Защита информации в интернете: основные средства и технологии

Содержание

СЗИ от несанкционированного доступа

Чтобы защитить сеть и данные от посторонних, такие СЗИ идентифицируют и аутентифицируют устройства и пользователей, регистрируют работу процессов и программ, управляют информационными потоками между устройствами, сканируют носители информации и делают множество других вещей. Вот два примера таких СЗИ:

  • Dallas Lock. Разработана для операционных систем Windows. Можно подключить аппаратные идентификаторы. Из возможностей — поддерживает виртуальные среды, аудит действий пользователей, контроль целостности файловой системы, программно-аппаратной среды, реестра и многое другое.
  • Электронный замок «Соболь». Поддерживает доверенную загрузку и доверенную программную среду. Есть функции регистрации попыток доступа, сторожевого таймера и многого другого. Имеет сертификаты соответствия ФСТЭК и ФСБ.

3.8 Диск Plexuscom с биометрической защитой

Описание

Данное решение относится к классу защищенных флэш-накопителей.

4. Сводная таблица

Признаки/ Системы

Программные методы защиты

Электронные ключи защиты

Смарт-карты

USB-токены

ПСКЗИ

Защищенные флэш-накопители

StarForce

Широко используется

Не нуждается

Не нуждается

В наличии, часто используются

применяются, широко используются

Не нуждается

HASP SRM

Широко развиты, используются

Широко используются удобны в использовании

Не нуждается, могут обеспечить более широкий диапазон приложений

Обеспечивают удобство и быстроту, не являются основополагающими

Применяются, редко используются

Не нуждается

SafeNet iKey

Не нуждается

Не нуждается

Широко используются, обеспечивают доступ информации толькодля пользователя

Широко используются, обеспечивают быстроту и простоту в использовании

Не нуждается

Не нуждается

Athena SmartCard

Широко используется

Не нуждается, функции обеспечиваются программными методами защиты

Широко используются, обеспечивают быстрый доступ к информации, осуществляют защиту

Не нуждается

Не нуждается

Не нуждается

Em-Marine

Не нуждается

Не нуждается

Широко применяются, удобны в использовании, практичны

Не нуждается

Не нуждается

Не нуждается

ШИПКА

Не нуждается

Не нуждается

Не нуждается

Не нуждается

Широко используется, ПСКЗИ берет на себя все функции защиты информации

Не нуждается

Plexuscom

Не нуждается

Не нуждается

Не нуждается

Не нуждается

Не нуждается

Широко используется, наряду с некоторыми минусами обеспечивает достаточный уровень защиты

В данной работе были проанализированы методы и системы защиты информации. Большая часть подобных систем строится по схеме «ключ-сертификат + программное обеспечение», где ключ необходим для аутентификации пользователя и непосредственно шифрования данных. Необходимость применения того или иного метода защиты в контексте данной работы определяется двумя основными факторами:

Правила безопасности

Есть несколько обязательных правил информационной безопасности, которые соблюдать просто необходимо (2014 г.).

Заслон от вирусов и спама

Заслон для вирусов и спама. Самую большую угрозу безопасности компании, по данным экспертов, представляет вредоносное ПО. На август 2014 года ежедневно появляется около 200 тыс. новых его образцов. По данным участников ИБ-рынка, в 2013 году 95% российских компаний по меньшей мере один раз подверглись хакерской атаке. Не менее серьезной угрозой является утечка в результате незащищенного обмена корпоративной информацией через мобильные устройства сотрудников.

Чтобы не допустить возникновения этих угроз, необходимо отказаться от «левого» софта, установить файрвол и современный антивирус, регулярно обновлять его.

Компьютер для ДБО использовать только для ДБО

Компьютер, на котором установлено ДБО, необходимо отключить от локальных сетей. Выходить в интернет с него, кроме как для связи с банком, нельзя.

Не пользоваться соцсетями и открытым Wi-Fi с рабочих компьютеров

Если в работе или для хранения информации используются смартфоны и планшетные компьютеры, не надо выходить с них в социальные сети и пользоваться общедоступным Wi-Fi.

Ключи и пароли держать под замком

Часто руководители СМБ сами дают карты в руки мошенникам, держа ключи от ДБО и электронной подписи в доступном месте.

Эти сведения необходимо хранить в сейфе или другом надежном месте, доступ посторонних к ним должен быть запрещен.

Корпоративные данные должны храниться на удаленном сервере

Коммерческие и персональные данные лучше всего доверить облачным сервисам. Это безопаснее, чем в папке на столе или компьютере, на флешке или съемном диске. Данные в дата-центрах хранятся в зашифрованном виде, и добраться до них можно только с помощью электронных ключей и цифровой подписи.

