ПАСЗИ


Предметы и задачи ПАСЗИ
Информация – сведения о лицах,предметах, фактах, событиях, явлениях и процессов, не зависимых от формы представления. Законом гарантируется право собственником инф, для её защиты от доступа других лиц. При реализации во многих средствах защиты,конфиденц. Инф. делят на коммерческую и гос.тайну. Наболее часто используемые подходы к котигорировконфкомерч инф:
комерческая тайна строго конфиденциальна
коммерческая тайна конфиденкомерческая тайна
2.1 строго конфиденциально-строгий учет
2.2 строго конфиденциально
2.3 конфиденциально
Организация защиты ПЭВМ от НСД
Практика организации защиты инф от НСД при её обработки и хранений должна учит следующие правила обеспечбезопас инф:
1.соответствие уровню безопас инф законодатполож и нормативным требованиям по охране сведений подлеж защите.
2.Выявление конфиденц инф и её документальное оформление в виде перечини сведений подлежащих к защите.
3….
4.Опред порядка установления полном польз, а также кругу лиц которым это право предоставлено.
5.установление и оформление правил разграничения доступа.
6.Установление личной ответственности пользователю,за поддержание уровня защищенности АС
7.Обеспечение физической охраны объектов на которрасположена защищаемая АС
8. Организация службы безопасности информации
9.Полномерный и оперативный контроль уровня безопасности защищаемой инф
Средства защиты информации должны иметь сертификат удостоверяющий их соотвествие требованиям по безопасности информации.
Построение и основной принцип работы системы защиты информации.
Защита информации с использованием программных и аппаратных средств основано на обработке событий, возникающих при обращении прикладных программ, или системного программного обеспечения к ресурсам ПЭВМ.Средствапрограммнопаппаратных комплексов перехват соответствующими программами или аппаратными требованиями.В случае возникновения неконтролирсобытпроизвод анализ, не завис от полномочий …….
Диспетчер доступа.
Диспетчер доступа реализуется в виде программно аппаратных механизмов и обеспечивает необходимую дисциплину в разграничении доступа субъектов к объектам. Диспетчер доступа разгранич доступ к внутренним ресурсам субъектов уже получивших доступ к этим системам. Необходимость использования диспетчера доступа только в многопользовательских системах.
Запрос на доступ iсубъекта к jобъекту поступает в блок управления полномочиями (бд), и в блок регистрации событий. Полномочия субъектов и характеристики объектов, анализируется в блоке принятий решений, который даёт разрешение на выполнение запроса или сигнал отказа в допуске. Если число попыток субъекта допуска получить доступ к запрещенным для него объектов превысит определенную границу, то блок принятия решений выдаст сигнал администратору системы безопасности.
Состав подсистем защиты информации
В общем случае системы защиты состоят из собственных средств защиты от НСД и средств защиты от несанкционированной загрузки средств ОС
подсистема управления доступа
Подсистема регистрации и учета
Подсистема управления целостности
Подсистема криптозащиты
1)Подсистема управлен доступов предназнач для огран ……
Для идентификации пользователей часто используется частные идентификаторы типа(tuch-memory,смарт-карты и т.п).В комплексе защиты два принципа управления доступа(дискреционный и мандатный).

2)подсистема регистрации и учёта, предназначена для регистрации в системном журнале различных событий происходящих при работе ПЭВМ.Журнал представляет собой специальный файл хранящийся на жестком диске.При регистрации событий в системном журнале регистрируется:1. Дата и время событий. 2.имя и идентификатор пользователя. 3.тип события и действия пользователя.
Доступ к системному журналу возможен только адиминистратору или пользователю которомы были выделены полномочия. События регистрируемые в системном журнале определяются системным администратором.
