Информационная безопасность. Учебное пособие вострецова елена владимировна
 Скачать 3.44 Mb.
|
|
Профиль защиты 1) Описание. Информация для его идентификации в специальной кар- тотеке (характеристика проблемы обеспечения безопасности). 2) Обоснование. Описание среды эксплуатации, предполагаемых угроз и ме- тодов использования ИТ-продукта; перечень задач по обеспе- чению безопасности, решаемых с помощью данного профиля. 3) Функциональные требования к ИТ-продукту. Определение условий, в которых обеспечивается безопас- ность в виде перечня парируемых угроз. 4) Требования к технологии разработки ИТ-продукта. Требования к самому процессу разработки, к условиям, в ко- торых она проводится, к используемым технологическим сред- ствам, к документированию процесса. 173 8.4. Федеральные критерии безопасности информационных технологий США 5)Требования к процессу сертификации Порядок сертификации в виде типовой методики тестиро- вания и анализа Этапы разработки профиля защиты. 1) Анализ среды применения ИТ-продукта с точки зрения безопасности. 2) Выбор профиля-прототипа. 3) Синтез требований. Выбор наиболее существенных функций защиты, их ранжи- рование по степени важности с точки зрения обеспечения ка- чества защиты. После разработки профиль защиты проверяется для под- тверждения полноты, корректности, непротиворечивости и ре- ализуемости. Классы функциональных требований к ИТ-продукту. 1) Политика безопасности. 2) Мониторинг взаимодействий. 3) Логическая защита ТСв. · требования корректности внешних субъектов относи- тельно субъектов ТСВ; · требования к интерфейсам взаимодействия. 4) Физическая защита ТСв. 5) Самоконтроль ТСв. 6) Инициализация и восстановление ТСв. 7) Ограничение привилегий при работе с ТСв. 8) Простота использования ТСв. Классификация функциональных требований. 1. Широта сферы применения. Пользователи системы, субъекты и объекты доступа; функ- ции ТСВ и интерфейс взаимодействия; аппаратные, программ- ные и специальные компоненты; параметры конфигурации. 174 8. Обзор международных стандартов информационной безопасности 2. Степень детализации. Определяется множеством атрибутов сущностей, к которым применяются данные требования. 3. Функциональный состав средств защиты. Определяется множеством функций, включённых в ТСВ для реализации группы требований. 4. Обеспечиваемый уровень безопасности. Определяется условиями, в которых компоненты системы способны противостоять заданному множеству угроз. Итак, Федеральные критерии безопасности информацион- ных технологий — первый стандарт информационной безопас- ности, в котором определяются три независимые группы тре- бований: функциональные требования к средствам защиты, требования к технологии разработки и к процессу квалифи- кационного анализа. Авторами этого стандарта впервые пред- ложена концепция Профиля защиты — документа, содержа- щего описание всех требований безопасности как к самому ИТ-продукту, так и к процессу его проектирования, разработ- ки, тестирования и квалификационного анализа. Функциональные требования безопасности хорошо струк- турированы и описывают все аспекты функционирования ТСв. Требования к технологии разработки, впервые появив- шиеся в этом документе, побуждают производителей исполь- зовать современные технологии программирования как осно- ву для подтверждения безопасности своего продукта. Требования к процессу квалификационного анализа носят общий характер и не содержат конкретных методик тестирова- ния и исследования безопасности ИТ-продуктов. Разработчики Федеральных критериев отказались от исполь- зуемого в Оранжевой книге подхода к оценки уровня безопас- ности ИТ-продукта на основании обобщенной универсаль- ной шкалы классов безопасности. Вместо этого предлагается независимое ранжирование требований каждой группы, т. е. 175 8.5. Единые критерии безопасности информационных технологий вместо единой шкалы используется множество частных шкал- критериев, характеризующих обеспечиваемый уровень безо- пасности. Данный подход позволяет разработчикам и пользо- вателям ИТ-продукта выбрать наиболее приемлемое решение и точно определить необходимый и достаточный набор требо- ваний для каждого конкретного ИТ-продукта и среды его экс- плуатации. Стандарт рассматривает устранение недостатков существу- ющих средств безопасности как одну из задач защиты наряду с противодействием угрозам безопасности и реализацией мо- дели безопасности. Данный стандарт ознаменовал появление нового поколе- ния руководящих документов в области информационной без- опасности, а его основные положения послужили базой для разработки Канадских критериев безопасности компьютер- ных систем и Единых критериев безопасности информацион- ных технологий. 