Розділ 1. Створення системи інформаційної безпеки

Основні поняття інформаційної безпеки та класифікація загроз

Розвиток інформаційно-телекомунікаційних систем різного призначення, зокрема глобальної мережі Internet, і потреба обміну конфіденційною інформацією між організаціями визначили напрям роботи світового співтовариства із систематизації та впорядкування основних вимог і характеристик таких систем щодо інформаційної безпеки.

Під безпекою інформації будемо розуміти стан стійкості інформації до випадкових чи навмисних впливів, що виключає неприпустимі ризики її знищення, перекручування і розкриття, які призводять до матеріального збитку власника чи користувача інформації.

Під безпекою on-line-систем будемо розуміти захист від несанкціонованого доступу до інформації, несанкціонованих змін інформації, несанкціонованих операцій із функціями систем.

Отже, стосовно інформаційних систем термін «безпека» означає можливість протистояти спробам завдавати збитків власникам або користувачам системи від різних впливів на неї (навмисних або ненавмисних). Це — стійкість системи до помилок під час передавання даних і до технічних неполадок, захист програм, файлів, апаратних засобів від підробки та зловживань, пов’язаних із несанкціонованим доступом. [2].

Згідно із визначенням, безпека інформаційних систем може бути досягнута за допомогою дотримання конфіденційності інформації, яку обробляє система, цілісності компонентів і ресурсів системи та інформації, яка обробляється, накопичується і зберігається, доступності компонентів і ресурсів системи.

Конфіденційність інформації - це властивість інформації бути доступною тільки тим суб'єктам системи (користувачам, програмістам, процесам тощо), які витримали перевірку і були допущені до цієї інформації (були авторизовані).

Цілісність компонентів і ресурсів системи — це властивість компонентів системи бути незмінними протягом функціонування системи. Зміни інформації, яку обробляє система, мають здійснювати лише авторизовані користувачі або процеси системи.

Доступність компонентів (ресурсів) системи — це властивість компонентів (ресурсів) системи бути доступними для використання тільки авторизованими суб'єктами системи в будь-який час. [3].

Безпека системи складається із зовнішньої і внутрішньої безпеки.

Зовнішня безпека передбачає захист системи від проникнення зловмисників і ззовні з метою викрадення, отримання доступу до інформації або виведення системи з ладу; захист від втрати або модифікації системою інформації в разі стихійних лих (пожеж, землетрусів тощо).

Внутрішня безпека — забезпечення надійної та коректної роботи, цілісності інформації і компонентів (ресурсів) системи, що вимагає створення надійних і зручних механізмів регламентування діяльності усіх користувачів та обслуговуючого персоналу, підтримання дисципліни доступу до ресурсів системи.

Є два підходи до забезпечення безпеки інформаційних систем: фрагментарний та комплексний.

Фрагментарний підхід зорієнтований на протидію чітко визначеним загрозам за певних умов використання системи. Цей підхід забезпечує міцний захист від конкретної загрози, але при цьому характерний локальністю дії та відсутністю єдиного захищеного середовища для обробки інформації. Тому такий підхід є неприйнятним для захисту багатьох електронних систем, зокрема систем надання банківських послуг.

Для створення захисту банківських оn-line — систем треба використовувати комплексний підхід, а саме: створення захищеного середовища для обробки інформації в системі, яке об'єднує різноманітні (правові, організаційні, програмно-технічні) засоби для протидії будь-яким загрозам.

Етапи створення системи захисту

Створення комплексу заходів безпеки з метою отримання можливості реалізації ефективних заходів захисту вимагає, перш за все, визначення факторів загроз і втрат, яких вони завдають.

Система захисту — сукупність правових і морально-етичних норм, організаційних (адміністративних) заходів та програмно-технічних засобів, які спрямовані на протидію загрозам для системи і метою яких є мінімізації можливих збитків користувачів і власників системи. [9].

Створення надійної системи захисту можна розподілити на чотири основні етапи:

• — аналіз можливих загроз;
• — розробка (планування) системи захисту;
• — реалізація системи захисту;
• — супроводження системи захисту під час експлуатації on-line-системи.

Оскільки як сама інформаційна система, так і система захисту — це динамічні системи, у процесі впровадження та експлуатації оn-line — системи слід постійно аналізувати достатність системи захисту та можливість виникнення загроз, які не були враховані на попередньому етапі. Тому процес створення системи захисту є постійним і потребує уваги та безперервного ретельного аналізу роботи системи.

Аналіз можливих загроз — це ідентифікація і вибір з усієї безлічі можливих впливів на систему лише таких, які реально можуть виникати і завдавати значних збитків.

