Objektivno, kategorija „informaciona sigurnost“ nastala je pojavom informacionih komunikacija među ljudima, kao i svešću osobe o prisustvu ljudi i njihovih interesnih zajednica koje mogu biti oštećene uticajem na sredstva informacione komunikacije, prisustvo i čiji razvoj osigurava razmjena informacija između svih elemenata društva.
Sigurnost informacija je zaštita informacija i prateće infrastrukture od slučajnih ili namjernih utjecaja prirodne ili umjetne prirode koji mogu uzrokovati neprihvatljivu štetu subjektima. informacioni odnosi. Prateća infrastruktura - sistemi za snabdevanje električnom energijom, toplotom, vodom, gasom, sistemi klimatizacije itd., kao i osoblje za održavanje. Neprihvatljiva šteta je šteta koja se ne može zanemariti.
Dok Sigurnost informacija- ovo stanje sigurnosti informacionog okruženja, zaštita podataka je aktivnost sprječavanja curenja zaštićenih informacija, neovlaštenih i nenamjernih utjecaja na zaštićene informacije, tj. proces, u cilju postizanja ovog stanja .
Informaciona sigurnost organizacije- stanje bezbednosti informacionog okruženja organizacije, obezbeđivanje njegovog formiranja, korišćenja i razvoja.
Informaciona sigurnost države- stanje očuvanosti informacionih resursa države i bezbednosti zakonska prava pojedinci i društvo u informacionoj sferi.
IN modernog društva informatička sfera ima dvije komponente: informacione tehnologije (vještački stvoren od strane čovjeka svijet tehnologije, tehnologije itd.) i informatičke i psihološke (prirodni svijet divljih životinja, uključujući samog čovjeka).
Sigurnost informacija- zaštita povjerljivosti, integriteta i dostupnosti informacija.
1. Povjerljivost: vlasništvo informacionih resursa, uključujući informacije, koje se odnose na činjenicu da neće postati dostupni i da se neće otkriti neovlašćenim licima.
2. Integritet: svojstvo izvora informacija, uključujući informacije, koje određuje njihovu tačnost i potpunost.
3. Dostupnost: svojina informacionih izvora, uključujući informacije, čime se utvrđuje mogućnost njihovog prijema i korišćenja na zahtev ovlašćenih lica.
Sistemski pristup opisu sigurnost informacija predlaže sljedeće komponente informacione sigurnosti:
1. Zakonodavni, regulatorni i naučni okvir.
2. Struktura i zadaci organa (odjeljenja) koji obezbjeđuju informatičku sigurnost.
3. Organizacione, tehničke i režimske mjere i metode (Politika sigurnosti informacija).
4. Softverske i hardverske metode i sredstva za osiguranje informacione sigurnosti.
S obzirom na uticaj na transformaciju ideja informacione bezbednosti, u razvoj informacionih komunikacija može se razlikovati nekoliko faza:
Ø I stage - prije 1816 - karakterizira upotreba prirodnim sredstvima informacione komunikacije. Tokom ovog perioda, glavni zadatak informacione sigurnosti je bio u zaštiti informacija o događajima, činjenicama, imovini, boravištu i drugih podataka koji su od vitalnog značaja za osobu lično ili zajednicu kojoj je pripadao .
Ø II faza - od 1816 - vezano za početak upotrebe umjetno stvorena tehnička sredstva električnih i radio komunikacija. Da bi se osigurala tajnost i otpornost na buku radio komunikacija, bilo je potrebno iskoristiti iskustvo prvog perioda informacione sigurnosti na višem tehnološkom nivou, tj. primjena kodiranja poruke (signala) za ispravljanje grešaka uz naknadno dekodiranje primljena poruka(signal).
Ø Faza III - od 1935 - povezana s pojavom radara i hidroakustičkih sredstava. Glavni način da se osigura sigurnost informacija u ovom periodu bio je kombinacija organizacionih i tehničke mjere usmjerena na povećanje sigurnosti radarskih objekata od djelovanja na njihove prijemne uređaje aktivnog maskiranja i pasivne simulacije elektronskih smetnji.
Ø IV stadijum - od 1946 - povezan sa pronalaskom i uvođenjem u praksu elektronskih računara(računari). Rešeni su uglavnom zadaci informacione bezbednosti metode i načine ograničavanja fizički pristup na opremu sredstava za dobijanje, obradu i prenošenje informacija .
Ø faza V - od 1965 - zbog stvaranja i razvoja lokalne informacijske i komunikacijske mreže. Zadaci informacione sigurnosti rješavani su, uglavnom, metodama i metodama fizička zaštita sredstva za dobijanje, obradu i prenošenje informacija, ujedinjena u lokalnu mrežu administriranjem i upravljanjem pristupom mrežnim resursima .
Ø VI faza - od 1973 - povezano sa upotrebom ultra-mobilni komunikacioni uređaji sa širok raspon zadataka. Prijetnje sigurnosti informacija postale su mnogo ozbiljnije. Za osiguranje informacione sigurnosti u računarskim sistemima sa bežične mreže prijenos podataka zahtijevao je razvoj novih sigurnosnih kriterija. Formirane su zajednice ljudi - hakera, usmjerenih na narušavanje informacione sigurnosti pojedinačnih korisnika, organizacija i čitavih država. Informativni resurs postao najvažniji resurs države, a osiguranje njene sigurnosti - najvažnija i obavezna komponenta nacionalne sigurnosti. Formirano zakon o informacijama - nova grana međunarodnog pravnog sistema.
Ø VII faza - od 1985 - povezano sa stvaranjem i razvojem globalnih informacionih i komunikacionih mreža koje koriste svemirsku podršku. Može se pretpostaviti da će sljedeća faza u razvoju informacione sigurnosti očigledno biti povezana sa širokom upotrebom ultramobilnih komunikacionih uređaja sa širokim spektrom zadataka i globalnom pokrivenošću u prostoru i vremenu koju pružaju svemirski informaciono-komunikacioni sistemi. Za rješavanje problema informacione sigurnosti u ovoj fazi potrebno je stvoriti makrosistem informacione sigurnosti čovječanstva pod pokroviteljstvom vodećih međunarodnih foruma. .
Svi su barem jednom čuli srceparajuće fraze o potrebi održavanja visokog nivoa sigurnosti informacija. Ove strašne priče o provalama ispunjenim vriskom i očajem. Košmarne posljedice o kojima se govori na skoro svim stranicama... Stoga, trenutno morate napuniti svoj kompjuter sigurnosnim alatima do maksimuma, kao i isjeći žice... Sigurnosnih savjeta ima puno, ali iz nekog razloga nisu bez upotreba ne radi mnogo. Razlog je na mnogo načina u nerazumijevanju tako jednostavnih stvari kao što su "šta štitimo", "od koga štitimo" i "šta želimo da dobijemo kao rezultat". Ali prvo prvo.
Sigurnost informacija ovaj pojam označava razne mjere, stanje očuvanosti, tehnologije itd., ali sve je mnogo jednostavnije. I zato, prvo sebi odgovorite na pitanje, koliko je ljudi iz vašeg okruženja barem pročitalo definiciju ovog pojma, a ne mislite samo na poređenje riječi sa njihovim značenjem? Većina ljudi sigurnost povezuje s antivirusima, zaštitnim zidovima i drugim sigurnosnim softverom. Naravno, ovi alati vam omogućavaju da zaštitite svoj računar od pretnji i povećate nivo zaštite sistema, ali malo ljudi shvata šta ti programi zapravo rade.
