кеп. Отчет по пп. 03 Обеспечение информационной безопасности инфокоммуникационных сетей и систем связи.

• Название: Отчет по пп. 03 Обеспечение информационной безопасности инфокоммуникационных сетей и систем связи.
• Дата: 12.05.2023
• Размер: 32.76 Kb.
• Имя файла: Otchet_2.docx
• Тип: Отчет; #1124561

Министерство образования и науки Забайкальского края
Государственное профессиональное образовательное учреждение
«ЧИТИНСКИЙ ТЕХНИКУМ ОТРАСЛЕВЫХ ТЕХНОЛОГИЙ И БИЗНЕСА» (ГПОУ «ЧТОТиБ»)

ОТЧЕТ

по ПП.03

«Обеспечение информационной безопасности инфокоммуникационных сетей и систем связи.»

Выполнил
З. М. Хамразода
студент группы ИКСиС-19-1
« 12 » апреля 2023 г.

Руководитель работы
А.Е. Токарчук
«»2023 г.

2023 г.

Содержание

​Введение 4

​Ознакомление с предприятием 5

​Применение программно-аппаратных средств защиты информации на предприятии 6

​Участие в создании комплексной системы защиты на предприятии 11

​Заключение 14

​Список используемой литературы 15

1. Введение

Производственная практика является необходимым этапом формирования у обучающихся требуемых компетенций. Ее ценность заключается в приобретении новых и закреплении уже полученных знаний. В период прохождения производственной практики, обучающиеся должны закрепить теоретический материал, приобрести практические навыки.

Целью производственной практики является формирование соответствующих компетенций.

Достижению поставленной цели способствует решение следующей задачи: анализ процесса ведения организации работы с первичной документацией, с процессом ведения конструирования рабочего плана, с процессом ведения документального оформления;

Практика проходила в организации ИП Тимофеев А.Н., руководителем практики от предприятия являлся Тимофеев А.Н.

2. Ознакомление с предприятием

В первый день прохождения практики по прибытию на предприятие был проведён инструктаж по технике безопасности и подписан документ о том, что мы его прослушали. Исходя из того, что на предприятие осуществляется только после выдачи разового пропуска и с сопровождением, либо же с выдачей электронного пропуска, с помощью которого сотрудники предприятия могут проходить беспрепятственно, нам выдали пропуска для дальнейшего беспрепятственного прохождения на предприятие. После этого нас направили в наш цех - Электроцех СДТУ, назначение которого состоит в обеспечение бесперебойной работы телекоммуникационных систем, а также в установке новых систем. После начальник цеха провёл первичный инструктаж на рабочем месте и мы были закреплены за руководителем - инженером по телекоммуникациям - Клевакиным Сергеем Сергеевичем в последствии с нашим руководителем практики была проведена беседа о целях и задачах практики.Начальник цеха нам выделил рабочее место, для прохождение практики, а так же кабинки для личных вещей.

Был проведён выбор и проверка исправности инструментов и оборудования, необходимых для выполнения работ, а также пригодности применяемых материалов.

3. Применение программно-аппаратных средств защиты информации на предприятии

Программно-аппаратная защита с использованием современных технических средств призвана снизить риск утечек, ограничив внутренний доступ к информационным системам.

Аппаратные средства защиты в большинстве случаев охраняют информацию, доступ к которой ограничен на основании требований закона, например, государственную или банковскую тайну, персональные данные. Поэтому правила их использования полностью или частично регламентируются на уровне государства. Статус охраняемой информации определяется законами, например, законом «О персональных данных», правила выбора аппаратно-программных средств – нормативными актами и рекомендациями ФСТЭК РФ.

Аппаратно-программные средства защиты информации подразделяются на:

1. 
   Системы идентификации и аутентификации пользователей
   
2. 
   Системы шифрования дисковых данных
   
3. 
   Системы шифрования данных, передаваемых по сетям
   
4. 
   Системы аутентификации электронных данных
   
5. 
   Средства управления ключевой информацией
   

Системы идентификации и аутентификации пользователей

Идентификация - процедура распознавания субъекта по его идентификатору.

