 |
Глава 1. Общие проблемы безопасности. Роль и место информационной безопасности
|
|
|
|
Т. Л. Партыка, И. И. Попов
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
Допущено Министерством образования Российской Федерации в качестве учебного пособия для студентов учреждений среднего профессионального образования, обучающихся по специальностям информатики и вычислительной техники
Москва
ФОРУМ - ИНФРА-М
Рецензенты:
доцент кафедры Проектирования автоматизированных информационных систем РЭА им. Г. В. Плеханова, к.ф.-м.н. Б. В. Евтеев;
директор Института компьютерных технологий МЭСИ, зав. кафедрой Общая теория систем и системного анализа, д.э.н., профессор А. А. Емельянов;
председатели предметных (цикловых) комиссий Математического колледжа В. П. Агальцов, В. А. Макунин
Партыка Т. Л., Попов И. И. Информационная безопасность. Учебное пособие для студентов учреждений среднего профессионального образования. — М.: ФОРУМ: ИНФРА-М, 2002. - 368 с.: ил. - (Серия «Профессиональное образование»).
ISBN 5-8199-0060-Х (ФОРУМ)
ISBN 5-16-001155-2 (ИНФРА-М)
В учебном пособии рассматриваются вопросы информационной безопасности и защиты данных, в том числе в информационно-вычислительных системах и сетях. Дано введение в общие проблемы безопасности, определены роль и место информационной безопасности в системе обеспечения национальной безопасности государства. Рассмотрены проблемы защиты информации в автоматизированных системах обработки данных, криптографические методы защиты информации, вопросы защиты информации в персональных компьютерах, компьютерные вирусы и антивирусные программы, а также проблемы защиты информации в сетях ЭВМ и организации комплексных систем технического обеспечения безопасности.
Предназначено для учащихся техникумов, колледжей, а также студентов вузов.
|
|
|
УДК 002.56(075.32)
ББК 32.973я723
ISBN 5-8199-0060-Х (ФОРУМ)
ISBN 5-16-001155-2 (ИНФРА-М)
© Т. Л. Партыка,
И. И. Попов, 2002
© ИД «ФОРУМ», 2002
Предисловие
Современное развитие мировой экономики характеризуется все большей зависимостью рынка от значительного объема информационных потоков. Несмотря на все возрастающие усилия по созданию технологий защиты данных, их уязвимость не только не уменьшается, но и постоянно возрастает. Поэтому актуальность проблем, связанных с защитой потоков данных и обеспечением информационной безопасности их обработки и передачи, все более усиливается. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Например, конфиденциальность данных, которая обеспечивается применением различных криптографических методов и средств (шифрование закрывает данные от посторонних лиц, а также решает задачу их целостности);
идентификация пользователя на основе анализа кодов, используемых им для подтверждения своих прав на доступ в систему (сеть), на работу с данными и на их изменение (обеспечивается введением соответствующих паролей, анализом электронной подписи). Перечень аналогичных задач, решаемых для обеспечения информационной безопасности и защиты информации в современных системах обработки и передачи данных, может быть продолжен. Интенсивное развитие современных информационных технологий, и в особенности сетевых технологий, для этого создает все предпосылки. Сюда необходимо также отнести бурное развитие в настоящее время технических и программных средств обеспечения информационных технологий, обусловленное прогрессом, происшедшим в области микроэлектронной технологии, и появлением новых мультипроцессорных систем обработки данных. В результате расширились функциональные возможности и повысился «интеллект» средств обработки и передачи данных, а также технических средств, применяемых для защиты информации. При решении перечисленных выше задач обязательным является комплексный подход, требующий необходимого сочетания применяемых законодательных, организационных и программно-технических мер.
|
|
|
Изменения, происходящие в экономической жизни России, — создание финансово-кредитной системы, предприятий различных форм собственности и т. п. — оказывают существенное влияние на вопросы защиты информации. Долгое время в СССР существовала только одна форма собственности — государственная, поэтому ин
формация и секреты на предприятиях были тоже только государственными и охраняемыми мощными спецслужбами.
Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем. Это дает основание рассмотреть проблему компьютерного права, одним из основных аспектов которой являются так называемые компьютерные посягательства. Об актуальности проблемы свидетельствует обширный перечень возможных способов компьютерных преступлений.
Объектами посягательств могут быть как сами технические средства (компьютеры и периферийные устройства), так и программное обеспечение и базы данных, для которых технические средства являются окружением.
В этом смысле компьютер может выступать и как предмет посягательств, и как инструмент их реализации. Если рассматривать раздельно эти роли компьютера, то термин «компьютерное преступление» как юридическая категория не имеет особого смысла. Если компьютер — только объект посягательства, то квалификация правонарушения может быть произведена по существующим нормам права. Если же — только инструмент, то достаточен только такой признак, как «применение технических средств». Возможно объединение указанных понятий,. когда компьютер одновременно и инструмент, и предмет. В частности, к этой ситуации относится факт хищения машинной информации. Если хищение информации связано с потерей материальных и финансовых ценностей, то этот факт можно квалифицировать как преступление. Также, если с данным фактом связываются нарушения интересов национальной безопасности, авторского права, то уголовная ответственность прямо предусмотрена законами РФ.
|
|
|
Каждый сбой работы компьютерной сети — это не только «моральный» ущерб для работников предприятия и сетевых администраторов. По мере развития технологий электронных платежей, «безбумажного» документооборота, серьезный сбой локальных сетей может просто парализовать работу целых корпораций и банков, что приводит к ощутимым материальным потерям. Неслучайно, что защита данных в компьютерных сетях становится одной из самых острых проблем в современной информатике. На сегодняшний день сформулировано три базовых принципа, которые должна обеспечивать информационная безопасность:
• целостность данных — защита от сбоев, ведущих к потере информации, а также зашита от неавторизованного создания или уничтожения данных;
• конфиденциальность информации;
• доступность информации для всех авторизованных пользователей.
Следует отметить, что отдельные сферы деятельности (банковские и финансовые институты, информационные сети, системы государственного управления, оборонные и специальные структуры) требуют специальных мер безопасности и предъявляют повышенные требования к надежности функционирования информационных систем в соответствии с характером и важностью решаемых ими задач.
При разработке компьютерных систем, выход из строя или ошибки в работе которых могут привести к тяжелым последствиям, вопросы компьютерной безопасности становятся первоочередными. Известно много мер, направленных на обеспечение компьютерной;
безопасности, основными среди них являются технические, организационные и правовые.
К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара и оборудования обнаружения утечек воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.
|
|
|
К организационным мерам относятся охрана вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра после выхода его из строя, организация обслуживания вычислительного центра посторонней организацией или лицами, незаинтересованными в сокрытии фактов нарушения работы центра, универсальная эффективность средств защиты для всех пользователей — потенциальных нарушителей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т. п.
К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, предусматривающих защиту авторских прав программистов, а также совершенствование уголовного и гражданского законодательства, процесса судопроизводства. К правовым мерам относятся и Вопросы общественного контроля за разработчиками компьютерных систем
и принятие международных договоров, регламентирующих эту деятельность в той степени, в какой они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение.
Концентрация информации в компьютерах — аналогично концентрации наличных денег в банках — заставляет все более усиливать контроль в целях зашиты информации. Юридические вопросы, служебная тайна, национальная безопасность — все эти соображения требуют усиления внутреннего контроля в коммерческих и правительственных организациях. Работы в этом направлении привели к появлению новой дисциплины: информационная безопасность. Специалист в области защиты информации отвечает за разработку, реализацию и эксплуатацию системы обеспечения целостности, пригодности и конфиденциальности накопленной в организации информации. В его функции входит обеспечение физической (технические средства, линии связи и удаленные компьютеры) и логической (данные, прикладные программы, операционная система) зашиты информационных ресурсов.
Сложность создания системы защиты информации определяется тем, что данные могут быть похищены из компьютера и одновременно оставаться на месте; ценность данных для нарушителя заключается в обладании ими, а не в уничтожении или изменении.
|
|
|
Обеспечение безопасности информации — дорогое дело, и не только из-за затрат на закупку или установку средств защиты, но также из-за того, что трудно квалифицированно определить границы разумной безопасности и обеспечить соответствующее поддержание системы в работоспособном состоянии.
Средства зашиты информации нельзя проектировать, покупать или устанавливать до тех пор, пока не произведен соответствующий анализ. Анализ риска должен дать объективную оценку многих факторов (подверженности к появлению нарушения работы системы, вероятности появления нарушения работы, ущерба от коммерческих потерь, снижения коэффициента готовности системы, общественных отношений, юридических проблем) и предоставить информацию для определения подходящих типов и уровней безопасности. Коммерческие организации все в большей степени переносят критическую корпоративную информацию с больших вычислительных систем в среду открытых систем и встречаются с новыми и сложными проблемами при реализации и эксплуатации систем безопасности. Сегодня все больше организаций разворачивают мощные распределенные базы данных и приложения клиент/сервер для управления коммерческими данными. При увеличении степени распределенности возрастает также и риск неавторизованного доступа к данным и их искажения.
Шифрование данных традиционно использовалось правительственными и оборонными ведомствами, но в связи с необходимостью защиты коммерческой тайны частные компании тоже начинают использовать возможности, предоставляемые шифрованием для обеспечения конфиденциальности информации.
Следует подчеркнуть, что никакие аппаратные, программные и любые другие решения не смогут гарантировать абсолютную надежность и безопасность данных в компьютерных системах. В то же время свести риск потерь к минимуму возможно, но лишь при комплексном подходе к вопросам безопасности.
В первой главе настоящего учебного пособия рассмотрены общие проблемы безопасности. Дается определение предмета и структура национальной безопасности, ее составляющие и история вопроса. Анализируется информационная безопасность и ее место в системе национальной безопасности, определяются жизненно важные интересы в информационной сфере и угрозы для них. Рассмотрены вопросы информационной войны, информационного оружия, принципы, основные задачи и функции обеспечения информационной безопасности, функции государственной системы по обеспечению информационной безопасности, отечественные и зарубежные стандарты в области информационной безопасности. Значительное внимание уделяется также правовым вопросам информационной безопасности.
Во второй главе рассматриваются общие вопросы защиты информации в автоматизированных системах обработки данных (АСОД), предмет и объекты зашиты информации, задачи защиты информации в АСОД. Рассмотрены типы преднамеренных угроз безопасности и методы защиты информации в АСОД. Рассмотрены методы и средства подтверждения подлинности пользователей и разграничения их доступа к компьютерным ресурсам, контроля доступа к аппаратуре, использования простых и динамически изменяющихся паролей, методы модификации схемы простых паролей, функциональные методы.
В третьей главе излагаются проблемы криптографической зашиты информации — криптология и основные этапы ее развития, методы криптографического закрытия, подстановки и перестановки, одноалфавитные и многоалфавитные системы. Рассматриваются системы одноразового использования, системы шифрования Вижинера, шифрование методом гаммирования, шифрование с помощью аналитических преобразований. Рассматриваются кодирование и
рассечение-разнесение данных. Дается понятие систем с открытым ключом, электронной цифровой подписи. Кратко описаны криптографические стандарты DES и ГОСТ 28147—89.
Глава четвертая посвящена проблематике защиты информации в персональных компьютерах (ПК) — особенности защиты и угрозы информации в ПК. Рассмотрены проблемы обеспечения целостности информации в ПК, опознавания (аутентификации) пользователей и используемых компонентов обработки информации, разграничения доступа к элементам защищаемой информации, криптографическое закрытие защищаемой информации. Рассматриваются некоторые конкретные системы защиты — система «Снег 2.0», зашита в среде MS-DOS и в средах Windows. Кратко описана задача защиты ПК от вредоносных закладок (разрушающих программных средств), приведена классификация закладок и даны общие их характеристики.
В пятой главе более подробно рассмотрены разрушающие программные средства класса компьютерных вирусов и методы борьбы с ними. Даются определение и классификация компьютерных вирусов, приводятся примеры их «функционирования», признаки проявления вируса в ПК. Рассмотрены методы защиты и классы антивирусных программ. Подробно рассмотрены возможности наиболее популярных антивирусных программ — Antivirial Toolkit Pro 3.0; антивирус-ревизор диска ADinf для Windows. Описаны основные режимы работы — проверки дисков, построения таблиц, поиска степс-вирусов, просмотра истории изменений, просмотра результатов. Кратко охарактеризованы известные программы DRWEB и Norton Antivirus.
Шестая глава посвящена вопросам защиты информации в сетях ЭВМ. Рассмотрены разновидности ВС по топологии (конфигурации), сетевые операционные системы (ОС), межсетевое взаимодействие, структура прикладного программного обеспечения в локальных вычислительных сетях (ЛВС). Рассмотрены цели, функции и задачи зашиты информации в сетях ЭВМ, понятие сервисов безопасности, а также архитектура механизмов зашиты информации в сетях ЭВМ, методы цифровой подписи данных, передаваемых в сети. Приводится пример системы защиты локальной вычислительной сети, кратко рассмотрены принципы функционирования межсетевых экранов (FireWall) и прокси (Proxy) серверов. Рассмотрены примеры систем активного аудита в информационных сетях.
В седьмой главе рассматриваются технические средства и вопросы комплексного обеспечения защиты каналов утечки информации. Характеризуются технические средства защиты, механические системы защиты, системы оповещения, системы опознавания, оборонительные системы, охранное освещение. Приводится пример комплекса физической защиты. Рассмотрены средства контроля доступа, замки, автоматизированные системы контроля доступа, биометрические системы идентификации, технические средства обеспечения безопасности подвижных объектов и технические средства охранной сигнализации физических лиц. Даются краткие эксплуатационные характеристики одной из охранных систем — MHKKOM AS101.
Учебное пособие базируется на материалах, накопленных авторами в процессе практической, исследовательской, а также преподавательской (МИФИ, МИСИ, МГУ, РГГУ, РЭА им. Г. В. Плеханова) деятельности. Авторы выражают благодарность коллегам, принявшим участие в обсуждении материала: Н. В. Максимову, А. Г. Романенко (РГГУ), К.И. Курбакову (РЭА им. Г. В. Плеханова), П. Б. Храмцову (РНИЦ «Курчатовский институт»), рецензентам, а также студентам РЭА им. Г. В. Плеханова и РГГУ за предоставленные иллюстративные материалы.
глава 1. ОБЩИЕ ПРОБЛЕМЫ БЕЗОПАСНОСТИ. РОЛЬ И МЕСТО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
|
|
|