Kada razmišljate o sigurnosti informacija, prije svega treba početi sa sljedećim pitanjima.:
- Objekat zaštite- morate razumjeti šta tačno želite da zaštitite. Ovo su lični podaci pohranjeni na računaru (da ih drugi ljudi ne bi dobili), ovo su performanse računara (da virusi i trojanci ne dovedu sistem na nivo prvog pentiuma), ovo mrežna aktivnost(da programi pohlepni za internet ne šalju statistiku o vama svakih pola sata), ovo je dostupnost računara (da plavi ekrani smrt nije preplavila sistem), to je...
- Željeni nivo sigurnosti. Potpuno zaštićen računar je računar koji ne postoji. Koliko god se trudili, uvijek će postojati šansa da će vam računar biti hakovan. Imajte na umu i uvijek zapamtite da postoji smjer kao socijalni inženjering(dobijajte lozinke iz kanti za smeće, prisluškivanje, virkanje itd.). Međutim, to nije razlog da sistem ostavite nezaštićenim. Na primjer, da zaštitite svoj računar od većine poznatih virusa- ovo je sasvim izvodljiv zadatak, koji, zapravo, obavlja svaki običan korisnik instaliranjem jednog od popularnih antivirusnih programa na svoje računalo.
- Dozvoljeni nivo posledica. Ako shvatite da vaš računar može hakirati, na primjer, haker koji vas jednostavno zanima (desilo se da se napadaču svidjela vaša IP adresa), onda biste trebali razmisliti o prihvatljiv nivo posljedice. Sistem se pokvario - neugodno, ali ne i zastrašujuće, jer imate disk za oporavak pri ruci. Vaš kompjuter stalno posjećuje začinjene stranice - prijatne i neugodne, ali podnošljive i popravljive. Ali, na primjer, ako su vaše lične fotografije dospjele na internet, za koje niko ne bi trebao znati (ozbiljan udar na reputaciju), onda je to već značajan stepen posljedica i potrebno je poduzeti preventivne mjere (preterivanje, poduzimanje stari kompjuter bez interneta i vidi slike samo na njemu).
- Šta želite da dobijete kao rezultat? Ovo pitanje implicira puno stvari – koliko nepotrebnih radnji morate izvršiti, šta morate žrtvovati, kako zaštita treba utjecati na performanse, da li treba biti moguće dodavati programe na liste isključenja, koliko poruka i alarma treba da se pojavi na ekran (i da li bi se uopšte trebali pojaviti), kao i još mnogo toga. Danas postoji mnogo sigurnosnih alata, ali svaki od njih ima svoje prednosti i nedostatke. Na primjer, isti Windows UAC u operativnom Vista sistem nije urađeno na vrlo uspješan način, ali je već u Windows 7 dovedeno do tačke u kojoj je zaštitni alat postao relativno zgodan za korištenje.
Nakon što ste odgovorili na sva ova pitanja, biće vam mnogo lakše da shvatite kako ćete organizovati zaštitu informacija na svom računaru. Naravno, ovo nije cela lista pitanja, ali dovoljan deo obični korisnici nisu postavljeni ni od strane jednog od njih.
Instaliranje i konfigurisanje sigurnosnih alata na računaru samo je dio preduzetih koraka. Otvaranjem sumnjivih linkova i potvrdom barem svih radnji sumnjive aplikacije, lako možete negirati sve napore programa zaštite. Iz tog razloga, također vrijedi uvijek razmišljati o svojim postupcima. Na primjer, ako je vaš zadatak da zaštitite preglednik, ali ne možete izbjeći otvaranje sumnjivih linkova na bilo koji način (na primjer, zbog specifičnosti), tada uvijek možete instalirati dodatni pretraživač, koji se koristi isključivo za otvaranje sumnjivih veza, ili ekstenzija za provjeru kratkih veza. U ovom slučaju, ako se ispostavi da je bilo koji od njih phishing (krađa podataka, pristup itd.), napadač će postići malo.
Problem određivanja skupa radnji za zaštitu informacija obično leži u nedostatku odgovora na pitanja od strane prethodni stav. Na primjer, ako ne znate ili ne razumijete šta tačno želite da zaštitite, onda smislite ili pronađite neke dodatne mjere sigurnost će uvijek biti teška (osim onih uobičajenih kao što su neotvaranje sumnjivih linkova, nepohodavanje sumnjivih resursa i drugih). Pokušajmo razmotriti situaciju na primjeru zadatka zaštite ličnih podataka, koji se najčešće stavlja na čelo zaštićenih objekata.
Zaštita ličnih podataka ovo je jedan od najtežih izazova sa kojima se ljudi suočavaju. Uz brzi rast broja i sadržaja društvene mreže, informacione usluge i specijalizovani online resursi, bila bi ogromna greška misliti da je zaštita vaših ličnih podataka očuvanje bezbednosti vašeg računara. Ne tako davno, bilo je gotovo nemoguće saznati bilo šta o osobi koja živi stotinama kilometara od vas, ili čak u susjednoj kući, a da nema odgovarajućih veza. Danas skoro svako može saznati dosta ličnih podataka o svakome u samo nekoliko sati klikanja mišem u pretraživaču, ili čak i brže. Istovremeno, sve njegove radnje mogu biti apsolutno legalne, ali vi ste sami stavili informacije o sebi u javni pristup.
Svi su se susreli sa odjekom ovog efekta. Jeste li čuli da je test riječ na sigurnosno pitanje ne bi trebao biti povezan s vama i drugima? A ovo je samo mali dio. Koliko god vas to iznenadilo, ali na mnogo načina zaštita lična informacija zavisi samo od vas. Nijedan sigurnosni alat, čak i ako ne dozvoljava nikome osim vama da pristupi računaru, ne može zaštititi informacije koje se prenose izvan računara (razgovore, internet, snimke itd.). Negdje ste ostavili svoju poštu - očekujte porast neželjene pošte. Ostavili ste fotografije kako grli medvjedića na resursima trećih strana, očekujte odgovarajuće duhovite "zanate" od dosadnih autora.
Ako malo ozbiljnije, onda ogromna otvorenost internet podataka i vaša neozbiljnost / otvorenost / vjetrovitost, uz sve sigurnosne mjere, mogu poništiti ovo drugo. Iz tog razloga, potrebno je voditi računa o izboru metoda sigurnosti informacija i uključiti u njih ne samo tehnička sredstva ali i aktivnosti koje pokrivaju druge aspekte života.
Bilješka: Naravno, ne treba pretpostaviti da je podzemni bunker najbolje mjesto u životu. Međutim, razumijevanje da zaštita osobnih podataka ovisi o vama će vam dati velika prednost pred napadačima.
Metode sigurnosti informacijačesto poistovjećuju sa tehnička rješenja, ignorirajući tako ogroman rezervoar za potencijalne prijetnje kao što su radnje same osobe. Možete dati korisniku mogućnost da pokrene samo jedan program i da izvrši čišćenje za samo pet minuta, ako je to uopće moguće. Jedna poruka na forumu o čuloj informaciji može da razbije najsavršeniju zaštitu (preterivanje, o sprečavanju zaštitnih čvorova, drugim rečima, privremeni nedostatak zaštite).
Odlučiti o metodama zaštite podataka, potrebno je ne samo da tražite odgovarajuće sigurnosne alate, lijeno klikćući mišem u prozoru pretraživača, već i razmislite o tome kako se informacije mogu širiti i na šta se mogu odnositi. Kako god zvučalo, ali za ovo morate uzeti papir i olovku, a zatim razmotriti sve mogući načiniširenje informacija i sa čime se ono može povezati. Na primjer, uzmimo zadatak čuvanja lozinke što je moguće tajnije.
Situacija. ti si smislio složena lozinka, koji ni na koji način nije povezan s vama, u potpunosti ispunjava najstrože sigurnosne zahtjeve, nigdje nije ostavio niti jedno spominjanje (kao što su ostaci u memoriji računara, na disku i druge tačke se ne uzimaju u obzir), nemojte koristiti menadžeri lozinki, unesite lozinku samo sa jednog računara, koristeći sigurnu tastaturu, koristite VPN za povezivanje, pokrenite računar samo sa LiveCD-a. Jednom rečenicom, pravi paranoik i fanatik sigurnosti. Međutim, to možda neće biti dovoljno za zaštitu lozinke.
