Задача Защита информации 6

Работа добавлена на сайт bukvasha.net: 2015-10-29

Поможем написать учебную работу

Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.

Предоплата всего

от 25%

Подписываем

договор

Имя

Выберите тип работы:

Принимаю Политику конфиденциальности

Скидка 25% при заказе до 22.11.2024

Содержание
1.         Типовые политики безопасности на основе анализа угроз системе. 3

2.         Организационные требования к системам защиты информации. 5

3.         Принципы организации и контроля системы защиты.. 7

4.         Электронные цифровые подписи. 10

5.         Способы НСД (несанкционированный доступ к информации) к проводным линиям связи. 14

Задача. 18

Список использованной литературы.. 19

1. Типовые политики безопасности на основе анализа угроз системе

Политика безопасности организации может состоять из принципов безопасности и директив для организации в целом. Политика безопасности организации должна отражать более широкий круг аспектов политики организации, включая аспекты, которые касаются прав личности, законодательных требований и стандартов.

Политика информационной безопасности может содержать принципы и директивы, специфичные для защиты чувствительной и ценной или иной важной для организации информации. Содержащиеся в ней принципы строятся на основе принципов политики безопасности и, таким образом, согласованы с ними.

Политика безопасности ИТТ организации должна отражать существенные принципы безопасности ИТТ и директивы, применимые к политике безопасности и политике информационной безопасности, и порядок использования ИТТ в организации.

Политика безопасности ИТТ должна отражать принципы безопасности и директивы, содержащиеся в политике безопасности ИТТ организации. Она должна также содержать детали особых требований безопасности и защитных мер, подлежащих реализации, и процедуры правильного использования защитных мер для обеспечения адекватной безопасности. Во всех случаях важно, чтобы принятый подход был эффективен в отношении потребностей бизнеса организации.

В некоторых случаях политика безопасности ИТТ может быть включена в состав технической и управленческой политики организации, которые вместе составляют основу политики ИТТ. Эта политика должна содержать несколько убедительных положений важности безопасности, если она необходима для соблюдения данной политики. Пример иерархических отношений, которые могут возникать между политиками, показан на рисунке 3. Вне зависимости от организационной структуры или документации, принятой в организации, важно, чтобы учитывались различные стороны политики и поддерживалась их согласованность.

Рисунок 1. Иерархия политик

Другие более детальные политики безопасности требуются для специфических систем и услуг или групп ИТТ и услуг. Эти политики обычно известны как политики безопасности ИТТ. С позиций управления очень важно, чтобы их предмет и границы были ясны и базировались одновременно на бизнес-требованиях и технических требованиях.

2. Организационные требования к системам защиты информации

Организационные требования к системе зашиты предусматривают реализацию совокупности административных и процедурных мероприятий.

Требования по обеспечению сохранности должны выполняться прежде всего на административном уровне. Организационные мероприятия, проводимые с целью повышения эффективности защиты информации, должны предусматривать следующие процедуры:

•          ограничение несопровождаемого доступа к вычислительной системе (регистрация и сопровождение посетителей);

•          осуществление контроля за изменением в системе программного обеспечения;

•          выполнение тестирования и верификации изменений в системе программного обеспечения и программах зашиты;

•          организацию и поддержку взаимного контроля за выполнением правил защиты данных;

•          ограничение привилегии персонала, обслуживающего ИС;

•          осуществление записи протокола о доступе к системе;

•          гарантию компетентности обслуживающего персонала;

•          разработку последовательного подхода к обеспечению сохранности информации для всей организации;

•          организацию четкой работы службы ленточной и дисковой библиотек;

•          комплектование основного персонала на базе интегральных оценок и твердых знаний;

•          организацию системы обучения и повышения квалификации обслуживающего персонала.

С точки зрения обеспечения доступа к ИС необходимо выполнить следующие процедурные мероприятия:

•      разработать и утвердить письменные инструкции на загрузку и остановку работы операционной системы;

•      контролировать использование магнитных лент, дисков, карт, листингов, порядок изменения программного обеспечения и доведение этих изменений до пользователя;

•      разработать процедуру восстановления системы при отказах;

•      установить политику ограничений при разрешенных визитах в вычислительный центр и определить объем выдаваемой информации;

•         разработать систему протоколирования использования ЭВМ, ввода данных и вывода результатов;

•         обеспечить проведение периодической чистки архивов и хранилищ носителей информации для исключения и ликвидации неиспользуемых;

•        поддерживать документацию вычислительного центра в соответствии с установленными стандартами.

3. Принципы организации и контроля системы защиты

Настройка средств защиты, управление системой защиты и осуществление контроля функционирования ИС — все это составляющие одной задачи — реализации политики безопасности.

Управление средствами защиты включает в себя несколько задач, и их правильное решение способствует успешному функционированию ИС в целом. При этом, как правило, ни одна из крайностей — тотальная защита или полное ее отсутствие — не способствует оптимальной работе.

Настройка средств защиты информации необходима для приведения их в соответствие с разработанным планом. При настройке добавленных средств защиты необходимо особое внимание уделить вопросам проверки их совместимости с используемыми прикладными программами.

Управление системой защиты состоит в периодическом внесении изменений в базу данных защиты, содержащую сведения о пользователях, допущенных к работе в системе, их правах доступа к различным объектам системы и др.

Особое внимание при управлении системой защиты необходимо обратить на:

— документированность всех изменений в базе данных защиты. Лучше всего организовать систему заявок от должностных лиц организации на разрешение доступа тому или иному сотруднику организации к какому-либо ресурсу системы. При этом ответственность за допуск сотрудника возлагается на соответствующее лицо, подписавшее заявку;

— периодическое резервное копирование базы данных защиты во избежание утраты их актуальной копии в случае сбоя (отказа) оборудования.

Контроль над функционированием ИС заключается в слежении за опасными событиями, анализе причин, которые привели к их возникновению, и устранении последствий.

Как правило, задачи управления и контроля решаются административной группой, личный и количественный состав которой зависит от конкретных условий. Обычно в эту группу входят: администратор безопасности, менеджер безопасности и операторы. Далее мы более подробно рассмотрим характеристики этой административной группы и функциональные обязанности входящих в нее сотрудников.

Обеспечение и контроль безопасности представляют собой комбинацию технических и административных мер. По данным, взятым из зарубежных источников, у сотрудников административной группы обычно 1/3 времени занимает техническая работа (управление программами и другими средствами контроля доступа, защита портов, криптозащита и т. д.) и около 2/3 — административная (разработка документов, связанных с защитой ИС, процедур проверки системы защиты и т. д.).

Рациональное сочетание этих мер помогает поддерживать адекватную защиту ИС и способствует уменьшению вероятности нарушений политики безопасности.

Администратор безопасности среднего и крупного банка на техническую работу тратит более 60% своего времени, а оставшиеся 40% уходят на решение административных задач. Это объясняется тем, что:

— количество сотрудников, входящих в административную группу, недостаточно для выполнения всех возложенных на группу обязанностей. Такое положение дел следует из недооценки руководящим составом организации роли и места обеспечения безопасности собственной ИС;

— производятся частые изменения программных средств, предназначенных для обработки информации (до 3–5 раз за одну неделю). Это связано с тем, что, как правило, крупные коммерческие банки содержат собственный штат программистов. А программисты находят и устраняют ошибки в программном обеспечении или дорабатывают программы в соответствии с требованиями аналитиков банка и затем обновляют программы;

— периодически изменяется штатно-должностное расписание (приходят новые сотрудники, уходят старые). Это приводит к тому, что иногда приходится за неделю добавлять (удалять) в систему (из системы)

5–7 пользователей. Если система невелика — все не так сложно, а если ежедневно в ней работает одновременно более 100 человек с более чем 200 программными модулями, половина из которых обновляется, задача становится неимоверно тяжелой;

— отсутствуют программные средства, облегчающие деятельность администратора, поэтому администраторам приходится либо мириться с такой ситуацией, либо разрабатывать необходимые программные средства.

4. Электронные цифровые подписи

Электронная цифровая подпись (ЭЦП) – это набор методов, которые позволяют перенести свойства рукописной подписи под документом в область электронного документооборота. Реальная подпись обладает следующими свойствами:

1.                 достоверностью, утверждающей, что пользователь сознательно подписал документ;

2.                 неподдельностью, доказывающей, что конкретный пользователь, а никто другой за него подписал документ;

3.                 невозможностью повторного использования подписи под одним документом для подписи другого;

4.                 неизменностью подписанного документа;

5.                 материальностью подписи, не дающей возможности подписавшему впоследствии отказаться от нее и от документа.

Электронная цифровая подпись, построенная на алгоритме RSA (рис.2).
Рис.2. Цифровая подпись, построенная на алгоритме RSA
В отличие от алгоритма шифрования, отправителем здесь является владелец пары закрытый/открытый ключ. Процедура формирования электронной подписи sign под сообщением схожа с шифрованием документа, но в степень закрытого ключа d по вычету n возводится не само сообщение или его части, а дайджест сообщения h. Неотъемлемой частью алгоритмов ЭЦП является хэширование информации, на рисунке оно обозначено через H(), и это может быть любой из алгоритмов хэширования.

Сообщение m с подписью sign будет однозначно аутентифицировано. Злоумышленник не сможет подменить сообщение m (точнее,ему будет очень трудно это сделать), поскольку ему необходимо вместо сообщения m подставить другое сообщение m’, удовлетворяющее его и имеющее такое же значение хэш-функции, что и у m, что является на сегодня вычислительно трудной задачей. По этой же причине злоумышленник не сможет применить перехваченную подпись sign для подписи другого документа, поскольку для другого документа будет получено иное значение хэш-функции h,а оно лежит в основе подписи.

Таким образом, все необходимые свойства подписи описанным алгоритмом обеспечиваются, что же касается криптостойкости метода ЭЦП, то онаопределяется криптостойкостью используемого асимметричного криптографического метода и функции однонаправленного шифрования. Необходимо отметить также, что само сообщение m передается в открытом виде. Для того, чтобы обеспечить конфиденциальность передаваемой в нем информации, требуется использование дополнительного шифрования по симметричной или асимметричной схеме (при этом шифрование на ключе d конфиденциальности не обеспечит, поскольку сообщение может быть расшифровано открытым ключом e).

Электронная цифровая подпись на основе алгоритма Эль-Гемаля

ЭЦП на базе алгоритма Эль-Гемаля обладает как надлежащей стойкостью алгоритма, так и лучшей по сравнению с RSA скоростью вычислений. В частности, в стандарте национального института стандартов США DSS (Digital Signature Standard) используется алгоритм DSA (Digital Signature Algorithm), который является вариацией алгоритма ЭЦП Эль-Гемаля в модификации Шнорра. В алгоритме используются следующие открытые параметры:

·                     p - простое число в диапазоне от 512 до 1024 бит;

·                     q -160-битовое простое число, делитель p-1;

·                     v – любое число, v < p-1, такое, что v^(p-1)/q mod p > 1;

·                     g = v^(p-1)/q mod p;

·                     y = g^x mod p.

Секретным ключом является любое 160-разрядное число x,x < q.

Алгоритм ЭЦП DSA в графической форме представлен на рис.3.
Рис. 3. Алгоритм ЭЦП DSA

Существует множество модификаций схемы ЭльГемаля. Одним из типов модификации стал перенос вычислений в группу, образованную эллиптическими кривыми.

На эллиптических кривых построен алгоритм проверки ЭЦП ГОСТ Р 34.10 – 2001, являющийся на сегодня стандартом РФ в области ЭЦП. Схема этого алгоритма приведена на рис. 4.
Рис. 4. Алгоритм ЭЦП ГОСТ Р 34.10 – 2001
Основным достоинством криптосистем на основе ЭК является то, что они обеспечивают надежность, адекватную классическим криптосистемам (RSA, ЭльГемаль) на существенно меньших по длине ключах, что положительно отражается на времени кодирования и декодирования. Криптосистемы цифровой подписи на основе эллиптических кривых с длиной ключа 160 бит имеют одинаковую стойкость с криптосистемами DSA и Эль-Гамаля с длиной ключа 1024 бита. Ожидается, что в ближайшем будущем данные системы займут доминирующее положение в криптографии с открытым ключом. Однако, это повлечет более серьезные исследования свойств этих криптоалгоритмов, что может привести к появлению новых, более эффективных алгоритмов решения проблемы дискретного логарифма в группе точек эллиптических кривых.

Еще одним подходом к формированию ЭЦП является использование симметричных алгоритмов шифрования. Однако, известные на сегодня алгоритмы этого класса представляют скорее теоретический интерес, поскольку эффективность их реализации по времени или по объему требуемых вычислений очень невысока. Например, предложенная Диффи и Хелманом система ЭЦП на симметричном шифре позволяет подписывать только один бит информации, что на практике потребуетформирования отдельной подписи для каждого бита передаваемого сообщения, причем подпись бита имеет размер ключа блочного шифра, и каждый новый бит требует генерации своего ключа подписи. Поэтому системы подобного класса пока не нашли широкого применения.

5. Способы НСД (несанкционированный доступ к информации) к проводным линиям связи

Наиболее часто для передачи информации применяются телефонные линии в качестве проводных линий связи. Это связано с тем, что большинство компьютеров используют для передачи данных модемы, подключенные к телефонной линии.

Общепринятые способы подслушивания линии, связывающей компьютеры: непосредственное подключение к телефонной линии:

-      контактное — последовательное или параллельное (прямо на АТС или где-нибудь на линии между телефонным аппаратом и АТС);

-      бесконтактное (индукционное) подключение к телефонной линии;

-      помещение радиоретранслятора («жучка») на телефонной линии:

-      последовательное включение;

-      параллельное включение.

Непосредственное подключение к телефонной линии — наиболее простой и надежный способ получения информации. Такое подключение осуществляется на телефонной станции либо на любом участке линии от потребителя до АТС.

Чтобы обнаружить нужные провода, подсоединяют переносную телефон-трубку к любой паре промежуточных контактов и набирают номер объекта. Проведя кончиками пальцев, монеткой, неоновой лампой или светодиодным пробником по отдельным клеммам, регистрируют (через удар током, сильное искрение, вспыхивание светодиода) явно повышенное (до 100 В и более) напряжение. Отыскав подобным образом требуемую линию, от нее пробрасывают к близлежащему посту прослушивания либо установленному невдалеке магнитофону неприметную отводку, причем в качестве последней можно задействовать всегда имеющиеся в кабеле неиспользованные провода.

Так как АТС переключает линию на разговор при шунтировании ее сопротивлением порядка 1000 Ом, применение для подслушивания аппаратуры с низкоомным входом вызывает перегрузку телефонной сети и падение напряжения, причем высока вероятность обнаружения подключения. Поэтому параллельное подключение к линии стараются производить через сопротивление номиналом в 600-1000 Ом.

Контактное подключение — самый простой способ незаконного подключения, например, параллельного телефонного аппарата или модема. Более совершенным является подключение к линии связи с помощью специальных согласующих устройств типа согласующих трансформаторов или интерфейсных плат персональных компьютеров.

согласующих трансформаторов или интерфейсных плат персональных компьютеров.

Наиболее часто используется способ физического подключения к линии телекоммуникации, осуществляемого через Y-образный кабель, один разъем которого подключен к интерфейсной карте средства злоумышленника, а два других устанавливаются в разрыв контролируемой линии. При таком способе включения сохраняется прямое электрическое соединение аппаратуры канала передачи данных и оконечного оборудования. В этом случае компьютер злоумышленника является полностью пассивным устройством.

Бесконтактное подключение к линии связи осуществляется двумя путями: за счет электромагнитных наводок на параллельно проложенные провода рамки; с помощью сосредоточенной индуктивности, охватывающей контролируемую линию.

В обоих случаях подслушивание реализуется за счет использования явления электромагнитной индукции. Индукционное подсоединение к телефонной линии позволяет уклониться от непосредственного контакта с телефонной сетью, поэтому его довольно трудно обнаружить.

Принцип действия такой отводки строится на том, что вокруг обычных проводов при проходе по ним электрического тока возникает электромагнитное поле, наводящее индукционный ток в расположенном поблизости проводнике. Для реализации этого эффекта один из проводов наружной линии обматывают вокруг миниатюрной многовитковой катушки с ферромагнитным сердечником либо размещают его вблизи подобной же катушки в броневом сердечнике. Выводы импровизированного трансформатора подсоединяют к усилителю низкой частоты, диктофону или микропередатчику. Недостатки подобного приема — невысокий уровень засекаемого сигнала, поэтому обычно требуется его дополнительное усиление, а также явная склонность такого датчика реагировать на посторонние электромагнитные колебания.

Качество принимаемого сигнала определяется подбором характеристик индукционного датчика, усилением и настройкой усилителя низкой частоты. Полоса пропускания обязательно должна быть регулируемой. Это позволяет отфильтровать другие сигналы наводок и помех и выделить именно интересующий сигнал.

Радиопередатчик (радиомикрофон, радиоретранслятор), подключенный к телефонной линии, часто используют, когда применение демаскирующих отводок вызывает некоторые затруднения. Он превосходно ретранслирует циркулирующую информацию туда, где установлен приемник. Различают два способа такого подключения: последовательное и параллельное.

В первом случае миниатюрный передатчик включают в разрыв линии и питают его от линии только в момент разговора. Таким образом, ретранслятор действует неограниченно долго, однако напряжение в телефонной сети несколько снижается, что может привести к обнаружению ретранслятора.

Во втором стандартном варианте передатчик подсоединяют параллельно линии и обеспечивают, в зависимости от тока потребления, питанием от линии или от автономного источника питания. Данный образец сложнее обнаружить (происходит бросок напряжения в линии только в момент подсоединения), но период его автономной работы может ограничиваться емкостью применяемых батарей (которая, впрочем, тратится лишь в периоды использования телефона). В конструктивном исполнении все эти устройства представляют собой маломощные, преимущественно транзисторные генераторы ультракоротких волн (27-900 МГц), несущие которых модулированы перепадами напряжения или тока, возникающими в линии при телефонном разговоре.

Существуют системы прослушивания телефонных разговоров, не требующие непосредственного электронного соединения с телефонной линией. Эти системы используют индуктивный способ (при помощи катушек) съема информации. Они достаточно громоздки, так как содержат несколько каскадов усиления слабого НЧ-сигнала и обязательный внешний источник питания. Поэтому такие системы не нашли широкого применения на практике.

Для приема информации от телефонных радиоретрансляторов используются такие же приемники, как в акустических устройствах съема информации по радиоканалу.

В настоящее время появились системы перехвата факсовой и модемной связи, которые при использовании персонального компьютера со специальным программным обеспечением позволяют расшифровать информацию.

Задача

Зашифруйте открытый текст «Криптография – это наука о методах и способах преобразования информации с целью ее защиты от незаконных пользователей» шифром Цезаря со сдвигом 7 и простейшего шифра замены, для которого ключ задайте сами.

Решение:

Шифр Цезаря

Исходный алфавит: АБВГДЕЁЖЗИЙКЛМНОПРСТУФХЦЧШЩЪЫЬЭЮЯ

Шифрованный: ЖЗИЙКЛМНОПРСТУФХЦЧШЩЪЫЬЭЮЯАБВГДЕЁ

Исходный текст:

Криптография – это наука о методах и способах преобразования информации с целью ее защиты от незаконных пользователей.

Зашифрованный текст:

Счцщхичёыпё – дщх фжъсж х улщхкжь п шцхшхзёь цчлхзчёохиёфпё пфыхчуёэпп ш элтге лн оёапщв хщ флоёсхффвь цхтгохиёщлтлр.
Шифр простой замены

Ключ:

\ ;

{ |

} ]

\ ;

_ ,

Один из вариантов шифрованного текста выглядит таким образом:

Adehni6ck-eo+qmjtvlzbksitx1mj4l%tfs8gi!j0k#thc2i9cl<j:kuepsev/jcwl~fes. t@1$\{s2]t>k=fm&jmtu2<lajuv&%tgi^;<i"kn1$2_

Список использованной литературы

1.     Большая энциклопедия промышленного шпионажа / Ю.Ф. Каторин, Е.В. Куренков. – М.: Полигон, 2000. – 629 с.

2.     Информатика. Общий курс: Учебник / Под ред. В.И. Колесникова. – М.: Дашков и К, Ростов н/Д.: Наука-Пресс, 2007. – 400 с.

3.     Рябко, Б.Я. Криптографические методы защиты информации: учебное пособие для вузов / Б.Я. Рябко, А.И. Фионов. – М.: Горячая линия-Телеком, 2005. – 229 с.: ил.

4.     Ярочкин, В.И. Информационная безопасность: учебник для вузов. – 5-е изд. – М.: Академический проект, 2008. – 544 с.

Bukvasha