РУ. Информационные процессы и технологии
 Скачать 3.52 Mb.
|
|
Виды угроз безопасности информационной технологии Если говорить о проблемах компьютерной безопасности, то просматриваются несколько аспектов, а именно: информационная безопасность, безопасность самого компьютера и организация безопасной работы человека с компьютерной техникой. Важно уметь не только работать на компьютере, но и защитить ваши документы от чужих глаз. 193 Абсолютной защиты быть не может. Бытует такое мнение: установил защиту и можно ни о чем не беспокоиться. Полностью защищенный компьютер – это тот, который стоит под замком в бронированной комнате в сейфе, не подключен ни к какой сети (даже электрической) и выключен. Такой компьютер имеет абсолютную защиту, однако использовать его нельзя. Первой угрозой безопасности информации можно считать некомпетентность пользователей. Если мы говорим об информации, хранящейся в компьютере на рабочем месте, то также серьезную угрозу представляют сотрудники, которые чем-либо не довольны, например зарплатой. Одна из проблем подобного рола – это так называемые слабые пароли. Пользователи для лучшего запоминания выбирают легко угадываемые пароли. Причем проконтролировать сложность пароля невозможно. Другая проблема – пренебрежение требованиями безопасности. Например, опасно использовать непроверенное или пиратски изготовленное программное обеспечение. Обычно пользователь сам «приглашает» в систему вирусы и «троянских коней». Современному пользователю приходится работать как минимум с десятком сервисов требующих регистрацию и использование пароля для получения доступа к аккаунту. Электронная почта, интернет менеджеры, социальные сети, личный кабинет интернет провайдера, чаты, форумы, другие сайты и это как минимум. Сложность пароля – мера эффективности, с которой пароль способен противостоять его угадыванию или методу полного перебора. В своей обычной форме сложность пароля является оценкой того, как много попыток в среднем потребуется взломщику, без прямого доступа к паролю, для его угадывания. Другое определение термина – функция от длины пароля, а также его запутанности и непредсказуемости. Почти идеальным способом для создания надежного пароля будет генерация случайного пароля с помощью специальной программы, например такой как Keepass. Но такие пароли сложно запомнить, а значит, их необходимо где-то записывать и хранить. Такой вариант не подходит для части обычных пользователей. Даже если вы будете использовать программный способ создания и хранения паролей, часть паролей все равно придётся запоминать. 1. Создавая пароль вручную необходимо соблюдать несколько правил: Нельзя использовать простые комбинации символов и чисел. Например, пароли 123, 321, 123456, qwerty, asdfg и другие подобные не подходят. Нельзя использовать личную информацию при создании пароля (имена родственников, домашних животных, даты рождения, номера телефонов, адреса, почтовые индексы и т.д.). Например, пароли Masha, Sasha21, Vasya02071988 и другие подобные не подходят. 194 Не используйте пароли, которые можно подобрать по словарю популярных паролей. Например, пароли love, cat, alfa, samsung, mercedes, ястерва и другие подобные, а также их варианты и комбинации не подходят. Не используйте пароли, длина которых меньше 10 символов. Пароль должен состоять из больших и маленьких букв, чисел и специальных символов. Придумывая пароли, используйте свою фантазию и не думайте шаблонно. Компьютер, подбирающий пароль, хорошо считает, но он не может мыслить и быть креативным. Есть много способов придумать простой и относительно надежный пароль. Мы рассмотрим один из таких способов. 2. Как придумать пароль? Первое что нам необходимо сделать, это придумать фразу-ключ. Идеальным вариантом будет уникальная бессмысленная фраза, которую легко запомнить. Например: космические тараканы. Также можно использовать фразы из не очень популярных песен, стихотворений. Дальше необходимо «зашифровать» фразу ключ, чтобы она стала более надежным паролем. Несколько способов такого «шифрования»: Запись русской фразы в английской раскладке. Запись фразы наоборот. Замена букв на их визуальные аналоги («a» – «@», «i» – «!», «o» – «()» и т.