8.5. Единые критерии безопасности информационных технологий Единые критерии безопасности информационных техно- логий (Common Criteria for Information Technology Security Evaluation, далее — Единые критерии) являются результатом совместных усилий авторов Европейских критериев безопас- ности информационных технологий, Федеральных критери- ев безопасности информационных технологий и Канадских критериев безопасности компьютерных систем, направленных на объединение основных положений этих документов и созда- ние Единого международного стандарта безопасности инфор- мационных технологий. Работа над этим самым масштабным в истории стандарте информационной безопасности проектом 176 8. Обзор международных стандартов информационной безопасности началась в июне 1993 года с целью преодоления концептуаль- ных и технических различий между указанными документами, их согласования и создания единого международного стандар- та. Версия 2.1 этого стандарта утверждена Международной орга- низацией по стандартизации (ISO) в 1999 г. в качестве Между- народного стандарта информационной безопасности ISO/IEC 15408. В Российской федерации стандарт действует под номе- ром ГОСТ Р ИСО/МЭК 15408. Единые критерии сохраняют совместимость с существующи- ми стандартами и развивают их путем введения новых концепций, соответствующих современному уровню развития информаци- онных технологий и интеграции национальных информацион- ных систем в единое мировое информационное пространство. Этот документ разработан на основе достижений многочислен- ных исследований в области безопасности информационных тех- нологий 1990-х гг. и на результатах анализа опыта применения положенных в его основу стандартов. Единые критерии опери- руют уже знакомым по Федеральным критериям понятием про- дукт информационных технологий , или ИТ-продукт, и использу- ют предложенную в них концепцию Профиля защиты. Единые критерии разрабатывались в расчете на то, чтобы удовлетворить запросы трех групп специалистов, в равной сте- пени являющихся пользователями этого документа: производи- телей и потребителей продуктов информационных технологий, а также экспертов по квалификации уровня их безопасности. Заинтересованные стороны могут задать функциональные воз- можности безопасности продукта с использованием стандартных профилей защиты и самостоятельно выбрать оценочный уровень уверенности в безопасности из совокупности семи возрастаю- щих оценочных уровней уверенности в безопасности от 1 до 7. Потребители рассматривают квалификацию уровня безопас- ности ИТ-продукта как метод определения соответствия ИТ- продукта их запросам. Обычно эти запросы составляются на ос- новании результатов проведенного анализа рисков и выбранной 177 8.5. Единые критерии безопасности информационных технологий политики безопасности. Единые критерии играют существен- ную роль в процессе формирования запросов потребителей, так как содержат механизмы, позволяющие сформулировать эти запросы в виде стандартизованных требований. Это позволя- ет потребителям принять обоснованное решение о возможно- сти использования тех или иных продуктов. Наконец, Единые критерии предоставляют потребителям механизм Профилей за- щиты, с помощью которого они могут выразить специфичные для них требования, не заботясь о механизмах их реализации. Производители должны использовать Единые критерии в ходе проектирования и разработки ИТ-продуктов, а также для подготовки к квалификационному анализу и сертификации. Этот документ дает возможность производителям на основании анализа запросов потребителей определить набор требований, которым должен удовлетворять разрабатываемый ими продукт. Производители используют предлагаемую Едиными критери- ями технологию для обоснования своих претензий на то, что поставляемый ими ИТ-продукт успешно противостоит угрозам безопасности, на основании того, что он удовлетворяет выдви- нутым функциональным требованиям и их реализация осущест- влена с достаточным уровнем адекватности. Для осуществления этой технологии Единые критерии предлагают производителям специальный механизм, названный Проект защиты, дополня- ющий Профиль защиты и позволяющий соединить описания требований, на которые ориентировался разработчик, специ- фикации механизмов реализации этих требований. Кроме того, производители могут использовать Единые кри- терии для определения границ своей ответственности, а также условий, которые необходимо выполнить для успешного про- хождения квалификационного анализа и сертификации соз- данного ими продукта. Эксперты по квалификации используют этот документ в ка- честве основных критериев определения соответствия средств защиты ИТ-продукта требованиям, предъявляемым к нему по- 178 8. Обзор международных стандартов информационной безопасности требителями, и угрозам, действующим в среде его эксплуатации. Единые критерии описывают только общую схему проведения квалификационного анализа и сертификации, но не регламен- тируют процедуру их осуществления. Вопросам методологии квалификационного анализа и сертификации посвящен от- дельный документ — «Общая методология оценки безопасно- сти информационных технологий». Таким образом, Единые критерии обеспечивают норма- тивную поддержку процесса выбора ИТ-продукта, к которо- му предъявляются требования функционирования в условиях действия определенных угроз, служат руководящим материа- лом для разработчиков таких систем, а также регламентируют технологию их создания и процедуру оценки обеспечиваемого уровня безопасности. Единые критерии