Технология защиты данных

Размещено на http://www.allbest.ru/

МИНИСТЕРСВО СЕЛЬСКОГО ХОЗЯЙСТВА

ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ

ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФФЕСИОНАЛЬНОГО ОБРАЗОВАНИЯ

СТАВРОПОЛЬСКИЙ ГОСУДАРСТВЕННЫЙ АГРАНЫЙ УНИВЕРСИТЕТ

Факультет Экономический

Кафедра Информационных систем и технологий

КУРСОВАЯ РАБОТА

на тему: Технология защиты данных

по дисциплине: Информационные технологии управления

Выполнила студентка 5 курса, 6 группы

Дробина Мария Андреевна

Проверил: доцент кафедры информационных систем

и технологий, к.т.н., Рачков В.Е.

Ставрополь, 2011



Содержание

Введение

Глава 1. Рынок информации и информационные угрозы

1.1 Характеристика понятия «рынок информации»

1.2 Информационные угрозы и их виды

Глава 2. Технология защиты данных: способы защиты информации

2.1 Методы обеспечения защиты информации

2.2 Сущность криптографической защиты данных

2.3 Средства защиты информации: физические, программные и аппаратные

Заключение

Список литературы

Приложение

криптографический программный защита аппаратный



Введение

Высокий темп внедрения вычислительных средств во все сферы жизнедеятельности человека стал причиной стремительного повышения количества угроз безопасности людей. Это связано с тем, что информация, как результат автоматизированной обработки, с каждым годом определяет действия не только все большего числа людей, но и все большего числа технических систем, созданных человеком. Отсюда становятся понятны последствия потери, подлога или хищения данных, хранящихся в вычислительных системах, а также нарушения работоспособности самих вычислительных средств.

Актуальность темы заключается в том, что информация в личных или служебных компьютерах, а также на сетевых серверах имеет большую ценность и ее утрата или модификация может принести значимый материальный ущерб.

Значимость информации для людей и организаций приводит к необходимости освоения средств и методов надежного хранения ее в ЭВМ, а также к ограничению доступа к информации для третьих лиц.

Цель курсовой работы - всесторонне проанализировать способы защиты и средства ограничения доступа к информации, раскрыть технологию защиты данных.

Для выполнения цели необходимо решить следующие задачи:

- ознакомиться с понятием «рынок информации»,

- охарактеризовать виды информационных угроз,

- рассмотреть основные составляющие информационной безопасности и основные способы ее защиты.

Объектом курсовой работы является технология защиты данных.

Предметом курсовой работы выступают способы защиты информации и ограничения доступа.

Курсовая работа состоит из введения, двух глав, заключения, списка литературы и двух приложений.

В первой главе рассмотрим понятия рынок информации, информационные ресурсы и услуги, а также дадим определение и рассмотрим классификацию информационных угроз.

Во второй главе курсовой работы мы опишем методы обеспечения защиты информации, в том числе криптографическую защиту данных, рассмотрим средства защиты информации.



1. Рынок информации и информационные угрозы

1.1 Характеристика понятия «рынок информации»

Рынок - это пространство, в котором происходит обмен между производителями товара - его продавцами и его потребителями - покупателями. Иначе рынок можно определить как совокупность продавцов и покупателей, осуществляющих обмен в форме продажи товара и его покупки. Продавец - субъект рынка получает компенсацию в денежной форме в соответствии с потребительской стоимостью своего товара.

Рынок информации возникает тогда, когда у людей рождаются информационные потребности и удовлетворяющая их информация становится ценным товаром. С развитием экономики в крупнейших странах, с укреплением национальных и международных рынков - как торговых, финансовых, так и промышленных - формируется и информационный рынок.

Развитие информационного рынка, отношения на нем между производителями товара и его потребителями регулируются и закономерностями так называемого воспроизводительного потребления. Суть и особенности этого процесса и соответствующего ему понятия были раскрыты известными экономистами, прежде всего К. Марксом. Потребление, по их мнению, создает потребность в новом производстве, побуждает к его развитию. Без потребности в каком-либо продукте нет его производства. Но именно потребление продукта воспроизводит потребность в нем.

Отношения между производством и потреблением приобретают диалектический характер. Производство в свою очередь приводит к возникновению потребления, создавая побуждение к нему. Эти отношения определяют особенности ситуации, возникающей и на информационном рынке.

Информация на ее рынке находится в постоянном движении, перетекает из одного сегмента в другой, от одного продавца - ее производителя к другому - посреднику в процессе продажи. Жизнь информации коротка. Ее цена колеблется в зависимости от ее актуальности, способности привлечь возможно большее количество покупателей. На рынке информации всегда идет конкурентная борьба между производителями, продавцами, стремящимися дороже продать свой товар, и покупателями, желающими приобрести эту информацию дешевле.

В настоящее время во многих странах сформировался национальный рынок информационных ресурсов. Рынок информации во многом похож на рынок традиционных ресурсов, так как имеет определенную номенклатуру товаров, в качестве которых выступают информационные продукты и услуги:

1. Информация бытового характера о доступе к «обычным» товарам и услугам и их стоимости;

2. Информация научно-технического характера (патенты, научные статьи);

3. Информационные технологии, компьютерные программы;

4. Базы данных, информационные системы и другое.