На етапі розробки (планування) система захисту формується як єдина сукупність заходів різного плану для протидії можливим загрозам, а саме:

• — правові заходи; закони, укази та інші нормативні документи, які регламентують правила роботи з інформацією, що обробляється, накопичується та зберігається в системі, а також відповідальність за порушення цих правил;
• — морально-етичні заходи: норми поведінки учасників системи та обслуговуючого персоналу;
• — адміністративні заходи: заходи організаційного характеру, які регламентують процес функціонування системи щодо обробки інформації, використання її ресурсів, діяльність персоналу тощо. До них можна віднести: розроблення правил обробки інформації, відбір персоналу, організацію обліку, організацію розподілу доступу і зберігання паролів, криптографічних ключів; організацію підготовки користувачів і персоналу та контроль за їхньою роботою; сертифікацію технічних та програмних засобів тощо;
• — технічні (апаратно-програмні та програмні) засоби захисту, які самостійно або в комплексі з іншими засобами забезпечують функції захисту: ідентифікацію й автентифікацію користувачів, розподіл доступу, реєстрацію основних подій роботи системи, криптографічні функції та ін. На етапі реалізації системи захисту виготовляють, обладнують, встановлюють і настроюють засоби захисту, які були заплановані на попередньому етапі.

Основні типи загроз

Для створення системи захисту перш за все слід проаналізувати типи загроз, ідентифікувати найуразливіші місця в системі та збитки, які можуть виникати під час порушення системи захисту.

Перед початком розроблення системи захисту треба провести аналіз можливих загроз для системи. Це, як правило, ідентифікація загроз та атак, відповідно до їхньої класифікації.

Усі загрози можна поділити, згідно з їхніми характеристиками, на такі класи.

За цілями реалізації:

— загрози порушення конфіденційності інформації;

інформаційна банківська безпека.

• — загрози порушення цілісності (повна або часткова компрометація інформації; дезінформація; несанкціоноване знищення або модифікація інформації чи програмного забезпечення);
• — загрози порушення (часткового або повного) працездатності системи.

За принципом впливу на систему:

• — за допомогою доступу до об'єктів системи (файлів, даних, каналів зв’язку);
• — за допомогою прихованих каналів (у тому числі через роботу з пам’яттю).

За причинами появи помилок у системі захисту:

• — некоректність системи захисту, що призведе до дій, які можна розглядати як несанкціоновані, при тому, що система захисту не розрахована на їх припинення або недопущення;
• — помилки адміністрування системи;
• — помилки в алгоритмах програм, зв’язках між ними тощо, які виникають на етапі проектування;
• — помилки реалізації алгоритмів, тобто помилки програмування, які виникають на етапі реалізації або тестування програмного забезпечення.

За об'єктом атаки:

• — загрози, що впливають на систему загалом;
• — загрози, що впливають на об'єкти системи з порушенням конфіденційності, цілісності або функціонування об'єктів системи (дані, програми, устаткування системи, канали передачі даних);
• — загрози, що впливають на суб'єкти системи (процеси, користувачів);
• — загрози, що впливають на канали передачі даних, причому як на пакети даних, що передаються, так і на самі канали передачі даних.

За засобами атаки, які використовують:

• — за допомогою штатного програмного забезпечення;
• — за допомогою спеціально розробленого програмного забезпечення. [4]

Найпоширенішою загрозою для безпеки інформаційних систем є несанкціонований доступ (НСД), тобто отримання користувачем доступу до об'єкта, на який він не має дозволу (зокрема несанкціонований доступ з однієї мережі до іншої). За характером впливу, НСД є активним впливом, в якому може бути використана якась помилка в системі захисту. Це може бути здійснено за допомогою стандартного (штатного) або спеціально розробленого програмного забезпечення. НСД може стосуватися як усієї системи, так і окремих її елементів. Для реалізації НСД використовують два способи: подолання системи захисту або спостереження за процесами та аналіз інформації.

Досить часто виникає така загроза безпеці, як незаконне використання привілеїв. Найчастіше для цього використовують штатне програмне забезпечення, яке функціонує в позаштатному режимі. Деякі захищені системи мають засоби, які можуть функціонувати в умовах порушення системи безпеки. Такі засоби дуже важливі, коли доводиться вирішувати питання в надзвичайних ситуаціях, і їх використовують системні адміністратори, системні програмісти, які мають для цього свої певні набори привілеїв. Незаконне захоплення привілеїв можливе за наявності помилок у самій системі або за недбалого ставлення до керування всією системою і розподілом привілеїв зокрема.

Інша загроза безпеки — виконання будь-яких дій одним користувачем від імені іншого користувача, якому ці дії дозволені. До цього типу загроз належить також передача повідомлень від імені іншого користувача («маскарад»). Цьому часто передує перехоплення пароля або порушення системи захисту.

Досить небезпечною загрозою є вірусні атаки будь-якого типу. Вони можуть призводити до повної зупинки системи, повної або часткової модифікації програмного забезпечення системи, модифікації або порушення даних, викрадення інформації.