Основи інформаційної безпеки в органах внутрішніх справ

[ виправити ] текст може містити помилки, будь ласка перевіряйте перш ніж використовувати.

скачати

Московський університет МВС Росії
Кафедра інформатики та математики
Контрольна робота
«Основи інформаційної безпеки в органах внутрішніх справ»
Виконала:
Бичкова Олена Миколаївна
слухач 2 курсу 2 групи
Москва - 2009

План
1. Поняття та цілі проведення спеціальних перевірок об'єктів інформатизації; основні етапи проведення перевірки
2. Уразливість комп'ютерних систем. Поняття несанкціонованого доступу (НСД). Класи і види НСД
2.1 Уразливість основних структурно-функціональних елементів розподілених АС
2.2 Загрози безпеці інформації, АС та суб'єктів інформаційних відносин

2.3 Основні види загроз безпеки суб'єктів інформаційних відносин

Список використаної літератури

1. Поняття та цілі проведення спеціальних перевірок об'єктів інформатизації; основні етапи проведення перевірки
Об'єкт інформатизації - сукупність засобів інформатизації разом з приміщеннями, в яких вони встановлені, призначені для обробки і передачі інформації, що захищається, а також виділені приміщення.
Засоби інформатизації - засоби обчислювальної техніки і зв'язку, оргтехніки, призначені для збору, накопичення, зберігання, пошуку, обробки даних та видачі інформації споживачу.
Засоби обчислювальної техніки - електронні обчислювальні машини і комплекси, персональні електронні обчислювальні машини, у тому числі програмні засоби, периферійне обладнання, пристрої телеобробки даних [1].
Об'єкт обчислювальної техніки (ОТ) - стаціонарний або рухливий об'єкт, який представляє собою комплекс засобів обчислювальної техніки, призначений для виконання певних функцій обробки інформації [2]. До об'єктів обчислювальної техніки відносяться автоматизовані системи (АС), автоматизовані робочі місця (АРМ) інформаційно-обчислювальні центри (ІОЦ) та інші комплекси засобів обчислювальної техніки.
До об'єктів обчислювальної техніки можуть бути віднесені також окремі засоби обчислювальної техніки, що виконують самостійні функції обробки інформації.
Виділене приміщення (ВП) - спеціальне приміщення, призначене для проведення зборів, нарад, бесід та інших заходів мовного характеру за секретним або конфіденційним питань.
Заходи мовного характеру можуть проводитися у виділених приміщеннях з використанням технічних засобів обробки мовної інформації (ТСОІ) і без них [3].
Технічний засіб обробки інформації (ТСОІ) - технічний засіб, призначений для прийому, зберігання, пошуку, перетворення, відображення та / або передачі інформації по каналах зв'язку.
До ТСОІ відносяться засоби обчислювальної техніки, засоби і системи зв'язку засоби запису, посилення і відтворення звуку, переговорні і телевізійні пристрої, засоби виготовлення та розмноження документів, кінопроекційна апаратура та інші технічні засоби, пов'язані з прийомом, накопиченням, зберіганням, пошуком, перетворенням, відображенням і / або передачею інформації з каналів зв'язку.
Автоматизована система (AC) - комплекс програмних і технічних засобів, призначених для автоматизації різних процесів, пов'язаних з діяльності людини. При цьому людина є ланкою системи.
Спеціальна перевірка це перевірка технічного засобу обробки інформації здійснювана з метою пошуку та вилучення спеціальних електронних закладних пристроїв (апаратних закладок).
Атестат об'єкта захисту - документ, що видається органом з сертифікації або іншим спеціально уповноваженим органом підтверджує наявність на об'єкті захисту необхідних і достатніх умов для виконання встановлених вимог і норм ефективності захисту інформації.
Атестат виділеного приміщення - документ, що видається органом з атестації (сертифікації) або іншої спеціально уповноваженим органом, що підтверджує наявність необхідних умов, що забезпечують надійну акустичну захищеність виділеного приміщення відповідно до встановлених норм і правил.