Как и на любом рынке, на рынке информационных товаров и услуг есть продавцы и покупатели. Продавцами обычно являются производители информации или ее собственники:

1. Центры, в которых создаются и хранятся базы данных;

2. Службы связи и телекоммуникации;

3. Бытовые службы;

4. Специализированные коммерческие фирмы, занимающиеся куплей - продажей информации (рекламные агентства);

5. Неспециализированные фирмы, выпускающие «обычные» товары, а в качестве дополнительной продукции - информацию о них;

6. Консультационные (консалтинговые) фирмы;

7. Биржи;

8. Частные лица (например, программисты) и другие.

Информационные услуги - это особый вид товара на информационном рынке. Примером информационной услуги является подбор литературы по теме, нужной заказчику, в библиотеке. Оказание информационных услуг возможно лишь при наличии баз данных по соответствующим темам (как в компьютерном, так и не в компьютерном варианте).

Во многих странах мира (в том числе и в России) существуют специальные институты, которые обрабатывают научно - техническую информацию по многим областям знаний и готовят по ней обзоры, рефераты, краткую информацию. Без таких услуг практически невозможна деятельность ученых и специалистов.

Информационные услуги в сфере бизнеса заключаются в предоставлении определенной деловой информации, консультациях по нужным заказчику темам. Информационные услуги в сфере коммуникаций оказывают операторы связи и провайдеры сети Интернет (организации, которые за плату осуществляют доступ пользователей во Всемирные сети и их обслуживание). Некоторые виды услуг по обучению и повышению квалификации также можно рассматривать как информационные (например, обучение на расстоянии с использованием телекоммуникационной сети).

Уровень развитости сферы информационных услуг во многом определяет степень приближенности общества к информационному.

В своем развитии рынок информационных товаров и услуг прошел несколько стадий. Его формирование по времени совпало с появлением первых ЭВМ (это происходило во второй половине XX века). Это совпадение в значительной степени является случайным, поскольку первые ЭВМ еще не создавали информационной инфраструктуры. Бурный расцвет науки и техники в то время привел к созданию первых профессиональных информационных служб в различных областях деятельности. Соответствующий рынок был ориентирован на узкий слой ученых и специалистов.

По-настоящему рынок информационных товаров и услуг расцвел после широкого внедрения микрокомпьютеров и телекоммуникационных систем, основанных на использовании микрокомпьютеров. Решающую роль в формировании рынка информационных товаров и услуг сыграло создание баз данных по множеству областей знаний и человеческой деятельности. Массовый характер этот процесс принял в 1980-е годы. К этому времени появились первые признаки глобализации информационного рынка, и начался международный обмен информацией. Ведущими странами на информационном рынке в настоящее время являются США, Япония и некоторые страны Западной Европы.

В настоящее время развитие информационного рынка происходит и в России. Важнейшими компонентами российского рынка информационных услуг являются данные об информационном оборудовании, компьютерах, компьютерных сетях и соответствующих технологиях. Значительную часть предлагаемых товаров составляют справочные системы разного назначения. Существуют специальные службы обработки информации по заказу клиентов, службы продажи билетов и другое. Немало на данном рынке финансовой и статистической информации, есть информация по образовательным услугам и организации досуга.

Российский информационный рынок пока значительно уступает рынку развитых стран и по структуре, и по номенклатуре товаров. Очень ограничен доступ к первоисточникам научно - технической информации (статьям, рефератам специального назначения, библиографической литературе, библиотекам). Без этого не может быть устойчивого развития в соответствующих областях.

Необходимое условие функционирования рынка недвижимости - наличие информационной инфраструктуры, обеспечивающей субъекты рынка актуальной, полной и достоверной информацией.

Муниципальную недвижимость следует рассматривать как вид недвижимого имущества. Однако, если деление недвижимости на конкретные объекты - земельные участки, здания, сооружения и пр. происходит, как правило, по материальному критерию (наличие их неразрывной связи с землей), то муниципальную недвижимость можно выделить из «просто» недвижимости по субъекту осуществления прав собственности на данный объект.

Согласно п. 2 ст. 212 Гражданского кодекса РФ, имущество может находиться в собственности граждан и юридических лиц (частная недвижимость), Российской Федерации и субъектов Российской Федерации (государственная недвижимость), муниципальных образований (муниципальная недвижимость).

Основываясь на приведенной норме, муниципальную недвижимость коротко можно охарактеризовать как недвижимость, принадлежащую на праве собственности муниципальному образованию.

Таким образом, под муниципальной недвижимостью подразумеваются различного рода сооружения, жилые и нежилые комплексы, инженерные коммуникации, находящиеся в ведении муниципальных образований.

Правами по управлению муниципальной недвижимостью обладает не государство, в лице своих органов, а общественная самоуправляющаяся структура, действующая либо непосредственно через входящее в ее состав население, либо посредством создаваемых органов - органов местного самоуправления.

Необходимым условием функционирования рынка недвижимости является наличие информационной инфраструктуры, обеспечивающей субъекты рынка актуальной, полной и достоверной информацией о структуре спроса и предложения на объекты рынка, о «правилах игры» на рынке.

Основными источниками информации могут быть:

- федеральное законодательство и законодательство субъектов Федерации;

- информация, полученная от официальных и неофициальных лиц, официальные и неофициальные материалы органов власти и корпораций;

- заявки продавцов и покупателей, лиц, желающих обменять один объект недвижимости на другой;

- средства массовой информации.