Разграничить доступ к данным между сотрудниками

Важно также предупредить и внутренние угрозы – умышленные или случайные нарушения политики информационной безопасности сотрудниками компании. Эти риски можно минимизировать, установив доступ к корпоративной информации в зависимости от уровня полномочий сотрудников

Например, менеджер по продажам располагает сведениями только о своих клиентах, а полная база и вся история продаж будет доступна только начальнику отдела продаж. Главный бухгалтер должен иметь доступ только к бухгалтерской отчетности, а управленческая отчетность будет доступна только гендиректору. Конечно, в маленькой компании добиться полного обособления функций сложно, но попытаться разграничить потоки информации между сотрудниками все-таки необходимо. Все это также снизит вероятность утечки данных.

Вопрос №2. Защита информации (определение, система, концепция, цель и замысел). Формы защиты информации. Сертификация, аттестация и лицензирование.

Защита
информации

— Деятельность,
направленная на предотвращение утечки
защищаемой информации, несанкционированных
и непреднамеренных воздействий на
защищаемую информацию.

Система
защиты информации

— совокупность органов и/или исполнителей,
используемая ими техника защиты
информации, а также объекты защиты,
организованные и функционирующие по
правилам, установленным соответствующими
правовыми, организационно-распорядительными
и нормативными документами по защите
информации.

Концепция
защиты информации

— Концепция
информационной безопасности, как система
взглядов на цели, способы обеспечения
безопасности информации и средства ее
защиты, должна в общем виде отвечать на
три простых вопроса:

·    
Что защищать?

·    
От чего защищать?

·    
Как защищать?

Цель
защиты информации
— Заранее намеченный результат защиты
информации.

Целью
защиты информации  может  быть 
предотвращение  ущерба собственнику, 
владельцу,  пользователю информации
в результате возможной утечки информации
и/или несанкционированного и 
непреднамеренного воздействия на
информацию.

Формы
защиты информации

— Сертификация, аттестация и лицензирование.

Замысел
Основная
идея, раскрывающая состав, содержание,
взаимосвязь и последовательность
осуществления технических и организационных
мероприятий, необходимых для достижения
цели защиты информации.

Сертификация:

Документ,
выдаваемый в соответствии с правилами
сертификации, указывающий, что
обеспечивается необходимая уверенность
втом, что должным образом идентифицированные
защищенные изделия, техническиесредства
и способы защиты информации
соответствуют конкретному стандарту
или другому нормативному документу.

Аттестация
— Под аттестацией объектов информатизации
понимается комплекс организационно-технических
мероприятий, в результате которых
посредством специального документа
(Аттестат соответствия) подтверждается,
что объект отвечает требованиям
стандартов или иных нормативно-технических
документов по безопасности информации,
утвержденных ФСТЭК России.

Лицензирование
– Разрешение
на право проведения тех или иных работ
в области защиты информации оформленное
лицензионным соглашением.

Вопрос
№3. Объект защиты, классификация.
Основные способы защиты информации от
Технических разведок.

Объект 
защиты 
—  информация или носитель информации
или информационный процесс,  в
отношении которых необходимо обеспечивать 
защиту  в соответствии с поставленной
целью защиты информации.

Классификация
к общим показателям относятся:

– важность
информации;

– категория
обрабатываемой информации;

– уровень
защиты;

– контролируемая
зона (КЗ);

– комплекс
средств безопасности объекта (КСБО);

– условия
функционирования при обработке информации
(автономно или неавтономно).

Устанавливаются
следующие уровни составляющих важности
информации:

– конфиденциальность:
особой
важности, совершенно секретно, секретно,
для служебного пользования, открытая
информация;

Защита
от технической разведки

— это комплекс мероприятий организационного
и технического характера, проводимых
с целью исключения или существенного
затруднения получения данных о скрываемом
объекте.

При
осуществлении мероприятий по защите
руководствуются рядом принципов,
реализация которых позволяет решать
задачи защиты с максимальной эффективностью
и минимальной стоимостью. Эти принципы
заключаются в том, что защита должна
быть

  • комплексной

  • активной

  • убедительной

  • непрерывной

  • разнообразной

  • экономически
    обоснованной.

Все
способы защиты в соответствии с имеющейся
руководящей документацией делятся на
две группы:

  1. скрытие;

  2. дезинформация.

Первая
группа включает:

  1. пассивное
    скрытие;

  2. активное
    скрытие;

  3. специальную
    защиту.

