Что такое информатика 23 страница
Контроль целостности. В современных системах контроль целостности должен распространяться не только на отдельные порции данных, аппаратные или программные компоненты. Он обязан охватывать распределенные конфигурации, защищать от несанкционированной модификации потоки данных.
В настоящее время существует достаточно решений для контроля целостности и с системной, и с сетевой направленностью (обычно контроль выполняется прозрачным для приложений образом как часть общей протокольной активности). Стандартизован программный интерфейс к этому сервису.
Контроль защищенности. Контроль защищенности по сути представляет собой попытку «взлома» информационной системы, осуществляемого силами самой организации или уполномоченными лицами. Идея данного сервиса в том, чтобы обнаружить слабости в защите раньше злоумышленников. В первую очередь, имеются в виду не архитектурные (их ликвидировать сложно), а «оперативные» бреши, появившиеся в результате ошибок администрирования или из-за невнимания к обновлению версий программного обеспечения.
Средства контроля защищенности позволяют накапливать и многократно использовать знания об известных атаках. Очевидна их схожесть с антивирусными средствами; формально последние можно считать их подмножеством. Очевиден и реактивный, запаздывающий характер подобного контроля (он не защищает от новых атак). Следует помнить, что оборона должна быть эшелонированной, так что в качестве одного из рубежей контроль защищенности вполне адекватен. Подавляющее большинство атак носит рутинный характер; они возможны только потому, что известные уязвимости годами остаются неустраненными.
Существуют как коммерческие, так и свободно распространяемые продукты для контроля защищенности. Впрочем, в данном случае важно не просто один раз получить и установить их, но и постоянно обновлять базу данных уязвимостей. Это может оказаться не проще, чем следить за информацией о новых атаках и рекомендуемых способах противодействия.
Обнаружение отказов и оперативное восстановление. Обнаружение отказов и оперативное восстановление относятся к числу сервисов, обеспечивающих высокую доступность (готовность). Его работа опирается на элементы архитектурной безопасности, а именно на существование избыточности в аппаратно-программной конфигурации.
В настоящее время спектр программных и аппаратных средств данного класса можно считать сформировавшимся. На программном уровне соответствующие функции берет на себя программное обеспечение промежуточного слоя. Среди аппаратно-программных продуктов стандартом стали кластерные конфигурации. Восстановление производится действительно оперативно (десятки секунд, в крайнем случае, минуты), прозрачным для приложений образом.
Обнаружение отказов и оперативное восстановление может играть по отношению к другим средствам безопасности роль инфраструктурного сервиса, обеспечивая высокую готовность последних. Это особенно важно для межсетевых экранов, средств поддержки виртуальных частных сетей, серверов аутентификации, нормальное функционирование которых критически важно для корпоративной информационной системы в целом. Такие комбинированные продукты получают все более широкое распространение.
Управление. Управление относится к числу инфраструктурных сервисов, обеспечивающих нормальную работу функционально полезных компонентов и средств безопасности. Сложность современных систем такова, что без правильно организованного управления они постепенно (а иногда и довольно быстро) деградируют как в плане эффективности, так и в плане защищенности.
Особенно важной функцией управления является контроль согласованности конфигураций различных компонентов (имеется в виду семантическая согласованность, относящаяся, например, к наборам правил нескольких межсетевых экранов). Процесс администрирования идет постоянно; требуется, однако, чтобы при этом не нарушалась политика безопасности.
Место сервисов безопасности в архитектуре информационных систем. Выше был перечислен десяток сервисов безопасности. Как объединить их для создания эшелонированной обороны, каково их место в общей архитектуре информационных систем?
На внешнем рубеже располагаются средства выявления злоумышленной активности и контроля защищенности. Далее идут межсетевые экраны, защищающие внешние подключения. Они вместе со средствами поддержки виртуальных частных сетей (обычно объединяемых с межсетевыми экранами) образуют периметр безопасности, отделяющий корпоративную систему от внешнего мира.
Сервис активного аудита должен присутствовать во всех критически важных компонентах и, в частности, в защитных. Это позволит быстро обнаружить атаку, даже если по каким-либо причинам она окажется успешной.
Управление доступом также должно присутствовать на всех сервисах, функционально полезных и инфраструктурных. Доступу должна предшествовать идентификация и аутентификация субъектов.