Припис на експлуатацію - документ, що містить вимоги щодо забезпечення захищеності технічного засобу обробки інформації в процесі його експлуатації.
Програма атестаційних випробувань - обов'язковий для виконання, організаційно-методичний документ, що встановлює об'єкт і цілі випробуванні, види, послідовність і обсяг проведених експериментів, порядок, умови, місце і терміни проведення випробувань, забезпечення та звітність по них, а також відповідальність за забезпечення та проведення випробувань.
Методика атестаційних випробувань - обов'язковий для виконання, організаційно-методичний документ, що включає метод випробувань, засоби і умови випробувань, відбір зразків, алгоритм виконання операцій. За визначенням одного або декількох взаємозалежних характеристик захищеності об'єкта форми подання даних і оцінювання точності, достовірності результатів.
Протокол атестаційних випробувань - документ, що містить необхідні відомості про об'єкт випробувань, застосовувані методи, засоби і умови випробувань, а також висновок за результатами випробувань, оформлений в установленому порядку.
Основні технічні засоби і системи (ОТСС) - технічні засоби і системи, а також їх комунікації, що використовуються для обробки, зберігання та передачі конфіденційної (секретною) інформації.
До ОТСС можуть ставитися засоби і системи інформатизації (засоби обчислювальної техніки, автоматизовані системи різного рівня та призначення на базі засобів обчислювальної техніки, в тому числі інформаційно-обчислювальні комплекси, мережі і системи, засоби і системи зв'язку і передачі даних) [4], технічні засоби прийому, передачі та обробки інформації (телефонії, звукозапису, звукопідсилення, звуковідтворення переговорні і телевізійні пристрої, засоби виготовлення, тиражування документів та інші технічні засоби обробки мовної, графічної відео-, смисловий і буквено-цифрової інформації) використовуються для обробки конфіденційної (секретною) інформації.
Допоміжні технічні засоби й системи (ВТСС) - технічні засоби і системи, не призначені для передачі, обробки та зберігання конфіденційної інформації, що встановлюються спільно з ОТСС або у виділених приміщеннях [5].
До них відносяться:
§ різного роду телефонні засоби та системи;
§ засоби і системи передачі даних у системі радіозв'язку;
§ засоби і системи охоронної та пожежної сигналізації;
§ засоби і системи оповіщення та сигналізації;
§ контрольно-вимірювальна апаратура;
§ засоби і системи кондиціонування;
§ засоби і системи провідної радіотрансляційної мережі та прийому програм радіомовлення і телебачення (абонентські гучномовці, системи радіомовлення, телевізори та радіоприймачі тощо);
§ засоби електронного оргтехніки.
Підготовка документів за підсумками атестаційних випробувань:
За результатами атестаційних випробувань за різними напрямами і компонентів складаються Протоколи випробувань. На підставі протоколів приймається Висновок за результатами атестації з короткою оцінкою відповідності об'єкта інформатизації вимогам з безпеки інформації, висновком про можливість видачі "Атестата відповідності" і необхідними рекомендаціями. У разі якщо об'єкт інформатизації відповідає встановленим вимогам щодо безпеки інформації, на нього видається Атестат відповідності.
Переатестація об'єкта інформатизації проводиться у разі, коли на нещодавно атестованому об'єкті були проведені зміни. До таких змін може бути віднесено:
§ зміна категорії об'єкта;
§ зміна розташування ОТСС або ВТСС;
§ заміна ОТСС або ВТСС на інші;
§ заміна технічних засобів захисту інформації;
§ зміни в монтажі та прокладанні слабкострумових і буланих кабельних лінії;
§ несанкціоноване розкриття опечатаних корпусів ОТСС або ВТСС;
§ виробництво ремонтно-будівельних робіт у виділених приміщеннях і пр.
У разі необхідності переатестації об'єкта інформатизації повторна атестація проводяться, за спрощеною програмою Спрощення полягають, в тому, що випробування проводять лише елементи, які зазнали змін.