Вторая
группа включает:

  1. техническую
    дезинформацию;

  2. имитацию;

  3. легендирование.

3.5 Программныйпакет Athena SmartCard Solutions

Информация

Это программное обеспечение для анализа защищённости приложений и создания защитной оболочки для них. Широкий набор функций по обработке приложений и выделению интересующих структурных элементов позволяют использовать анализатор для решения широкого круга задач. Основные возможности:

· Широкий выбор шаблонов и действий (последовательности операций) позволяет минимизировать применение ручных операций.

· Динамическое отображение результатов работы основных компонентов, что позволяет оператору точно определить оптимальные настройки.

· Для выделенных объектов рассчитывается несколько десятков количественных параметров, при этом их подборка и точность вывода настраиваются пользователем под конкретные виды анализа.

Описание

Данное решение относится к классу программных систем защиты и Smart-карт.

Средства защиты информации

В отличие от методов — средства защиты информации рассматривают более узкие области ответственности. Они разделяются на работу с материальными, информационными, трудовыми ресурсами.

Физические

Физические методы крайне схожи с созданием препятствий как общего принципа действия.

Однако существует конкретизация разделения принимаемых мер.

  1. Для предотвращения доступа и одновременного обеспечения безопасности персонала физические методы заключены в разработке путей эвакуации, установке специальных противопожарных дверей, систем оконного заграждения.
  2. С целью контроля доступа в помещения используются идентификаторы трудовой единицы.
  3. Предусматривается установка надежных противопожарных систем для предотвращения потерь данных вследствие пожара.

Физические защитные методы предусматривают контроль периметра, обеспечение бесперебойного питания оборудования, работу систем оповещения.

Система защиты серверной комнаты в случае пожара

Или же систем пожаротушения.

Психологические

Психологические средства расширяют методики побуждения. Они заключены не только в формировании личной заинтересованности и положительной мотивации.

В комплекс психологических мер включается карьерная лестница, создание социальных лифтов, сетки поощрений.

Восхождение на карьерную лестницу

Хорошие результаты приносит и организация хорошего отдыха персонала, например, корпоративные путевки на курорты, тематические экскурсии, туры выходных дней для укрепления морали и сплоченности коллектива.

Организационные

Организационные методы защиты информации — это своеобразный сплав из управления, принуждения, регламентации.

В список включается:

  • разработка инструкций, касающихся проведения тех или иных процедур работы с данными;
  • формирование общих должностных инструкций;
  • разработка системы наказаний, норм ответственности за нарушения;
  • реализация мер, призванных повысить уровень знаний и умений персонала.

Реализация организационных методов защиты позволяет добиться полного умения работников обращаться с информацией, выполнять нормированный список обязанностей, четко осознавать возможные последствия тех или иных нарушений.

Законодательные

Правовые методы защиты информации описывают множество вариантов поведения людей или организации в целом при обращении с теми или иными данными. В частности, самым знакомым среднестатистическому гражданину — является процесс хранения личных сведений.

Иные механики обращения — приняты в компьютерных системах. В частности, пароль доступа является секретным и известным только конкретному пользователю, не может разглашаться, так далее.

Правовые методы защиты могут регламентироваться как законами государства, так и формироваться в пределах оказания отдельной услуги или на время выполнения договора. В этом случае конкретный список прав, разрешений, запрещенных действий — утверждается документально.

Заключение коллективного договора

Аналогичный процесс может реализовываться в разрезе предприятия или компании. Утверждающими документами при этом является коллективный договор, договор подряда, должностные инструкции.

Состав системы информационной безопасности

  • Доступность – информация доступна только в определённом виде, времени и месте конкретному кругу лиц.
  • Конфиденциальность – доступ к информации очень узкого круга лиц.
  • Целостность – комплекс мероприятий, которые направлены на обеспечение целостности обрабатываемой информации.

Цель защиты информации – сведение к минимуму потерь, которые могут быть вызваны нарушением недоступности, целостности или конфиденциальности. Таким нарушением может быть некоторые воздействия на компьютерные системы предприятия.

Современная система безопасности на предприятии представляет сегодня несколько компонентов, которые могут выйти из строя.

Программное обеспечение. Любые программы, которые приобретены и загружены в систему: объектные, исходные или загрузочные, утилиты и т.д.

Аппаратные средства. Это компьютеры, ноутбуки, периферийные устройства, любые линии связи.

Хранимые данные. Они могут как постоянные, так и временные на любых носителях.

Пользователи и обслуживающий персонал.

Система информационной безопасности на предприятиях и банках должна всегда совершенствоваться и развиваться. Необходим постоянный контроль функциональной системы, усиление её слабых мест, обновление существующих и дополнение новых механизмов защиты.

