Каналы утечки конфиденциальной информации. Механизмы защиты компьютерной сети предприятия

• защита носителей информации от полного уничтожения в результате различных природных и техногенных воздействий;
• предотвращение проникновения злоумышленника к источникам информации с целью уничтожения, хищения или изменения;
• предотвращение утечки информации по различным техническим каналам.

     При проектировании систем технической  защиты необходимо выполнять следующие  принципы:

• непрерывность защиты информации в пространстве и во времени, постоянная готовность и высокая степень эффективности по ликвидации угроз информационной безопасности;
• многозональность и многорубежность защиты, задающее размещение информации различной ценности во вложенных зонах с контролируемым уровнем безопасности;
• избирательность в выборе первоочередности защиты наиболее важной информации;
• интеграция (взаимодействие) различных систем защиты информации с целью повышения эффективности многокомпонентной системы безопасности;
• создание централизованной службы безопасности в интегрированных системах.

     По  своему функциональному назначению средства инженерно-технической защиты подразделяются на следующие группы:

• инженерные средства, представляющие собой различные сооружения и устройства, предотвращающие физическое проникновение злоумышленников на защищаемые объекты;
• аппаратные средства, представляющие собой измерительные приборы и устройства, программно-аппаратные комплексы, предназначенные для выявления каналов утечки информации, оценки их характеристик по защите информации;
• программные комплексы и средства системы защиты информации в информационных системах различного назначения и в основных средствах обработки данных;
• криптографические средства защиты компьютерной информации, передаваемой по открытым каналам передачи данных и сетям связи.

     В концепции инженерно-технической  защиты информации кроме целей и  задач системы безопасности, определяются принципы ее организации и функционирования; правовые основы; виды угроз и ресурсы, подлежащие защите, а также основные направления разработки системы  безопасности.

     К основным целям защиты информации относятся: предотвращение утечки, утраты, хищения, искажения, подделки информации и применение других несанкционированных негативных воздействий.

     Разработка  и создание новой системы защиты, а также оценка эффективности  существующей системы безопасности объекта начинается с анализа  наиболее возможных угроз и оценки их реального появления. Для получения  данных такого рода, необходимо произвести обследование объекта на наличие  уязвимостей в защите, а так  же учесть особенности расположения, инженерных конструкций, коммуникаций и тому подобного. Следующим этапом выполняется выбор соответствующих  методов и средств адекватной защиты объекта.

     При рассмотрении вероятных угроз объекту  нельзя забывать про угрозу безопасности здоровья персонала; угрозу целости  и сохранности оборудования и  материальных ценностей; безопасность информации и сохранность государственной  или коммерческой тайны.

     При проектировании защиты в комплексную  систему должно вписываться все-то разнообразие возможных информационных угроз, так как она должна обеспечивать надежное перекрытие всех опасных каналов утечки информации.

     Эффективность всей системы защиты от утечки информации по техническим каналам оценивается  по разнообразным критериям, которые  определяются физической природой информационного  сигнала, но чаще всего по соотношению  «сигнал/шум».

     Все способы защиты согласно руководящей  документации делятся на две группы, такие как, скрытие и дезинформация.

     К группе скрытие относятся:

• пассивное скрытие – заключается в исключении или значительном затруднении обнаружения объектов;
• активное скрытие – в создании техническим средствам разведки маскирующих шумовых помех различной физической природы и ложной обстановки по физическим полям;
• специальная защита – заключается в скремблирование телефонных переговоров, кодирование цифровой информации криптографическими методами, программные методы модификации информации.

     К группе дезинформация относятся:

• техническая дезинформация;
• имитация;
• легендирование.

     К принципам инженерно-технической  защиты информации относятся:

• скрытность защиты информации;
• надежность защиты информации;
• непрерывность защиты;
• рациональность защиты;
• комплексное применение различных способов и средств защиты;
• многообразие способов защиты;
• экономичность защиты.

2. Механизмы защиты компьютерной сети предприятия: разграничение доступа, аутентификация, цифровая подпись.

Мы живем  в информационную эпоху. Повсюду  используются средства связи и передачи информации, компьютеры объединяются в сети, все шире используется электронный  документооборот, растут объемы электронной  коммерции.  
         
       Но нельзя забывать и о новых угрозах. Каждый день приносит нам сообщения о новых вирусах и атаках, взломанных сайтах, похищенной информации. Многие компании стали жертвами кибервандализма, но не замечают этого, пока ущерб не становится очевидным. В то же время принятие своевременных мер по обеспечению информационной безопасности позволяет избежать подобных проблем.  
         
После выполнения идентификации и аутентификации необходимо установить полномочия (совокупность прав) субъекта для последующего контроля санкционированного использования вычислительных ресурсов, доступных в АС. Такой процесс называется разграничением (логическим управлением) доступа.

Обычно полномочия субъекта представляются: списком ресурсов, доступных пользователю, и правами  по доступу к каждому ресурсу  из списка. В качестве вычислительных ресурсов могут быть программы, информация, логические устройства, объем памяти, время процессора, приоритет и  т. д.

