Методы и средства защиты информации

Создание системы информационной безопасности основывается на следующих принципах: системный подход, непрерывное развитие, разделение и минимизация полномочий, полнота контроля и регистрации попыток, обеспечение надежности системы защиты, обеспечение контроля за функционированием системы защиты, обеспечение всевозможных средств борьбы с вредоносными программами, обеспечение экономической целесообразности.

Выделяют два подхода к проблеме обеспечения ИБ:

- фрагментарный подход направлен на противодействие четко определенным угрозам в заданных условиях.;

- комплексный подход ориентирован на создание защищенной среды обработки информации, объединяющей в единый комплекс разнородные меры противодействия угрозам..

Для обеспечения ИБ используются следующие основные методы:

- законодательные (законы, нормативные акты, стандарты и т.п.);

- административно-организационные (действия общего характера, предпринимаемые руководством организации, и конкретные меры безопасности, направленные на работу с людьми);

- программно-технические (конкретные технические меры).

К законодательным методам относят комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности. Большинство людей не совершают противоправных действий потому, что это осуждается и/или наказывается обществом, и потому, что так поступать не принято.

Администратпивно-организационные метод – администрация организации должна сознавать необходимость поддержания режима безопасности и выделять на эти цели соответствующие ресурсы. Основой мер защиты административно-организационного уровня является политика безопасности и комплекс организационных мер, к которым относят методы безопасности, реализуемые людьми (управление персоналом, физическая защита, поддержание работоспособности, реагирование на нарушения режима безопасности, планирование восстановительных работ). В любой организации должен существовать набор регламентов, определяющих действия персонала в соответствующих ситуациях.

Программно-технические методы и средства:

- применение защищенных виртуальных частных сетей для защиты информации, передаваемой по открытым каналам связи;

- применение межсетевых экранов для защиты корпоративной сети от внешних угроз при подключении к общедоступным сетям связи;

- управление доступом на уровне пользователей и защита от несанкционированного доступа к информации;

- гарантированная идентификация пользователей путем применения токенов (смарт-карты, touch-memory, ключи для USB-портов и т.п.) и других средств аутентификации;

- защита информации на файловом уровне (путем шифрования файлов и каталогов) для обеспечения ее надежного хранения;

- защита от вирусов с использованием специализированных комплексов антивирусной профилактики и защиты;

- технологии обнаружения вторжений и активного исследования защищенности информационных ресурсов;

- криптографическое преобразование данных для обеспечения целостности, подлинности и конфиденциальности информации

В настоящее время для организации современных защищенных VPN-каналов широко используется комплекс стандартов сети Интернет, известный под названием IPSec (IP Security).

Средства VPN предприятия могут эффективно поддерживать защищенные каналы трех типов:

- с удаленными и мобильными сотрудниками (защищенный удаленный доступ);

- с сетями филиалов предприятий (защита intranet);

- с сетями предприятий-партнеров (защита extranet).

Поддержка IPSec является сегодня обязательным условием для перспективных VPN-продуктов.

Для защиты VPN применяются межсетевые экраны, которые реализуют относительно простую схему доступа:

- доступ контролируется в одной точке, располагающейся на пути соединения внутренней сети с сетью Интернет или другой публичной сетью, являющейся источником потенциальных угроз;

- все субъекты доступа делятся на группы по IP-адресам (внутренние и внешние пользователи);

- внешним пользователям разрешается для доступа к внутренним ресурсам сети использовать один-два популярных сервиса сети Интернет, например электронную почту, а трафик остальных сервисов отсекается.

При применении нескольких межсетевых экранов в пределах одной внутренней сети требует организации их скоординированной работы на основе единой политики доступа. Такая координация нужна для того, чтобы корректно обрабатывать пакеты пользователей независимо от того, через какую точку доступа проходит их маршрут.

Припредоставлении информации в сети для гарантированной идентификации пользователейиспользуется специальный механизм, состоящий из трех процедур:

- идентификация – процедура распознавания пользователя по его идентификатору (имени), который пользователь сообщает сети по ее запросу, сеть проверяет его наличие в своей базе данных;

- аутентификация – процедура проверки подлинности заявленного пользователя, которая позволяет достоверно убедиться, что пользователь именно тот, кем себя объявляет (в частности, пароль);

-

Рисунок 7.2 – Этапы гарантированной идентификации пользователя

Эффективным средством повышения надежности защиты данных на основе гарантированной идентификации пользователя являются электронные токены (смарт-карты, устройства touch-memory, ключи для USB-портов и т.п.), которые являются своего рода контейнерами для хранения персональных данных пользователя системы. Основное преимущество электронного токена в том, что персональная информация всегда находится на носителе (смарт-карте, ключе и т.д.) и предъявляется только во время доступа к системе или компьютеру.