Evo nekoliko jednostavnih mogućih situacija koje jasno pokazuju potrebu za širokim pogledom na metode sigurnosti informacija:
- Šta ćete učiniti ako trebate unijeti lozinku kada su u prostoriji drugi ljudi, čak i "najbolji"? Nikada ne možete garantovati da oni nasumično neće spominjati indirektne informacije o lozinki. Na primjer, sjedenje u ugodnom okruženju u restoranu, fraza "ima takav duga lozinka, čak desetak i hrpa različiti likovi“, što prilično dobro sužava područje pogađanja lozinke za napadača.
- Šta ćete učiniti ako se to dogodi i zatreba vam druga osoba da izvrši operaciju umjesto vas? Lozinku može slučajno čuti druga osoba. Ako diktirate lozinku osobi koja je slabo upućena u kompjutere, onda je vjerovatno da će je negdje zapisati, neće biti opravdano tražiti od njega svoj fanatizam.
- Šta ćete učiniti ako se to dogodi i neko sazna za način na koji dolazite do lozinki? Takve informacije također prilično dobro sužavaju područje odabira.
- Kako možete zaštititi lozinku ako jedan od domaćina daje siguran prenos lozinka je hakovana od strane napadača? Na primjer, hakovan je VPN server preko koje pristupate internetu.
- Da li bi vaša lozinka imala smisla da je sistem koji ste koristili hakovan?
- I drugi
Naravno, to ne znači potrebu za tvrdoglavom i upornom traženjem višemjesečnih metoda zaštite informacija. Poenta je da čak i najsloženiji sistemi mogu biti razbijeni jednostavnim ljudskim manama, čije razmatranje je napušteno. Stoga, dok uređujete sigurnost svog računara, pokušajte da obratite pažnju ne samo na tehničku stranu problema, već i na svijet oko sebe.
Računalne informacione tehnologije koje se brzo razvijaju unose primjetne promjene u naše živote. Informacije su postale roba koja se može kupiti, prodati, razmijeniti. U isto vrijeme, cijena informacija je često stotinama puta veća od cijene kompjuterski sistem u kojoj je pohranjena.
Od stepena sigurnosti informacione tehnologije dobrobit, a ponekad i životi mnogih ljudi zavise od toga. Ovo je cijena složenosti i sveprisutnosti. automatizovani sistemi obrada informacija.
Ispod sigurnost informacija odnosi se na sigurnost informacionog sistema od slučajnog ili namjernog ometanja koje šteti vlasnicima ili korisnicima informacija.
U praksi su tri aspekta informacione sigurnosti najvažnija:
- dostupnost(mogućnost u razumnom roku da se dobije traženo informativna služba);
- integritet(relevantnost i konzistentnost informacija, njihova zaštita od uništavanja i neovlašćenih promjena);
- povjerljivost(zaštita od neovlašćenog čitanja).
Narušavanje dostupnosti, integriteta i povjerljivosti informacija može biti uzrokovano raznim opasnim efektima na informacione kompjuterske sisteme.
Glavne prijetnje sigurnosti informacija
Savremeni informacioni sistem je složen sistem koji se sastoji od velikog broja komponenti različitog stepena autonomije koje su međusobno povezane i razmenjuju podatke. Gotovo svaka komponenta može biti izložena vanjskim utjecajima ili pokvariti. Komponente automatizovanog informacionog sistema mogu se podeliti u sledeće grupe:
- hardver- računare i njihove komponente (procesori, monitori, terminali, periferije- disk jedinice, štampači, kontroleri, kablovi, komunikacione linije itd.);
- softvera- kupljeni programi, izvorni, objektni, boot moduli; Operativni sistemi i sistemski programi (kompajlatori, linkeri, itd.), uslužni programi, dijagnostičke programe itd.;
- podaci- pohranjeni privremeno i trajno, na magnetnim medijima, štampani, arhivi, sistemske evidencije itd.;
- osoblje- servisno osoblje i korisnici.
Opasni uticaji na kompjuterski informacioni sistem mogu se podeliti na slučajne i namerne. Analiza iskustva u projektovanju, proizvodnji i funkcionisanju informacionih sistema pokazuje da su informacije podvrgnute različitim slučajnim uticajima u svim fazama životnog ciklusa sistema. Uzroci slučajni uticaji tokom rada može biti:
- vanredne situacije zbog elementarnih nepogoda i nestanka struje;
- kvarovi i kvarovi opreme;
- softverske greške;
- greške u radu osoblja;
- smetnje u komunikacijskim linijama zbog utjecaja okoline.
Namjerni uticaji- Radi se o ciljanim radnjama počinioca. Zaposlenik, posjetitelj, konkurent, plaćenik može djelovati kao uljez. Radnje prekršioca mogu biti uzrokovane različitim motivima:
- nezadovoljstvo zaposlenog njegovom karijerom;
- mito;
- radoznalost;
- konkurentska borba;
- težnja ka samopotvrđivanju po svaku cijenu.
Možete napraviti hipotetički model potencijalnog uljeza:
- kvalifikacija prekršioca na nivou programera ovog sistema;
- počinilac bi mogao biti autsajder, i legitimnog korisnika sistema;
- prekršilac zna informacije o principima sistema;
- prekršilac bira najslabiju kariku u odbrani.
Najčešći i najrazličitiji tip kompjuterskih prekršaja je neovlašćeni pristup(NSD). NSD koristi svaku grešku u sistemu zaštite i moguć je uz neracionalan izbor zaštitnih alata, njihovu nepravilnu instalaciju i konfiguraciju.
Hajde da klasifikujemo UA kanale preko kojih je moguće izvršiti krađu, promjenu ili uništavanje informacija:
- Preko osobe:
- krađa medija za skladištenje;
- čitanje informacija sa ekrana ili tastature;
- čitanje informacija iz ispisa.
- Kroz program:
- presretanje lozinki;
- dešifriranje šifriranih informacija;
- kopiranje informacija iz medija.
- Preko hardvera:
- povezivanje posebno dizajniranog hardvera koji omogućava pristup informacijama;
- presretanje sa strane elektromagnetno zračenje od opreme, komunikacionih vodova, mreža za napajanje itd.
Posebnu pažnju treba obratiti na prijetnje kojima računarske mreže mogu biti izložene. Glavna karakteristika svake računarske mreže je da su njene komponente raspoređene u prostoru. Komunikacija između mrežnih čvorova se izvodi fizički koristeći mrežne linije i programski koristeći mehanizam poruka. U ovom slučaju, kontrolne poruke i podaci koji se šalju između mrežnih čvorova se prenose u obliku paketa za razmjenu. Računarske mreže odlikuju se činjenicom da su tzv daljinski napadi. Uljez se može locirati hiljadama kilometara od napadanog objekta, a napadnuti može biti ne samo određeni računar, već i informacije koje se prenose mrežnim komunikacijskim kanalima.
Osiguravanje sigurnosti informacija
Formiranje režima informacione bezbednosti je složen problem. Mjere za njegovo rješavanje mogu se podijeliti u pet nivoa:
- zakonodavni (zakoni, propisi, standardi, itd.);
- moralne i etičke (sve vrste normi ponašanja čije nepoštovanje dovodi do pada prestiža konkretnu osobu ili cijela organizacija)
- administrativne (opšte radnje koje preduzima menadžment organizacije);
- fizičke (mehaničke, elektro- i elektronsko-mehaničke prepreke na mogući načini prodor potencijalnih uljeza);
- hardver-softver ( elektronskih uređaja i specijalni programi za sigurnost informacija).
