Організаційні заходи по захисту електронної інформації (реферат)

Реферат на тему:

Організаційні заходи по захисту електронної інформації.

Проблема безпеки комп’ютерних мереж.

Забезпечення безпеки комп’ютерних мереж можна без перебільшення назвати
однією із найважливіших задач, що стоять перед розробниками та
користувачів мережних технологій. Створення надійних механізмів захисту
від несанкціонованого доступу до комп’ютерів, залучених до локальних і
зовнішніх мереж, є дуже складною технічною проблемою.

Широке поширення Інтернету безумовно дозволило революціонізувати
традиційні принципи збору інформації й обміну нею. Проте, як показує
досвід, використання Інтернету таїть у собі також і серйозну небезпеку
втрати і витоку конфіденційної інформації. Ця небезпека обумовлена тією
обставиною, що Інтернет у руках зловмисників може стати грізною зброєю
на зразок відмички, за допомогою якої зламують вхідні двері. Очевидно,
що наслідки віртуального злому, якщо мова йде про секретні дані, та й
просто про інформацію, не призначеної для чужих очей і вух, можуть
виявитися не менш катастрофічними, ніж наслідки звичайної крадіжки.
Розуміння природи вразливості залучених до мереж комп’ютерів дозволяє
тверезо оцінити реальні масштаби вихідної від Інтернету загрози
одержання несанкціонованого доступу до інформації.

Розрізняють три рівні, на яких може здійснюватися атака: термінали,
локальні мережі і, нарешті, сама мережа Інтернет. Обмежимося розглядом
питань, що стосуються безпеки окремих комп’ютерів, залучених до
Інтернету, тому що саме ці місця є найбільше актуальними для
користувачів, що працюють із ресурсами World Wide Web. Тут, у свою
чергу, має сенс проводити розмежування між захистом даних, що
утримуються безпосередньо в комп’ютері, включеному в мережу, і захистом
даних, що відправляються за допомогою Інтернету (зокрема, електронної
пошти).

Звернемося до першої проблеми: чи можливий несанкціонований віддалений
доступ до вмісту жорсткого диска персонального комп’ютера і якщо так, то
яким чином? Одною з найпоширеніших моделей обходу захисних механізмів,
передбачених у сучасних броузерах, є атака віддаленого комп’ютера за
допомогою особливих вірусів, що одержали назву «троянських коней».
Типовий «троянський кінь» складається з двох частин, що називають
відповідно «сервером» і «клієнтом». «Сервер» у даному випадку — це
програма, що завантажується в пам’ять інфікованого комп’ютера і
спроможна одержувати і виконувати команди, що надходять через Інтернет
від віддаленого «клієнта — зловмисника». Команди, що може виконувати
сервісний компонент, залежать від того, який саме «троянський кінь»
проник у комп’ютер. Один із підкласів «троянських коней» призначений для
передачі «клієнту» мережних паролів користувачів; інші види «троянців»
спроможні завдати ще більшу шкоду: наприклад, відслідковувати
інформацію, виведену на монітор комп’ютера, копіювати вмістиме
вінчестера і навіть форматувати його. Проникнення «троянських коней» у
комп’ютери може стати наслідком безтурботності при роботі з Інтернетом.
Користувач найчастіше і не догадується про те, який «данайський дарунок»
одержав він разом з програмою, що йому сподобалася, завантаженої з
мережі, або разом із отриманим на перший погляд незагрозливим
електронним листом. Антивірусне програмне забезпечення, включаючи
спеціалізовані програми, названі «антигенами», далеко не завжди дають
можливість цілком позбутися таких «дарунків».