Антивирусная защита является одним из важных элементов комплексной системы информационной безопасности. При применении антивирусных средств необходимо учитывать, что защищенный трафик не может быть проконтролирован этими средствами. Поэтому антивирусные средства должны устанавливаться в узлах, на которых информация хранится, обрабатывается и передается в открытом виде.

Постоянные изменения ИС (реконфигурация программных средств, подключение новых рабочих станций и т.п.) могут привести к появлению новых угроз и уязвимых мест в системе защиты. В связи с этим особенно важно своевременное их выявление и внесение изменений в соответствующие настройки системы информационной безопасности, для чего используются средства обнаружения вторжений, которыедополняют защитные функции межсетевых экранов. Межсетевые экраны пытаются отсечь потенциально опасный трафик и не пропустить его в защищаемые сегменты, в то время, как средства обнаружения вторжений анализируют результирующий трафик в защищаемых сегментах и выявляют атаки на ресурсы сети или потенциально опасные действия и могут использоваться в незащищенных сегментах, например, перед межсетевым экраном, для получения общей картины об атаках, которым подвергается сеть извне.

Особую роль в программно-технических методах защиты информации играют криптографические преобразования данных и электронная цифровая подпись.

Криптографический алгоритм, илишифр, – это математическая формула, описывающая процессы зашифрования и расшифрования. Чтобы зашифровать открытый текст, криптоалгоритм работает в сочетании с ключом – словом, числом или фразой. Одно и то же сообщение одним алгоритмом, но с разными ключами будет преобразовываться в разный шифротекст. Защищенность шифротекста целиком зависит от двух параметров: стойкости криптоалгоритма и секретности ключа.

В традиционной криптографии один и тот же ключ используется как для зашифрования, так и для расшифрования данных (рис. 7.3). Такой ключ называется симметричным ключом (закрытым). Data Encryption Standart (DES) – пример симметричного алгоритма, широко применявшегося на Западе с 70-х годов в банковской и коммерческой сферах. Алгоритм шифрования был реализован в виде интегральной схемы с длиной ключа в 64 бита (56 битов используются непосредственно для алгоритма шифрования и 8 для обнаружения ошибок). В настоящее время стандарт DES сменяет Advanced Encryption Standard (AES), где длина ключа до 256 битов.

Симметричное шифрование обеспечивает скорость выполнения криптографических операций. Однако, симметричное шифрование имеет два существенных недостатка: 1) большое количество необходимых ключей (каждому пользователю отдельный ключ); 2) сложности передачи закрытого ключа.

Для установления шифрованной связи с помощью симметричного алгоритма, отправителю и получателю нужно предварительно согласовать ключ и держать его в тайне. Если они находятся в географически удаленных местах, то должны прибегнуть к помощи доверенного посредника, например, надежного курьера, чтобы избежать компрометации ключа в ходе транспортировки. Злоумышленник, перехвативший ключ в пути, сможет позднее читать, изменять и подделывать любую информацию, зашифрованную или заверенную этим ключом.

Рисунок– Этапы шифрования с симметричным ключом

Проблема управления ключами была решена криптографией с открытым, или асимметричным, ключом, концепция которой была предложена в 1975 году. В этой схеме применяются пара ключей: открытый, который зашифровывает данные, и соответствующий ему закрытый, который их расшифровывает. Тот, кто зашифровывает данные, распространяет свой открытый ключ по всему свету, в то время, как закрытый держит в тайне. Любой человек с копией открытого ключа может зашифровать данные, но прочитать данные сможет только тот, у кого есть закрытый ключ

Рисунок– Этапы шифрования с асимметричным ключом

Хотя открытый и закрытый ключ математически связаны, вычисление закрытого ключа из открытого в практически невыполнимо.

Главное достижение асимметричного шифрования в том, что оно позволяет людям, не имеющим существующей договоренности о безопасности, обмениваться секретными сообщениями. Необходимость отправителю и получателю согласовывать тайный ключ по специальному защищенному каналу полностью отпала. Все коммуникации затрагивают только открытые ключи, тогда как закрытые хранятся в безопасности. Примерами криптосистем с открытым ключом являются Elgamal, RSA, Diffie-Hellman, DSA и др.

Дополнительное преимущество от использования криптосистем с открытым ключом состоит в том, что они предоставляют возможность создания электронных цифровых подписей (ЭЦП).Электронная цифровая подпись – это реквизит электронного документа, предназначенный для удостоверения источника данных и защиты данного электронного документа от подделки. Цифровая подпись позволяет получателю сообщения убедиться в аутентичности источника информации (иными словами, в том, кто является автором информации), а также проверить, была ли информация изменена (искажена), пока находилась в пути. Таким образом, цифровая подпись является средством аутентификации и контроля целостности данных. ЭЦП служит той же цели, что печать или собственноручный автограф на бумажном листе.

Тема 8. Проектирование корпоративных информационных систем