рассматривают информационную безо- пасность как совокупность конфиденциальности и целостно- сти информации, обрабатываемой ИТ-продуктом, а также до- ступности ресурсов ВС, ставят перед средствами защиты задачу противодействия угрозам, актуальным для среды эксплуатации этого продукта и реализации политики безопасности, приня- той в этой среде эксплуатации. Единые критерии регламентируют все стадии разработки, квалификационного анализа и эксплуатации ИТ-продуктов, используя схему из Федеральных критериев. Единые критерии предлагают достаточно сложный процесс разработки и квали- фикационного анализа ИТ-продуктов, требующий от потреби- телей и производителей составления и оформления весьма объ- емных и подробных нормативных документов. Задачи защиты — базовое понятие Единых критериев, вы- ражающее потребность потребителей ИТ-продукта в противо- стоянии заданному множеству угроз безопасности или в необ- ходимости реализации политики безопасности. Профиль защиты — специальный нормативный документ, представляющий собой совокупность Задач защиты, функци- 179 8.5. Единые критерии безопасности информационных технологий ональных требований, требований адекватности и их обосно- вания. Служит руководством для разработчика ИТ-продукта при создании Проекта защиты. Проект защиты — специальный нормативный документ, представляющий собой совокупность Задач защиты, функци- ональных требований, требований адекватности, общих спец- ификаций средств защиты и их обоснования. Каталог функциональных классов: · аудит, · связь (подтверждение приёма/передачи информации), · криптографическая поддержка, · защита данных пользователя (конфиденциальность, це- лостность, доступность), · идентификация и аутентификация, · управление безопасностью, · приватность (конфиденциальность работы в системе), · надёжность средств защиты, · контроль за использованием ресурсов, · контроль доступа к объекту оценки, · доверенный маршрут/канал (прямое взаимодействие). Требования уверенности в безопасности (адекватности) · управление проектом, · дистрибуция, · разработка, · документация, · процесс разработки, · тестирование, · анализ защиты. «Единые критерии» содержат совокупность предопреде- лённых оценочных уровней уверенности в безопасности, со- ставленных из компонентов семейств требований уверенности в безопасности. Эти уровни предназначены: · для достижения совместимости с исходными критери- ями; 180 8. Обзор международных стандартов информационной безопасности · для обеспечения потребителя пакетами компонентов об- щего назначения. Для достижения конкретных целей уровень может быть уси- лен дополнительными компонентами. ОУБ1 — функциональное тестирование (соответствует аме- риканскому TCSEC — D, европейскому ITSEC — E1). ОУБ2 — структурное тестирование (С1, Е2). ОУБ3 — методическое тестирование и проверка (С2, Е3). ОУБ4 — методическое проектирование, тестирование и про- смотр (В1, Е4). ОУБ5 — полуформальное проектирование и тестирование (В2, Е5). ОУБ6 — полуформальная верификация проекта и тестиро- вание (В3, Е6). ОУБ7 –формальная верификация проекта и тестирование (А1, Е7). Эквивалентность указана в целом, точного соответствия не существует, т. к. различаются подходы. Согласно Единым критериям, безопасность информацион- ных технологий может быть достигнута посредством приме- нения предложенной технологии разработки, сертификации и эксплуатации ИТ-продуктов. Единые критерии определяют множество типовых требова- ний, которые в совокупности с механизмом Профилей защи- ты позволяют потребителям создавать частные наборы требова- ний, отвечающие их нуждам. Разработчики могут использовать Профиль защиты как основу для создания спецификаций сво- их продуктов. Профиль защиты и спецификации средств за- щиты составляют Проект защиты, который и представляет ИТ- продукт в ходе квалификационного анализа. Квалификационный анализ может осуществляться как па- раллельно с разработкой ИТ-продукта, так и после ее заверше- ния. Для проведения квалификационного анализа разработчик продукта должен представить следующие материалы: 181 8.5. Единые критерии безопасности информационных технологий · профиль защиты, описывающий назначение ИТ-продукта и xарактеризующий среду его эксплуатации, а также уста- навливающий Задачи защиты и требования, которым дол- жен отвечать продукт; · проект защиты, включающий спецификации средств за- щиты, также обоснование соответствия ИТ-продукта за- дачам защиты из Профиля защиты и указанным в нем тре- бованиям Единых критериев; · различные обоснования и подтверждения свойств и воз- можностей ИТ-продукта, полученные разработчиком; · сам ИТ-продукт; · дополнительные сведения, полученные путем проведе- ния различных независимых экспертиз. Процесс квалификационного анализа включает три стадии: 1. Анализ Профиля защиты на предмет его полноты, непро- тиворечивости, реализуемости и возможности использования в качестве набора требований для анализируемого продукта. 2. Анализ Проекта защиты на предмет его соответствия тре- бованиям Профиля защиты, а также полноты, непротиворечи- вости, реализуемости и возможности использования в качестве эталона при анализе ИТ-продукта. 