2. Уразливість комп'ютерних систем. Поняття несанкціонованого доступу (НСД). Класи і види НСД
Як показує аналіз, більшість сучасних автоматизованих систем (АС) обробки інформації в загальному випадку являє собою територіально розподілені системи інтенсивно взаємодіючих (синхронізує) між собою за даними (ресурсів) та управлінню (подіям) локальних обчислювальних мереж (ЛОМ) та окремих ЕОМ [6] .
У розподілених АС можливі всі "традиційні" для локально розташованих (централізованих) обчислювальних систем способи несанкціонованого втручання в їх роботу і доступу до інформації. Крім того, для них характерні і нові специфічні канали проникнення в систему і несанкціонованого доступу до інформації.
Перелічимо основні з особливостей розподілених АС:
· Територіальна разнесенность компонентів системи і наявність інтенсивного обміну інформацією між ними;
· Широкий спектр використовуваних способів подання, зберігання і передачі інформації;
· Інтеграція даних різного призначення, що належать різним суб'єктам, у рамках єдиних баз даних і, навпаки, розміщення необхідних деяким суб'єктам даних в різних віддалених вузлах мережі;
· Абстрагування власників даних від фізичних структур і місця розміщення даних;
· Використання режимів розподіленої обробки даних;
· Участь у процесі автоматизованої обробки інформації великої кількості користувачів і персоналу різних категорій;
· Безпосередній і одночасний доступ до ресурсів великого числа користувачів (суб'єктів) різних категорій;
· Висока ступінь різнорідності використовуваних засобів обчислювальної техніки і зв'язку, а також їх програмного забезпечення;
· Відсутність спеціальної апаратної підтримки засобів захисту в більшості типів технічних засобів, широко використовуваних в АС.

2.1 Уразливість основних структурно-функціональних елементів розподілених АС

У загальному випадку АС складаються з наступних основних структурно-функціональних елементів:
· Робочих станцій - окремих ЕОМ або віддалених терміналів мережі, на яких реалізуються автоматизовані робочі місця користувачів (абонентів, операторів);
· Серверів або Host машин (служб файлів, друку, баз даних тощо) не виділених (чи виділених, тобто не суміщених з робочими станціями) високопродуктивних ЕОМ, призначених для реалізації функцій зберігання, друку даних, обслуговування робочих станцій мережі та т.п. дій;
· Міжмережевих мостів - елементів, що забезпечують з'єднання декількох мереж передачі даних, або декількох сегментів однієї і тієї ж мережі, що мають різні протоколи взаємодії;
· Каналів зв'язку.
Робочі станції є найбільш доступними компонентами мереж і саме з них можуть бути вжиті найбільш численні спроби вчинення несанкціонованих дій. З робочих станцій здійснюється управління процесами обробки інформації, запуск програм, введення і коректування даних, на дисках робочих станцій можуть розміщуватися важливі дані і програми обробки [7]. На відеомонітори і друкуючі пристрої робочих станцій виводиться інформація під час роботи користувачів (операторів), що виконують різні функції і мають різні повноваження з доступу до даних та інших ресурсів системи.
У особливого захисту потребують такі привабливі для зловмисників елементи мереж як сервери (Host - машини) і мости. Перші - як концентратори великих обсягів інформації, другі - як елементи, в яких здійснюється перетворення даних при узгодженні протоколів обміну в різних ділянках мережі.
Сприятливим для підвищення безпеки серверів і мостів обставиною є наявність можливостей щодо їх надійного захисту фізичними засобами та організаційними заходами в силу їх вибраного, що дозволяє скоротити до мінімуму число осіб з персоналу мережі, що мають безпосередній доступ до них. Використовуватися можуть всі можливості і засоби, від стандартних та застосування висококласних програм для подолання системи захисту.
Канали і засоби зв'язку також потребують захисту. З огляду на велику просторової протяжності ліній зв'язку (через неконтрольовану або слабо контрольовану територію) [8] практично завжди існує можливість підключення до них, або втручання в процес передачі даних. Можливі при цьому загрози докладно викладені нижче.