Аутентификация - процедура проверки подлинности.

Системы шифрования дисковых данных

Шифрование диска — технология защиты информации, переводящая данные на диске в нечитаемый код, который нелегальный пользователь не сможет легко расшифровать. Для шифрования диска используется специальное программное или аппаратное обеспечение, которое шифрует каждый бит хранилища.

Системы шифрования данных, передаваемых по сетям

Различают два основных способа шифрования: канальное шифрование и оконечное (абонентское) шифрование.

В случае канального шифрования защищается вся информация, передаваемая по каналу связи, включая служебную. Этот способ шифрования обладает следующим достоинством - встраивание процедур шифрования на канальный уровень позволяет использовать аппаратные средства, что способствует повышению производительности системы. Однако у данного подхода имеются и существенные недостатки:

• 
  шифрование служебных данных осложняет механизм маршрутизации сетевых пакетов и требует расшифрования данных в устройствах промежуточной коммуникации (шлюзах, ретрансляторах и т.п.)
  
• 
  шифрование служебной информации может привести к появлению статистических закономерностей в шифрованных данных, что влияет на надежность защиты и накладывает ограничения на использование криптографических алгоритмов
  

Оконечное (абонентское) шифрование позволяет обеспечить конфиденциальность данных, передаваемых между двумя абонентами. В этом случае защищается только содержание сообщений, вся служебная информация остается открытой. Недостатком является возможность анализировать информацию о структуре обмена сообщениями, например об отправителе и получателе, о времени и условиях передачи данных, а также об объеме передаваемых данных.

Системы аутентификации электронных данных

При обмене данными по сетям возникает проблема аутентификации автора документа и самого документа, т.е. установление подлинности автора и проверка отсутствия изменений в полученном документе. Для аутентификации данных применяют код аутентификации сообщения (имитовставку) или электронную подпись.

Средства управления ключевой информацией

Безопасность любой криптосистемы определяется используемыми криптографическими ключами. В случае ненадежного управления ключами злоумышленник может завладеть ключевой информацией и получить полный доступ ко всей информации в системе или сети.

Обеспечение безопасности информации на программно-аппаратном уровне предохраняет сведения от несанкционированного доступа и снижает риски хищения и дальнейшего неправомерного использования полученных сведений. 

Комплекс аппаратно-программной защиты состоит из двух частей:

1. 
   аппаратное устройство;
   
2. 
   программный модуль.
   

Принцип работы системы состоит в том, что при попытке получения доступа к данным программа отправляет запрос к устройству, обеспечивающему работу ключа (токену, ридеру, электронному идентификатору, после подключения которого к компьютеру тот дает разрешение на работу), и функционирует только при его положительной реакции.

При выборе методов и средств защиты данных нужно учитывать, что существует несколько принципов защиты от несанкционированного доступа (НСД). На них основана работа средств программно-аппаратной защиты:

1. 
   доступ к данным предоставляется только тем пользователям, которые уполномочены его получить на уровне внутренних документов компании;
   
2. 
   каждый уполномоченный пользователь имеет доступ только к своему уровню информации, его прав недостаточно для работы с данными, находящимися в сфере ответственности других пользователей;
   
3. 
   перечень операций, которые допустимо выполнять с данными, строго регламентирован, и зависит от изначально заданных прав пользователей.
   

Для защиты от НСД в аппаратно-программных средствах должен быть механизм распознавания уполномоченного пользователя и его авторизации (идентификации и аутентификации). 