Інший метод, взятий на озброєння тими, хто намагається проникнути в чужі
комп’ютери, полягає у використанні особливостей організації доменної
системи імен — DNS., як відомо, для навігації у всесвітньому павутинні
достатньо знати лише мнемонічно легкозапам’ятовуюче ім’я мережного
комп’ютера, до якого звертаються. Цьому імені відповідає 32-розрядне
число -, так звана IP-адреса, яка також дозволяє однозначно
ідентифікувати кожний комп’ютер в мережі, але який, як правило, не
відомий користувачу. Оскільки при передачі даних на мережному рівні
використовуються винятково IP-адреси, виникає задача перетворення в ці
адреси імен, привласнених комп’ютерам. Спочатку, коли число залучених до
Інтернету комп’ютерів було порівняно невеликим, пари імен і IP-адрес
централізовано заносилися в спеціальний файл, доступний із мережі. Проте
з часом розвитку Інтернету від цього підходу довелося відмовитися. Для
вирішення цієї задачі перетворення була створена окрема система, у яку
ввійшли спеціалізовані інформаційно-пошукові сервери, які діють на
основі мережного протоколу, що одержав назву DNS. Доменна система імен у
тому вигляді, в якому вона була спроектована, виявилася не спроможною
забезпечити безпеку. Зокрема, у ній є суттєві вади в організації захисту
від перехоплення запитів, що посилаються на сервер, який відноситься до
доменної системи імен. Цим може скористатися зловмисник, здійснивши
переадресування відповідних запитів на власний комп’ютер, який машина
користувача буде приймати за «безпечний» сервер DNS. У результаті
комп’ютер користувача може виявитися мішенню для впровадження шкідливої
інформації.

Існують і інші типи «атаки через Інтернет», пов’язані з недосконалістю
програмного забезпечення. У цьому зв’язку варто згадати мережну атаку,
здійснену 1988 року студентом Корнельського університету Робертом
Моррісом. Розроблений Моррісом особливий різновид комп’ютерного вірусу,
що одержав назву хробак, використовуючи пролом в операційній системі
UNIX і в утиліті електронної пошти Sendmail, зумів за короткий час
вразити понад 6000 машини, у результаті чого стратегічні комп’ютерні
мережі США виявилися на декілька днів виведеними з ладу.

Які ж заходи безпеки потрібно приймати для того, щоб зводити до мінімуму
мережну загрозу? Використання антивірусних програм дозволяє виявляти й
усувати найпоширеніші віруси, проте цілком надіятись на ці програми не
можна. Перед роботою в мережі варто переконатися в правильній
конфігурації серверу. Використання опцій протоколювання,
відслідковування за допомогою спеціальних програм стану відкритих портів
і вмісту системного реєстру є подальшими кроками в напрямку підвищення
безпеки роботи в мережі. І, нарешті, важливо не забувати про те, що
причиною прикростей найчастішою стає інформація, що завантажується з
Інтернету. Тому по можливості варто відмовитися від завантаження програм
із ненадійних джерел і виявляти граничну обережність при роботі з
електронною поштою, зокрема з додатками електронних листів.

Найфундаментальнішими є рішення, застосовувані для захисту локальних
мереж, що мають доступ до всесвітнього павутиння. Для забезпечення
безпеки мереж використовуються різноманітні технології, такі, як системи
виявлення атак і міжмережні екрани.

Основні напрямки можливих несанкціонованих дій.

При організації практичної діяльності по забезпеченню безпеки виникає
складна для користувача задача вибору відповідних технічних засобів у
відповідності з конкретними обставинами. Тому, приступаючи до вирішення
цієї складної задачі, необхідно максимально використати конкретні умови
експлуатації апаратури і можливі стратегії протидіючої сторони. Аналіз
опублікованих в останній час матеріалів дозволяє окреслити такі основні
напрямки несанкціонованих дій:

1. Модифікація програмного забезпечення шляхом непомітного додавання
нових функцій.

2. Отримання несанкціонованого доступу, тобто порушення секретності або
конфіденційності інформації.

3. Видавання себе за іншого користувача для того, щоб зняти з себе
відповідальність, або ж використати його повноваження.

4. Відмова від факту отримання інформації, яка насправді була отримана,
або брехливі відомості про час її отримання.

5. Відмова від факту формування інформації.

6. Твердження про те, що адресату в певний момент часу була послана
інформація, яка насправді не посилалась.

7. Твердження про те, що інформація була отримана від деякого
користувача, хоча насправді вона сформована самим же порушником.

8. Несанкціоноване розширення своїх законних повноважень.

9. Несанкціонована зміна інших користувачів (свідомо недостовірний запис
інших осіб, обмеження або розширення існуючих повноважень).

10. Під’єднання до лінії зв’язку між іншими користувачами в якості
активного ретранслятора.

11. Приховування фактів наявності деякої закритої інформації (прихована
передача) в іншій відкритій інформації.

12. Вивчення того, хто, коли і до якої інформації отримує доступ.

13. Заява про сумнівність протоколу забезпечення безпеки зв’язку,
підкріплена розкриттям певної інформації, яка згідно умов протоколу
повинна залишатись секретною.

14. Примусове порушення протоколу за допомогою введення свідомо
недостовірної інформації.