Комплексное использование всего арсенала имеющих средств защиты обусловлено возможными действиями злоумышленников.

Условием для обеспечения безопасности информации является законность и соблюдение интересов, профессионализм представителей службы безопасности, соблюдение всех установленных правил, ответственность персонала и руководства.

Если хотя бы одно условие не соблюдается, то никакая самая современная система безопасности не может быть полной.

Воздействия на информационную систему предприятия можно разделить на две части: преднамеренную и случайную.

Случайными могут быть: сбой или отказ аппаратуры, помехи в линии связи, ошибки в программном обеспечении, аварии из-за стихийных бедствий и неожиданных отключений электроэнергии и ошибки персонала.

Преднамеренными воздействиями считаются: конкуренция, недовольство служащих, взятка, любопытство персонала.

СЗИ, чтобы отвечать требованиям

Такие системы могут понадобиться и для выполнения различных требований со стороны регуляторов. Например, ФЗ-152, 719-П, ГОСТ и других. Вот примеры таких решений:

  • «КИТ-Журнал». СЗИ, которая поможет выполнять требования приказа ФАПСИ №152 и ПКЗ-2005. Система автоматизации учета и процессов информационной безопасности поможет правильно вести соответствующие документы. Есть функции разграничения прав доступа, а интерфейс — привычный и удобный. Есть традиционные планировщик задач, электронная подпись, автоматизация действий и многое другое.
  • TimeInformer. СЗИ, которая пригодится, если для отчетности нужно точно знать, какие ресурсы в интернете посещают сотрудники в течение рабочего дня. Из программы можно выгрузить подробные отчеты с аналитикой рабочего времени, установленному на компьютерах ПО и другой информацией. Одним из главных достоинств программы является ее незаметность — она не снижает скорость работы компьютеров сотрудников.
  • Контур информационной безопасности SearchInform может быть хорошим выбором, если вы ищете именно российское решение, которым пользуются множество известных компаний в России и зарубежных странах. У этого решения есть все нужные сертификаты, и им пользуются такие компании, как Банк «Открытие», Газпромнефть, Тройка-Диалог, МТТ и многие другие. Среди множество функций есть даже «Выявление инсайдеров в компании».

Виды криптографической защиты информации

Классификация криптографических методов преобразования информации по типу воздействия на исходные данные включает следующие виды:

  • шифрование;
  • стенография;
  • кодирование;
  • сжатие.

Шифрование

Шифрование предполагает видоизменение исходника посредством логических, математических, комбинаторных и других операций. В итоге таких преобразований первоначальные данные приобретают вид хаотически расположенных символов (цифр, букв и т.д.) и кодов двоичной системы.

Инструментами создания шифра служат алгоритм преобразования и ключ.

В определенных методах шифрования применяется постоянная преобразовательная последовательность. Ключ включает управляющие данные, определяющие выбор видоизменения на конкретных пунктах алгоритма и размер используемых в ходе шифрования операндов.

Шифрование является основным криптографическим способом видоизменения данных в компьютерах. Чтобы обеспечить эффективную борьбу против криптоатак (атак на шифр, криптоанализа), методы шифрования должны отвечать ряду требований:

  1. Криптостойкость (стойкость перед криптоанализом), позволяющая вскрыть шифр лишь через полный перебор ключей.
  2. Стойкость шифра благодаря конфиденциальности ключа, а не алгоритма преобразования.
  3. Соразмерность объемов исходного текста и шифротекста.
  4. Исключение искажений и потерь данных, последовавших за ошибками в ходе шифрования.
  5. Небольшое время шифрования.
  6. Согласованность стоимости шифрования и стоимости исходной информации.

Примечание

Эффективность шифрования определяется криптостойкостью шифра. Единицей измерения этого показателя могут быть: время; стоимость инструментов, необходимых криптоаналитику на расшифровку без знания ключа.

В данной модели отправитель создает открытое исходное сообщение (М), передаваемое законному адресату по незащищённому каналу. Канал находится под контролем злоумышленника, который стремится перехватить сообщение и рассекретить его. Чтобы перехватчик не смог расшифровать передаваемые данные, отправитель защищает его посредством обратимого преобразования (Ек(С)), после чего получает шифротекст (С). Его он отправляет получателю. Адресат принимает зашифрованный текст, раскрывает засекреченное сообщение с помощью дешифровщика (Dк(С)) и получает исходный текст (М).

Ек — один из алгоритмов преобразования, К — это критпографический ключ, который определяет выбор алгоритма, подходящего для конкретного шифрования.