3. Анализ ИТ-продукта на предмет соответствия Проекту за- щиты. Результатом квалификационного анализа является за- ключение о том, что проанализированный ИТ-продукт соответ- ствует представленному Проекту защиты. Заключение состоит из нескольких отчетов, отличающихся уровнем детализации и со- держащих мнение экспертов по квалификации об ИТ-продукте на основании критериев квалификации Единых критериев. Применение квалификационного анализа и сертификации приводит к повышению качества работы производителей в про- цессе проектирования и разработки ИТ-продуктов. В продук- тах, прошедших квалификацию уровня безопасности, веро- ятность появления ошибок и изъянов защиты и уязвимостей существенно меньше, чем в обычных продуктах. Все это позво- 182 8. Обзор международных стандартов информационной безопасности ляет говорить о том, что применение Единых критериев ока- зывают положительное и конструктивное влияние на процесс формирование требований, разработку ИТ-продукта, сам про- дукт и его эксплуатацию. Таким образом, Единые критерии безопасности информа- ционных технологий представляют собой результат обобще- ния всех достижений последних лет в области информацион- ной безопасности. Впервые документ такого уровня содержит разделы, адресованные потребителям, производителям и экс- пертам по квалификации ИТ-продуктов. Разработчики Единых критериев продолжили работу над Федеральными критериями, направленными на отказ от еди- ной шкалы безопасности, усилив гибкость предложенных в них решений путем введения частично упорядоченных шкал, бла- годаря чему потребители и производители получили дополни- тельные возможности по выбору требований и их адаптации к своим прикладным задачам. Особое внимание этот стандарт уделяет адекватности реа- лизации функциональных требований, которая обеспечивает- ся как независимым тестированием и анализом ИТ-продукта, так и применением соответствующих технологий на всех эта- пах его проектирования и реализации. Таким образом, требования Единых критериев охватывают практически все аспекты безопасности ИТ-продуктов и техно- логии их создания, а также содержат все исходные материалы, необходимые потребителям и разработчикам для формирова- ния Профилей и Проектов защиты. Кроме того, требования Единых критериев являются практи- чески всеобъемлющей энциклопедией информационной безо- пасности, поэтому их можно использовать в качестве справоч- ника по безопасности информационных технологий. Данный стандарт ознаменовал собой новый уровень стан- дартизации информационных технологий, подняв его на меж- государственный уровень. За этим проглядывается реальная 183 8.6. Группа международных стандартов 270000 перспектива создания единого безопасного информационно- го пространства, в котором сертификация безопасности систем обработки информации будет осуществляться на глобальном уровне, что предоставит возможности для интеграции нацио- нальных информационных систем. 8.6. Группа международных стандартов 270000 Основное назначение международных стандартов — это соз- дание на межгосударственном уровне единой основы для раз- работки новых и совершенствования действующих систем ка- чества. Сотрудничество в области стандартизации направлено на приведение в соответствие национальной системы стандар- тизации с международной. Международные стандарты не име- ют статуса обязательных для всех стран-участниц. Любая страна мира вправе применять или не применять их. Решение вопроса о применении международного стандарта связано в основном со степенью участия страны в международном разделении труда. Международные стандарты принимаются Международ- ной организацией по стандартизации — ИСО (International Organization for Standardization, ISO). ИСО учреждена в 1946 г. представителями двадцати пяти ин- дустриально развитых стран и обладает полномочиями по ко- ординации на международном уровне разработки различных промышленных стандартов и осуществляет процедуру приня- тия их в качестве международных стандартов. Сфера деятельности ИСО касается стандартизации во всех областях, кроме электротехники и электроники, относящихся к компетенции Международной электротехнической комиссии (МЭК, IEC). Некоторые виды работ выполняются этими орга- низациями совместно. В этом случае в наименовании стандар- та появляется аббревиатура ИСО/МЭК. 184 8. Обзор международных стандартов информационной безопасности В системе международных стандартов в 2008 г. выделена от- дельная группа, связанная с информационной безопасностью, имеющая наименование ISO/IEC 27000. Эти стандарты опу- бликованы совместно Международной организацией по стан- дартизации (ISO) и Международной электротехнической ко- миссией (IEC). Серия содержит лучшие практики и рекомендации в обла- сти информационной безопасности для создания, развития и поддержания Системы менеджмента информационной без- опасности. В настоящее время серия содержит более 30 стандартов, большинство из которых действуют на территории Россий- ской Федерации с аналогичным номером ГОСТ. В первую де- сятку группы входят: ГОСТ Р ИСО/МЭК 27000–2012— «СМИБ. Общий обзор и терминология». ГОСТ Р ИСО/МЭК 27001–2006— «СМИБ. Требования» ГОСТ Р ИСО/МЭК 27002–2012— «СМИБ. Свод норм и пра- вил менеджмента информационной безопасности». ГОСТ Р ИСО/МЭК 27003–2012—»СМИБ. Руководство по реализации системы менеджмента информационной без- опасности». ГОСТ Р ИСО/МЭК 27004–2011— «СМИБ. Измерения». ГОСТ Р ИСО/МЭК 27005–2010 — «СМИБ. Менеджмент риска информационной безопасности». ГОСТ Р ИСО/МЭК 27006–2008— «СМИБ. Требования к ор- ганам, осуществляющим аудит и сертификацию систем менед- жмента информационной безопасности». ГОСТ Р ИСО/МЭК 27007–2014 — «СМИБ. Руководства по аудиту систем менеджмента информационной безопасности». Итак, главная задача стандартов информационной безо- пасности — согласовать позиции и цели производителей, по- требителей и аналитиков-классификаторов в процессе созда- 185 8.6. Группа международных стандартов 270000 ния и эксплуатации продуктов информационных технологий. Первые версии стандартов создавались в основном исходя из нужд обороны и были нацелены на обеспечение секретно- сти информации. С развитием средств вычислительной техни- ки и телекоммуникаций возникла потребность создания новых стандартов, отражающих особенности современного уровня информационных технологий. Применяемые международные стандарты не содержат сквозных шкал и перечней требований безопасности, они ориентированы на применение профилей за- щиты, представляющих собой перечень функциональных тре- бований для систем определённого назначения. Вопросы для самоконтроля 1. Цели применения стандартов информационной безо- пасности. 2. Охарактеризуйте основные положения Оранжевой кни- ги. 3. Почему в современных стандартах отказываются от еди- ных шкал, характеризующих уровень безопасности? 4. Каковы основные положения Европейских критериев безопасности информационных технологий? 5. Чем отличаются «информационная система» и «продукт информационных технологий»? 6. Для чего вводятся критерии адекватности? 7. Что такое Профиль защиты? 8. В чем особенности Канадских критериев безопасности компьютерных систем? 9. Опишите структуру Общих критериев безопасности ин- формационных технологий. 10. Опишите технологию применения Общих критериев без- опасности информационных технологий. 11. Каковы тенденции развития международной норматив- ной базы в области информационной безопасности? 186 9. информационные войны и информационное противоборство Определение и основные виды информационных войн Инфор- мационно-техническая война Информационно-психологическая война В настоящее время промышленно развитые страны пере- живают новый исторический этап развития, связанный с возрастанием роли информации в обществе. Инфор- мационная зависимость всех сфер жизнедеятельности общества и государства чрезвычайно велика. Так, по оценкам американ- ских экспертов, нарушение работы компьютерных сетей, ис- пользуемых в системах управления государственными и банков- скими структурами США способно нанести экономике страны серьезный ущерб, сравнимый с ущербом от применения про- тив США ядерного оружия [4]. Следовательно, развитие информационных технологий ве- дет к появлению качественно новых форм борьбы, получивших название «информационная война», «информационное проти- воборство», «информационное воздействие». 9.1. Определение и основные виды информационных войн Информационная война — открытые или скрытые целена- правленные информационные воздействия систем друг на дру- га с целью получения определенного выигрыша в материаль- ной, военной, политической или идеологической сферах [10]. Впервые термин «информационная война» появился в США в середине 70-х гг. ХХ в., его появление было обусловлено скач- 187 9.1. Определение и основные виды информационных войн ком в развитии компьютерных технологий и средств связи. Ин- формационное оружие не менее опасно, чем оружие традицион- ное. Информационная борьба может быть как самостоятельным видом противоборства (без вооруженного конфликта), так и до- полнением традиционных военных действий. В зависимости от масштабов информационные войны де- лятся: · на персональные, · корпоративные, · глобальные. Персональные информационные войны чаще всего связа- ны с нарушением личной информационной неприкосновен- ности. Корпоративные информационные войны возникают вследствие соперничества между корпорациями и нацелены на получение информации о деятельности конкурента или его ликвидацию. Во время глобальной информационной войны наносится ущерб информационным ресурсам противника при одновременной защите своих на уровне государства. При гло- бальной информационной войне можно выделить три основ- ных направления ведения войны: · воздействие на индивидуальное, групповое и массовое сознание с использованием СМИ; · воздействие на системы принятия решений в политиче- ской, экономической, военной, научно-технической, со- циальной сферах; · воздействие на информационные системы с целью управления, блокирования, съема обрабатываемой ин- формации. Рассмотрим отличия традиционной и информационной межгосударственных войн. Если схематично представить го- сударство в виде пирамиды, на вершине которой находится ап- парат государственной власти, основание составляют ресурсы (материальные, человеческие, энергетические), а между ними 188 9. Информационные войны и информационное противоборство расположен социум (общество), то отличие информационной и традиционной войны можно проиллюстрировать рис. 9.1, 9.2. 1-й этап. Агрессия. 2-й этап. Разрушение надстройки и части ресурсов. 3-й этап. Встраивание ресурсов в государство-победитель. Граница (линия фронта) Государство 1 Государство 2 Власть Социум Ресурсы Рис. 9.1. Схема ведения традиционной войны Государство 1 Государство 2 Рис. 9.2. Схема ведения информационной войны 189 9.1. Определение и основные виды информационных войн Считается, что цель войны — получение ресурсов. При веде- нии традиционной войны разрушается надстройка побежден- ного государства, гибнет часть ресурсов; определенный ущерб наносится и государству-победителю. Последствия традици- онной войны в современном мире могут быть неприемлемы для победителя (например, в случае ядерного конфликта). При информационной войне нет явной границы противоборства (фронта), однако в результате успешной информационной во- йны под контроль победителя попадают все уровни, включая власть, ресурсы, территорию. По направленности воздействий информационная борьба подразделяется на два основных вида [10]: · информационно-техническую, · информационно-психологическую. Они отличаются объектами защиты и воздействия. Основные объекты воздействия информационно-психоло- гической войны: · психика человека, · система принятия политических решений, · система общественного сознания, · система формирования общественного мнения. Основные объекты воздействия информационно-техниче- ской войны: · радиоэлектронная борьба, · линии связи и телекоммуникации. Выделяется четыре сферы ведения информационной войны: 1. Политическая. К этой сфере относятся: · борьба за ноосферу. Объекты этой битвы — государствен- ные идеи, духовные и национальные ценности, системы вероисповеданий, т. е. духовная сфера жизнедеятельно- сти людей; 190 9. Информационные войны и информационное противоборство · интеллектуальная борьба элит (инновации, рефлексивное управление). Исследования показывают, что воздействие на информационный ресурс государства может стать од- ним из источников угроз для национальной безопасности. Наиболее сложная форма воздействия — рефлексивное управление процессом принятия решения в государствен- ных структурах посредством формирования выгодной для воздействующего информации или дезинформации. · информационное противоборство в ходе избирательных процессов. 2. Финансово-экономическая. В настоящее время мировая финансовая система стала глав- ной ареной информационно-психологического противоборства между ведущими государствами мира. Одним из теоретиков и практиков информационно-психологического противобор- ства в финансовой сфере является Д. Сорос. Первой информа- ционно-психологической битвой в финансовой сфере между ве- дущими странами мира можно считать мировые финансовые кризисы 1997–1998 гг. В будущем информационные войны бу- дут в основном вестись именно в финансовой, а не в военной сфере. В условиях создания единого общемирового информа- ционного пространства развернется геостратегическое проти- воборство между ведущими мировыми державами за доминиро- вание в информационной среде мировой финансовой системы. Для того чтобы стать экономически процветающей державой, Россия должна научиться защищать свои национальные ин- тересы в мировой информационной среде и противодейство- вать информационной экспансии других стран в мировой фи- нансовой системе. 3. Дипломатическая. 4. Военная. 191 9.2. Информационно-техническая война Отдельно можно выделить противоборство в Интернете. Информационная революция способствовала появлению новых форм и способов ведения информационно-психоло- гического противоборства в мировом информационном про- странстве. Во многом это связано с созданием сети Интернет, данную тенденцию необходимо учитывать при разработке те- ории информационно-психологического обеспечения нацио- нальной безопасности России. 9.2. информационно-техническая война В информационно-технической борьбе главными объекта- ми нападения и защиты являются системы управления и связи, телекоммуникационные системы, различные радиоэлектрон- ные средства. Понятие «информационное оружие», получившее широкое распространение после завершения военной опера- ции против Ирака в 1991 г., сформировалось как раз в резуль- тате появления средств ведения информационно-технической борьбы. Решающий вклад в поражение Ирака внесло комплекс- ное применение средств разведки, управления, связи, навига- ции и радиоэлектронной борьбы, совокупность которых и была определена как информационное оружие театра военных дей- ствий. Опыт локальных войн конца ХХ в. свидетельствует о том, что обязательным атрибутом победы в современном бою явля- ется завоевание превосходства в информационной сфере. В во- енное время ведение информационной войны предполагается на стратегическом, оперативном и тактическом уровнях. Но