Криптографические средства целесообразно выносить на специальные шлюзы, где им может быть обеспечено квалифицированное администрирование. Масштабы пользовательской криптографии следует минимизировать.
Наконец, последний рубеж образуют средства пассивного аудита, помогающие оценить последствия нарушения безопасности, найти виновного, выяснить, почему успех атаки стал возможным.
Расположение средств обеспечения высокой доступности определяется критичностью соответствующих сервисов или их компонентов. Для обеспечения доступности (непрерывности функционирования) могут применяться следующие защитные меры:
• внесение в конфигурацию той или иной формы избыточности (резервное оборудование, запасные каналы связи и т.п.). Это элемент архитектурной безопасности, рассматриваемой в следующем разделе;
• наличие средств обнаружения отказов. Если требуется постоянная высокая готовность, необходим специализированный сервис. В остальных случаях достаточно протоколирования/аудита в квазиреальном времени;
• наличие средств реконфигурирования для восстановления, изоляции и/или замены компонентов, отказавших или подвергшихся атаке на доступность. Это или специализированная функция, или одна из функций управления;
• рассредоточенность сетевого управления, отсутствие единой точки отказа. Это, как и следующий пункт, - элементы архитектурной безопасности;
• выделение подсетей и изоляция групп пользователей друг от друга. Данная мера ограничивает зону поражения при возможных нарушениях информационной безопасности.
Каждый компонент, вообще говоря, не обязан поддерживать все перечисленные выше сервисы безопасности. Важно, чтобы он обладал программными и/или протокольными интерфейсами для получения недостающих сервисов от других компонентов и чтобы не существовало возможности обхода основных и дополнительных защитных средств.
1. Понятие о служебной и государственной тайне
Тайна может быть: государственной, служебной, профессиональной, банковской, коммерческой (предпринимательской) и личной. В учреждениях, как правило, имеет место государственная и служебная тайны, о которых далее и будет идти речь.
В соответствии с Законом Российской Федерации «О государственной тайне» под государственной тайной понимаются защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно - розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.
По аналогии с коммерческой тайной (тайной собственника на ценную предпринимательскую информацию) под служебной тайной мы понимаем несекретные сведения ограниченного распространения, связанные с владением и распоряжением интеллектуальной собственностью на информационные ресурсы в сфере управленческих (деловых) отношений в государственных учреждениях, утрата (разглашение, утечка, уничтожение) которых может нанести ущерб его интересам и профессиональному престижу. Служебная тайна - это некоммерческая тайна ведомства, учреждения, аппарата управления предприятий и организаций, которая должна быть известна строго определенному кругу должностных лиц.
К служебной тайне нельзя относить сведения, которые не могут быть информацией ограниченного доступа или не подлежат засекречиванию, которые нарушают или ограничивают права человека, нарушают требования законодательных актов о средствах массовой информации.
Состав сведений, относящихся в учреждении к служебной тайне, регламентируется специальным перечнем, утверждаемым руководителем учреждения. Нижестоящим руководителям и исполнителям не разрешается самовольно дополнять перечень или относить к служебной тайне сведения, не включенные в перечень.
На наш взгляд, к служебной тайне можно отнести следующие некоторые основные сведения, не подлежащие открытому опубликованию, оглашению или разглашению:
• информацию о гражданах (персональные данные), в том числе о сотрудниках и членах их семей данного учреждения, подведомственных учреждений, организаций и предприятий, общественных объединений и т.д.;
• интеллектуально ценные управленческие решения неэкономического, организационного характера, не реализованные в виде конкретных документов;
• проекты и варианты распорядительных, договорных и организационных документов, неоформленные протоколы, соглашения, переписка и т.д.;
• документы и материалы, составляющие служебную или коммерческую тайну других учреждений, предприятий банков и фирм, а также поступившие в учреждение от юридических лиц с грифом ограничения доступа;
• сведения, материалы и документы, относящиеся к профессиональной тайне (врачебной тайне, тайне страхования, тайне вклада в банке, тайне переписки, тайне телефонных переговоров и т.п.);
• сведения, относящиеся к тайне голосования, поименного анкетирования и опросов;
• сведения о технических и технологических системах обеспечения информационной безопасности учреждения, системах охраны территории, зданиях, оборудования и персонала.