д.). Использование первых нескольких символов из каждого слова. Удаление парных/непарных символов. Удаление гласных/согласных букв из фразы. Добавление спецсимволов и чисел. Можно использовать несколько таких способов, чтобы превратить фразу ключ в практически бессмысленный набор символов. Но, идеальным вариантом будет создание собственного уникального метода «шифрования» фразы ключа. Например, используя несколько шаблонных способов «шифрования» можно получить такой пароль: космические тараканы – используем первые 4 символа с каждого слова – космтара – записываем в английской раскладке – rjcvnfhf – записываем с большой буквы и добавляем спецсимволы и случайное число – Rjcvnfhf@955 В результате получился длинный и достаточно сложный пароль, который нельзя вычислить по личной информации его владельца, но его можно легко восстановить по памяти. Проверив надежность пароля с помощью сервиса passwordmeter.com получаем результат «очень надежный». Таким образом, придумывая пароль необходимо использовать свое воображение и возможность не стандартно мыслить. Используя это преимущество перед «тупыми» компьютерами вы сможете создавать пароли, которые будут им не по зубам. 195 Чем шире развивается Интернет, тем больше возможностей для нарушения безопасности наших компьютеров, даже если мы и не храним в них сведения, содержащие государственную или коммерческую тайну. Нам угрожают хулиганствующие хакеры, рассылающие вирусы, чтобы просто позабавиться; бесконечные любители пожить за чужой счет; нам угрожают наша беспечность (ну что стоит раз в день запустить антивирус!) и беспринципность (как же отказаться от дешевою пиратского ПО, возможно, зараженного вирусами?). За последнее время в Интернете резко увеличилось число вирусных, а также «шпионских» программ типа «троянского коня» и просто краж паролей нечистоплотными пользователями. Любая технология на каком-то этапе своего развития приходит к тому, что соблюдение норм безопасности становится одним из важнейших требований. И лучшая зашита от нападения – не допускать нападения. Не стоит забывать, что мешает работе не система безопасности, а ее отсутствие. С точки зрения компьютерной безопасности каждое предприятие обладает своим собственным корпоративным богатством – информационным. Его нельзя спрятать, оно должно активно работать. Средства информационной безопасности должны обеспечивать содержание информации в состоянии, которое описывается тремя категориями требований: доступность, целостность и конфиденциальность. Основные составляющие информационной безопасности сформулированы в Европейских критериях, принятых ведущими странами Европы: доступность информации – обеспечение готовности системы к обслуживанию поступающих к ней запросов; целостность информации – обеспечение существования информации в неискаженном виде; конфиденциальность информации – обеспечение доступа к информации только авторизованному кругу субъектов. К основным угрозам безопасности относятся: раскрытие конфиденциальности информации; компрометация информации; несанкционированное использование информационных ресурсов; ошибочное использование ресурсов; несанкционированный обмен информацией; отказ от информации; отказ от обслуживания. Средствами реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.п. Компрометация информации, как правило, реализуется посредством внесения несанкционированных изменений в базы данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных 196 сведений. В случае использования скомпрометированной информации потребитель подвергается опасности принятия неверных решений со всеми вытекающими последствиями. Несанкционированное использование информационных ресурсов, с одной стороны, является средством раскрытия или компрометации информации, а с другой – имеет самостоятельное значение, поскольку, даже не касаясь пользовательской или системной информации, может нанести определенный ущерб абонентам и администрации. Этот ущерб может варьироваться в широких пределах – от сокращения поступления финансовых средств до полного выхода АИТ из строя. Ошибочное использование информационных ресурсов, будучи несанкционированным, тем не менее, может привести к разрушению, раскрытию или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок в программном обеспечении. Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен, что по своим последствиям равносильно раскрытию содержания коммерческой информации. Отказ от информации состоит в непризнании получателем или отправителем информации фактов ее получения или отправки. Отказ в обслуживании представляет собой угрозу, источником которой может служить сама вычислительная система. Основными типовыми путями несанкционированного доступа к информации являются: перехват электронных излучений; принудительное электромагнитное облучение линий связи с целью получения паразитной модуляции; применение подслушивающих устройств; дистанционное фотографирование; перехват акустических излучений и восстановление текста принтера; хищение носителей информации и документальных отходов; чтение остаточной информации в памяти системы после выполнения несанкционированных запросов; копирование носителей информации с преодолением мер защиты; маскировка под зарегистрированного пользователя; использование недостатков языков программирования и операционных систем; включение в библиотеки программ специальных блоков типа «Троянский конь»; незаконное подключение к аппаратуре и линиям связи; злоумышленный вывод из строя механизмов защиты; внедрение и использование компьютерных вирусов. 197 Методы и средства построения систем информационной безопасности Классификацию мер защиты можно представить в виде трех уровней. Законодательный уровень.В Уголовном кодексе РФ имеется глава 28. Преступления в сфере компьютерной информации. Она содержит три следующих статьи: Статья 272. Неправомерный доступ к компьютерной информации; Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ; Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Административный и процедурный уровни.На административном и процедурном уровнях формируются политика безопасности и комплекс процедур, определяющих действия персонала в штатных и критических ситуациях. Этот уровень зафиксирован в руководящих документах, выпущенных Гостехкомиссией РФи ФАПСИ. Программно-технический уровень. Кэтому уровню относятся программные и аппаратные средства, которые составляют технику информационной безопасности. К ним относятся и идентификация пользователей, и управление доступом, и криптография, и экранирование, и многое другое. И если законодательный и административный уровни защиты не зависят от конкретного пользователя компьютерной техники, то программно- технический уровень защиты информации каждый пользователь может и должен организовать на своем компьютере. Не будем рассматривать существующие сложные программно-аппаратные криптографические комплексы, ограничивающие доступ к информации за счет шифров, а также программы тайнописи, которые могут «растворять» конфиденциальные материалы в объемных графических и звуковых файлах. Использование таких программ может быть оправдано лишь в исключительных случаях. Рассмотрим средства защиты информации и попробуем оценить их надежность. Ведь знание слабых мест защиты может уберечь нас от многих неприятностей. Первое, что обычно делает пользователь персонального компьютера – ставит два пароля: один пароль в настройках BIOS и другой – на заставку экрана. Защита на уровне BIOS будет требовать ввод пароля при загрузке компьютера, а защита на заставке экрана перекроет доступ к информации при прошествии определенного, вами заданного, времени бездействия компьютера. Установка пароля на уровне BIOS – достаточно тонкий процесс, требующий определенных навыков работы с настройками компьютера, поэтому желательно его устанавливать с коллегой, имеющим достаточный опыт такой деятельности. Пароль на за ставку экрана поставить не так сложно, и его может поставить сам пользователь. 198 Для задания пароля на заставку необходимо выполнить следующие действия: нажмите кнопку Пуск, выберите команды Настройка и Панель управления, дважды щелкните по значку Экран и в открывшемся окне Свойства экрана (рис. 3.5) выберите вкладку Заставка. Задайте вид заставки, установите временной интервал (предположим, 120 мин.), установите флажок Защита паролем. Рис. 3.5. Окно Свойства экрана Любую часть компьютерной системы можно заменить на новую, но утратив данные, записанные на жестком диске, вы будете вынуждены воссоздать их заново. На это могут уйти месяцы, а то и годы. Гораздо проще заранее организовать защиту содержимого жесткого диска. Даже при самом строгом соблюдении мер профилактики нельзя быть абсолютно застрахованным от потери данных, хранящихся на жестком диске при сбои на компьютере. Рано или поздно что-нибудь случается, и восстановить все в прежнем виде можно будет только в том