Подсистема обеспечения целостности
Предназначенная для исклнесанкционнированогой модификаций программно аппаратной среды ПЭВМ
Обеспечивая при этом защиту пвм от внедрения программных закладок и вредоностногоПО, ПСЗИ это реализуется:
Проверка уникальных индефикаторов аппаратных ЭВМ
Проверка целостности системных файлов, назначенных пользовательским программных файлов
Контроль обращения к операционной системе
Исключения возможности использования ЭВМ без программного комплекса без ПАСЗИ
Создания замкнутой программной среды (доверенное программное обеспечение )При проверке целостности вычисляется контрольная сумма указанная в файлах и сравнивается с эталонным значением (значение снятое первый раз) исключающий факт не обнаружения модификации файлов.
Подсистема криптографической защиты
Данная подсистема система позволяет пользователю зашифровывать и расшифровывать файлы с использованием индивидуальных ключей.
Ключ может зашиваться в персональном идентификаторе
Состав типового комплекса защиты от НСД
Аппаратным средствам относятся:
1Аппаратный контролер
2 устройство приема информации
3 персональный идентификатор пользователей
Аппаратный контроллер предстовляет собой плату ,восстанавливают в 1 из слотов
Аппаратный контролер содержит ПЗУ с программным обеспечением разъем для подключения считывателя информации
Считыватель информации представляет собой устройство предназначенное для считывания информации с пользовательского идентификатора .Персональный идентификатор пользователя представляет собой аппаратное устройство , обладающая уникальными не копируемыми характеристиками (эл. Схема с элементами питания,с энергонезависимой памятью которой зашит)
ПОкомплекса защиты может быть условно разделено на три группы:
Системные программы защиты –это программы выполняющие функции по защите и разграничения доступа к информации.Также с помощью этих программ выполняется настройка и удаление программного комплекса и средств защиты
1.1Спецзагрущик доверенная загрузка Ос
1.2 Драйверы защиты(президентная программа о существляющая контроль полномочий и осуществление доступа )
1.3Программа установки (программа для штатного процесса установки удаления СЗИ установка удалении СЗИ)
1.4 Программы системы АунтификацииИндификации программы контроля целостности , программы контроля событий и управления базы данных пользователя
Вторая группа . Система ИндификацииАунтификации2.1Программа обучения (программа для накопления ,для анализа индивидуальных признаков пользователя)
2.2Программа формирования запросов к базе данных
2.3Программа анализа базы данных пользователя
Третья группа. Технологические программы (вспомогательные программы СЗИ)
3.1 Программа восстановления станций (программа восстановления работоспособности в случае аппаратных сбоев: восстановление первоначальной среды и восстановление работоспособности ос )3.2Программа ведения системного журнала
Также выделяют две базы данных База пользователей , База характеристики.
MetoduzashituinformaciiPSZIПрограммно аппаратные компклесы ПСЗИ способны реализовать следующие методы защиты
1 ИндитификацияАунтификация пользователей
2 Ограничение доступов на вход в систему и на доступ к компу
3 разграничение доступа
4 Регистранция событий Аудит
5 Криптографическая защита
6 Контроль целостности
7 Управление Политикой безопасности \ управление групповыми политиками
8 Уничтожение остаточной информации
9 Резервирование данных
10 Сетевая защита
1 выше.
Ограничение на вход в систему–поданным термином понимается доверенная загрузка ОС .Одной из особенностей ПСЗИ является интеграция комплекса загрузка ПЭВМ , при включение питания управление берет БИОС и проводит процедуру самотекстировнияPOST,на главную загрузочную запись ЭБР жесткого диска.
Данная схема используется при классическом запуске ОС системы
Механизм доверенной загрузки реализуется двумя способами:
Использование собственного контроля СЗИ
Путем модификация ЭБР
При выполнение процедуры POST производится поиск внешних ПЗУ , при обнаружение ПЗУ БИОС передает управление на найденное устройство
После инициализации внешнего устройства управление передается обратно процедуре POSTлибо ЭБР на жестком диске.