Jedinstveni set svih ovih mjera usmjeren je na suzbijanje sigurnosnih prijetnji kako bi se mogućnost nastanka štete svela na minimum sistem zaštite.
Pouzdan sistem zaštite mora biti u skladu sa sljedećim principima:
- Cijena zaštitne opreme trebala bi biti manja od iznosa moguće štete.
- Svaki korisnik mora imati minimalni set privilegije potrebne za posao.
- Zaštita je efikasnija od lakše za korisnika raditi sa njom.
- Mogućnost isključivanja u slučaju nužde.
- Stručnjaci koji se odnose na sistem zaštite moraju u potpunosti razumjeti principe njegovog funkcionisanja i u slučaju teških situacija adekvatno odgovoriti na njih.
- Cijeli sistem obrade informacija mora biti zaštićen.
- Programeri sistema zaštite ne bi trebali biti među onima koje će ovaj sistem kontrolisati.
- Sistem zaštite mora obezbijediti dokaze o ispravnosti svog rada.
- Osobe uključene u osiguravanje sigurnosti informacija trebaju biti lično odgovorne.
- Zaštićene objekte je svrsishodno podijeliti u grupe tako da kršenje zaštite u jednoj od grupa ne utiče na sigurnost drugih.
- Pouzdan sistem zaštite mora biti u potpunosti ispitan i dogovoren.
- Zaštita postaje efikasnija i fleksibilnija ako dozvoli administratoru da promijeni svoje postavke.
- Sigurnosni sistem treba biti dizajniran uz pretpostavku da će korisnici praviti ozbiljne greške i generalno imati najgore namjere.
- Najvažnije i najkritičnije odluke mora donijeti čovjek.
- Postojanje sigurnosnih mehanizama treba što više sakriti od korisnika čiji je rad pod kontrolom.
Sigurnost informacija o hardveru i softveru
Uprkos činjenici da moderni operativni sistemi za personalni računari, kao što su Windows 2000, Windows XP i Windows NT, imaju svoje podsisteme zaštite, relevantnost kreiranja dodatna sredstva zaštita se održava. Činjenica je da većina sistema nije u stanju da zaštiti podatke koji su izvan njih, na primjer, tokom razmjene mrežnih informacija.
hardver- softvera informacionu sigurnost možemo podijeliti u pet grupa:
- Sistemi identifikacije (prepoznavanje) i autentifikacije (autentifikacije) korisnika.
- Sistemi za šifrovanje podataka na disku.
- Sistemi za šifrovanje podataka koji se prenose preko mreža.
- Elektronski sistemi autentifikacije podataka.
- Alati za upravljanje kriptografskim ključevima.
1. Sistemi identifikacije i autentifikacije korisnika
Koriste se za ograničavanje pristupa nasumičnih i ilegalnih korisnika resursima računarskog sistema. Opšti algoritam Funkcija ovakvih sistema je da od korisnika dobiju informacije kojima se dokazuje njegov identitet, provjerava njihovu autentičnost i zatim omogući (ili ne omogući) ovom korisniku mogućnost rada sa sistemom.
Prilikom izgradnje ovih sistema javlja se problem izbora informacija na osnovu kojih se sprovode procedure identifikacije i autentifikacije korisnika. Mogu se razlikovati sljedeće vrste:
- tajni podaci koje korisnik ima (lozinka, tajni ključ, lični identifikator, itd.); korisnik mora zapamtiti ove informacije ili se za njih mogu koristiti posebna skladišta;
- fiziološki parametri osobe (otisci prstiju, crtež šarenice itd.) ili karakteristike ponašanja (osobine rada na tastaturi itd.).
Razmatraju se sistemi zasnovani na prvoj vrsti informacija tradicionalno. Sistemi koji koriste drugu vrstu informacija se nazivaju biometrijski. Treba napomenuti da postoji trend ubrzanog razvoja biometrijski sistemi identifikaciju.
2. Sistemi za šifrovanje podataka na disku
Da bi se informacija učinila beskorisnom za protivnika, koristi se skup metoda transformacije podataka tzv kriptografija[iz grčkog. cryptos- skriveno i grapho- pisanje].
Sistemi za šifrovanje mogu izvršiti kriptografske transformacije podataka na nivou datoteke ili na nivou diska. Programi prvog tipa uključuju arhivere poput ARJ i RAR, koji vam omogućavaju korištenje kriptografske metode za zaštitu arhiviranih datoteka. Primjer drugog tipa sistema je Diskreet program za šifriranje, koji je dio popularnog softverski paket Norton Utilities, Najbolji Crypto.
Još jedna karakteristika klasifikacije sistema za šifrovanje podataka na disku je način na koji oni rade. Prema načinu funkcionisanja, sistem za šifrovanje podataka na disku se deli u dve klase:
- "transparentni" sistemi za šifrovanje;
- sistemi posebno pozvani da izvrše šifriranje.
U transparentnim sistemima šifriranja (on-the-fly enkripcija), kriptografske transformacije se izvode u realnom vremenu, neprimjetno za korisnika. Na primjer, korisnik upisuje dokument pripremljen u uređivaču teksta na zaštićeni disk, a sistem zaštite ga šifrira tokom procesa pisanja.
Drugorazredni sistemi su obično pomoćni programi koje je potrebno posebno pozvati da bi izvršili šifriranje. To uključuje, na primjer, arhivere s ugrađenom zaštitom lozinkom.
Većina sistema koji nude postavljanje lozinke za dokument ne šifriraju informacije, već samo daju zahtjev za lozinkom prilikom pristupa dokumentu. Ovi sistemi uključuju MS Office, 1C i mnoge druge.
3. Sistemi šifriranja za podatke koji se prenose preko mreža
Postoje dvije glavne metode šifriranja: šifriranje kanala i terminalsko (pretplatničko) šifriranje.
Kada šifriranje kanala sve informacije koje se prenose putem komunikacijskog kanala, uključujući i servisne informacije, su zaštićene. Ova metoda šifriranja ima sljedeću prednost - ugrađivanje procedura šifriranja na sloju veze podataka omogućava korištenje hardvera, što poboljšava performanse sistema. Međutim, ovaj pristup ima i značajne nedostatke:
- enkripcija podataka usluge komplikuje mehanizam usmjeravanja mrežnih paketa i zahtijeva dešifriranje podataka u međukomunikacionim uređajima (gateway-i, repetitori, itd.);
- Šifrovanje servisnih informacija može dovesti do pojave statističkih obrazaca u šifrovanim podacima, što utiče na pouzdanost zaštite i nameće ograničenja u upotrebi kriptografskih algoritama.
Enkripcija od kraja do kraja (pretplatnika). omogućava vam da osigurate povjerljivost podataka koji se prenose između dva pretplatnika. U tom slučaju je zaštićen samo sadržaj poruka, a sve servisne informacije ostaju otvorene. Nedostatak je mogućnost analize informacija o strukturi razmjene poruka, kao što su pošiljalac i primalac, vrijeme i uvjeti prijenosa podataka, kao i količina prenesenih podataka.
4. Elektronski sistemi autentifikacije podataka
Kod razmjene podataka preko mreža nastaje problem autentifikacije autora dokumenta i samog dokumenta, tj. utvrđivanje identiteta autora i provera odsustva promena u primljenom dokumentu. Za autentifikaciju podataka koristi se kod za potvrdu autentičnosti poruke (imitacija umetanja) ili elektronski potpis.
Umetak imitacije generira se iz otvorenih podataka pomoću posebne enkripcione transformacije korištenjem tajnog ključa i prenosi se komunikacijskim kanalom na kraju šifriranih podataka. Lažno umetanje verifikuje primalac, koji poseduje tajni ključ, ponavljanjem postupka koji je prethodno izvršio pošiljalac na primljenim javnim podacima.