2.2 Загрози безпеці інформації, АС та суб'єктів інформаційних відносин

Під загрозою (взагалі) зазвичай розуміють потенційно можлива подія, дія (вплив), процес або явище, яке може призвести до нанесення шкоди будь-чиїм інтересам.
Загрозою інтересам суб'єктів інформаційних відносин будемо називати потенційно можлива подія, процес або явище, яке за допомогою впливу на інформацію або інші компоненти АС може прямо або побічно призвести до заподіяння шкоди інтересам цих суб'єктів.
У силу особливостей сучасних АС, перерахованих вище, існує дуже багато різних видів загроз безпеки суб'єктів інформаційних відносин.
Порушенням безпеки будемо називати реалізацію загрози безпеки.
У даній роботі зроблена спроба можливо більш повного охоплення загроз безпеки суб'єктів інформаційних відносин. Проте слід мати на увазі, що науково-технічний прогрес може призвести до появи принципово нових видів загроз і що витончений розум зловмисника спроможна вигадати нові способи подолання систем безпеки, НСД до даних і дезорганізації роботи АС.

2.3 Основні види загроз безпеки суб'єктів інформаційних відносин

Основними видами загроз безпеки АС та інформації є:
· Стихійні лиха і аварії (повінь, ураган, землетрус, пожежа тощо);
· Збої і відмови устаткування (технічних засобів) АС;
· Наслідки помилок проектування та розробки компонентів АС;
· Помилки експлуатації;
· Навмисні дії порушників і зловмисників (скривджених осіб з числа персоналу, злочинців, шпигунів).
Несанкціонований доступ (НСД) - доступ суб'єкта до об'єкта на порушення встановлених в системі правил розмежування доступу.
Несанкціоноване дію - дія суб'єкта на порушення встановлених в системі правил обробки інформації.
Для реалізації наведених вище заходів захисту комп'ютерних систем використовуються універсальні механізми захисту інформації [9].
До числа таких механізмів відносяться:
* Ідентифікація, аутентифікація і авторизація суб'єктів;
* Контроль (розмежування) доступу до ресурсів системи;
* Реєстрація і аналіз подій, що відбуваються в системі;
* Контроль цілісності ресурсів системи.
Механізми ідентифікації, аутентифікації та авторизації необхідні для підтвердження автентичності суб'єкта, забезпечення його роботи в системі, і визначення законності прав суб'єкта на даний об'єкт або на певні дії з ним.
Ідентифікація - це процес розпізнавання елемента системи.
Аутентифікація - це перевірка достовірності ідентифікації користувача, процесу, пристрою або іншого компонента системи; а також перевірка цілісності й авторства даних при їх зберіганні або передачі для запобігання несанкціонованої модифікації.
Авторизація - це надання суб'єкту прав на доступ до об'єкта.
Під контролем доступу будемо розуміти обмеження можливостей використання ресурсів системи програмами, процесами або іншими системами (для мережі) відповідно до правил розмежування доступу.
Основним об'єктом уваги засобів контролю доступу є спільно використовувані ресурси системи. Спільне використання об'єктів породжує ситуацію "взаємної недовіри" при якій різні користувачі одного об'єкта не можуть до кінця довіряти один одному.
Існує чотири основних способи розділення доступу суб'єктів до спільно використовуваних об'єктів:
* Фізичне - суб'єкти звертаються до фізично різних об'єктів (однотипним пристроїв, наборам даних на різних носіях і т.д.).
* Тимчасове - суб'єкти з різними правами доступу до об'єкта отримують їх у різні проміжки часу.
* Логічне - суб'єкти отримують доступ до спільно використовуваного об'єкта в рамках єдиної операційної середовища, але під контролем засобів розмежування доступу, які моделюють віртуального операційного середовища "один суб'єкт - усі об'єкти"; в цьому випадку поділ може бути реалізовано різними способами: поділ оригіналу об'єкта, поділ з копіюванням об'єкта і т.д.
* Криптографічне - усі об'єкти зберігаються в зашифрованому вигляді, права доступу визначаються наявністю ключа для розшифрування об'єкта.
Всі безліч потенційних загроз за природою їх виникнення поділяється на два класи: природні (об'єктивні) і штучні (суб'єктивні), штучні, у свою чергу, поділяються на умисні і ненавмисні.
Природні загрози - це загрози, викликані впливами на АС та її елементи об'єктивних фізичних процесів або стихійних природних явищ, які не залежать від людини.
Штучні загрози - це погрози АС, викликані діяльністю людини. Серед них, виходячи з мотивації дій, можна виділити:
* Ненавмисні (ненавмисні, випадкові) загрози, викликані помилками в проектуванні АС і її елементів, помилками в програмному забезпеченні, помилками в діях персоналу тощо;
* Навмисні (умисні) загрози, пов'язані з корисливими устремліннями людей (зловмисників).
Джерела погроз по відношенню до АС можуть бути зовнішніми або внутрішніми (компоненти самої АС - її апаратура, програми, персонал).
Основні ненавмисні штучні загрози:
1) ненавмисні дії, що призводять до часткового або повної відмови системи або руйнування апаратних, програмних, інформаційних ресурсів;
2) неправомірне відключення устаткування або зміна режимів роботи пристроїв і програм;
3) ненавмисна псування носіїв інформації;
4) запуск технологічних програм, здатних при некомпетентному використанні викликати втрату працездатності системи або здійснюють незворотні зміни в системі;
5) нелегальне впровадження та використання неврахованих програм з наступним необгрунтованим витрачанням ресурсів;
6) зараження комп'ютера вірусами;
7) необережні дії, що призводять до розголошення конфіденційної інформації, або роблять її загальнодоступною;
8) розголошення, передача або втрата атрибутів розмежування доступу;
9) проектування архітектури системи, технології обробки даних, розробка прикладних програм, з можливостями, що представляють небезпеку для працездатності системи і безпеки інформації;
10) ігнорування організаційних обмежень при роботі в системі;
11) вхід в систему в обхід засобів захисту;
12) некомпетентне використання, налаштування або неправомірне вимкнення засобів захисту персоналом служби безпеки;
13) пересилання даних за помилковою адресою абонента (пристрої);
14) введення помилкових даних;
15) ненавмисне пошкодження каналів зв'язку.

