УМК. УМК Управление ИС 2019-20 ннн. Методические рекомендации по выполнению срс материалы по контролю и оценке учебных достижений обучающихся
 Скачать 2.55 Mb.
|
Вопросы для самоконтроля:Главная задача стандартов информационной безопасности? Универсальность? Документы Гостехкомиссии? Гибкость? Рекомендуемая литература:Информационные системы и технологии в экономике. В.Б.Уткин, К.В.Балдин. Учебник для вузов.-М.: ЮНИТИ-ДАНА, 2015. Салмии С.П. Управленческие информационные комплексы и автоматизированные информационные технологии. - Н. Новгород: Изд-во ННГУ, 2019. Тема 28. Исследование причин нарушений безопасности программного обеспеченияЦель лекции: исследование причин нарушений безопасности программного обеспечения Ключевые слова: ит - служба, услуги, функций, факторы. План лекции:Проведение анализа Уязвимость защиты (УЗ) Предлагаемые методики поиска ошибок Классификация УЗ по размещению в системе Проведение анализа успешно реализованных угроз безопасности (атак) с целью их обобщения, классификации, выявления причин и закономерностей их появления и существования позволяет при разработке и создании защищенных систем сконцентрировать ос- новные усилия именно на устранении этих причин путем исправления в механизмах защиты выявленных недостатков, что позволяет эффективно противостоять угрозам безопасности. Наибольший интерес представляет одно из новейших направлений исследований в данной области, предложенное в работе «Таксономия нарушений безопасности программного обеспечения, с примерами». Данная глава опирается на результаты этого исследования. Уязвимость защиты (УЗ) — совокупность причин, условий и обстоятельств, наличие которых в конечном итоге может привести к нарушению нормального функционирования ВС и нарушению безопаc ности (несанкционированному доступу, ознакомлению, уничтожению, или искажению данных). В 70-х годах были предприняты попытки формального описания и систематизации информации о УЗ. Исследования проводились по проектам RISOS (Исследование безопасности защищенных операционных систем) и РА (Анализ защиты). Предлагаемые методики поиска ошибок безопасности в операционных системах достаточно ограничены в практическом применении. Это можно объяснить предпринятой попыткой обеспечить универсальность методик, что отрицательно сказалось на возможности их развития и адаптации для новых ОС. С другой стороны усилия исследователей слишком рано были перенаправлены от изучения УЗ в сторону разработки универсальной технологии создания защищенных операционных систем, свободных от подобных ошибок. С точки зрения технологии создания защищенных систем наибольшее значение имеют следующие вопросы, на которые должна дать ответ таксономия УЗ: Каким образом ошибки, приводящие к появлению УЗ, вносятся в систему защиты? Когда, на каком этапе они вносятся? Где, в каких компонентах системы защиты (или ВС в целом) они возникают и проявляются? Ошибки в системах защиты. Ошибки в системах защиты, служащие источником появления УЗ, можно классифицировать следующим образом: Преднамеренные. С наличием деструктивных функций (активные).: а) разрушающие программные средства (РПС): несамовоспроизводящиеся РПС («троянские кони»), самовоспроизводящиеся РПС (вирусы); б) черные ходы, люки, скрытые возможности проникновения в систему. Без деструктивных функций (пассивные): а) скрытые каналы утечки информации: с использованием памяти (для кодирования передаваемой информации в этом случае используется либо область памяти, не имеющая важного значения, например установление характеристик признаков в имени и атрибутах файла, либо вообще неиспользуемая область, например зарезервированные поля в заголовке сетевого пакета), с использованием времени (в этом случае информация кодируется определенной последовательностью и длительностью событий, происходящих в системе, например с помо- щью модуляции интервалов обращения к устройствам, введения задержек между приемом и посылкой сетевых пакетов и т.д.); б) другие (к их появлению обычно приводят расхождения между требованиями безопасности и требованиями к функциональным возможностям ВС). Непреднамеренны. Ошибки контроля допустимых значений параметров. Ошибки определения областей (доменов), Ошибки последовательностей действий и использования нескольких имен для одного объекта (в том числе TOCTTOU). Ошибки идентификации/аутентификации. Ошибки проверки границ объектов. Другие ошибки в логике функционирования. Внедрение ошибки и возникновения УЗ может происходить на стадиях разработки (ошибки при проектировании или написании программ), настройки систем, сопровождения и эксплуатации. Классификация УЗ по размещению в системе: Программное обеспечение: Операционная система: инициализация (загрузка), управление выделением памяти, управление процессами, управление устройствами, управление файловой системой, средства идентификации и аутентификации и т.д. Сервисные программы и утилиты: привилегированные утилиты, непривилегированные утилиты. Прикладные программы. Аппаратное размещение. Таксономия причин возникновения УЗ должна дать ответ на имеющий ключевое значение с практической точки зрения вопрос: что явилось причиной успешного осуществления нарушения безопасности в том или ином случае? Для ответа на него необходимо выявить те свойства и особенности архитектуры ВС, которые привели к возможности успешного осуществления соответствующих атак. Только знание природы этих причин позволит оценить способность системы противостоять атакам на ее безопасность, а также понять природу недостатков, присущих существующим средствам обеспечения безопасности, которые привели к соответствующим нарушениям, и построить защищенную систему, лишенную этих недостатков. |