Electronic digitalni potpis predstavlja relativno malu količinu dodatnih informacija o autentifikaciji koje se prenose zajedno sa potpisanim tekstom. Pošiljalac generiše digitalni potpis koristeći privatni ključ pošiljaoca. Primalac potvrđuje potpis koristeći javni ključ pošiljalac.
Dakle, principi simetrične enkripcije se koriste za implementaciju imitacije umetanja i implementaciju elektronski potpis- asimetrično. Kasnije ćemo detaljnije proučiti ova dva sistema šifriranja.
5. Alati za upravljanje kriptografskim ključevima
Sigurnost bilo kojeg kriptosistema određena je kriptografskim ključevima koji se koriste. U slučaju slabog upravljanja ključevima, napadač može doći do ključnih informacija i dobiti ih pun pristup na sve informacije u sistemu ili mreži.
Postoje sljedeće vrste funkcija upravljanja ključevima: generiranje, skladištenje i distribucija ključeva.
Načini generacija ključeva za simetrične i a simetrični kriptosistemi drugačije. Za generiranje ključeva simetričnih kriptosistema koriste se alati za generiranje hardvera i softvera. slučajni brojevi. Generisanje ključeva za asimetrične kriptosisteme je teže, jer ključevi moraju imati određena matematička svojstva. Na ovom pitanju ćemo se detaljnije zadržati kada proučavamo simetrične i asimetrične kriptosisteme.
Funkcija skladištenje uključuje organizaciju sigurnog skladištenja, računovodstva i brisanja ključnih informacija. Kako bi se osiguralo sigurno skladištenje ključeva, oni su šifrirani pomoću drugih ključeva. Ovaj pristup vodi konceptu ključne hijerarhije. Hijerarhija ključeva obično uključuje glavni ključ (tj. glavni ključ), ključ za šifriranje ključa i ključ za šifriranje podataka. Treba napomenuti da je generiranje i skladištenje glavnog ključa kritično kriptografsko pitanje.
Distribucija- najodgovorniji proces u ključnom menadžmentu. Ovaj proces mora osigurati da se ključevi koji se distribuiraju čuvaju u tajnosti i moraju biti brzi i tačni. Ključevi se distribuiraju između korisnika mreže na dva načina:
- korištenje direktne razmjene ključeva sesije;
- koristeći jedan ili više ključnih distributivnih centara.
Spisak dokumenata
- O DRŽAVNOJ TAJNI. Zakon Ruska Federacija br. 5485-1 od 21. jula 1993. (sa izmjenama i dopunama Saveznog zakona br. 131-FZ od 6. oktobra 1997.).
- O INFORMACIJAMA, INFORMATIZACIJI I ZAŠTITI INFORMACIJA. Federalni zakon Ruske Federacije od 20. februara 1995. br. 24-FZ. Prihvaćeno Državna Duma 25. januara 1995.
- O PRAVNOJ ZAŠTITI PROGRAMA ZA ELEKTRONSKE RAČUNARE I BAZE PODATAKA. Zakon Ruske Federacije od 23. februara 1992. br. 3524-1.
- O ELEKTRONSKOM DIGITALNOM POTPISU. Federalni zakon Ruske Federacije od 10. januara 2002. br. 1-FZ.
- O AUTORSKOM PRAVU I SRODNIM PRAVIMA. Zakon Ruske Federacije od 9. jula 1993. br. 5351-1.
- O FEDERALNIM TIJELIMA VLADE KOMUNIKACIJE I INFORMACIJE. Zakon Ruske Federacije (sa izmjenama i dopunama Ukazom predsjednika Ruske Federacije od 24. decembra 1993. br. 2288; Federalni zakon od 7. novembra 2000. br. 135-FZ.
- Propisi o akreditaciji laboratorija za ispitivanje i sertifikacionih tijela za alate za sigurnost informacija za zahtjeve informacione sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Uputstva o postupku označavanja certifikata o usklađenosti, njihovih kopija i opreme za sigurnost informacija o certifikaciji / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Propisi o sertifikaciji objekata informatizacije za zahtjeve sigurnosti informacija / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Propisi o sertifikaciji alata za sigurnost informacija za zahtjeve informacione sigurnosti: sa dopunama u skladu sa Uredbom Vlade Ruske Federacije od 26. juna 1995. br. 608 "O sertifikaciji alata za sigurnost informacija" / Državna tehnička komisija pod predsjednikom Ruska Federacija.
- Propisi o državnom licenciranju aktivnosti u oblasti informacione sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Automatizovani sistemi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija automatizovanih sistema i zahtevi za bezbednost informacija: Vodič / Državna tehnička komisija pri predsedniku Ruske Federacije.
- Koncept zaštite novca računarska nauka i automatizovani sistemi od neovlašćenog pristupa informacijama: Uputstvo / Državna tehnička komisija pri predsedniku Ruske Federacije.
- Računarska oprema. Zaštitni zidovi. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama: Vodič / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Računarska oprema. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama: Vodič / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Zaštita podataka. Posebne sigurnosne oznake. Klasifikacija i opšti zahtjevi: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
- Zaštita od neovlaštenog pristupa informacijama. Termini i definicije: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
Sigurnost virtuelnog servera može se posmatrati samo direktno kao "Informaciona sigurnost". Mnogi su čuli ovu frazu, ali ne razumiju svi o čemu se radi?
"Informaciona sigurnost" je proces pružanja dostupnost, integritet i povjerljivost informacija.
Ispod "pristupačnost" podrazumijeva se, odnosno, pružanje pristupa informacijama. "Integritet" je osigurati tačnost i potpunost informacija. "povjerljivost" znači osiguravanje pristupa informacijama samo ovlaštenim korisnicima.
Na osnovu vaših ciljeva i zadataka koje obavljate na virtuelnom serveru, biće neophodne različite mere i stepeni zaštite koji se primenjuju za svaku od ove tri tačke.
Na primjer, ako koristite virtuelni server samo kao sredstvo za surfovanje Internetom, onda iz neophodna sredstva kako bi se osigurala sigurnost, prvo će biti korištenje sredstava antivirusna zaštita, kao i usklađenost elementarna pravila sigurnost pri radu na internetu.
U drugom slučaju, ako na serveru imate prodajnu stranicu ili server za igre, tada će potrebne mjere zaštite biti potpuno drugačije.
Znanje moguće prijetnje, kao i sigurnosne ranjivosti koje ove prijetnje obično iskorištavaju, neophodno je kako bismo odabrali najoptimalnije sigurnosne alate, za to ćemo razmotriti glavne tačke.
Ispod "prijetnja" odnosi se na mogućnost da se na ovaj ili onaj način naruši sigurnost informacija. Pokušaj izvršenja prijetnje se zove "napad", a onaj koji implementira ovaj pokušaj se zove "uljez". Prijetnja je najčešće posljedica prisustva ranjivosti u zaštiti informacionih sistema.
Razmotrite najčešće prijetnje kojima su savremeni informacioni sistemi izloženi.
Prijetnje sigurnosti informacija koje uzrokuju najveću štetu
U nastavku razmotrite klasifikaciju vrsta prijetnji prema različitim kriterijima:- Direktna prijetnja sigurnosti informacija:
- Dostupnost
- Integritet
- Povjerljivost
- Komponente koje ciljaju prijetnje:
- Podaci
- Programi
- Oprema
- Prateća infrastruktura
- Po načinu implementacije:
- slučajno ili namjerno
- prirodno ili ljudskom rukom
- Prema lokaciji izvora prijetnje su:
- Interni
- Eksterni
Primijenjene na virtuelne servere, prijetnje koje vi kao administrator servera morate uzeti u obzir su prijetnja dostupnosti podataka, povjerljivosti i integritetu. Za mogućnost izvođenja prijetnji usmjerenih na povjerljivost i integritet podataka koji se ne odnose na hardversku ili infrastrukturnu komponentu, snosite direktnu i isključivu odgovornost. Uključujući primjenu potrebnih zaštitnih mjera, ovo je vaš neposredni zadatak.