ИС управления муниципальной недвижимостью включает:

- взаимосвязанный комплекс моделей и программ, обеспечивающих функционирование системы;

- информационный фонд -- совокупность баз данных, используемых потребителями информации.

Информационные системы управления муниципальной недвижимостью разрабатываются на основе интегрированной базы данных по имеющимся площадям, которая позволяет комплексно управлять деловыми процессами, связанными с недвижимостью.

К основным задачам, решаемым ИС управления муниципальной недвижимостью, относятся:

- информационная поддержка федеральных, муниципальных органов, предприятий, учреждений и организаций, использующих государственное и муниципальное недвижимое имущество, в управлении недвижимостью;

- выдача структурированной информации по запросам пользователей;

- создание банка данных по недвижимости и обеспечение участников рынка необходимой информацией.

Информация, используемая для управления недвижимостью, может включать следующие составляющие:

- техническую информацию (карты земельных участков, их площадь, этажность объектов, поэтажные планы, характеристики конструктивных элементов, описание инженерных систем);

- юридическую информацию (документация по объекту, охранные обязательства, договоры, справки);

- экономическую информацию (налогообложение и страхование, рыночная стоимость объекта, дебиторская задолженность);

- маркетинговую информацию (планы помещений, удобства, дополнительные услуги, историко-архитектурные справки).

Органы государственною и муниципального управления должны иметь возможность публиковать результаты мониторинга процессов, протекающих на рынке недвижимости, результаты наблюдения за деятельностью профессиональных участников рынка недвижимости, информацию о нормативно-правовых актах, регулирующих отношения на рынке.

Постепенно в обществе начинает формироваться следующий факт: если информация - товар, то за нее надо платить, иначе разрушается сама основа рынка. Рынок программного обеспечения в РФ мог бы быть гораздо более развитым, если бы не происходило массового «пиратского» копирования программ. По мере совершенствования социально-экономических отношений подобная практика должна уйти в прошлое[4].

Информационные ресурсы являются предметом торговли на информационном рынке. Информационный рынок - это система экономических, правовых и организационных отношений по торговле продуктами интеллектуального труда.

Информационный ресурс на информационном рынке рассматривается в двух аспектах:

1. Как материальный продукт, который можно продавать и покупать;

2. Как интеллектуальный продукт с авторским правом.

Информационный рынок является частным случаем рынка товаров и услуг. На информационном рынке действуют абсолютно все экономические законы, которые присутствуют на всех рынках товаров и услуг.

Информационный рынок можно условно разделить на 3 части:

1. Техническая - включает в себя аппаратные средства;

2. Программная - включает в себя программные средства;

3. Коммуникативная - включает в себя сети и передачу данных.

Неотъемлемой частью коммуникативного раздела информационного рынка является сектор деловой информации, который включает в себя 4 сектора:

1. Сектор деловой информации.

2. Сектор юридической информации.

Он включает в себя системы доступа к электронным сборникам указов, постановлений и других документов, которые выпускаются органами государственной и местной власти.

3. Сектор информации для специалистов.

4. Сектор массовой, потребительской информации. Данный сектор можно разделить на следующие составные части:

* Информация служб новостей и агентств прессы;

* Потребительская информация - включает в себя местные новости, программы радио- и телепередач, погоду, расписание транспорта и другое.

Программную часть информационного рынка можно разделить на 3 класса:

1. Прикладное программное обеспечение;

2. Системное программное обеспечение;

3. Инструментарий программирования.

Прикладное программное обеспечение предназначено для решения задач конкретной предметной области. Это самый многочисленный класс программного обеспечения.

Классификация прикладного программного обеспечения.

1. Проблемно ориентированное программное обеспечение;

2. Методо-ориентированное программное обеспечение;

3. Программное обеспечение общего назначения;

4. Офисное программное обеспечение;

5. Программное обеспечение автоматизированного проектирования;

6. Мультимедиа, игры.

Проблемно ориентированное программное обеспечение является самым представительным классом прикладного программного обеспечения.

Класс методо-ориентированного программного обеспечения содержит программы, которые обеспечивают математические, статистические и другие методы решения задач независимо от предметной области.

Программное обеспечение общего назначения предназначено для широкого круга пользователей, которые используют в своей работе информационные технологии.

Офисное программное обеспечение представляет собой класс программ, обеспечивающих деятельность офиса:

1. Планировщики - предназначены для планирования рабочего времени, составления протоколов встреч, ведения записной и телефонной книжки.

2. Переводчики - предназначены для проверки правописания, визуального распознавания текста. Примерами являются Lingvo, Fine Reader.

3. Коммуникационные программы - предназначены для организации взаимодействия пользователей с удаленными абонентами или ресурсами сети: видеоконференции, факс и телефон, браузеры, электронная почта.

Программное обеспечение автоматизированного проектирования предназначено для поддержки работы конструкторов и технологов, для разработки чертежей и схем, для графического моделирования и конструирования, для расчетов физических параметров конструкции.

Системное программное обеспечение - это совокупность программ для обеспечения работоспособности компьютера и компьютерной сети, для создания сферы решения функциональных задач.

Системное программное обеспечение состоит из базового и сервисного системного программного обеспечения. Базовое программное обеспечение поставляется вместе с компьютером, без него не будет работать аппаратура компьютера. Сервисное программное обеспечение приобретается дополнительно, без него работа на компьютере вызывает трудности и неудобства. [6].