Во 2 случае загрузка решается путем модификации МВР посредством замены МВР на собственный программный код (котик =^_^=)
В случае успешного выполнения кода СЗИ загрузчик передает управление операционной системеДля того чтобы исключить возможность штурма парольной защиты(перебора), в СЗИ предусматриваются режим блокировки компьютера, после нескольких попыток неудачного ввода пароля. Выход из данного режима защиты(после блокировки), возможен только после перезагрузки компьютера или выключения питания. Режим блокировки может быть запущен при любых нештатных действиях пользователя, как во время загрузки ОС так и во время последующей её работы. Факт блокировки отображается в системном журнале.
При отсутствии шифрования защищаемых данных, изъятия аппаратного средства защиты(физический доступ к машине)
Контроль разграничения доступа
Выделяются 2 подмножества: субъектов доступа, объектов доступа
Объект доступа – это элемент системы к которому может быть получен доступ.
Субъект доступа – это пользователь, способный инициировать выполнение операций над объектом.
В качестве дополнительного множества иногда вводят процессы.
Одной из важнейших задач вразграничений доступа в ОС, является обязательная проверка полномочий любых процессов по отношению к обрабатываемым данным.
Существуют две модели разграничения доступа: дискреционная и мандатная.
Дискреционная модель.
Система правил дискреционной модели:1. У каждого объекта должен быть владелец2. владелец объекта может произвольно ограничивать доступ *3. для каждой тройке (субъект , объект , метод) возможность доступа определена однозначно.4. Существует хотя бы один привилегированный пользователь имеющий доступ ко всем объектам.
*
1) При реализации централизованного управления доступом, доступ к объекту субъекта, определяет администратор.
2) При децентрализованном определяет владелец.
Мандатная модель .Мандатная модель доступа применяется совместно с дискреционной. Существуют 2 вида мандатной модели доступа: с контролем информационных потоков и без контроля информационных потоков.
Правила мандатной модели доступа:
У любого объекта должен быть владелец.
Владелец объекта может произвольно ограничивать доступ других субъектов
Для каждой четверки (субъект, объект, метод, процесс) возможность доступа определена в каждый момент времени однозначно.
Существует хотя бы один привилегированный пользователь имеющий возможность удалить любой объект.
Каждый объект имеет свой уровень конфиденциальности
Каждый субъект имеет свой уровень доступа
Запрет чтения вверх(если уровень конфиденциальности объекта выше уровня доступа субъекта)
Запрет записи вниз
Каждый процесс имеет свой уровень конфиденциальности равный максимальному уровню открытых к процессам объектов
Понизить гриф секретности может только субъект имеющий доступ к объекту, и обладающий специальной привилегией
Мандатная модель разграничения доступа должна быть использована согласно документам ФСТЭК вАС начиная с класса 1В, предполагающая возможность обработки ГОС-тайны.
Дополнение к данным моделям доступа в многопользовательских АС должен применяться режим изолированной или замкнутой программной среды. Так же этот режим обеспечивает защиту компьютера от запуска вредоносного ПО. Данный механизм реализуется с помощью резидентной части монитора безопасностью монитора безопасности. В процессе функционирования системы защиты данная резидентная часть, проверяет файлы всех загруженных драйверов, обеспечивает…
Механизм разграничения доступа реализуется так же с помощью резидентной части монитора безопасности, по средствам перехвата и обработки ряда функций ОС, а так же программных прерываний.
Регистрация событий и аудит
Регистрация событий или аудит событий безопасности, это фиксация в файле журнале событий которые могут представлять опасности для АС. Механизм регистрации событий содержит средства выборочного ознакомления с выборочной информацией, позволяют регистрировать действия только выделенных пользователей, а так же варьировать уровень детальностей регистрируемых событий для каждого пользователя.
Регистрация событий осуществляется в следующем порядке:
Для каждого пользователя администратор системы устанавливает уровень детальности журнала.
Ля любого уровня детальности в журнале отражаются параметры регистрации пользователя, доступ к устройствам, запуск задач, попытки нарушения правил разграничения доступа и их изменения.
Для низкого уровня детальности должны отражаться все попытки доступа к защищаемым дискам, каталогам, файлам, а также попытки изменения некоторых системных параметров.