Na prijetnje usmjerene na ranjivosti programa koje koristite, često vi, kao korisnik, nećete moći utjecati, osim da ne koristite ove programe. Dozvoljeno je korištenje ovih programa samo ako implementacija prijetnji korištenjem ranjivosti ovih programa ili nije preporučljiva sa stanovišta napadača, ili nema značajnih gubitaka za vas kao korisnika.
Pružanje potrebnih sigurnosnih mjera protiv prijetnji usmjerenih na opremu, infrastrukturu ili prijetnje umjetne i prirodne prirode direktno se bavi hosting kompanija koju ste odabrali i od koje iznajmljujete svoje servere. IN ovaj slučaj Izboru je potrebno pristupiti najpažljivije, prava hosting kompanija na odgovarajućem nivou će Vam pružiti pouzdanost hardverskih i infrastrukturnih komponenti.
Vi, kao administrator virtuelnog servera, trebali biste uzeti u obzir ove vrste prijetnji samo u slučajevima kada čak i kratkotrajni gubitak pristupa ili djelomično ili potpuno zaustavljanje rada servera zbog greške hosting kompanije može dovesti do nesrazmjerne problema ili gubitaka. Ovo se dešava prilično retko, ali objektivni razlozi nijedna hosting kompanija ne može osigurati 100% Uptime.
Prijetnje direktne sigurnosti informacija
Glavne prijetnje pristupačnosti uključuju
- Interni kvar informacionog sistema;
- Kvar prateće infrastrukture.
- Kršenje (slučajno ili namjerno) utvrđenih pravila rada
- Izlaz iz sistema redovni način rada eksploatacije zbog slučajnih ili namjernih radnji korisnika (prekoračivanje procijenjenog broja zahtjeva, prevelika količina obrađenih informacija itd.)
- Greške prilikom (ponovnog) konfigurisanja sistema
- Zlonamjeran softver
- Softverski i hardverski kvarovi
- Uništavanje podataka
- Uništenje ili oštećenje opreme
- Kršenje rada (slučajno ili namjerno) komunikacijskih sistema, opskrbe električnom energijom, vodom i/ili toplinom, klimatizacija;
- Uništenje ili oštećenje prostorija;
- Nemogućnost ili nespremnost uslužnog osoblja i/ili korisnika da obavljaju svoje dužnosti (građanski nemiri, saobraćajne nesreće, teroristički akt ili prijetnja njime, štrajk i sl.).
Glavne prijetnje integritetu
Mogu se podijeliti na statičke prijetnje integriteta i prijetnje dinamičkog integriteta.Također je vrijedno podijeliti na prijetnje integritetu servisnih informacija i značajnih podataka. Servisne informacije odnose se na pristupne lozinke, rute za prijenos podataka lokalna mreža i slične informacije. Najčešće i gotovo u svim slučajevima, napadač, svjesno ili ne, ispada da je zaposlenik organizacije koji je upoznat sa načinom rada i mjerama zaštite.
Da bi narušio statički integritet, napadač može:
- Unesite netačne podatke
- Za promjenu podataka
Najveće prijetnje privatnosti
Povjerljive informacije mogu se podijeliti na predmetne i servisne. Servisne informacije(npr. korisničke lozinke) nije u vezi s određenim predmetna oblast, in informacioni sistem igra tehničku ulogu, ali je njegovo otkrivanje posebno opasno, jer je preopterećeno neovlašćenim pristupom svim informacijama, uključujući i suštinske informacije.Čak i ako su informacije pohranjene na računaru ili namijenjene za korišćenje računara, prijetnje njegovoj privatnosti mogu biti ne-kompjuterske i općenito netehničke prirode.
Zloupotreba ovlasti jedna je od najgadnijih prijetnji od kojih se teško braniti. Na mnogim tipovima sistema, privilegovani korisnik (npr Administrator sistema) može čitati bilo koju (nešifrovanu) datoteku, pristupiti pošti bilo kojeg korisnika itd. Drugi primjer je šteta uzrokovana uslugu nakon prodaje. Tipično, servisni inženjer ima neograničen pristup opremi i može zaobići mehanizme softverske zaštite.
Radi jasnoće, ove vrste prijetnji su također šematski prikazane ispod na slici 1. 
Rice. 1. Klasifikacija vrsta prijetnji sigurnosti informacija
Za primjenu najoptimalnijih mjera zaštite potrebno je procijeniti ne samo prijetnje informacijskoj sigurnosti, već i moguću štetu, za to se koristi karakteristika prihvatljivosti, pa se moguća šteta utvrđuje kao prihvatljiva ili neprihvatljiva. Da biste to učinili, korisno je odobriti vlastite kriterije za prihvatljivost štete u novčanom ili drugom obliku.
Svako ko krene u organizaciju informacione sigurnosti mora odgovoriti na tri osnovna pitanja:
- Šta zaštititi?
- Od koga zaštititi, koje vrste prijetnji prevladavaju: vanjske ili unutrašnje?
- Kako zaštititi, kojim metodama i sredstvima?
Glavne metode i sredstva zaštite, kao i minimalne i neophodne sigurnosne mjere koje se primjenjuju virtuelni serveri u zavisnosti od glavnih svrha njihove upotrebe i vrsta prijetnji, razmotrit ćemo ih u sljedećim člancima pod naslovom "Osnove sigurnosti informacija".
Glavne komponente. Važnost problema.
Informacionu sigurnost (IS) treba shvatiti kao zaštitu interesa subjekata informacionih odnosa. Njegove glavne komponente su opisane u nastavku - povjerljivost, integritet, dostupnost. Navedena je statistika kršenja informacione sigurnosti, opisani su najkarakterističniji slučajevi.
Koncept informacione sigurnosti
Izraz "informacijska sigurnost" u različitim kontekstima može imati različita značenja. U Doktrini informacione sigurnosti Ruske Federacije, termin "informaciona sigurnost" koristi se u širem smislu. To se odnosi na stanje zaštite nacionalnih interesa u informacionoj sferi, određeno ukupnošću izbalansiranih interesa pojedinca, društva i države.
U Zakonu Ruske Federacije "O učešću u međunarodnoj razmjeni informacija" sigurnost informacija je definirana na sličan način - kao stanje sigurnosti informacionog okruženja društva, osiguravajući njegovo formiranje, korištenje i razvoj u interesu građana, organizacijama i državom.
U ovom kursu, naša pažnja će biti usmjerena na pohranjivanje, obradu i prijenos informacija, bez obzira na jezik (ruski ili bilo koji drugi) na kojem su kodirane, ko ili šta im je izvor i kakav psihološki uticaj imaju na ljude. Stoga će se termin „informacijska sigurnost“ koristiti u užem smislu, kao što je uobičajeno, na primjer, u literaturi na engleskom jeziku.
Ispod sigurnost informacija razumijevamo sigurnost informacija i prateće infrastrukture od slučajnih ili namjernih uticaja prirodne ili vještačke prirode koji mogu uzrokovati neprihvatljivu štetu subjektima informacionih odnosa, uključujući vlasnike i korisnike informacija i prateće infrastrukture. (Malo dalje ćemo objasniti šta se podrazumijeva pod pratećom infrastrukturom.)
Zaštita podataka je skup mjera usmjerenih na osiguranje informacione sigurnosti.