2. Грифы ограничения доступа
Носители информации, составляющей служебную тайну, могут иметь гриф ограничения доступа. До настоящего времени в практической деятельности учреждений достаточно широко используется гриф «Для служебного пользования». Часто он сопровождается различными пометами: «Лично», «Не для печати», «Не подлежит оглашению», «Только адресату» и многими другими, которые, как и сам гриф, лишены иногда реального смысла. Например, трудно представить себе документ, создаваемый в учреждении не для служебного пользования.
В Федеральном законе «Об информации, информатизации и защите информации» (стр. 10) установлено, что информация, отнесенная к негосударственной тайне, должна иметь гриф конфиденциальности. На основании этого можно присваивать документам, содержащим служебную тайну, грифы «Конфиденциально» или «Конфиденциальная информация» по аналогии с документами, относимых к коммерческой тайне. К грифу иногда добавляются ужесточающие пометки (например, «Строго конфиденциально») или иные пометки, связанные с рассмотрением документов, например, «Лично», «Для руководства» и др. Конфиденциальные документы иногда выделяются цветом бумаги или дискет, цветовыми индикаторами, специальными пакетами и т.п.
Массивы документов, содержащих персональные данные и другие защищаемые массивы (например, истории болезни) конфиденциальны в целом. Поэтому на каждом отдельном документе, как правило, гриф конфиденциальности не проставляется (например, на личных делах, лицевых счетах, списках сотрудников и т.п.). Не проставляется гриф конфиденциальности на неоформленных открытых документах, хотя до момента издания они составляют служебную тайну.
Установление грифа ограничения доступа является первым и основным элементом защиты документированной информации, инициирующим физическое выделение документов, имеющих этот гриф, из документопотока. Выделенные документы или включаются в специальную автономную систему обработки, или на них распространяются дополнительные меры повышенного внимания и контроля. Система грифования документов не гарантирует сохранность информации, однако позволяет четко организовать работу с документами и, в частности, сформировать систему доступа к документам персонала. Гриф может сопровождаться записью о сроке его действия или автоматическом его снятии при определенных условиях.
На неконфиденциальных, но ценных управленческих документах может делаться надпись, обязывающая персонал обращать особое внимание к сохранности такого документа, например: «Информация особого внимания», «Хранить в сейфе», «Копии не снимать», «На столе не оставлять» и т.д.
Гриф конфиденциальности присваивается:
• исполнителем на стадии подготовки к составлению проекта документа;
• руководителем структурного подразделения или руководителем учреждения на стадии согласования или подписания;
• получателем (адресатом) документа на стадии его первичной обработки, если для учреждения-получателя этот документ является конфиденциальным, но поступил без грифа.
3. Снятие грифа конфиденциальности
Снятие грифа конфиденциальности с документов, содержащих информацию, отнесенную к служебной тайне, осуществляется при:
• корректировке перечня сведений, составляющих служебную тайну учреждения;
• истечении установленного срока действия грифа;
• наступлении события, при котором гриф должен быть изменен или снят;
• неправильном установлении грифа.
После снятия грифа конфиденциальности документ передается в службу открытого документационного обеспечения учреждения. Гражданско-правовые отношения по служебной тайне, возникающие между лицами и основанные на равенстве, автономии воли и имущественной самостоятельности, регулируются положениями статьи 139 Гражданского кодекса РФ.
Институт государственной тайны следует рассматривать как элемент системы государственного управления, а защита государственной тайны как специальные режимы.
В мировом общественном мнении сложилось относительное единство взглядов по вопросу права правительства на государственную тайну - это право суверенного государства. В то же время существуют и международно-правовые ограничения на построение и функционирование национальных систем защиты средств.
Тайны, как элемент системы выживания сопровождают человечество на всем пути его развития являются частью правовой системы и могут служить своеобразным мерилом для определения политического режима в государстве. Для любого тоталитарного государства характерно гипертрофирование секретности - чрезмерное расширение объема сведений, относимых к государственной и служебной тайне. Для демократического государства характерно акцентирование внимания на защите прав человека, углубленное правовое регулирование отношений, связанных с охраной личной и семейной тайны.