Часто, если не всегда, конфиденциальная информация, которая представляет ценность для компании и утечка которой чревата серьезными неприятностями - ущербом для деловой репутации, судебными исками или потерей конкурентных преимуществ, практически никак не защищена от ряда угроз.

1.2 Информационные угрозы и их виды

Информационная угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.

Информационные угрозы могут быть обусловлены:

1. естественными факторами (пожар, наводнение, и др.);

2. человеческими факторами.

Последние, в свою очередь, подразделяются на:

а) угрозы, носящие случайный, неумышленный характер. Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации;

б) угрозы, обусловленные умышленными, преднамеренными действиями людей. Это угрозы, связанные с несанкционированным доступом к ресурсам АИС.

Умышленные угрозы преследуют цель нанесения ущерба пользователям АИС и, в свою очередь, подразделяются на:

1. Пассивные угрозы - как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на их функционирование (прослушивание).

2. Активные угрозы - имеют целью нарушение нормального процесса функционирования системы посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. Источниками активных угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.

К информационным угрозам относятся:

- несанкционированный доступ к информационным ресурсам;

- незаконное копирование данных в информационных системах;

- хищение информации из библиотек, архивов, банков и баз данных;

- нарушение технологии обработки информации;

- противозаконный сбор и использование информации;

- использование информационного оружия.

К программным угрозам относятся:

- использование ошибок и "дыр" в ПО;

- компьютерные вирусы и вредоносные программы;

- установка "закладных" устройств;

К физическим угрозам относятся:

- уничтожение или разрушение средств обработки информации и связи;

- хищение носителей информации;

- хищение программных или аппаратных ключей и средств криптографической защиты данных;

- воздействие на персонал;

К радиоэлектронным угрозам относятся:

- внедрение электронных устройств перехвата информации в технические средства и помещения;

- перехват, расшифровка, подмена и уничтожение информации в каналах связи.

К организационно-правовым угрозам относятся:

- закупки несовершенных или устаревших информационных технологий и средств информатизации;

- нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере.

Умышленные угрозы также подразделяются на внутренние, возникающие внутри управляемой организации, и внешние.

Под внутренними угрозами понимаются - угрозы безопасности информации инсайдером (исполнителем) которых является внутренний по отношению к ресурсам организации субъект (инсайдер).

Внутренние угрозы:

1. Утечки информации

2. Неавторизованный доступ

Под внешними угрозами понимаются - угрозы безопасности информации инициатором (исполнителем) которых является внешний по отношению к ресурсам организации субъект (удаленный хакер, злоумышленник).

Внешние угрозы:

1. Вредоносные программы

2. Атаки хакеров

3. Спам

4. Фишинг

5. Прочее вредоносное и нежелетельное ПО (spyware, adware)

6. root kits, botnets

Формами проявления внешних угроз являются:

- заражение компьютеров вирусами или вредоносными программами;

- несанкционированный доступ (НСД) к корпоративной информации;

- информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб;

- действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;

- аварии, пожары, техногенные катастрофы.

Подробнее рассмотрим внешние угрозы.

Вредоносные программы. Под Malicious software в дальнейшем будем понимать такие программы, которые прямо или косвенно дезорганизуют процесс обработки информации или способствуют утечке или искажению информации. Существуют разновидности Malicious software, делящиеся как по способам проникновения, так и выполняемым действиям.

Разработчики антивирусных программ называют вредителей malware (сокращение от английского выражения malicious software -- «вредоносное программное обеспечение»). Но и у них нет единой и точной системы классификации. Вирус - исполняемый код, самостоятельно реплицирующий себя (либо видоизмененную вариацию). Это файловые/программные вирусы, размножающиеся путем внедрения в посторонний легитимный код. Проще говоря, вирус прикрепляет свое тело к другой программе, чтобы во время запуска последней иметь возможность стартовать самому, после чего передать управление непосредственно зараженной программе.

Хакерские атаки. Термин "хакер" раньше использовался для обозначения высококвалифицированных прoграммистов. Теперь так называют тех, кто использует уязвимости в программном oбеспечении для внедрения в компьютерную систему. Это электронный эквивалент взлома помещения. Хакеры постоянно взламывают как отдельные компьютеры, так и крупные сети.

Получив доступ к системе, они крадут конфиденциальные данные или устанавливают вредоносные программы. Они также используют взломанные компьютеры для рассылки спама. Современные приложения чрезвычайно сложны, они компилируются из тысяч строк кода. Но создаются они людьми, а людям свойственно ошибаться. Поэтому нет ничего удивительного в том, что в программы закрадываются ошибки, что делает их уязвимыми для атаки. Хакерам эти лазейки позволяют проникнуть в систему, а вирусописатели используют ошибки в коде приложений, чтобы обеспечить автоматический запуск на компьютере вредоносных программ.

Спам - это анонимные не запрошенные массовые рассылки электронной пoчты, т.е. электронный эквивалент бумажной рекламной корреспонденции, засоряющей обычные почтовые ящики. Спам чаще всего используется для рекламы тoваров и услуг. Спамеры рассылают большое количество рекламных сообщений и наживаются на тех, кто на них отвечает. Крoме того, злоумышленники используют спам для проведения фишинговых атак и распространения вредоносных программ.

