ОИБ. основы информ. безопасности. Учебное пособие Томск
 Скачать 1.99 Mb.
|
|
Функциональные требования Функциональные требования сгруппированы на основе выполняемой ими роли или обслуживаемой цели безопасности. Всего в «Общих критериях» представлено 11 функциональных классов, 66 семейств, 135 компонентов. Это, конечно, значительно больше, чем число аналогичных сущностей в «Оранжевой книге». Перечислим классы функциональных требований ОК: идентификация и аутентификация; защита данных пользователя; защита функций безопасности (требования относятся к целостности и контролю данных сервисов безопасности и реализующих их механизмов); 103 управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности); аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности); доступ к объекту оценки; приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных); использование ресурсов (требования к доступности информации); криптографическая поддержка (управление ключами); связь (аутентификация сторон, участвующих в обмене данными); доверенный маршрут/канал (для связи с сервисами безопасности). Опишем подробнее два класса, демонстрирующие особенности современного подхода к ИБ. Класс «Приватность» содержит 4 семейства функциональных требований. Анонимность. Позволяет выполнять действия без раскрытия идентификатора пользователя другим пользователям, субъектам и/или объектам. Анонимность может быть полной или выборочной. В последнем случае она может относиться не ко всем операциям и/или не ко всем пользователям (например, у уполномоченного пользователя может оставаться возможность выяснения идентификаторов пользователей). Псевдонимность. Напоминает анонимность, но при применении псевдонима поддерживается ссылка на идентификатор пользователя для обеспечения подотчетности или для других целей. Невозможность ассоциации. Семейство обеспечивает возможность неоднократного использования информационных сервисов, но не позволяет ассоциировать случаи использования между собой и приписать их одному лицу. Невозможность ассоциации защищает от построения профилей поведения пользователей (и, следовательно, от получения информации на основе подобных профилей). Скрытность. Требования данного семейства направлены на то, чтобы можно было использовать информационный сервис с сокрытием факта использования. Для реализации скрытности может применяться, например, широковещательное распространение информации, без указания конкретного адресата. Годятся для реализации скрытности и методы стеганографии, когда скрывается не только содержание сообщения (как в криптографии), но и сам факт его отправки. Еще один показательный (с нашей точки зрения) класс функциональных требований – «Использование ресурсов», содержащий требования доступности. Он включает три семейства. Отказоустойчивость. Требования этого семейства направлены на сохранение доступности информационных сервисов даже в случае сбоя или отказа. В ОК различаются активная и пассивная отказоустойчивость. Активный механизм содержит специальные функции, которые активизируются в случае сбоя. Пассивная отказоустойчивость подразумевает наличие избыточности с возможностью нейтрализации ошибок. Обслуживание по приоритетам. Выполнение этих требований позволяет управлять использованием ресурсов так, что низкоприоритетные операции не могут помешать высокоприоритетным. Распределение ресурсов. Требования направлены на защиту (путем применения механизма квот) от несанкционированной монополизации ресурсов. «Общие критерии» – очень продуманный и полный документ с точки зрения функциональных требований. В то же время, хотелось бы обратить внимание и на некоторые недостатки. 104 Первый – это отсутствие объектного подхода. Функциональные требования не сгруппированы в осмысленные наборы (объектные интерфейсы), к которым могло бы применяться наследование. Подобное положение, как известно из технологии программирования, чревато появлением слишком большого числа комбинаций функциональных компонентов, несопоставимых между собой. В современном программировании ключевым является вопрос накопления и многократного использования знаний. Стандарты – одна из форм накопления знаний. Следование в ОК «библиотечному», а не объектному подходу сужает круг фиксируемых знаний, усложняет их корректное использование. К сожалению, в «Общих критериях» отсутствуют архитектурные требования, что является естественным следствием избранного старомодного программистского подхода «снизу вверх». Технологичность средств безопасности, следование общепризнанным рекомендациям по протоколам и программным интерфейсам, а также апробированным архитектурным решениям, таким как менеджер/агент, – необходимые качества изделий информационных технологий, предназначенных для поддержки критически важных