Для высокого уровня детальности отражаются все попытки доступа к защищаемым каталогам.
В общем случае системный журнал содержит:
Идентификатор субъекта доступа
Тип операции
Объект доступа
Время регистрации события
Результат события
Программа инициализирующая событие(если есть)
Администраторы безопасности выделяют дополнительную категорию пользователей(аудиторы) имеющих право работать с журналом.
Криптографическая защита
Пасзи для обеспечения безопасности данных на локальном компьютере используют классические симметричные алгоритмы шифрования. ПАСЗИ предлагает несколько способов шифрования информации:
Шифрование по требованию- файлы редактируются в открытом виде. Готовый документ(файл) при записи на диск зашифровывается. Под зашифрованным файлом пользователь может поставить свою цифровую подпись.
Шифрование налету – в открытом виде информация присутствует только в оперативной памяти. Сохранение документа инициализирует процедуру шифрования. Процесс криптографического преобразования, протекают независимо от желания пользователя, скрытно для пользователя.
Для защиты информации может создаваться виртуальный жеский диск, внутри дискового пространства ЭВМ и подключаться только при необходимости работы только с конфиденциальными данными. Вся информация на нем автоматически шифруется. При подключении диска, пользователь должен ввести ключевую информацию в виде пароля, раздельно хранящихся ключей на внешних устройствах.
В большенстве случаев ключи хэшируются.
Выбираемые СЗИ должны поддерживать национальные стандарты шифрования и работать в реальном времени.
Контроль целостности
Многие СЗИ позволяют администратору безопасности назначить для проверки критичные области системы:
Проверка штатной комплектации
Наличие чужих комплектующих
Контроль критичных файлов системного ПО и пользователей
Контроль целостности программных средств и данных, осуществляется путём вычесления характеристик и сравнение их с контрольными характеристиками. Контрольные характеристики вычисляются при каждом изменении файлов. В ПАСЗИ используется контрольные суммы и циклические коды. Однако существует недостаток- алгоритм получения контрольных характеристик хорошо известен.
Для хэширования могут использоваться хэш-функции: ГОСТ Р 34.11-94
Зачастую используются две контрольные характеристики: стартовый вектор и хэш функция.
В дольшенстве ПАСЗИ контрольные характеристики хранятся не только на жестком диске, но и в ПЗУ идентификатора или средства защиты.
Управление политикой безопасности
Под управление политики безопасности понимается выполнение совокупности настроек различных параметров. В ОС семейства Windows настройки интегрируются в «локальную политику безопасности» и зачастую отражается в реестре.
Уничтожение остаточной информации
Зачастую при работе ОС оставляет технологический мусор. Согласно руководящим документам в зависимости от класса защищенности СВТ, система защиты должна затруднять или предотвращать доступ пользователя к остаточной информации . А также выполнять очиску оперативной и внешней памяти. Наличие технологического мусора вАС обусловлено сервисными функциями ОС.
Причины образования технологического уровня: 1.особенности файловой системы2.резервирование информации на случай сбоя ОС 3. Создание временных файлов спулинга или факс-модельной связи. 4. Создание буферных и теневых областей памяти. 5. Механизм виртуальной памяти(файл подкачки). 6. Обеспечение удобства пользователя (недавние документы и т.п). 7. Использование буфера для обмена данными между приложениями.
Для борьбы с остаточной информацией СЗИ имеет в своём составе ряд утилит, которые осуществляет очистку всех свободных областей жестких дисков, хвостов файлов (fileslacrs), файлов виртуальной памяти и неиспользованных каталогов. Перед выключением ПЭВМ производится очистка файла подкачки.
Особая функция СЗИ- гарантированное удаление файлов.
Некоторые СЗИ могут шифровать временные файлы,по средствам прозрачного шифрования.

Приложенные файлы

  • docx 26741719
    Размер файла: 32 kB Загрузок: 0

Добавить комментарий