Ранее в СССР существовала административно-правовая система защиты государственных тайн. При этом существовало фактически две системы тайн - государственная и партийная. Проблема определения государственной тайны решалась не на уровне закона, а на уровне правительственных постановлений. Засекречиваемые сведения подразделялись на государственную и служебную )военную) тайну.
В целях предотвращения государственных тайн в печати имела место цензура всех готовящихся публикаций.
В организации защиты государственной и коммерческой тайн много общего. Принципиальным отличием является только вопрос о собственности:
Государственная тайна - это информационная собственность государства, а коммерческая тайна является собственностью предприятия (предпринимателя). Если государственная тайна защищается от иностранных спецслужб, то коммерческая тайна - от недобросовестной конкуренции в промышленном шпионаже.
Институт государственной тайны имеет три составляющие:
1) сведения, относимые к определенному типу тайны (уровню секретности), а также принципы и критерии, по которым эти сведения классифицируются как государственная тайна;
2) режим секретности - механизм ограничения доступа к указанным сведениям, то есть механизм их защиты;
3) санкции за неправомерное получение и (или) распространение этих сведений.
Первоначально информационная безопасность отождествлялась с защитой информации. Сегодня она превратилась из технологической проблемы в социальную от решения которой зависит устойчивость функционирования общества.
Информационная безопасность триединая проблема и включает в себя:
1) обеспечение права субъектов на информацию;
2) обеспечение и поддержание должного качества информации;
3) защита информационных ресурсов субъектов информационных отношений.
Основу правового обеспечения информационной безопасности Российской Федерации составляют законы «О безопасности», «О государственной тайне», «Об информации, информатизации и защите информации», «Об участии в международном информационном обмене» и др.
Перечень сведений составляющих государственную тайну определяется федеральным законом.
12.3 Симметричное и асимметричное шифрование
Шифрование используется человечеством с того самого момента как появилась первая секретная информация, т.е. такая доступ к которой должен быть ограничен. Один из самых известных методов шифрования носит имя Цезаря, который если и сам его изобрел, то активно им пользовался.
Шифрование - это мощная алгоритмическая техника кодирования, которая защищает файлы компьютера и передаваемую по сети информацию от других пользователей не имеющих права доступа к такой информации.
Среди разнообразнейших способов шифрования можно выделить следующие основные методы:
Алгоритм замены или подстановки - символы исходного текста заменяются на символы другого (или того же) алфавита в соответствии с заранее определенной схемой, которая и будет ключом данного шифра. Отдельно этот метод в современных криптосистемах практически не используется из-за чрезвычайно низкой криптостойкости.
Алгоритмы перестановки - символы оригинального текста меняются местами по определенному принципу, являющемуся секретным ключом. Алгоритм перестановки сам по себе обладает низкой криптостойкостью, но входит в качестве элемента в очень многие современные криптосистемы.
Алгоритм гаммирования - символы исходного текста складываются с символами некой случайной последовательности. Самым распространенным примером считается шифрование файлов «имя пользователя. pwl», в которых операционная система Microsoft Windows 95 хранит пароли к сетевым ресурсам данного пользователя (пароли на вход в NT-серверы, пароли для DialUp-доступа в Интернет и т.д.). Когда пользователь вводит свой пароль при входе в Windows 95, из него по алгоритму шифрования RC4 генерируется гамма (всегда одна и та же), применяемая для шифрования сетевых паролей. Простота подбора пароля обусловливается в данном случае тем, что Windows всегда предпочитает одну и ту же гамму.
Алгоритмы, основанные на сложных математических преобразованиях исходного текста по некоторой формуле. Многие из них используют нерешенные математические задачи. Например, широко используемый в Интернете алгоритм шифрования RSA основан на свойствах простых чисел.
RSA - это система с открытым ключом (public-key) предназначенная как для шифрования, так и для аутентификации. Она основана на трудностях разложения очень больших чисел на простые сомножители.
Существует симметричное (традиционное) и асимметричное шифрование данных.
Симметричное - это шифрование с секретным ключом, которое было единственным до изобретения шифрования с открытым ключом.
Схема традиционного шифрования складывается из следующих пяти составляющих.
1. Открытый текст. Это исходное сообщение или данные, подаваемые на вход алгоритма шифрования.
2. Алгоритм шифрования. Алгоритм, выполняющий различные подстановки и преобразования в открытом тексте.