15. Підрив довіри до протоколу шляхом введення свідомо недостовірної
інформації.

Рекомендації організаційного характеру по забезпеченню безпеки зв’язку.

Сучасна технологія забезпечення безпеки зв’язку рекомендує всю роботу по
захисту інформації з врахуванням розглянутих стратегій протидіючої
сторони проводити по наступних напрямках:

вдосконалення організаційних і огранізаційно-технічних заходів;

блокування несанкціонованого доступу до оброблюваної та інформації, що
передається;

блокування несанкціонованого отримання інформації з допомогою технічних
засобів.

На сьогодні успішно розвиваються не тільки методи і засоби закриття
інформації, але і проводиться активна робота протилежного напрямку,
спрямована на несанкціонований доступ і перехоплення цінної комерційної
інформації. Тому користувачів технічних засобів забезпечення безпеки
зв’язку в першу чергу цікавлять практичні рекомендації по заходах
захисту інформації і протидії несанкціонованому доступу. Під
організаційними заходами захисту розуміють заходи загального характеру,
які обмежують доступ до цінної інформації стороннім особам, незалежно
від особливостей методів передачі і каналів витоку інформації. Будь-яка
робота по забезпеченню безпеки зв’язку в каналах телекомунікацій повинна
починатися з організаційних таких заходів захисту:

1.Встановлення персональної відповідальності за забезпеченням захисту
інформації.

2.Обмеження доступу в приміщення, де проходить підготовка і обробка
інформації.

3.Доступ до обробки, збереження і передачі конфіденційної інформації
тільки перевіреним посадовим особам.

4.Призначення конкретних зразків технічних засобів для обробки цінної
інформації і подальша робота тільки на них.

5.Збереження магнітних носіїв, жорстких копій і реєстраційних матеріалів
в закритих міцних шафах (бажано в сейфах).

6.Виключення перегляду сторонніми особами змісту оброблюваної інформації
за рахунок невідповідного встановлення дисплея, клавіатури, принтера і
т.д.

7.Постійний контроль пристроїв виводу цінної інформації на фізичні
носії.

8.Збереження цінної інформації на зовнішніх носіях тільки в
засекреченому вигляді.

9.Використання криптографічного закриття при передачі по каналах зв’язку
цінної інформації.

10.Знищення фізичних носіїв або матеріалів, що можуть містити фрагменти
цінної інформації.

11.Заборона ведення переговорів про безпосередній зміст цінної
інформації особам, які зайняті її обробкою.

12.Чітка організація робіт і контроль виконання.

Врахувати специфіку каналу обліку і методу передачі або обробки
інформації дозволяють організаційно-технічні заходи, які при цьому не
вимагають для своєї реалізації нестандартних прийомів і обладнання.

1.Організація електроживлення обладнання, що обробляє цінну інформацію,
від окремого джерела живлення і від загальної електромережі через
стабілізатор напруги (мережний фільтр) або мотор-генератор (бажаніше).

2.Обмеження доступу сторонніх осіб всередину в приміщення, в якому
знаходиться обладнання, шляхом встановлення механічних запорів або
замків.

3.При обробці і вводі-виводі інформації використовувати для відображення
дисплеї, а для реєстрації — принтери.

4.При відправці в ремонт технічних засобів обов’язкове знищення всієї
інформації, що містяться на них.

5.Розміщення обладнання для обробки цінної інформації на віддалі не
менше 2,5 м від пристроїв освітлення, конденціонування, зв’язку,
металевих труб, теле — і радіоапаратури, а також іншого обладнання, що
використовується для обробки цінної інформації.

6.Встановлення клавіатури і друкарських пристроїв на мягкі прокладки з
метою зниження відходу інформації по акустичному каналу.

7.При обробці цінної інформації на персональному комп’ютері, крім
випадку передачі цієї інформації по мережі, відключення комп’ютера від
локальної мережі або мережі віддаленого доступу.

8.Знищення інформації після її використання або передачі.

Організація захисту за допомогою технічних засобів.

Блокування несанкціонованого отримання інформації за допомогою технічних
засобів є досить складним завданням, а його вирішення вимагає суттєвих
матеріальних затрат. Тому перед тим, як прийняти конкретні заходи,
необхідно проаналізувати стан справ і врахувати наступні рекомендації:

1.Найнадійнішим методом обмеження електромагнітного випромінювання є
повне екранування приміщення, в якому знаходяться засоби обробки і
передачі цінної інформації. Екранування здійснюється сталевими або
алюмінієвими листами або листами із спеціальної пластмаси товщиною не
менше 2 мм з надійним заземленням.