функций, к числу которых, безусловно, относятся функции безопасности. Без рассмотрения интерфейсных аспектов системы оказываются нерасширяемыми и изолированными. Очевидно, с практической точки зрения это недопустимо. В то же время, обеспечение безопасности интерфейсов – важная задача, которую желательно решать единообразно. Требования доверия безопасности Установление доверия безопасности, согласно «Общим критериям», основывается на активном исследовании объекта оценки. Форма представления требований доверия, в принципе, та же, что и для функциональных требований. Специфика состоит в том, что каждый элемент требований доверия принадлежит одному из трех типов: действия разработчиков; представление и содержание свидетельств; действия оценщиков. Всего в ОК 10 классов, 44 семейства, 93 компонента требований доверия безопасности. Перечислим классы: разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации); поддержка жизненного цикла (требования к модели жизненного цикла, включая порядок устранения недостатков и защиту среды разработки); тестирование; оценка уязвимостей (включая оценку стойкости функций безопасности); поставка и эксплуатация; управление конфигурацией; руководства (требования к эксплуатационной документации); поддержка доверия (для поддержки этапов жизненного цикла после сертификации); оценка профиля защиты; оценка задания по безопасности. Применительно к требованиям доверия в "Общих критериях" сделана весьма полезная вещь, не реализованная, к сожалению, для функциональных требований. А именно, введены так называемые оценочные уровни доверия (их семь), содержащие осмысленные комбинации компонентов. Оценочный уровень доверия 1 (начальный) предусматривает анализ функциональной спецификации, спецификации интерфейсов, эксплуатационной документации, а также 105 независимое тестирование. Уровень применим, когда угрозы не рассматриваются как серьезные. Оценочный уровень доверия 2, в дополнение к первому уровню, предусматривает наличие проекта верхнего уровня объекта оценки, выборочное независимое тестирование, анализ стойкости функций безопасности, поиск разработчиком явных уязвимых мест. На уровне 3 ведется контроль среды разработки и управление конфигурацией объекта оценки. На уровне 4 добавляются полная спецификация интерфейсов, проекты нижнего уровня, анализ подмножества реализации, применение неформальной модели политики безопасности, независимый анализ уязвимых мест, автоматизация управления конфигурацией. Вероятно, это самый высокий уровень, которого можно достичь при существующей технологии программирования и приемлемых затратах. Уровень 5, в дополнение к предыдущим, предусматривает применение формальной модели политики безопасности, полуформальной функциональной спецификации и проекта верхнего уровня с демонстрацией соответствия между ними. Необходимо проведение анализа скрытых каналов разработчиками и оценщиками. На уровне 6 реализация должна быть представлена в структурированном виде. Анализ соответствия распространяется на проект нижнего уровня. Оценочный уровень 7 (самый высокий) предусматривает формальную верификацию проекта объекта оценки. Он применим к ситуациям чрезвычайно высокого риска. 6. Основные этапы построения защищенной информационной системы Цель мероприятий в области информационной безопасности – защитить интересы субъектов информационных отношений. Интересы эти многообразны, но все они концентрируются вокруг трех основных аспектов: доступность, целостность, конфиденциальность. Важность проблематики информационной безопасности (ИБ) объясняется двумя основными причинами: - ценностью накопленных информационных ресурсов; - критической зависимостью от информационных технологий. Разрушение важной информации, кража конфиденциальных данных, перерыв в работе вследствие отказа – все это выливается в крупные материальные потери, наносит ущерб репутации организации. Проблемы с системами управления или медицинскими системами угрожают здоровью и жизни людей. Современные информационные системы сложны и, значит, опасны уже сами по себе, даже без учета активности злоумышленников. Постоянно обнаруживаются новые уязвимые места в программном обеспечении. Приходится принимать во внимание чрезвычайно широкий спектр аппаратного и программного обеспечения, многочисленные связи между компонентами. Меняются принципы построения корпоративных информационных систем (ИС). Используются многочисленные внешние информационные сервисы; предоставляются вовне собственные. Подтверждением сложности проблематики ИБ является параллельный (и довольно быстрый) рост затрат на защитные мероприятия и количества нарушений ИБ в сочетании с ростом среднего ущерба от каждого нарушения. Успех в области информационной безопасности может принести только