Dakle, metodološki ispravan pristup problemima informacione bezbednosti počinje identifikovanjem subjekata informacionih odnosa i interesa ovih subjekata povezanih sa upotrebom informacionih sistema (IS). Prijetnje sigurnosti informacija su Druga strana korišćenje informacionih tehnologija.
Iz ove izjave mogu se izvući dvije važne implikacije:
Tumačenje problema vezanih za sigurnost informacija za različite kategorije predmeti mogu veoma varirati. Za ilustraciju, dovoljno je uporediti režimske državne organizacije i obrazovne institucije. U prvom slučaju "bolje je da se sve pokvari nego da neprijatelj nauči barem jednu tajnu", u drugom - "nemamo nikakve tajne, dokle god sve funkcioniše".
Informaciona sigurnost nije ograničena samo na zaštitu od neovlaštenog pristupa informacijama, ona je suštinski širi koncept. Subjekt informacijskih odnosa može pretrpjeti (pretrpeti gubitke i/ili dobiti moralnu štetu) ne samo od neovlaštenog pristupa, već i od kvara sistema koji je uzrokovao prekid u radu. Štaviše, za mnoge otvorene organizacije (na primjer, obrazovne) stvarna zaštita od neovlaštenog pristupa informacijama nikako nije na prvom mjestu po važnosti.
Vraćajući se na pitanja terminologije, napominjemo da nam se pojam "kompjuterska sigurnost" (kao ekvivalent ili zamjena za sigurnost informacija) čini preuskim. Računari su samo jedna od komponenti informacionih sistema, i iako će naša pažnja biti usmerena prvenstveno na informacije koje se pohranjuju, obrađuju i prenose pomoću računara, njihovu sigurnost određuje ukupnost komponenti i, pre svega, najslabije. link, koji u velikoj većini U većini slučajeva ispada da je osoba (koja je, na primjer, zapisala svoju lozinku na "žutom kartonu" zalijepljenom za monitor).
Prema definiciji informacione sigurnosti, ona ne zavisi samo od računara, već i od prateće infrastrukture, koja uključuje sisteme za snabdevanje električnom energijom, vodom i toplotom, klima uređaje, komunikacije i, naravno, osoblje za održavanje. Ova infrastruktura ima nezavisnu vrijednost, ali će nas samo zanimati kako ona utiče na performanse funkcionisanja informacionog sistema koji joj je dodijeljen.
Imajte na umu da u definiciji informacione sigurnosti, ispred imenice "šteta" stoji pridjev "neprihvatljiv". Očigledno je nemoguće osigurati od svih vrsta šteta, tim više je nemoguće to učiniti na ekonomski isplativ način, kada cijena zaštitne opreme i mjera ne prelazi očekivanu štetu. To znači da se s nečim mora istrpiti i braniti se samo od onoga što ne može. Ponekad je takva neprihvatljiva šteta šteta po zdravlje ljudi ili stanje životne sredine, ali češće prag neprihvatljivosti ima materijalni (novčani) izraz, a cilj zaštite informacija je smanjenje količine štete na prihvatljive vrijednosti.
Glavne komponente informacione sigurnosti
Informaciona sigurnost je višestruko, moglo bi se reći i višedimenzionalno polje djelovanja u kojem samo sistematski, integrirani pristup može donijeti uspjeh.
Spektar interesovanja subjekata vezanih za korištenje informacionih sistema može se podijeliti u sljedeće kategorije: pristupačnost, integritet I privatnost informacionih resursa i prateće infrastrukture.
Ponekad glavne komponente informacione sigurnosti uključuju zaštitu od neovlašćenog kopiranja informacija, ali, po našem mišljenju, ovo je previše specifičan aspekt sa sumnjivim izgledima za uspjeh, pa ga nećemo izdvajati.
Hajde da objasnimo koncepte dostupnosti, integriteta i poverljivosti.
Dostupnost je mogućnost primanja tražene informacijske usluge u razumnom roku. Integritet se odnosi na relevantnost i konzistentnost informacija, njihovu zaštitu od uništenja i neovlašćenih promjena.
Konačno, povjerljivost je zaštita od neovlaštenog pristupa informacijama.
Informacioni sistemi se kreiraju (pribavljaju) za primanje određenih informacionih usluga. Ukoliko iz ovog ili onog razloga postane nemoguće pružanje ovih usluga korisnicima, to očito nanosi štetu svim subjektima informatičkih odnosa. Stoga, ne suprotstavljajući dostupnost drugim aspektima, izdvajamo je kao najvažniji element informacione sigurnosti.
Vodeća uloga pristupačnosti posebno je izražena u različite vrste sistemi upravljanja - proizvodnja, transport, itd. Spolja manje dramatične, ali i vrlo neugodne posljedice - materijalne i moralne - može imati dugoročnu nedostupnost informativnih usluga koje koristi veliki broj ljudi (prodaja željezničkih i avio karata, Bankarske usluge itd.).
Integritet se može podijeliti na statički (shvaćen kao nepromjenjivost informacijskih objekata) i dinamički (vezan za ispravno izvršavanje složenih radnji (transakcija)). Dinamičke kontrole integriteta koriste se, posebno, kada se analizira tok finansijskih poruka kako bi se otkrila krađa, preuređivanje ili dupliranje pojedinačnih poruka.
Ispostavlja se da je integritet najvažniji aspekt informacione sigurnosti u slučajevima kada informacije služe kao „vodič za akciju“. Formulacija lijekova, propisani medicinski postupci, raspon i karakteristike komponenti, tok tehnološkog procesa - sve su to primjeri informacija čije narušavanje integriteta može biti bukvalno fatalno. Neprijatno je i iskrivljavanje službenih informacija, bilo da se radi o tekstu zakona ili web serverskoj stranici neke državne organizacije. Povjerljivost je najrazvijeniji aspekt informacione sigurnosti u našoj zemlji. Nažalost, praktična implementacija mjera za osiguranje povjerljivosti savremenih informacionih sistema nailazi na ozbiljne poteškoće u Rusiji. Prvo, zatvorene su informacije o tehničkim kanalima curenja informacija, tako da većina korisnika nije u mogućnosti da stvori predstavu o potencijalnim rizicima. Drugo, postoje brojni pravni i tehnički izazovi koji stoje na putu prilagođenoj kriptografiji kao primarnom alatu za zaštitu privatnosti.
Ako se vratimo na analizu interesa različitih kategorija subjekata informacionih odnosa, onda je gotovo svima koji stvarno koriste IP pristupačnost na prvom mjestu. Integritet praktički nije inferioran po važnosti - koja je svrha informacijske usluge ako sadrži iskrivljene informacije?
Konačno, mnoge organizacije imaju i povjerljive trenutke (čak se i gore navedene obrazovne institucije trude da ne otkrivaju podatke o platama zaposlenih) i pojedinačne korisnike (na primjer, lozinke).
Najčešće prijetnje:
Poznavanje mogućih prijetnji, kao i sigurnosnih ranjivosti koje te prijetnje obično iskorištavaju, neophodno je kako bi se odabrali najisplativije sigurnosne mjere.
Osnovne definicije i kriterijumi za klasifikaciju pretnji
Prijetnja- ovo je potencijalna prilika da se na određeni način naruši sigurnost informacija.
Pokušaj izvršenja prijetnje se zove napad, a onaj ko napravi takav pokušaj - uljez. Pozivaju se potencijalni napadači izvore prijetnje.
Najčešće je prijetnja posljedica prisustva ranjivosti u zaštiti informacionih sistema (kao što je, na primjer, mogućnost pristupa neovlaštenim osobama kritičnoj opremi ili softverske greške).
Vremenski period od trenutka kada je postalo moguće koristiti slabost, a do trenutka kada se praznina eliminiše, zove se prozor opasnosti povezana sa ovom ranjivošću. Sve dok postoji prozor opasnosti, uspješni napadi na IP su mogući.