Основні навмисні штучні загрози:

1) фізичне руйнування системи або виведення з ладу всіх або окремих найбільш важливих компонентів комп'ютерної системи;
2) відключення або виведення з ладу підсистем забезпечення функціонування обчислювальних систем;
3) дії по дезорганізації функціонування системи;
4) впровадження агентів до числа персоналу системи;
5) вербування персоналу або окремих користувачів, що мають певні повноваження;
6) застосування підслуховуючих пристроїв, дистанційна фото-та відеозйомка тощо;
7) перехоплення побічних електромагнітних, акустичних та інших випромінювань пристроїв та ліній зв'язку, а також наведень активних випромінювань на допоміжні технічні засоби, що безпосередньо не беруть участь в обробці інформації (телефонні лінії, мережі живлення, опалення тощо);
8) перехоплення даних, переданих по каналах зв'язку, та їх аналіз з метою з'ясування протоколів обміну, правил входження в зв'язок і авторизації користувача і наступних спроб їх імітації для проникнення в систему;
9) розкрадання носіїв інформації;
10) несанкціоноване копіювання носіїв інформації;
11) розкрадання виробничих відходів;
12) читання залишкової інформації з оперативної пам'яті і з зовнішніх запам'ятовуючих пристроїв;
13) читання інформації з областей оперативної пам'яті, що використовуються операційною системою або іншими користувачами, в асинхронному режимі використовуючи недоліки мультизадачних операційних систем і систем програмування;
14) незаконне отримання паролів та інших реквізитів розмежування доступу з подальшою маскуванням під зареєстрованого користувача ("маскарад");
15) несанкціоноване використання терміналів користувачів, що мають унікальні фізичні характеристики, такі як номер робочої станції в мережі, фізичну адресу, адресу в системі зв'язку, апаратний блок кодування і т.п.;
16) розкриття шифрів криптозахисту інформації;
17) впровадження апаратних спецвложеній, програмних "закладок" і "вірусів" ("троянських коней" і "жучків"), тобто таких ділянок програм, які не потрібні для здійснення заявлених функцій, але дозволяють долати систему захисту, таємно і незаконно здійснювати доступ до системних ресурсів з метою реєстрації і передачі критичної інформації чи дезорганізації функціонування системи;
18) незаконне підключення до ліній зв'язку з метою роботи "між рядків", з використанням пауз у діях законного користувача від його імені з наступним введенням помилкових повідомлень або модифікацією переданих повідомлень;
19) незаконне підключення до ліній зв'язку з метою прямий підміни законного користувача шляхом його фізичного відключення після входу в систему і успішної аутентифікації з подальшим введенням дезінформації та нав'язуванням помилкових повідомлень.
Слід зауважити, що частіше за все для досягнення поставленої мети зловмисник використовує не один, а деяку сукупність з перерахованих вище шляхів.