комплексный подход, сочетающий меры четырех уровней [10 – 12]: - законодательного; - административного; 106 - процедурного; - программно-технического. Бурное развитие глобальных сетей, привлекает все больше внимания к сети Internet со стороны частных лиц и различных организаций. Многие организации интегрируют свои сети в глобальную сеть, а также устанавливают свои серверы услуг (www-, FTP-) в глобальных сетях. Использование глобальных сетей в коммерческих целях, при передаче информации, содержащую коммерческую или государственную тайну, влечет за собой необходимость построения квалифицированной системы защиты информации. При создании информационной инфраструктуры корпоративной автоматизированной системы на базе современных компьютерных сетей неизбежно возникает вопрос о защищенности этой структуры от угроз безопасности информации. Насколько адекватны реализованные в сети механизмы безопасности существующим рискам? Можно ли доверять этой системе обработку (хранение, передачу) конфиденциальной информации? И т.д. этот список велик. Такими вопросами рано или поздно задаются все специалисты отделов защиты информации и других подразделений, отвечающих за эксплуатацию и сопровождение сетей. Ответы на эти вопросы далеко неочевидны. Анализ защищенности сети от угроз безопасности информации – работа сложная. Умение оценивать и управлять рисками, знание типовых угроз и уязвимостей, критериев и подходов к анализу защищенности, владение методами анализа, знание различных программно-аппаратных платформ, используемых в современных компьютерных сетях – все это далеко не полный перечень качеств, которыми должны обладать специалисты, проводящие работы по анализу защищенности сети. Анализ защищенности является фундаментом на базе, которого проводятся работы по построению защищенной информационной сети и аудиту (или проверке) безопасности этой сети в дальнейшем. В первом разделе работы приведено достаточно подробное описание каждого уровня (законодательного, административного, процедурного, программно-технического) защиты информационных активов организации в отдельности. Раздел заканчивается примером построения автоматизированной сети предприятия на базе компьютерного оборудования, а также приводится возможная политика безопасности предприятия и список необходимых правил и инструкций для персонала организации. Во втором разделе приводится классификация видов аудита безопасности и некоторые практические рекомендации по планированию и реализации авторизованного аудита, а также примеры активного аудита безопасности информационных активов организации. Средства защиты информации делятся на формальные и неформальные. К первым относятся средства, выполняющие защитные функции строго по заранее предусмотренной процедуре и без непосредственного участия человека. К неформальным средствам отнесены такие, которые либо определяются целенаправленной деятельностью людей, либо регламентируют (непосредственно или косвенно) эту деятельность, рисунок 6.1. Средства защиты информации Формальные Неформальные Технические Программные Физические Аппаратные Законодательные Административные Процедурные Организационные Морально-этические Рис. 6.1. Средства защиты информации 107 6.1. Законодательный уровень 6.1.1. Закон РФ «Об информации, информатизации и защите информации» Федеральный закон от 20 февраля 1995 года № 24-ФЗ «Об информации, информатизации и защите информации» (далее «Закон об информации») является одним из основных базовых законов в области защиты информации, который регламентирует отношения, возникающие при формировании и использовании информационных ресурсов Российской Федерации на основе сбора, накопления, хранения, распространения и предоставления потребителям документированной информации, а также при создании и использовании информационных технологий, при защите информации и прав субъектов, участвующих в информационных процессах и информатизации. Основными задачами системы защиты информации, нашедшими отражение в «Законе об информации», являются: - предотвращение утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т.п., вмешательства в информацию и информационные системы; - сохранение полноты, достоверности, целостности информации, ее массивов и программ обработки данных, установленных собственником или уполномоченным им лицом; - сохранение возможности управления процессом обработки, пользования информацией в соответствии с условиями, установленными собственником или владельцем информации; - обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальности персональной информации, накапливаемой в банках данных; сохранение секретности или конфиденциальности информации в соответствии с правилами, установленными действующим законодательством и другими законодательными или нормативными актами; - соблюдение прав авторов программно-информационной продукции, используемой в информационных системах. В частности статья 19 Закона устанавливает обязательность сертификации средств обработки и защиты документированной информации с ограниченным доступом, предназначенных для обслуживания граждан и организаций, а также обязательность получения лицензий для организаций, осуществляющих проектирование и производство средств защиты информации. Статья 20 определяет основные цели защиты информации. В соответствии с этой статьей таковыми, в частности, являются: - предотвращение утечки, хищения, утраты, искажения и подделки информации; - предотвращение угроз безопасности личности, общества и государства; - предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; - защита конституционных прав на сохранение личной тайны и конфиденциальности персональных сведений; - сохранение государственной тайны и конфиденциальности информации. Пункт 3 статьи 21 возлагает контроль за соблюдением требований к защите информации, за эксплуатацией специальных средств защиты информации, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, на органы государственной власти. Это означает, что контроль состояния защиты должен охватывать все три составляющие информации с ограниченным доступом, входящей в государственные информационные ресурсы: 108 - информацию, составляющую государственную тайну; - конфиденциальную информацию; - персональные данные о гражданах. Очень важна статья 22, которая определяет права и обязанности субъектов в области защиты информации. В частности, пункты 2 и 5 обязывают владельца информационной системы обеспечивать необходимый уровень защиты конфиденциальной информации и оповещать собственников информационных ресурсов о фактов нарушения режима защиты информации. Пунктом 3 риск, связанный с использованием не сертифицированных информационных систем и средств их обеспечения и защиты, возлагается на собственника (владельца) систем и средств. Риск, связанный с использованием информации, полученной из таких систем, относится на потребителя информации. Пункт 4 устанавливает право собственника документов или информационной системы обращаться в организации, осуществляющие сертификацию средств защиты таких систем, для проведения анализа достаточности мер защиты его ресурсов и систем и получения консультаций. Статья 23 Закона посвящена защите прав субъектов в сфере информационных процессов и информатизации. Статья устанавливает, что защита прав субъектов в данной сфере осуществляется судом, арбитражным судом и третейскими судами, которые могут создаваться на постоянной или временной основе. 6.1.2. Закон РФ «О лицензировании отдельных видов деятельности» Закон «О лицензировании отдельных видов деятельности» от 8 августа 2001 года номер 128-ФЗ (Принят Государственной Думой 13 июля 2001 года). Начнем с основных определений. Статья 17 Закона устанавливает перечень видов деятельности, на осуществление которых требуются лицензии. Рассмотрим следующие виды: - распространение шифровальных (криптографических) средств; - техническое обслуживание шифровальных (криптографических) средств; - предоставление услуг в области шифрования информации; - разработка и производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем; - выдача сертификатов ключей электронных цифровых подписей, регистрация владельцев электронных цифровых подписей, оказание услуг, связанных с использованием электронных цифровых подписей и подтверждением подлинности электронных цифровых подписей; - выявление электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя); - разработка и (или) производство средств защиты конфиденциальной информации; - техническая защита конфиденциальной информации; - разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность. Необходимо учитывать, что, согласно статье 1, действие данного Закона не распространяется на следующие виды деятельности: - деятельность, связанная с защитой государственной тайны; - деятельность в области связи; 109 - образовательная деятельность. Основными лицензирующими органами в области защиты информации являются Федеральное агентство правительственной связи и информации (ФАПСИ) и Гостехкомиссия России. ФАПСИ ведает всем, что связано с криптографией, Гостехкомиссия лицензирует деятельность по защите конфиденциальной информации. Кроме того, ввоз и вывоз средств криптографической защиты информации (шифровальной техники) и нормативно-технической документации к ней может осуществляться исключительно на основании лицензии Министерства внешних экономических связей Российской Федерации, выдаваемой на основании решения ФАПСИ. Все эти вопросы регламентированы соответствующими указами Президента и постановлениями Правительства РФ. |