Выделяют два вида шифрования:

  1. Симметричное: с использованием одного криптографического ключа.
  2. Асимметричное: с открытым ключом.

Стенография

Этот метод, единственный среди криптографических способов, позволяет скрыть не только информацию, но и сам факт ее хранения и передачи. В основе стенографии лежит маскирование секретных данных среди общедоступных файлов. Иными словами, закрытая информация скрывается, а вместо нее создаются дубликаты.

Кодирование

Преобразование данных по этой методике происходит по принципу замещения слов и предложений исходника кодами. Закодированные данные могут выглядеть как буквенные, цифровые или буквенно-цифровые комбинации. Для кодирования и раскодирования применяют специальные словари или таблицы.

Рассматриваемый метод удобно использовать в системах с небольшим набором смысловых конструкций. Недостаток кодирования заключается в том, что необходимо хранить и распространять кодировочные таблица, а также достаточно часто их менять во избежание нежелательного рассекречивания информации.

Сжатие

Данный способ представляет собой сокращение объема исходной информации. Понятие сжатия относят к криптографическим с некоторыми оговорками. С одной стороны, сжатые данные требуют обратного преобразования для возможности их прочтения. С другой стороны, средства сжатия и обратного преобразования общедоступны, поэтому этот способ не является надежным в части защиты информации.

RBAC? ABAC?.. PERM! Новый подход к авторизации в облачных веб-службах и приложениях

Tutorial

Данная статья преследует цель рассказать о новом походе к авторизации в облачных решениях, в основе которого лежит использование интерпретируемого языка определения политики управления доступом — который называется языком моделирования PERM (PML). Данный язык можно использовать для выражения различных моделей управления доступом, таких как список управления доступом (ACL), управление доступом на основе ролей (RBAC), управление доступом на основе атрибутов (ABAC) и других. А также рассказать о практическом воплощении этого подхода в виде конкретной реализации кросс-языковой библиотеки авторизации Casbin

Криптографическая защита информации

Криптографические методы защиты информации — это специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования. Криптографический метод защиты, безусловно, самый надежный метод защиты, так как охраняется непосредственно сама информация, а не доступ к ней (например, зашифрованный файл нельзя прочесть даже в случае кражи носителя). Данный метод защиты реализуется в виде программ или пакетов программ.

Современная криптография включает в себя четыре крупных раздела:

1. Симметричные криптосистемы. В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ. (Шифрование — преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом, дешифрование — обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный);

2. Криптосистемы с открытым ключом. В системах с открытым ключом используются два ключа — открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения.( Ключ — информация, необходимая для беспрепятственного шифрования и дешифрования текстов.);

3. Электронная подпись. Системой электронной подписи. называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.

4. Управление ключами. Это процесс системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.

Основные направления использования криптографических методов — передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.

1.2 Электронные ключи защиты

Это программно-аппаратная система для защиты программ и данных от нелегального использования. Механизм ее применения таков: в комплект поставки помимо собственно программного обеспечения на том или ином носителе входит USB-ключ, который необходим для подтверждения легальности. Логика этого метода защиты очевидна: владельцем программного обеспечения является конкретный человек или организация, поэтому возможность его легального использования не должна зависеть от того, на какой компьютер установлено ПО. Этот метод защиты классифицируется секретности или публичности алгоритма защиты. Как правило, секретный алгоритм защиты разрабатывается индивидуально для заказчика, но не может гарантировать криптографическую стойкость. Публичный алгоритм разрабатывается рядом экспертов, специализирующихся на криптографии, следовательно, обладает большей стойкостью.

Средства анализа и контроля защищенности информации

Эти СЗИ иногда еще называют сетевыми сканерами безопасности. Они сканируют корпоративную сеть, проверяя узлы на возможность взлома. Сканеры могут предотвратить атаки таких типов, как «отказ в обслуживании», «подмена» и других. Вот примеры:

  • Сканер уязвимостей XSpider. Разработан российской компанией и способен выявлять множество уязвимостей, независимо от программной и аппаратной платформы. Также он может проверить надежность парольной защиты, проанализировать структуру HTTP-серверов и многое другое.
  • СКАНЕР-ВС. Это внешний загрузочный накопитель с операционной системой и ПО для тестирования. Именно благодаря этому СКАНЕР-ВС выполняет требования многих стандартов безопасности. Умеет анализировать сетевой трафик, беспроводные сети и многое другое.
Оцените статью
Рейтинг автора
5
Материал подготовил
Илья Коршунов
Наш эксперт
Написано статей
134
Добавить комментарий