2.При обробці цінної інформації основним джерелом високочастотного
електромагнітного випромінювання є дисплей персонального комп’ютера.
Необхідно пам’ятати, що зображення з його екрану можна приймати на
віддалі кількох сотень метрів. Повністю нейтралізувати відхід інформації
з екрану можна, лише використовуючи генератор шуму. Для обробки особливо
важливої інформації рекомендується використання плазмових або
рідкокристалічних дисплеїв.

3.Джерелом потужного низькочастотного випромінювання є друкуючий
пристрій. Для блокування відходу інформації в цьому випадку
рекомендується використати зашумлення або термодрук чи струменевий
принтер.

4.В багатьох випадках існують небезпечні наводки на провідники, що
виходять за межі приміщення, яке підлягає охороні. Необхідно слідкувати,
щоб всі з’єднання обладнання із “зовнішнім світом” здійснювалися через
електричну розв’язку.

5.Дуже небезпечні спеціально внесені в схему обладнання обробки і
зв’язку мікропередавачі або радіомаяки (закладки). Тому, після
повернення обладнання з ремонту необхідно переконатися, що в ньому немає
подібних закладок. Не рекомендується обробляти цінну інформацію на
випадкових персональних комп’ютерах.

6.Якщо у вас з’явилися сумніви відносно безпеки інформації, запросіть
спеціалістів — вони визначать можливий канал витоку і запропонують
ефективні заходи для захисту.

При виборі технічних засобів захисту інформації потрібно враховувати
наступні фактори:

1.Режим шифрування-дешифрування повинен бути простим і зручним для
санкціонованого користувача.

2.Ефективність і надійність алгоритму шифрування не повинна залежати від
змісту інформації, що передається.

3.Не варто віддавати перевагу тим системам, в яких криптографічні
алгоритми є комерційною таємницею організації-розробника. Набагато
краще, коли алгоритм відомий до деталей і відповідає деякому стандарту,
а необхідний рівень стійкості визначається, наприклад, довжиною ключа.

4.Аналогові скремблери не забезпечують гарантований захист переговорів,
оскільки в каналі зв’язку присутні частини вихідного аналогового
сигналу. Використання їх має зміст лише в тих випадках, коли
використання цифрових засобів захисту мови неможливе або економічно
невигідне.

Оптимальне вирішення складної проблеми забезпечення безпеки зв’язку
можливе лише при комплексному підході з використанням, як
організаційних, так і технічних заходів. Досягнення сучасної
мікроелектроніки, обчислювальної техніки і методів криптографічного
перетворення дозволяють оптимістично дивитись на перспективи
забезпечення безпеки зв’язку. Цьому сприяє і основна тенденція розвитку
сучасних систем зв’язку — перехід до цифрових методів обробки
інформації, які забезпечують безпеку зв’язку за рахунок високої
стійкості криптографічного перетворення.

Список літератури.

Автоматизированные информационные технологии в экономике. Под. ред.
Г.А.Титоренко — М. Компьютер ЮНИТИ, 1998, — 336 с.

Бердтис А. Структуры данних. — М.: Статистика, 1974, — 408 с.

Блек Ю. Сети ЭВМ : протоколы, стандарты, интерфейсы. -М.: Мир, 1980.

Бойко В.В., Савинков В.М. Проектирование баз данных информационных
систем. -М.: Финансы и статистика, 1992.

Бойков.В., Савинков В.М. Проектирование баз данных информационных
систем. М. Мир 1997.

Боэм Б.У. Инженерное программирование для проектирования программного
обеспечения. -М.: Радио і связь, 1985, -512с.

Брябрин В.М. Программное обеспечение персональных ЭВМ. — М.: Наука,
1988.

Васильев В.Н. Организация, управление и экономика гибкого
интегрированного производства в машиностроении. – М.: Машиностроение,
1986. –312 с.

Вершинин О.В. Компьютер для менеджера. — М.: Высшая школа, 1990.

Вычислительные машины, системы и сети/ Под ред. А.П.Пятибратова. — М.:
Финансы и статистика, 1991.

Герасименко В.А. Защита информации в автоматизированных системах
обработки данных. — В 2-х кн. — М.: Энергоатомиздат, 1994.

Гершгорин Л.Г. Что такое АРМ бухгалтера. — М.: Финансы и статистика,
1988.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *