Виды угроз безопасности

Угрозы информационной безопасности.

Лекция 11. Информационная безопасность в ЭИС.

1. Угрозы информационной безопасности.

2. Методы и средства защиты информации в ЭИС.

 

Распространение информационных технологий в ЭИС обеспечивает с одной стороны широкий доступ пользователей и высокий уровень автоматизации, а с другой стороны делает их чрезвычайно уязвимыми по отношению к деструктивным воздействиям. Так, каж­дые 20 секунд в США совершается преступление с использованием программных средств, 80% этих преступлений, расследуемых ФБР, происходит через сеть Internet. Потери от хищений или повреждений компьютерных сетей превышают по разным оценкам от 100 млн. до 40 млд. долл. в год.

Отсюда остро встает проблема защиты информации.

Защита информации – это комплекс методов и сред­ств обеспечения безопасности информации, направленные на предотвращение ее

· утечки,

· уничтожения и

· модификации.

Утечка информации - ознакомление посторон­него лица с содержанием секретной информации.

Модификация информации - несанкционированное изменение информации, кор­ректное по форме и содержанию, но другое по смыслу.

Для обеспечения безопасности информации необходима защита всех сопутствующих компонентов информационных технологий и автоматизированных систем, используемых субъектами информационных отношений:

§ оборудования (технических средств); ограмм (программных средств);

§ данных (информации);

§ персонала.

В современных ЭИС основными каналами утечки и несанкционированного доступа к информации могут быть:

1 - носители информации (дискеты, МД, МЛ),

2 - линии и каналы связи,

3- периферийное оборудование Принтер, монитор,

4 - корзина с удаленными файлами,

5- НСД к машинограммам и др. бумажным носителям

6 - НСД к средствам загрузки программного обес­печения,

7 - НСД к информации при ремонте и профилактике аппаратуры,

Основными видами угроз безопасности информационных систем являются:

• преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, дивер­сантов и т. п.).

Угрозы безопасности можно классифицировать по различным признакам:

1. По результатам акции:

1) угроза утечки;

2) угроза модификации;

3) угроза утраты.

2. По мотивам:

· Непреднамеренные;

· Умышленные.

Случайные (непреднамеренные) угрозы могут возникнуть в следствии:

• стихийных бедствий и аварий (наводнение, ураган, землетря­сение, пожар и т.п.);

• сбоя и отказа оборудования (технических средств) АИТУ;

• последствий ошибок проектирования и разработки компонен­тов АИС (аппаратных средств, технологии обработки информации, программ, структур данных и т. п.);

• ошибок эксплуатации (пользователей, операторов и другого персонала).

Основные причины непреднамеренных, искусственных угроз АИС:

· Невнимательность;

· нарушение регламента и игнорирования ограничений, установленных в системе;

· Некомпетентность;

· Халатность.

Примеры угроз:

1) неумышленные действия, приводящий к частичному или пол­ному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча обору­дования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т. п.);

2) неправомерное включение оборудования или изменение режи­мов работы устройств и программ;

3) неумышленная порча носителей информации;

4) нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необ­ходимыми для выполнения нарушителем своих служебных обязан­ностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внеш­них носителях);

6) заражение компьютера вирусами;

7) неосторожные действия, приводящие к разглашению конфи­денциальной информации или делающие ее общедоступной;

8) разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карто­чек, пропусков и т. п.);

9) игнорирование организационных ограничений (установлен­ных правил) при ранге в системе;

10) вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т. п.);

11) некомпетентное использование, настройка или неправомер­ное отключение средств защиты персоналом службы безопасности;

12) пересылка данных по ошибочному адресу абонента (устрой­ства);

13) ввод ошибочных данных;

14) неумышленное повреждение каналов связи.

умышленные угрозы — это угрозы АИС, вызванные деятельностью человека, связанные с корыстными устремлениями людей (злоумыш­ленников).

Источники угроз по отношению к информационной системе могут быть внешними или внутренними.

К сожалению результатом реализации и тех и других угроз являются одни и те же последствия: потеря информации, нарушение ее конфиденциальности, ее модификация.

Основные преднамеренные умышленные угрозы как правило направлены на:

· умышленную дезорганизацию работы системы и вывод ее из строя,

· с целью проникновения в систему и несанкциониро­ванного доступа к информации и использования ее в корыстных целях.

Умышленные угрозы в свою очередь могут подразделяться на:

1. Активные и пассивные.

Пассивные угрозы- направлены в основном на несанкционированное использование информационных ресурсов, не влекущее порчу и уничтожение информации.

Для этого используются разнообразные способы реализации:

а) применение подслушивающих устройств, дистанционная фо­то- и видеосъемка, хищение носителей и т. п.;

б) хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и персональных ЭВМ);

в) перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;

г) чтение остатков информации из оперативной памяти и с внеш­них запоминающих устройств (буфер памяти принтера);

д) чтение информации из областей оперативной памяти, исполь­зуемых операционной системой (в том числе подсистемой защиты) ;

е) незаконное получение паролей и других реквизитов разграниче­ния доступа (агентурным путем, используя халатность пользователей, путем подбора, имитации интерфейса системы и т. п. с последующей маскировкой под зарегистрированного пользователя («маскарад»);

Активные угрозы - нарушение нормального функционирования системы путем целенаправленного воздействия на ее компоненты.

Способы реализации:

А) вывод из строя ПК или операционной системы;

Б) нарушение работы каналов связи;

В) взлом системы защиты;

Г) использование программных вирусов и др.

 

2. Внутренние и внешние угрозы.

Внутренними нарушителями могут быть лицаиз следующих ка­тегорий персонала:

§ вспомогательный и обслуживающий персонал (операторы, электрики, техники) системы;

§ сотрудники отделов разработки и сопровождения программно­го обеспечения (прикладные и системные программисты);

§ сотрудники службы безопасности АИТУ;

§ руководители различного уровня должностной иерархии.

По данным исследований , проводимых в БИС более 80% нарушений совершается служащими банка

 

Посторонние лица, которые могут быть внешними нарушителями.

§ клиенты (представители организаций, граждане);

§ посетители (приглашенные по какому-либо поводу);

§ представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теп­лоснабжение и т. п.);

представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;

 

2.Методы и средства защиты

Система защиты — это совокупность (комплекс) специальных мер правового (законодательного) (административного характера, организационных мероприятий, фи­зических и технических (программно-аппаратных) средств защиты, а также специального персонала, предназначенных для обеспечения безопасности информации, информационных технологий и автоматизированной системы в целом.

В международной и Российской практике используются стандарты, позволяющие дать оценку уровня безопасности компьютерных систем. В США документ, содержащий эти стандарты называется Оранжевой книгой. (1985 г.). В ней приводятся следующие уровни безопасности систем:

· Высший класс- А;

· Промежуточный класс –В;

· Низкий уровень – С;

· Класс систем, не прошедших испытания –Д.

В российской практике Государственной технической комиссией при президенте РФ разработан руководящий документ, предусматривающий установление 7 классов защищенности СВТ от несанкционированного доступа. При этом защитные мероприятия охватывают подсистемы:

· Управления доступом;

· Регистрации и учета;

· Криптографическая;

· Обеспечение целостности;

· Законодательные меры;

· Физические меры.

Методы и средства обеспечения безопасности информации пока­заны на рис.2. Рассмотрим основное содержание представленных методов защиты информации, которые составляют основу механиз­мов защиты.