ин- формационное оружие необходимо задействовать еще до нача- ла боевых действий, а в полной мере применять уже в ходе сра- жений. Еще в мирное время объектами и целями этой борьбы являются информационные ресурсы государства, в которые включается прежде всего информация, существующая на ма- 192 9. Информационные войны и информационное противоборство териальных носителях или в любой другой форме. Особое зна- чение информационных ресурсов обусловлено тем ключевым положением, которое они в силу особой роли информации как системообразующего фактора занимают по отношению к лю- бым другим ресурсам государства — экономическим, научно- техническим и собственно военным. В первую очередь информационное оружие направлено про- тив вооруженных сил, предприятий оборонного комплекса, структур безопасности. При атаках удары наносят по телеком- муникациям или транспортным системам. Универсальность, скрытность, многовариантность форм программно-аппарат- ной реализации, радикальность воздействия, достаточный вы- бор места и времени применения, экономичность делают ин- формационное оружие чрезвычайно опасным. Оно позволяет вести наступательные действия анонимно, без объявления во- йны. Классификация Мартина Либицки [10] рассматривает ме- тоды ведения этих действий в рамках следующих форм: · командно-управленческой, · разведывательной, · электронной, · экономической, · кибер-войны, · хакерской войны. 1. Командно-управленческая информационная война. Разрушить структуру управления войсками противника мож- но, направив удар на лидера армии или штаб командования — «голову» или сеть коммуникаций, соединяющих командование с основной массой войск, — «шею». Удар по «голове» — это ис- пытанный прием всех военных операций с древности. Во вре- мя войны в Заливе успешность военных действий американ- цев во многом была обеспечена предварительным разрушением структуры командования и управления войсками противни- ка. Им удалось добиться, таким образом, дезориентации ирак- 193 9.2. Информационно-техническая война ских войск и неэффективности их военных действий. Штабы командования противника легко распознать по большому ко- личеству коммуникаций, которые их окружают, постоянному движению больших потоков информации. Современные ин- формационные технологии дают возможность использовать этот метод по-новому. Теперь коммуникации противника мож- но разрушить не только при помощи бомб, или физической ата- ки, а через компьютерную систему, например перекрыв подачу электричества, глуша радиоволны, внедрив вирусы в компью- терную сеть. Удар по «шее», разрыв связи между командова- нием и основной армией позволит отделить «голову» от «ту- ловища», тем самым противник потеряет дееспособность. Для того чтобы использовать этот способ, нужно точно знать, ка- ким образом происходит коммуникация противника, насколь- ко важно командованию врага постоянно поддерживать связь с армией. Каждому действию в информационной войне долж- на предшествовать тщательная исследовательская и разведы- вательная работа, чтобы оно принесло необходимый резуль- тат. Например, во время войны во Вьетнаме разрушение связи между армией и командованием не имело ожидаемого эффек- та, поскольку стратеги в США не учли особенности вьетнам- ских традиций в ведении войны. Оказалось, что во Вьетнаме, в отличие от США, отдельные подразделения армии обладают большой независимостью и они способны самостоятельно пла- нировать военные действия, организовывать сопротивление без верховного командования в течение длительного времени. Та- ким образом, удары по «голове» и «шее» не дали никаких поло- жительных результатов. Кроме того, уничтожение лидера или командования может привести к такому неприятному эффекту, как распространение неконтролируемой партизанской войны. 2. Разведывательная война. Традиционно командование армии получает от разведки ин- формацию о месторасположении противника, его качествен- 194 9. Информационные войны и информационное противоборство ных и количественных характеристиках. Это необходимо, чтобы планировать дальнейшую военную деятельность. Современ- ная разведка благодаря развитию информационных техноло- гий может обеспечивать командование достаточным количе- ством информации о противнике. Основная работа разведчика сегодня состоит в адекватном анализе полученной информа- ции, способствующем принятию эффективных действий. Обо- ронительная составляющая этого типа войны включает работу по «обману» источников развединформации, когда они не унич- тожаются, но нарушаются так, чтобы передавать неверную ин- формацию. 3. Радиоэлектронная война. Это особый вид информационной борьбы, призванный на- рушать или затруднять функционирование электронных средств противника путем излучения, отражения электромагнитных сигналов, акустических и инфракрасных сигналов. Эта борьба осуществляется наземными, корабельными и авиационными системами постановки помех. Сюда входят способы по глуше- нию радиосигналов противника, радиоперехваты, нарушение правильной работы радаров посредством введения ошибок в компьютерную сеть. К средствам ведения радиоэлектронной войны относятся электромагнитные бомбы и электромагнит- ные пушки. Мощный электромагнитный импульс (до десятков гигаватт), излучаемый этими устройствами, выводит из строя все электронное оборудование. 