Обычно выделяют следующие методы разграничения  доступа:

-        разграничение доступа по спискам;

-        использование матрицы установления полномочий;

-        по уровням секретности и категориям;

-        парольное разграничение доступа.  

 

При разграничении  доступа по спискам задаются соответствия:

-        каждому пользователю – список ресурсов и прав доступа к ним  или

-        каждому ресурсу – список пользователей и их прав доступа к данному ресурсу.

Списки позволяют  установить права с точностью  до пользователя. Здесь нетрудно добавить права или явным образом запретить  доступ. Списки используются в большинстве  ОС и СУБД.

Данный метод  предоставляет более унифицированный  и удобный подход, т. к. вся информация о полномочиях хранится в виде единой таблицы, а не в виде разнотипных  списков. Недостатками матрицы являются ее возможная громоздкость и не совсем оптимальное использование ресурсов (большинство клеток – пустые).

Разграничения доступа по уровням секретности  и категориям состоят в том, что  ресурсы АС разделяются в соответствии с уровнями секретности или категорий.

При разграничении  по уровню секретности выделяют несколько  уровней, например: общий доступ, конфиденциально, секретно, совершенно секретно. Полномочия каждого пользователя задаются в  соответствии с максимальным уровнем  секретности, к которому он допущен. Пользователь имеет доступ ко всем данным, имеющим уровень (гриф) секретности  не выше, чем он имеет.

При разграничении  по категориям задается и контролируется ранг категории, соответствующей пользователю. Соответственно, все ресурсы АС декомпозируют  по уровню важности, причем определенному  уровню соответствует некоторый  ранг персонала (типа: руководитель, администратор, пользователь).

Парольное разграничение, очевидно, представляет использование  методов доступа субъектов к  объектам по паролю. При этом используются все методы парольной защиты [13]. Очевидно, что постоянное использование  паролей создает неудобства пользователям  и временные задержки. Поэтому  указанные методы используют в исключительных ситуациях.

На практике обычно сочетают различные методы разграничения  доступа. Например, первые три метода усиливают парольной защитой.

В завершении подраздела заметим, что руководящие документы  могут регламентировать два вида (принципа) разграничения доступа:

-        дискретное управление доступом;

-        мандатное управление доступом.

Дискретное управление доступом представляет собой разграничение  доступа между поименованными субъектами и поименованными объектами. Субъект  с  определенным правом доступа может  передать это право любому другому субъекту. Данный вид организуется на базе методов разграничения по спискам или с помощью матрицы.

Мандатное управление доступом регламентирует разграничение  доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к  информации такого  уровня  конфиденциальности. Иначе, для реализации мандатного управления доступом каждому субъекту и каждому объекту присваивают классификационные метки, отражающие их место в соответствующей иерархии. С помощью этих меток субъектам и объектам должны быть назначены классификационные уровни, являющиеся комбинациями уровня иерархической классификации и иерархических категорий. Данные метки должны служить основой мандатного принципа разграничения доступа. Ясно, что методы разграничения доступа по уровням секретности и категориям являются примерами мандатного управления доступом.  

Аутентификация пользователя – это проверка, действительно ли проверяемый пользователь является тем, за кого он себя выдает. Различные методы аутентификации необходимы, фактически, во всех системах ограничения и разграничения доступа к данным – как распределенных, так и предназначенных для защиты отдельного компьютера.

Для корректной аутентификации пользователя необходимо, чтобы пользователь предъявил аутентификационную информацию – некую уникальную информацию, которой должен обладать только он и никто иной. 
Существует три основных типа аутентификационной информации:

Проверяемый пользователь знает некую уникальную информацию. Пример: парольная аутентификация.

Пользователь имеет  некий предмет с уникальными  характеристиками или содержимым. Примеры: смарт-карта, USB-токен и т.д.

Аутентификационная  информация является неотъемлемой частью пользователя. Пример: отпечаток пальца и другие виды биометрической аутентификации (биометрической называется аутентификация пользователя по его биометрическим признакам).

В любом из этих случаев  процедура аутентификации выполняется  в два следующих этапа:

У пользователя однократно берется некий эталонный образец  аутентификационной информации, например, запрашивается пароль (или данный образец генерируется случайным  образом и затем записывается на смарт-карту пользователя). Данный образец хранится у субъекта системы, проверяющего аутентификацию – модуля аутентификации (например, сервера, который  выполняет аутентификацию пользователей). Обычно существует некоторое время  действия данного эталона, по завершении которого эталонный образец перезапрашивается.

Каждый раз при  выполнении аутентификации у пользователя запрашивается аутентификационная информация, которая сравнивается с  эталоном. На основе данного сравнения  делается вывод о подлинности  пользователя.

Фактически, в модуле аутентификации хранится некая таблица  соответствий идентификаторов пользователей (например, имен пользователей, вводимых ими при входе в систему) и  эталонных образцов – см. таблицу 1.

Таблица 1.