Процесс авторизации состоит из трех этапов:

1. 
   Идентификация. Пользователь должен передать системе свой идентифицирующий признак, например, логин и пароль. При использовании аппаратных средств становится возможной и более глубокая степень идентификации по отпечатку пальца, сетчатке глаза, иным биометрическим признакам или на основании владения определенным устройством (магнитная карточка, электронный ключ);
   
2. 
   Аутентификация. Этот процесс в работе программно-аппаратных средств нацелен на сравнение заявленного пользователем идентифицирующего признака с теми, которые хранятся в памяти устройства. В ходе аутентификации устанавливается подлинность пользователя. Она может реализовываться на основе простой или усложненной PIN-идентификации. В обоих случаях персональный идентификационный номер пользователя сравнивается с эталоном. При простом механизме идентификации система проводит обычное сравнение и в случае совпадения выдает разрешение на дальнейшую работу. При сложном, защищенном, система посылает запрос ключу, тот «отвечает» отправкой 64-разрядного ключа. Система складывает число с введенным пользователем PIN-кодом, направляя полученный результат ключу, тот проводит итоговую идентификацию, при положительном результате которой выдает разрешение на работу;
   
3. 
   Авторизация. После того как подлинность пользователя установлена, аппаратно-программным средством определяется объем предоставленных ему прав.
   

Работа программно-аппаратных средств защиты информации становится невозможной, если их архитектурой не предусмотрено наличие электронных ключей. Они представляют собой явление предметного мира, физическое устройство, снабженное электронной начинкой и содержащее уникальную информацию, позволяющую идентифицировать пользователя. 

Ключи бывают трех видов:

1. 
   Специализированный электронный чип.
   
2. 
   Микросхема перепрограммируемой памяти, имеющая собственные источники электропитания.
   
3. 
   Ключ на базе микропроцессора.
   

Выбор технологии, на которой основан ключ, связан с типом аппаратного средства. Ранее ключи совмещались с рабочей станцией посредством обычных портов, через которые подключаются принтер или МФУ, что создавало неудобство для пользователей. Развитие USB-технологий упростило использование электронных ключей при работе с аппаратно-программными средствами защиты информации.

Принимая решение о выборе аппаратно-программного средства, необходимо понимать, что современные технологии позволяют взламывать системы с недостаточным уровнем защиты. При этом стоимость аппаратной части высока. Современные версии ключей, токены, основаны на новейших технологиях, которые позволяют избежать ряда рисков, но не в полном объеме.

Для несанкционированного проникновения (взлома) в систему обычно используется один из двух методов:

1. 
   поиск и использование уязвимостей в программной части;
   
2. 
   эмулирование (подмена) данных, содержащихся в электронном ключе.
   

В первом случае из программы (приложения) удаляются части, в которых содержится код, обеспечивающий работу механизмов защиты. Это могут быть команды опроса электронного ключа (направление запроса в отдельном токе данных) или команды сравнения введенных данных с эталоном. Второй путь взлома, эмулирование электронного ключа, связан с использованием специальных программных средств – эмуляторов. Программа отправляет приложению обращения, содержащие, правильные ответы.

Если в первом случае методом защиты будет стандартное ограничение прав пользователей, исключающее вмешательство в программный код, во втором рекомендуется вкладывать в конструкцию устройства алгоритм хаотического обмена данными.

4. Участие в создании комплексной системы защиты на предприятии

Комплексная защита информационных ресурсов предприятия – это система мер по их хранению, шифрованию, мониторингу доступа к ним и их обмена. Она обеспечивает:

1. защиту информации от различного рода вирусных и хакерских угроз;

2. сохранность данных при физической утрате и поломках информационных носителей;

3. безопасность доступа к хранимым ресурсам;

4. восстановление информационной системы в случае повреждений.

Хранится конфиденциальная информация на специальном секретном и удаленном сервере. Доступ к ней контролируется и определяется только руководством предприятия (ограничивается или разрешается определенным сотрудникам).

Устраивается система защиты информации из интегрированных моделей и включает:

1. 
   терминальный модуль;
   
2. 
   модуль резервного копирования;
   
3. 
   модуль шифрования
   
4. 
   модуль реагирования.
   

Проблема обеспечения нужного уровня ЗИ – сложная задача, требующая для своего решения применения комплекса специальных средств и методов по ЗИ.

Комплексный (системный) подход к построению любой системы включает в себя: 

1. 
   Изучение объекта внедряемой системы;
   
2. 
   Оценку угроз безопасности объекта;
   
3. 
   Анализ средств, которыми будем оперировать при построении системы;
   
4. 
   Оценку экономической целесообразности;
   
5. 
   Изучение самой системы, ее свойств, принципов работы и возможность увеличения ее эффективности;
   
6. 
   Возможность дополнительных изменений в процессе построения системы и полную организацию всего процесса от начала до конца.
   

Комплексный подход — это принцип рассмотрения проекта, при котором анализируется система в целом, а не ее отдельные части. Его задача – оптимизация всей системы.

Перед созданием системы следует определить: 

1. 
   Входные элементы (угрозы безопасности, возможные на данном объекте);
   
2. 
   Ресурсы;
   
3. 
   Окружающая среда;
   
4. 
   Назначение и функции (должна быть цель, подцели);
   
5. 
   Критерий эффективности.
   

Задачи КСЗИ: 

1. 
   Прогнозирование. Выявление и устранение угроз безопасности персоналу и ресурсам предприятия, которые могут причинить материальный и моральный ущерб; 
   
2. 
   Отнесение информации к категории ограниченного доступа (служебной и коммерческой тайнам, иной конфиденциальной информации, подлежащей защите от неправомерного использования), а других ресурсов — к различным уровням уязвимости (опасности), подлежащих сохранению; 
   
1. 
   Создание механизма и условий оперативного реагирования на угрозы безопасности проявления негативных тенденций в функционировании предприятия; 
   
2. 
   Эффективное пресечение угроз на основе правовых, организационных и инженерно-технических мер и средств обеспечения безопасности; 
   
3. 
   Создание условий для уменьшения ущерба, последствий.
   

Принципы организации комплексной системы защиты информации:

Концептуальные принципы:

1. 
   Адаптируемость – Приспособление при изменении структуры, условий функционирования автоматизированных систем обработки данных (АСОД), а также при изменении главных угроз. 
   
2. 
   Непрерывность – построение КСЗИ происходит постоянно. 
   
3. 
   Комплексность – использование всех средств защиты для блокирования угроз защищаемой информации по всем каналам утечки. 
   
4. 
   Научная обоснованность – системное рассмотрение проблем, изучение, обобщение и применение научных знаний и передового практического опыта при создании СЗИ. 
   
5. 
   Концептуальное единство – создание КСЗИ на основе единой концепции ЗИ.
   

1. 
   Основные принципы: 
   

1. 
   Адекватность – СЗИ строится в соответствии с требованиями к защите. Уровень защиты должен быть адекватен угрозам. 
   
2. 
   Функциональная самостоятельность – СЗИ должна быть самостоятельной подсистемой АСОД и не зависеть от других подсистем. 
   
3. 
   Минимизация предоставляемых прав – предоставление пользователям лишь тех прав, которые ему нужны для работы. 
   
4. 
   Полнота контроля – все процедуры должны быть под контролем, результаты контроля должны быть документированы. 
   
5. 
   Активность реагирования – СЗИ должна реагировать на любые попытки НСД. 
   
6. 
   Централизованность управления СЗИ – процесс управления должен быть централизован, СЗИ должна соответствовать структуре объекта, а также целям и задачам защиты. 
   
7. 
   Плановость – взаимодействие всех объектов относительно принятой концепции, формирование планов ЗИ. 
   
8. 
   Целенаправленность – защищаться должно то, что необходимо защищать в интересах поставленных целей, а не все подряд. 
   

5. Заключение

В процессе прохождения производственной практики, были приобретены необходимые практические умения и навыки работы, путём непосредственного участия в деятельности строительных работ.

Во время прохождения практики, мною была выполнена задача, которая была поставлена.

Данная практика является хорошим практическим опытом для дальнейшей самостоятельной деятельности. За время пройденной практики я познакомился с новыми интересными фактами. Закрепил свои теоретические знания, лучше ознакомилась со своей профессией.

6. Список используемой литературы

1. 
   Программно-аппаратная защита информации [Электронный ресурс] – Режим доступа: https://searchinform.ru/
   
2. 
   Инженерно-техническая защита информации [Электронный ресурс] – Режим доступа: https://searchinform.ru/