Фишинговые атаки. Фишинг - это особый (современный) вид компьютерного мошенничества. Фишинг-атаки организуются так: киберпреступники создают подложный сайт, который выглядит в точности так же, как сайт банка или сайт, производящий финансовые расчеты через интернет. Затем мошенники пытаются обманным путем добиться, чтобы пользователь посетил фальшивый сайт и ввел на нем свои конфиденциальные данные - например, регистрационное имя, пароль или PIN-код. Используя их, злоумышленники крадут деньги со счетов попавшихся на удочку пользователей.

Как правило, для привлечения пользователей на подложный сайт используется массовая рассылка электронных сообщений, которые выглядят так, как будто они отправлены банком или иным реально существующим финансовым учреждением, но при этом содержат ссылку на подложный сайт. Пройдя по ссылке, вы попадаете на поддельный сайт, где вам предлагается ввести ваши учетные данные.

Часто в фишинг-сообщениях используются те же логотипы и оформление, что и в письмах настоящего банка, а также ссылки, похожие на реальный адрес банка в интернете. Кроме того, сообщение может содержать ваше имя, как будто оно действительно адресовано вам лично. В письмах мошенников обычно приводится правдоподобная причина, требующая ввода вами на сайте "банка" своих данных.

Выводы:

1. Информационный рынок - система экономических, правовых и организационных отношений по торговле информационными технологиями, информационными продуктами и услугами.

Информационные ресурсы рассматриваются в двух аспектах:

1. Как материальный продукт, который можно покупать и продавать;

2. Как интеллектуальный продукт, на который распространяется право интеллектуальной собственности, авторское право.

Источник угрозы может быть как внешним по отношению к системе, так и внутренним.

Причины внешних угроз в случае целенаправленного информационного воздействия (в случае информационной войны) скрыты в борьбе конкурирующих информационных систем за общие ресурсы, обеспечивающие системе допустимый режим существования.

Причины внутренних угроз обязаны своим существованием появлению внутри системы множества элементов, подструктур, для которых привычный режим функционирования стал в силу ряда обстоятельств недопустимым.

2. Структура рынка информации и информационных услуг - сеть организаций, накапливающих, перерабатывающих и реализующих информацию. Фирменную структуру рынка формируют:

- создатели баз данных;

- фирмы-владельцы информационных систем;

- фирмы-владельцы средств коммуникации;

- консультационно-исследовательские фирмы и внутрифирменные информационные службы;

- конечные пользователи информации.

3. Информационная угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.

Информационные угрозы могут быть обусловлены естественными и человеческими факторами.

Человеческие факторы, в свою очередь, подразделяются на:

- угрозы, носящие случайный, неумышленный характер. Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации;

- угрозы, обусловленные умышленными, преднамеренными действиями людей. Бывают внутренними и внешними.

Внутренние - утечка информации и неавторизированный доступ.

Внешние - вредоносные программы, атаки хакеров, Спам, Фишинг, прочее вредоносное и нежелетельное ПО (spyware, adware), root kits, botnets.

4. Формами проявления внешних угроз являются:

- заражение компьютеров вирусами или вредоносными программами;

- несанкционированный доступ (НСД) к корпоративной информации;

- информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб;

- действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;

- аварии, пожары, техногенные катастрофы.



2. Технология защиты данных: способы защиты информации

Современные корпорации сталкиваются с бурным ростом объемов данных, необходимых для их повседневной работы. Этот рост вызван потребностью постоянно иметь «на кончиках пальцев» финансовую, маркетинговую, техническую, статистическую и другую информацию для оперативного реагирования на изменения рыночной ситуации, поведение конкурентов и клиентов. Для этого применяются различного рода хранилища, сети хранения данных, массивы накопителей на жестких дисках и лентах.

Однако высокая степень централизации корпоративной информации делает ее более уязвимой и упрощает задачу злоумышленнику, который поставил себе цель получить доступ к этой информации. Ситуация усугубляется тем, что современные технологии хранения данных, начиная от обычного файл-сервера и заканчивая такими архитектурами, как SAN или NAS, практически не предусматривают встроенных средств разграничения доступа и защиты информации.

Рассмотрим основные уязвимости хранения данных. Поскольку информация в корпоративных сетях обычно хранится на жестких дисках и магнитных лентах, именно они представляют собой основное уязвимое место. Простейший вариант утечки конфиденциальной информации в этом случае - попадание носителя с информацией в чужие руки. Это может произойти как в результате намеренной, спланированной акции по изъятию или хищению носителей или компонентов информационной системы, так и в результате случайного попадания носителя в чужие руки - например, при отправке жесткого диска в ремонт.

Что касается магнитных лент, то с ними ситуация еще хуже. Во-первых, они довольно компактны, их можно легко вынести за пределы контролируемой территории, а пропажа будет заметна не сразу. Во-вторых, они, как правило, содержат полную копию всей информации с нескольких, а то и со всех серверов информационной системы. Наконец, существуют специальные регламенты, касающиеся восстановления бизнеса после бедствий (disaster recovery), в соответствии с которыми резервные копии информации должны храниться в специальном депозитарии или, по крайней мере, за пределами офиса, что также расширяет круг лиц, которые могут получить доступ к этим копиям, и соответственно повышает вероятность утечки.

2.1 Методы обеспечения защиты информации

обеспечения защиты информации являются следующие: препятствие, управление доступом, маскировка, регламентация, принуждение и побуждение.

Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т. П.).