3. Секретный ключ. Секретный ключ также подается на вход алгоритму. От этого ключа зависят конкретные подстановки и преобразования в открытом тексте.
4. Шифрованный текст. Это перемешанное сообщение, получаемое на выходе алгоритма. Оно зависит от открытого текста и секретного ключа. Для одного и того же сообщения два разных ключа порождают разные шифрованные тексты.
5. Алгоритм дешифрования. По сути, это алгоритм шифрования, выполняемый в обратную сторону. Он берет шифрованный текст и тот же секретный ключ, который применялся при шифровании, и восстанавливает исходный открытый текст.
Для надежности традиционного шифрования необходимо:
1. Алгоритм шифрования должен быть достаточно стойким. Как минимум, алгоритм должен быть таким, чтобы противник, знающий алгоритм и имеющий доступ к одному или нескольким фрагментам открытого текста, не смог бы расшифровать весь текст или вычислить ключ.
2. Отправитель и получатель должны некоторым тайным образом получить копии секретного ключа и сохранять их в тайне.
Важно отметить. Что надежность традиционного шифрования зависит от секретности ключа, а не секретности алгоритма.
То есть не требуется обеспечивать секретность алгоритма - необходимо обеспечить секретность ключа.
Оставаясь в рамках симметричной системы, необходимо иметь надежный канал связи для передачи секретного ключа, но такой канал связи не всегда бывает доступен и потому американские математики Диффи, Хелман и Меркле разработали в 1976 году концепцию открытого ключа и асимметричного шифрования. В таких системах общедоступным является только ключ для процесса шифрования, а процедура дешифрования известна лишь обладателю секретного ключа.
Например, когда я хочу, чтобы мне выслали сообщение, то генерирую открытый и секретный ключи. Открытый посылают вам, вы шифруете им сообщение и отправляете мне. Дешифровать сообщение могу только я, так как секретный ключ я никому не передавал. Конечно, оба ключа связаны особым образом (в каждой криптосистеме по-разному) и распространение открытого ключа не разрушает криптостойкость системы.
Схема шифрования с открытым ключом складывается из следующих компонентов:
Открытый тест. Это текст сообщения или данные, подаваемые на вход алгоритма.
Алгоритм шифрования. Алгоритм, выполняющий определенное преобразование открытого текста.
Открытый и личный ключи. Пара ключей выбирается таким образом, чтобы тогда, когда один из них применяется для шифрования, второй можно было бы использовать для дешифрования. Конкретное преобразование, выполняющее алгоритм шифрования, зависит от открытого и личного ключа, используемого на входе алгоритма.
Шифрованный текст. Перемешанный текст сообщения, получаемый на выходе алгоритма. Зависит от открытого текста и ключа. Для одного и того же сообщения два разных ключа в результате дадут разные шифрованные тексты.
Алгоритм дешифрования. Алгоритм, с помощью которого с использованием соответствующего ключа обрабатывается шифрованный текст, чтобы в результате получился открытый текст.
Итак, открытый ключ пары делается доступным для использования другими, а личный ключ остается известным только владельцу.
Выводы:
1. Каждый пользователь генерирует пару ключей, которые предполагается использовать для шифрования и дешифрования сообщений.
2. Каждый пользователь публикует один из ключей, размещая этот ключ в открытом для всех реестре или доступном другим файле. Это и есть открытый ключ. Второй ключ, соответствующий открытому, остается в личном владении и должен сохраняться в секрете.
Лекция 13. Презентации
13.01 Общие сведения о подготовке презентации
• В деловой жизни часто приходится сталкиваться с ситуацией, когда необходимо заинтересовать людей своими достижениями, привлечь внимание к деятельности фирмы, рассказать в доступной форме о товаре, сделать доклад на конференции и пр.
• В подобных случаях неоценимую помощь может оказать программа подготовки презентации. Главное - это придумать сценарий презентации, построенный на использовании картинок, анимации, броского запоминающегося текста.
В широком смысле слова термин презентация (от англ. present - представлять) - это выступление, доклад, защита перспективного или законченного проекта, представление рабочего плана, технического предложения, готового товара или услуги, результатов внедрения, контроля, испытаний и многое другое.
Презентация - это набор слайдов, связанных между собой возможностью перехода от одного слайда к другому и хранящихся в общем файле.
