Принципы политика безопасности информации.

53.1.Минимальный уровень привилегий. Одним из таких принципов является предоставление каждому сотруднику предприятия того минимально уровня привилегий на доступ к данным, который необходим ему для выполнения его должностных обязанностей. Ввести четкие ограничения для всех пользователей сети.

53.2.Комплексный подход. Чтобы затруднить доступ к данным, необходимо предусмотреть самые разные средства без-сти, начиная с организационно-административных запретов и кончая встроенными средствами сетевой аппаратуры. Административный запрет па работу в воскресные дни ставит потенциального нарушителя под визуальный контроль администратора и других пользователей, физические средства защиты (блокировочные ключи) ограничивают непосредственный контакт пользователя только приписанным ему компьютером.

53.3.Баланс надежности защиты всех уровней. Используя многоуровневую систему защиты, важно обеспечивать баланс надежности защиты всех уровней. Если в сети все сообщения шифруются, но ключи легкодоступны, то эффект от шифрования нулевой. Если на компьютерах установлена файловая система, поддерживающая избирательный доступ на уровне отдельных файлов, но имеется возможность получить жесткий диск и установить его на другой машине, то все достоинства средств защиты файловой системы сводятся на нет.

53.4.Макс-ная защита. Следующим универсальным принципом является использование средств, которые при отказе переходят в состояние макс защиты. Если, например, автомат-ий пропускной пункт в какое-либо помещение ломается, то он должен фиксироваться в таком положении, чтобы ни один человек не мог пройти на территорию. А если в сети имеется уст-во, которое анализирует весь входной трафик и отбрасывает кадры с опр-ым, заранее заданным обратным адресом, то при отказе оно должно полностью блокировать вход в сеть.

53.5.Принцип единого контрольно-пропускного пункта — весь вх-ий во внутр. сеть и вых-ий во внешнюю сеть трафик должен проходить через единственный узел сети, например через межсетевой экран. Только это позволяет в достаточной степени контролировать трафик.

53.6.Принцип баланса. Принцип баланса возможного ущерба от реализации угрозы и затрат на ее предотвращение. Ни одна система безопасности не гарантирует защиту данных на уровне 100%, т.к.является результатом компромисса между возможными рисками и возможными затратами. Определяя политику безопасности, администратор должен взвесить величину ущерба, которую может понести предприятие в результате нарушения защиты данных, и соотнести ее с величиной затрат, требуемых на обеспечение безопасности этих данных.

Методы обеспечения безопасности информации.

54.1.Шифрование — это краеугольный камень всех служб информационной безопасности, будь то система аутентификации или авторизации, средства создания защищенного канала или способ безопасного хранения данных. Криптосистема Пара процедур — шифрование и дешифрирование — называется криптосистемой. В современных алгоритмах шифрования предусматривается наличие параметра — секретного ключа. Сложность алгоритма раскрытия является одной из важных хар-ик криптосистемы и называется криптостойкостью.

54.2.Аутентификация - предотвращает доступ к сети нежелательных лиц и разрешает вход для легальных пользователей. Аутентификацию следует отличать от идентификации. Идентификаторы пользователей используются в системе с теми же целями, что и идентификаторы любых других объектов, файлов, процессов, структур данных, но они не связаны непосредственно с обеспечением безопасности. Идентификация заключается в сообщении пользователем системе своего идентификатора, в то время как аутентификация — это процедура доказательства пользователем того, что он есть тот, за кого себя выдает, в частности, доказательство того, что именно ему принадлежит введенный им идентификатор. В процедуре аутентификации участвуют две стороны: одна сторона доказывает свою аутентичность, предъявляя некоторые доказательства, а другая сторона — аутентификатор — проверяет эти доказательства и принимает решение. В качестве доказательства аутентичности используются самые разнообразные приемы аутентифицируемый может продемонстрировать знание некоего общего для обеих сторон секрета: слова (пароля) или факта (даты и места события, прозвища человека и т. п.);аутентифицируемый может продемонстрировать, что он владеет неким уникальным предметом (физическим ключом), в качестве которого может выступать, например, электронная магнитная карта.

54.3.Авторизация доступа. Средства авторизации контролируют доступ легальных пользователей к ресурсам системы, предоставляя каждому из них именно те права, которые ему были определены администратором. 2 класса доступа: избирательный доступ. В наиболее распространенном варианте такого подхода определенные операции над ресурсом разрешаются или запрещаются пользователям или группам пользователей, явно указанным своими идентификаторами.); мандатный доступ Такой подход используется в известном делении информации на информацию для служебного пользования, «секретно», «сов. секретно»).

54.4.Аудит — фиксация в системном журнале событий, связанных с доступом к защищаемым системным ресурсам. Аудит используется для того, чтобы засекать даже неудачные попытки «взлома» системы.

Парольная система.

Парольная система как неотъемлемая составляющая подсистемы управления доступом системы защиты информации (СЗИ) является частью "переднего края обороны" всей системы безопасности. Поэтому парольная система становится одним из первых объектов атаки при вторжении злоумышленника в защищенную систему.

55.1.Подсистема управления доступом СЗИ затрагивает следующие понятия: Идентификатор доступа - уникальный признак субъекта или объекта доступа. Идентификация - присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Пароль - идентификатор субъекта доступа, который является его (субъекта) секретом. Аутентификация - проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности. 55.2. Одним из наиболее важных компонентов парольной системы является база данных учетных записей (база данных системы защиты). Возможны следующие варианты хранения паролей в системе:в открытом виде;в виде хэш-значений;зашифрованными на некотором ключе. 55.3.Хэширование - не обеспечивает защиту от подбора паролей по словарю в случае получения базы данных злоумышленником. При выборе алгоритма хэширования, который будет использован для вычисления хэш-значений паролей, необходимо гарантировать несовпадение хэш-значений, полученных на основе различных паролей пользователей. Кроме того, следует предусмотреть механизм, обеспечивающий уникальность хэш-значений в том случае, если два пользователя выбирают одинаковые пароли. Для этого при вычислении каждого хэш-значения обычно используют некоторое количество "случайной" информации, выдаваемой генератором псевдослучайных чисел.

55.4.Шифрование паролей. При шифровании паролей особое значение имеет способ генерации и хранения ключа шифрования базы данных учетных записей. Возможны следующие варианты: ключ генерируется программно и хранится в системе, обеспечивая возможность ее автоматической перезагрузки;ключ генерируется программно и хранится на внешнем носителе, с которого считывается при каждом запуске;ключ генерируется на основе выбранного администратором пароля, который вводится в систему при каждом запуске. Наиболее безопасное хранение паролей. обеспечивается при их хэшировании и последующем шифровании полученных хэш-значений,

55.5.«Слабый» пароль. Пароль из небольшого количества (до 5) символов/цифр.