеспечения;
- портативный спектральный анализатор.
Эти приборы используются в дополнение к осциллографам,
спектральным анализаторам, мультиметрам, поисковым приемникам,
рентгеновским установкам и другим приборам противодействия.
FLUKE является прибором для команд противодействия наблюдению
(рис. 2). «Базовый инструмент» предоставляет все функции кабельного
сканера, включая функции высококачественного рефлектометра временных
интервалов.
Возможности анализа трафика важны при идентификации и
отслеживании нарушений в функционировании сети, вторжений хакеров и
регистрации наличия замаскированных устройств наблюдения в локальной
сети.
ЛАНметр также используется при проведении сетевых аудитов и
проверок.
117
Кабельный анализатор FLUKE DSP-2000\DSP-4000 и измеритель
параметров FLUKE 105B также необходимые приборы
для проведения инспекций по противодействию и
дополняют ЛАНметр.
Во время проведения инспекций осциллограф,
подключаемый для общей оценки к сети, обычно
позволяет наблюдать за формой сигналов и их
наличием. В случае наличия в сети устройств
несанкционированного наблюдения с распределенным
спектром осциллограф обеспечит быстрое определение
этого факта, а также индикацию напряжений, наличия
радиочастотного шума и ограниченной информации о
переходных связях.
Рис. 2.
Портативный спектральный анализатор используется для оперативного
просмотра радиочастотного спектра сети. Наблюдение должно
осуществляться за любыми сигналами, не отвечающими типичному виду в
тестируемой сети.
Когда все комбинации проводов сети тщательно проверены на
присутствие посторонних сигналов (используя осциллограф и спектральный
анализатор), для мониторинга любой происходящей активности на каждом
специфичном сегменте (или кабельном вводе) используется сетевой
анализатор трафика. Это является целью идентификации любой аномалии
сетевого трафика, которая может служить индикатором использования
специального программного обеспечения, несанкционированного
наблюдения или бреши в системе безопасности.
Анализатор сетевого трафика обычно оценивает только заголовки
пакетов и может предоставить пользователю несколько базовых сетевых
функций, таких как передача данных из одной программы в другую (PING),
отслеживание пути (Trace Route), просмотр DNS и обеспечение списков
найденных или активных сетевых адресов. С этой точки зрения специалист
противодействия получит список всех сетевых объектов, который затем
может быть сверен с физическим списком.
Специалист по противодействию может произвести отключение
сегмента сети (обычно путем выключения маршрутизатора или коммутатора)
118
и отсоединить всю проводку. Это изолирует группу компьютеров и часть
кабелей от остальной сети и обеспечит соответствующее «прикрытие» для
оставшейся части инспекции. Физическая проводка может быть проверена на
наличие устройств наблюдения или аномалий.
8.4.3. Система защиты информации Secret Net 4.0
Система предназначена для обеспечения информационной
безопасности в локальной вычислительной сети, рабочие станции и сервера
которой работают под управлением следующих операционных систем:
Windows 95, Windows 98 и их модификаций; Windows NT версии 4.0; UNIX
MP-RAS версии 3.02.00 (рис. 3, 4, 5).
Основными сферами применения системы Secret Net являются:
- защита информационных ресурсов;
- централизованное управление информационной безопасностью;
- контроль состояния информационной безопасности.
Рис. 3.
119
Рис. 4. Рис. 5.
Для безопасности рабочих станций и серверов сети используются
всевозможные механизмы защиты:
- усиленная идентификация и аутентификация;
- полномочное и избирательное разграничение доступа;
- замкнутая программная среда;
- криптографическая защита данных;
- другие механизмы защиты.
Администратору безопасности предоставляется единое средство
управления всеми защитными механизмами, позволяющее централизованно
управлять и контролировать исполнение требований политики безопасности.
Вся информация о событиях в информационной системе, имеющих
отношение к безопасности, регистрируется в едином журнале регистрации.
О попытках совершения пользователями неправомерных действий
администратор безопасности узнает немедленно.
Существуют средства генерации отчетов, предварительной обработки
журналов регистрации, оперативного управления удаленными рабочими
станциями.
Система Secret Net состоит из трех компонентов: клиентской части,
сервера безопасности и подсистемы управления.
Особенностью системы Secret Net является клиент-серверная
архитектура, при которой серверная часть обеспечивает централизованное
хранение и обработку данных системы защиты, а клиентская часть – защиту
ресурсов рабочей станции или сервера и хранение управляющей информации
в собственной базе данных.
120