Подобно тому, как текстовый документ состоит из страниц, файл презентации состоит из последовательности кадров, или слайдов.
Слайд - логически автономная информационная структура, содержащая все объекты (элементы), которые представляются на экране (на цветной пленке, листе бумаги) в виде единой композиции. Слайд - это одна страница визуального материала вне зависимости от того, куда она будет направлена - на экран дисплея, принтер или фотопленку.
Слайды, создаваемые для электронной презентации, могут содержать текст, диаграммы, рисованные объекты и фигуры, а также картинки, слайд-фильмы, звуки и графику, созданные в других приложениях. В электронную презентацию можно вносить изменения в последний момент; темп презентации регулируется установкой интервалов показа слайдов, а также использованием специальных переходов при смене слайдов и анимации. Электронную презентацию можно запустить в автономном режиме. Презентационную конференцию можно провести в сети на нескольких компьютерах.
Презентацию можно подготовить с расчетом ее эффектного показа как на экране в цвете, так и на бумаге или на прозрачной пленке, т.е. в виде материалов, распечатанных на лазерном принтере (в оттенках серой шкалы или в черно-белом виде). Перед печатью возможен предварительный просмотр презентации, а также внесение изменений. Для облегчения проведения презентации присутствующим можно представить раздаточный материал - печатный вариант презентации, содержащий по два, по три или по шесть слайдов на странице. Кроме того, для зрителей можно распечатать заметки докладчика.
Презентацию можно оформить специально для сети Web, а затем сохранить ее в одном из Web-совместимых форматов, например в формате HTML.
Прежде чем создавать презентацию необходимо тщательно продумать тему и сюжетный ход презентации, иначе говоря, разработать сценарий презентации.
Создание любой презентации предусматривает решение двух основных задач: разработка содержания презентации и проектирование ее дизайна (оформление презентации).
В презентацию могут входить элементы:
• шаблоны слайдов;
• плавные переходы между слайдами;
• звуковые эффекты при наступлении некоторых событий;
• анимация текста и изображений;
• набор изображений;
• авторские заметки.
В составе слайда могут присутствовать следующие объекты:
• заголовок (текстовый) и подзаголовок;
• графические изображения (рисунки);
• таблицы;
• диаграммы (графики);
• организационные диаграммы (оргдиаграммы);
• текст;
• звуки;
• маркированные списки;
• фон;
• номер слайда;
• дата;
• носители гиперссылок (объекты в составе слайда, которые инициируют переход к другому слайду, к другой презентации или к web- странице);
• различные внешние объекты.
13.2 Классификация презентаций
1. HTML-презентация:
• представляет собой самостоятельный сайт;
• может публиковаться как в Интернет, так и на компакт-диске;
• при наличии адаптированной навигации может использоваться докладчиком при выступлении;
2. MS PowerPoint-презентация:
• разрабатывается с использованием уникальных графических элементов, создаваемых в соответствии с фирменным стилем компании;
• как правило, используется при публичных выступлениях или на выставках, с целью усилить эффектность выступления и сделать предлагаемый вниманию слушателей материал более наглядным.
3. Flash-презентация:
• разрабатывается с использованием уникальных графических элементов, создаваемых в соответствии с фирменным стилем компании;
• может публиковаться как в сети Интернет, так и на компакт диске;
• предназначена как для использования в ходе выступления, так и для распространения на компакт дисках.
4. Презентация смешанного типа:
• использует одновременно несколько указанных выше технологий, объединенных, единым интерфейсом (программной оболочкой для просмотра);
• как правило, используются для публикации и распространения на компакт-дисках.
Презентации разрабатываются для достижения различных целей и выполняют разнообразнейшие функции от представления организаций и выпускаемой фирмой продукции до интерактивных видео экскурсий и различных подарочных изданий.
Презентации могут быть самых различных видов, например:
• представляющие государственные учреждения и коммерческие организаций;
• CD-визитки;
• каталоги в электронном виде;
• мультимедиа-руководства для обучения;
• личные архивы - электронных копий документов с возможностью интерактивного просмотра с текстовыми и голосовыми комментариями;
• представляющие дипломные работы, различного рода диссертации;
• поздравления;
Дата добавления: 2016-03-20; просмотров: 496;