Список використаної літератури
1. Бєлоглазов Є.Г. та ін Основи інформаційної безпеки органів внутрішніх справ: Навчальний посібник. - М.: Мосуо МВС Росії, 2005.
2. Н.І. Журавленка, В.Є. Кадулін, К.К. Борзунов. Основи інформаційної безпеки: Навчальний посібник. - М.: Мосуо МВС Росії. 2007.
3. Манді К. Захист від вторгнень. Розслідування комп'ютерних злочинів. - СПб.: Лорі, 2005.
4. Никифоров С.В. Введення в мережні технології. - М.: Фінанси і статистика, 2005. - 224c.
5. Прохода О.М. Забезпечення інтернет-безпеки. Практикум: Навчальний посібник для вузів. - М.: Гаряча лінія-Телеком, 2007.
6. Торокін А.А. Інженерно-технічний захист інформації: Навчальний посібник. - М.: «Геліос АРВ», 2005.
7. Ярочкін В.І. Інформаційна безпека: Підручник для студентів вузів. - М.: Академічний Проект; Гаудеамус, 2007.


[1] Ярочкін В.І. Інформаційна безпека: Підручник для студентів вузів. - М.: Академічний Проект; Гаудеамус, 2007. С. - 57.
[2] Белоглазов Є.Г. та ін Основи інформаційної безпеки органів внутрішніх справ: Навчальний посібник. - М.: Мосуо МВС Росії, 2005. С. - 132.
[3] Н. І. Журавленка, В. Є. Кадулін, К. К. Борзунов. Основи інформаційної безпеки: Навчальний посібник. - М.: Мосуо МВС Росії. 2007. С. - 86.
[4] Торокін А.А. Інженерно-технічний захист інформації: Навчальний посібник. - М.: «Геліос АРВ», 2005. С. - 94.
[5] Ярочкін В.І. Інформаційна безпека: Підручник для студентів вузів. - М.: Академічний Проект; Гаудеамус, 2007. С. - 112.
[6] Манді К. Захист від вторгнень. Розслідування комп'ютерних злочинів. - СПб.: Лорі, 2005. С. - 118.
[7] Никіфоров С.В. Введення в мережні технології. - М.: Фінанси і статистика, 2005. - 224c. С. - 188.
[8] Торокін А.А. Інженерно-технічний захист інформації: Навчальний посібник. - М.: «Геліос АРВ», 2005. С. - 56.
[9] Прохода О.М. Забезпечення інтернет-безпеки. Практикум: Навчальний посібник для вузів. - М.: Гаряча лінія-Телеком, 2007. С. - 142.
Додати в блог або на сайт

Цей текст може містити помилки.

Програмування, комп'ютери, інформатика і кібернетика | Контрольна робота
48.6кб. | скачати


Схожі роботи:
Основи діловодства в органах внутрішніх справ
Управління в органах внутрішніх справ
Державна служба в органах внутрішніх справ 2
Державна служба в органах внутрішніх справ
Соціальні детермінанти правопорушень в органах внутрішніх справ Ук
Призначення та організація інспектування в органах внутрішніх справ
Правові детермінанти правопорушень в органах внутрішніх справ Украї
Умови проходження державної служби в органах внутрішніх справ
Соціальні детермінанти правопорушень в органах внутрішніх справ України
© Усі права захищені
написати до нас