Ako mi pričamo o greškama u softveru, onda se prozor opasnosti "otvara" pojavom sredstava za iskorištavanje greške i eliminira se kada se primjenjuju zakrpe za ispravljanje.
Za većinu ranjivosti, prozor opasnosti postoji relativno dugo (nekoliko dana, ponekad sedmica), budući da se za to vrijeme moraju dogoditi sljedeći događaji:
načini iskorišćavanja sigurnosnog jaza trebaju postati poznati;
Moraju se izdati odgovarajuće zakrpe;
zakrpe moraju biti instalirane u zaštićeni IC.
Već smo istakli da se stalno pojavljuju nove ranjivosti i sredstva za njihovo iskorištavanje; to znači, prvo, da gotovo uvijek postoje prozori opasnosti, i, drugo, da takve prozore treba stalno nadzirati i otpuštati i krpiti što je prije moguće.
Imajte na umu da se neke prijetnje ne mogu smatrati rezultatom nekih grešaka ili pogrešnih proračuna; postoje po samoj prirodi modernog IS. Na primjer, opasnost od nestanka struje ili njenih parametara koji prelaze dozvoljene granice postoji zbog ovisnosti hardvera IC-a o kvalitetnom napajanju.
Razmotrite najčešće prijetnje kojima su savremeni informacioni sistemi izloženi. Razumijevanje mogućih prijetnji, kao i ranjivosti koje te prijetnje obično iskorištavaju, je od suštinskog značaja za odabir najisplativijih mjera sigurnosti. Previše mitova postoji u oblasti informacionih tehnologija (mislimo na isti „problem iz 2000. godine“), pa neznanje u ovom slučaju dovodi do prekoračenja troškova i, još gore, do koncentracije resursa tamo gde oni nisu posebno potrebni, slabljenjem zaista ranjivi pravci.
Ističemo da se sam pojam „prijetnje“ u različitim situacijama često različito tumači. Na primjer, za izrazito otvorenu organizaciju prijetnje privatnosti možda jednostavno ne postoje – sve informacije se smatraju javnim; međutim, u većini slučajeva ilegalni pristup predstavlja ozbiljnu opasnost. Drugim riječima, prijetnje, kao i sve u informacionoj sigurnosti, zavise od interesa subjekata informacionih odnosa (i od toga koja šteta je za njih neprihvatljiva).
Pokušaćemo da sagledamo temu iz ugla tipične (po našem mišljenju) organizacije. Međutim, mnoge prijetnje (na primjer, požar) opasne su za sve.
Prijetnje se mogu klasificirati prema nekoliko kriterija:
o aspektu informacione sigurnosti (dostupnost, integritet, povjerljivost), protiv koje su prijetnje prvenstveno usmjerene;
po komponentama informacionih sistema koje su na meti pretnji (podaci, programi, hardver, prateća infrastruktura);
prema načinu realizacije (slučajne / namjerne radnje prirodne / vještačke prirode);
prema lokaciji izvora prijetnji (unutar/izvan razmatranog IS-a).
Kao glavni kriterijum koristićemo prvi (u smislu informacione bezbednosti), uključujući i ostale ako je potrebno.
Najveće prijetnje privatnosti
Povjerljive informacije mogu se podijeliti na predmetne i servisne. Informacije o uslugama (na primjer, korisničke lozinke) ne pripadaju određenoj predmetnoj oblasti, igraju tehničku ulogu u informacionom sistemu, ali je njihovo otkrivanje posebno opasno, jer je preplavljeno neovlašćenim pristupom svim informacijama, uključujući i informacije o predmetu. .
Čak i ako su informacije pohranjene na računaru ili su namijenjene za korištenje računara, prijetnje njihovoj privatnosti mogu biti ne-računarske i općenito netehničke.
Mnogi ljudi moraju da budu korisnici ne jednog, već više sistema (informacionih servisa). Ako se za pristup takvim sistemima koriste lozinke za višekratnu upotrebu ili druge povjerljive informacije, onda će sigurno ovi podaci biti pohranjeni ne samo u glavi, već iu notesu ili na komadima papira koje korisnik često ostavlja na radnoj površini, ili čak jednostavno gubi. I poenta ovdje nije u neorganiziranosti ljudi, već u početnoj neprikladnosti šeme lozinki. Ne mogu se sjetiti mnogo različite lozinke; preporuke za njihovu redovnu (ako je moguće - čestu) promjenu samo pogoršavaju situaciju, tjerajući ih da koriste jednostavne šeme alternacije ili čak pokušavaju svesti stvar na dvije ili tri lako pamtljive (i jednako lako pogodne) lozinke.
Opisanu klasu ranjivosti možemo nazvati postavljanjem povjerljivih podataka u okruženje u kojem im nije (često - i ne može se) obezbjeđena potrebna zaštita. Prijetnja leži u činjenici da neko neće odbiti da sazna tajne koje sami traže za ruku. Pored lozinki pohranjenih u sveske korisnicima, ova klasa uključuje prijenos povjerljivih podataka u čistom obliku (u razgovoru, u pismu, preko mreže), što omogućava presretanje podataka. Za napad se mogu koristiti razna tehnička sredstva (prisluškivanje ili prisluškivanje razgovora, pasivno prisluškivanje mreže i sl.), ali ideja je ista – pristupiti podacima u trenutku kada su najmanje zaštićeni.
Prijetnju presretanja podataka treba uzeti u obzir ne samo prilikom početne konfiguracije IS-a, već i, što je vrlo važno, sa svim promjenama. Vrlo opasna prijetnja su ... izložbe, na koje mnoge organizacije bez razmišljanja šalju opremu iz proizvodne mreže, sa svim podacima pohranjenim na njima. Lozinke ostaju iste, nastavljaju da se prenose u čistom tekstu tokom daljinskog pristupa. Ovo je loše čak i unutar bezbedne mreže organizacije; u zajedničkoj mreži izložbe - ovo je preteška provera poštenja svih učesnika.
Još jedan primjer promjene koji se često zanemaruje je pohranjivanje podataka na mediju za sigurnosnu kopiju. Za zaštitu podataka na glavnom mediju koriste se napredni sistemi kontrole pristupa; kopije često samo leže u ormarićima i mnogi ljudi im mogu pristupiti.
Prisluškivanje podataka je vrlo ozbiljna prijetnja, a ako je privatnost zaista kritična i podaci se prenose preko mnogih kanala, može biti vrlo teško i skupo zaštititi ih. Tehnička sredstva presretanja su dobro razvijena, pristupačna, laka za rukovanje i instaliranje, na primjer, na kablovsku mrežu, može svako, pa se ova prijetnja mora uzeti u obzir u odnosu ne samo na eksternu, već i na internu komunikaciju.
Krađa opreme pretnja je ne samo medijima za rezervne kopije, već i računarima, posebno laptopima. Često laptopi ostaju bez nadzora na poslu ili u autu, ponekad se jednostavno izgube.
Opasna netehnička prijetnja privatnosti su metode moralnog i psihološkog utjecaja, kao npr maskenbal - izvođenje radnji pod maskom osobe koja ima ovlaštenje za pristup podacima (vidi, na primjer, članak Aire Winklera "Misija: špijunaža" u Jet Info, 1996, 19).
Uključuju se i neugodne prijetnje od kojih se teško braniti zloupotreba ovlasti. Na mnogim tipovima sistema, privilegovani korisnik (kao što je administrator sistema) može čitati bilo koju (nešifrovanu) datoteku, pristupiti pošti bilo kojeg korisnika itd. Drugi primjer je servisna šteta. Tipično, servisni inženjer ima neograničen pristup opremi i može zaobići mehanizme softverske zaštite.
To su glavne prijetnje koje nanose najveću štetu subjektima informacionih odnosa.