случае, если у вас имеется копия содержимого жесткого диска. Логика здесь очень простая: если одни и те же данные хранятся в двух разных местах, вероятность лишиться их значительно уменьшается. Поэтому всегда следует хранить данные в двух экземплярах: один на жестком диске, другой на сменных носителях, используемых для резервного копирования. Чтобы определиться со стратегией создания резервных копий, необходимо решить, каким носителем вы будете пользоваться и какие данные нужно продублировать. Информацию можно хранить на различных съемных носителях: флеш- дисках, zip-дисках и дисках CD-ROM. 199 Устройства со сменным диском, например zip, более универсальны, поскольку их можно использовать как для резервного копирования, так и в качестве обычных накопителей. Они просты и удобны в использовании. Следует не забывать, что наша конфиденциальная информация интересна не только взломщику, но и нам самим, и потерять ее не хочется. В этом смысле самый надежный способ хранения – диски CD-ROM, поскольку флешки и zip- диски имеют склонность выходить из строя в самый неподходящий момент. При резервировании информации на записывающем CD-диске можно говорить о сравнительно надежном и одновременно безопасном хранении важной информации. При удалении информации она не исчезает бесследно, а попадает сначала в Корзину. Это ежедневно спасает многих небрежных пользователей, случайно удаливших документ неосторожным нажатием клавиши [Delete], поскольку документы из Корзины можно восстанавливать. Для полного удаления информации из Корзины, т.е. ее очистки, сделайте щелчок правой кнопкой мыши по значку Корзины на рабочем столе и в открывшемся контекстном меню выберите команду Очистить корзину или выберите в окне Корзина команду очистки корзины. Считается, что после принудительной очистки Корзины документы теряются безвозвратно, но это не совсем так. Физические данные с жесткого диска никуда не исчезают и могут быть легко восстановлены специальными программами вплоть до того момента, пока на то же место винчестера не будет записана другая информация. А ведь это может произойти через неделю или месяц. Чтобы быть точно уверенным, что ваши данные уничтожены навсегда, систематически проводите дефрагментацию жесткого диска. Программа дефрагментации входит в состав служебных программ (Пуск/Программы/Стандартные/Служебные) и перемещает данные на диске таким образом, чтобы файлы и свободное пространство размешались оптимально. Эта процедура может занять от нескольких минут до получаса и более в зависимости от степени фрагментации диска. Желательно проводить дефрагментацию не реже одного раза в месяц, а при большом количестве операций по удалению файлов – еженедельно. Известно, что любое приложение MS Office позволяет закрыть любой документ паролем, и многие успешно пользуются этим проверенным средством. Для установки пароля на текстовый документ необходимо его открыть, далее в меню Сервис выберите команду Параметры. В открывшемся окне на вкладке Сохранение наберите пароль для открытия файла вашего документа, сделайте подтверждение его повторным набором и нажмите на кнопку ОК. 200 В документации к MS Office ничего не говорится о криптостойкости используемых схем парольной защиты, есть только фраза: «Внимание! Забытый пароль восстановить невозможно». Обычному пользователю, не имеющему конкретной цели узнать вашу информацию, вскрыть пароль практически невозможно. Однако и специалисту- взломщику при использовании современного компьютера на взлом пароля методом прямого перебора вариантов понадобится примерно один месяц. Парольная защита, входящая в комплект многих архиваторов, вполне может уберечь документ от посторонних глаз. В сети Интернет можно найти ряд специальных программ «шифрования» отдельных документов и целых разделов винчестера, однако стопроцентной гарантии от взлома паролей они не дают. Осложнить процесс взлома защиты вы можете, используя достаточно длинные и сложные пароли, исключающие ваше имя, фамилию и телефон. Лучше всего в качестве пароля выбирать фразу, в которой отсутствует осмысленная информация об авторе пароля. Скажем, фразу типа «Остались от козлика ножки да рожки» можно считать почти идеальным паролем – достаточно длинным и бессмысленным относительно автора. Напоследок дадим несколько коротких практических советов по защите и резервному копированию ваших данных. |