Управление доступом - метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы организации (фирмы). Управление доступом включает следующие функции защиты:

- идентификацию пользователей, персонала и ресурсов информационной системы - присвоение каждому объекту персонального идентификатора (Приложение1);

- аутентификацию (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

- проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

- разрешение и создание условий работы в пределах установленного регламента;

- регистрацию (протоколирование) обращений к защищаемым ресурсам;

- реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка - метод защиты информации в автоматизированной информационной системе путем ее криптографического закрытия. Подробнее криптографическую защиту данных рассмотрим в пункте 2.2.

Принуждение - такой метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение - такой метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм.

2.2 Сущность криптографической защиты данных

Защита данных с помощью шифрования - одно из возможных решений проблемы безопасности. Зашифрованные данные становятся доступными только тем, кто знает, как их расшифровать, и поэтому похищение зашифрованных данных абсолютно бессмысленно для несанкционированных пользователей.

Наукой, изучающей математические методы защиты информации путем ее преобразования, является криптология. Криптология разделяется на два направления - криптографию и криптоанализ.

Криптография изучает методы преобразования информации, обеспечивающие ее конфиденциальность и аутентичность. Под конфиденциальностью понимают невозможность получения информации из преобразованного массива без знания дополнительной информации (ключа).

Аутентичность информации состоит в подлинности авторства и целостности.

Современная криптография включает в себя четыре крупных раздела: симметричные криптосистемы, криптосистемы с открытым ключом, системы электронной подписи, управление ключами[17].

Основные направления использования криптографических методов - передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

В качестве информации, подлежащей шифрованию и расшифрованию, а также электронной подписи будут рассматриваться тексты (сообщения), построенные на некотором алфавите. Алфавит - конечное множество используемых для кодирования информации знаков.

Криптографическая система, или шифр представляет собой семейство Т обратимых преобразований открытого текста в шифрованный. Членам этого семейства можно взаимно однозначно сопоставить число k, называемое ключом. Преобразование Тk определяется соответствующим алгоритмом и значением ключа k. Ключ - конкретное секретное состояние некоторых параметров алгоритма криптографического преобразования данных, обеспечивающее выбор одного варианта из совокупности всевозможных для данного алгоритма. Секретность ключа должна обеспечивать невозможность восстановления исходного текста по шифрованному[17].

Электронной (цифровой) подписью называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и целостность сообщения.

В настоящее время известно большое число методов криптографического закрытия информации. Классификация методов шифрования (криптоалгоритмов) может быть осуществлена по следующим признакам:

- по типу ключей: симметричные криптоалгоритмы; асимметричные криптоалгоритмы;

- по размеру блока информации: потоковые шифры; блочные шифры;

- по характеру воздействий, производимых над данными: метод замены (перестановки), метод подстановки; аналитические методы, аддитивные методы (гаммирование), комбинированные методы.

Кодирование может быть смысловое, символьное, комбинированное.

Под симметричными криптографическими системами понимаются такие криптосистемы, в которых для шифрования и расшифрования используется один и тот же ключ, хранящийся в секрете (Приложение 2).

Для пользователей это означает, что прежде, чем начать использовать систему, необходимо получить общий секретный ключ так, чтобы исключить к нему доступ потенциального злоумышленника.

Основным недостатком симметричного шифрования является то, что секретный ключ должен быть известен и отправителю, и получателю. С одной стороны, это ставит новую проблему рассылки ключей. С другой стороны, получатель на основании наличия шифрованного и расшифрованного сообщения не может доказать, что он получил это сообщение от конкретного отправителя, поскольку такое же сообщение он мог сгенерировать и сам.

В Российской Федерации установлен единый стандарт преобразования данных для систем обработки информации в сетях ЭВМ, отдельных вычислительных комплексах и ЭВМ, который определяется ГОСТ 28147-89. Он носит обязательный характер для государственных органов, организаций, предприятий, банковских и иных учреждений, чья деятельность связана с обеспечением информационной безопасности государства. Для других организаций и частных лиц ГОСТ имеет рекомендательный характер. Этот алгоритм криптографического преобразования данных предназначен для аппаратной или программной реализации, удовлетворяет криптографическим требованиям и не накладывает ограничения на степень секретности защищаемой информации.

Данный стандарт формировался с учетом мирового опыта и, в частности, были приняты во внимание недостатки и нереализованные возможности алгоритма DES, поэтому использование стандарта ГОСТ предпочтительнее. Алгоритм шифрования построен с использованием сети Фейстеля.

Сеть Фейстеля - один из методов построения блочных шифров. Сеть представляет собой определённую многократно повторяющуюся (итерированную) структуру, называющуюся ячейкой Фейстеля. При переходе от одной ячейки к другой меняется ключ, причём выбор ключа зависит от конкретного алгоритма. Операции шифрования и расшифрования на каждом этапе очень просты, и при определённой доработке совпадают, требуя только обратного порядка используемых ключей. Шифрование при помощи данной конструкции легко реализуется как на программном уровне, так и на аппаратном, что обеспечивает широкие возможности применения

Регламентация - метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму.

Еще одним обширным классом криптографических систем являются так называемые асимметричные или двухключевые системы. Эти системы характеризуются тем, что для шифрования и для расшифрования используются разные ключи, связанные между собой некоторой зависимостью. Один из ключей (например, ключ шифрования) может быть сделан общедоступным, и в этом случае проблема получения общего секретного ключа для связи отпадает(Приложение 3). Если сделать общедоступным ключ расшифрования, то на базе полученной системы можно построить систему аутентификации передаваемых сообщений. Поскольку в большинстве случаев один ключ из пары делается общедоступным, такие системы получили также название криптосистем с открытым ключом.

Первый ключ не является секретным и может быть опубликован для использования всеми пользователями системы, которые зашифровывают данные. Расшифрование данных с помощью известного ключа невозможно. Для расшифрования данных получатель зашифрованной информации использует второй ключ, который является секретным. Разумеется, ключ расшифрования не может быть определен из ключа зашифрования.

Требования к криптосистемам:

- невозможность раскрытия или осмысленной модификации информации на основе анализа ее структуры,

- совершенство используемых протоколов защиты,

- минимальный объем используемой ключевой информации,

- минимальная сложность реализации (в количестве машинных операций), ее стоимость,

- высокая оперативность.

2.3 Средства защиты информации: физические, программные и аппаратные

Указанные выше методы обеспечения информационной безопасности организации (фирмы) реализуются на практике применением различных механизмов защиты, для создания которых используются следующие основные средства: физические, программные, аппаратные, аппаратно-программные, криптографические, организационные, законодательные и морально-этические.

Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем.

Для нейтрализации утечки информации по электромагнитным каналам используют экранирующие и поглощающие материалы и изделия. При этом:

- экранирование рабочих помещений, где установлены компоненты автоматизированной информационной системы, осуществляется путем покрытия стен, пола и потолка металлизированными обоями, токопроводящей эмалью и штукатуркой, проволочными сетками или фольгой, установкой загородок из токопроводящего кирпича, многослойных стальных, алюминиевых или из специальной пластмассы листов;

- для защиты окон применяют металлизированные шторы и стекла с токопроводящим слоем;

- все отверстия закрывают металлической сеткой, соединяемой с шиной заземления или настенной экранировкой;

- на вентиляционных каналах монтируют предельные магнитные ловушки, препятствующие распространению радиоволн.

Для обнаружения внедренных «жучков» наиболее эффективным считается рентгеновское обследование. Однако реализация этого метода связана с большими организационными и техническими трудностями.

Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля.

Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия.

Программные средства защиты информации на дисках. Наиболее очевидный вариант реализации программной системы защиты информации при ее централизованном хранении предусматривает «прозрачное» шифрование данных, хранимых на жестких дисках. Это означает, что все данные при их записи на диск автоматически зашифровываются, а при чтении - расшифровываются. Шифрование выполняется программным драйвером-фильтром, ключ находится в оперативной памяти.

Такая система устанавливается на сервер, к которому непосредственно подсоединены носители с защищаемой информацией. Это могут быть обычные жесткие диски (IDE или SCSI), RAID-массивы, хранилища данных, подключаемые по Fibre Channel, и т. Д.

Обычно ядро системы состоит из двух драйверов (рис. 1). Один представляет собой фильтр ввода-вывода соответствующей подсистемы, а второй - криптоядро, реализует один или несколько алгоритмов шифрования и может быть как полноценным драйвером, так и динамической библиотекой нулевого кольца. Такая архитектура, во-первых, дает возможность использовать одно общее криптоядро для различных применений, а во-вторых, обеспечивает большую гибкость в нелегком деле преодоления законодательных ограничений в области регулирования оборота криптографических средств. Отдельные модули реализуют пользовательский интерфейс с ядром системы, при этом возможно удаленное администрирование системы, с любой рабочей станции сети или через Интернет.



Рис. 1 Архитектура системы защиты информации на дисках

Стоит также упомянуть особенность, без которой не обошелся никто из разработчиков подобных систем. Речь идет о возможности экстренного отключения ядра системы и стирания ключей шифрования из памяти сервера по специальному сигналу - «тревога». Такой сигнал также может подаваться удаленно, причем спектр устройств, обеспечивающих подачу сигнала, довольно высок - начиная от обычной кнопки, замыкающей две линии на порту RS-232, до радиобрелока, GSM-модема или датчика охранной сигнализации.

Существует ряд систем, работающих по вышеописанному принципу, причем подчеркнем, что именно российские разработчики достигли в этой области наибольших успехов. В качестве примера можно упомянуть такие продукты, как StrongDisk Server компании «Физтех-софт», «Индис-сервер» от «ЛАН Крипто» и Zserver компании SecurIT.

Генерация ключей шифрования - это наиболее тонкий момент любой системы шифрования данных. От того, как сгенерирован ключ шифрования, зависит стойкость системы: ведь любая ошибка или небрежность в реализации этого процесса может существенно упростить криптоанализ и снизить стойкость. Лучший ключ шифрования - это совершенно случайная последовательность битов, а в цифровых устройствах фактор случайности, как правило, сведен к минимуму. Наиболее целесообразный способ генерации ключей - это измерение интервалов между нажатиями клавиш в процессе работы пользователя и формирование на их основе случайной последовательности.

Кворум ключей шифрования - это новая функция, присутствующая далеко не во всех системах. Она может быть полезна в том случае, когда требуется распределить ключ шифрования среди нескольких пользователей, для снижения риска «человеческого фактора». Например, ключ шифрования по специальной формуле разбивается на n частей одинакового размера, так, что для его восстановления достаточно любых k частей (k*n). В этом случае говорят о кворуме ключей k/n.

На практике распространены схемы кворума ключей 2/2, 2/3, 2/5 и 3/5. Например, в варианте 2/3 ключ разбивается на три части и по одной выдается системному администратору, офицеру безопасности и руководителю компании. Чтобы получить доступ к зашифрованным данным, необходимо загрузить на сервер любые две части. В этом случае сохраняется гибкость системы и существенно снижается риск - компрометация какой-либо одной части ключа не приведет к компрометации зашифрованных данных.

Первоначальное зашифровывание дисков. После установки системы и генерации ключей шифрования необходимо зашифровать те диски, на которых хранится конфиденциальная информация. Эта операция выполняется один раз, сразу после установки системы и генерации ключей шифрования. В зависимости от объема шифруемого раздела первоначальное зашифровывание может занять довольно много времени; кроме того, некоторые системы монопольно блокируют доступ к шифруемому разделу, не позволяя другим процессам обращаться к нему. Это не всегда удобно, поскольку в современных условиях бизнеса простой сервера даже в ночное время не всегда приемлем. В более продвинутых продуктах реализован ряд функций, позволяющих свести время простоя сервера к минимуму. Во-первых, это так называемое фоновое шифрование раздела. В этом случае процесс шифрования раздела запускается в фоновом режиме, а доступ к разделу не блокируется. Драйвер-фильтр в каждый момент времени знает, где проходит граница между зашифрованной частью раздела и незашифрованной, и может корректно обработать операции чтения-записи.

Во-вторых, это быстрое форматирование раздела с шифрованием. Данная возможность предназначена для тех случаев, когда шифруемый раздел вообще не содержит никаких данных, например, когда система ставится на только что купленный сервер. Удивительно, но некоторые системы даже при том, что раздел пуст, все равно заставляют пользователя шифровать его.

В других системах можно просто «включить» режим прозрачного шифрования для выбранного раздела, а потом создать на нем файловую систему в процессе выполнения стандартной операции быстрого форматирования. Таким образом, получится новый зашифрованный раздел с файловой системой. Правда, такой метод подходит лишь для пустого, не содержащего полезной информации раздела.

Централизованное администрирование. Для удобства управления системой администраторская консоль должна обеспечивать одновременное управление несколькими серверами с любой рабочей станции сети или через Интернет. При этом весь трафик, передаваемый по сети, должен шифроваться, поскольку в процессе управления по открытым каналам связи могут передаваться ключи шифрования. Для взаимной аутентификации клиента и сервера и для обмена сессионными ключами, как правило, используется специальный алгоритм, например, Диффи-Хеллмана.

Программные средства защиты информации на лентах. Несмотря на кажущиеся различия, системы шифрования данных в процессе резервного копирования имеют много общего с системами защиты дисков. Тем не менее по каким-то причинам системы защиты информации на лентах не получили такого развития. Из существующих на сегодня подобных систем можно назвать только встроенную в последние версии ПО резервного копирования BrightStor ARCserve Backup от CA функциональность шифрования данных и универсальную систему Zbackup от SecurIT.

Отметим, что встраивание функционала шифрования данных в ПО резервного копирования - вполне логичный и ожидаемый процесс, поскольку в отличие от дисков, с которыми может работать практически любое приложение, запись на магнитную ленту в процессе резервного копирования выполняется одним-единственным приложением, которое перед записью вполне может эти данные зашифровать. Тем не менее такая функциональность встроена только в один программный пакет для резервного копирования на ленту, да и сама реализация, по отзывам многих экспертов, способна удовлетворить далеко не самых взыскательных пользователей.

Поэтому остановимся подробнее на универсальной системе защиты информации при ее резервном копировании на ленту Zbackup. Подчеркнем, что это не система резервного копирования, она лишь обеспечивает защиту данных на магнитных лентах, записываемых в процессе штатной работы ПО резервного копирования (например, ARCserve Backup от CA или Veritas Backup Exec) на серверах, причем таких компонентов ПО резервного копирования, которые непосредственно взаимодействуют с устройствами резервного копирования - стримерами. Иначе говоря, Zbackup устанавливается на серверах, где работают сервисы поддержки ленты (Tape Engine Service); на рабочие станции с программами - агентами резервного копирования устанавливать ее не требуется.

Шифрование проводится на уровне физических секторов, при форматировании лент и записи на них непосредственно самим ПО резервного копирования. Для запуска шифрования достаточно загрузить в систему ключ шифрования и связать его с устройством резервного копирования (стримером).

После установки Zbackup в работе программ резервного копирования ничего не меняется, но данные, содержащиеся на зашифрованных лентах, становятся недоступными для простого считывания любыми программами, поскольку данные находятся на ленте в зашифрованном виде, расшифровываются при чтении и зашифровываются при записи. При попытке чтения зашифрованных лент в программах резервного копирования без ввода соответствующих ключей шифрования такие ленты будут распознаваться как ленты неизвестного формата или пустые.

В настоящее время создано большое количество операционных систем, систем управления базами данных, сетевых пакетов и пакетов прикладных программ, включающих разнообразные средства защиты информации.

С помощью программных средств защиты решаются следующие задачи информационной безопасности:

- контроль загрузки и входа в систему с помощью персональных идентификаторов (имя, код, пароль и т. П.);

- разграничение и контроль доступа субъектов к ресурсам и компонентам системы, внешним ресурсам;

...