4. Хакерская война (компьютерные войны). Целью нападения может быть полное разрушение компью- терной системы, ее временный выход из строя, программиро- вание на выдачу ошибочной информации, кража информации или услуг. Нападение на военные информационные системы может осуществляться как во время конфликта, так и в мирное время. Атакующее информационное оружие этого типа широко 195 9.2. Информационно-техническая война распространено и многообразно. По мнению С. П. Расторгуе- ва [10], информационным оружием следует называть средства уничтожения, хищения, искажения информационных масси- вов, средства дезорганизации работы технических устройств, компьютерных систем. Вредоносные программы способны разрушать программ- ное обеспечение компьютерных систем. Они могут размно- жаться, внедряться в программы, передаваться по линиям связи, сетям передачи данных, выводить из строя системы управления. Кроме того, сюда относятся различные средства подавле- ния информационного обмена в телекоммуникационных се- тях, фальсификация информации в каналах государственного и военного управления, различного рода ошибки, сознатель- но вводимые лазутчиком в программное обеспечение объекта. 5. Экономическая война. Выделяется две ее разновидности. Первая — это информа- ционная блокада, когда страна-агрессор перекрывает потоки информации из внешнего мира, необходимые для процвета- ния государства. Вторая разновидность — формационный им- периализм — преобладание информационных продуктов одной страны, экспансия своих ценностей и культуры в различных проявлениях. Наиболее ярким примером являются процессы «американизации» современного мира. 6. Кибер-война. Этот тип информационной войны пока не существует, но предполагается, что к нему должно привести дальнейшее развитие информационных технологий. Среди вариантов кибер-войн сейчас наиболее понятны для осмысления семантические атаки и симуляционные войны. От- личие семантических атак от обычного хакерства в том, что си- стема не выводится из строя, не разрушается, она продолжает 196 9. Информационные войны и информационное противоборство нормально функционировать, но настраивается таким образом, чтобы выдавать пользователю неверные ответы, неправильно решает поставленные задачи. Симуляционные войны ведутся только в виртуальном пространстве, причем победивший в них признается победителем и в реальном мире. 9.3. информационно-психологическая война В информационно-психологической борьбе главными объектами нападения и защиты являются психика личного состава вооруженных силовых структур, населения проти- востоящих сторон, системы формирования общественного мнения и принятия решений. Такая борьба ведется метода- ми и средствами информационно-психологического воздей- ствия, ориентированного на войска и население по обе сто- роны «фронта». Под информационно-психологическими воздействиями пони- маются информационные воздействия на психику, в первую очередь на сознание человека и сообществ людей, проявляю- щиеся в изменении восприятия ими реальной действительно- сти, коррекции своего поведения и принятия решений, а также, в некоторых случаях — в изменении физиологического состо- яния организма человека. Так, информационно-психологиче- ские воздействия в политической сфере понимаются как ис- пользование дипломатических, военно-демонстрационных, экономических, политических, информационных приемов для прямого или косвенного воздействия на мнение, настроения, чувства и, в итоге, на поведение другой стороны с целью пода- вить волю, заставить действовать под диктовку. Информационно-психологические методы и средства пси- хотехнологий подразделяются на открытые и скрытые, поло- жительные и негативные и деструктивные, преследующие яв- 197 9.3. Информационно-психологическая война ные и скрытые цели. Открытые психотехнологии реализуются с помощью честных «чистых» и обманных «грязных» методов и приемов. Информационно-психологические воздействия скрытого типа направлены на прямую манипуляцию сознани- ем человека через его подсознание путем применения скрытых психотехнологий, когда объект воздействия не осознает самого факта воздействия. Указанные скрытые воздействия включа- ют психотропные (техногенные) средства, а также суггестивные (внушение, массовый гипноз) и психотропные (фармаколо- гические) воздействия. Психофизические воздействия имеют скрытую насильственную направленность на психику и под- сознание человека с целью безусловной модификации созна- ния, поведения и здоровья в нужном для воздействующей сто- роны направлении. Стремление скрыто воздействовать через подсознание человека осуществляется современными психо- технологиями, в том числе с применением сверхслабых энер- гоинформационных взаимодействий. В данный момент многие аналитики обращают внимание на нарастающее со стремитель- ной скоростью совершенствование старых и на появление но- вых информационных психотехнологий, составляющих реаль- ное оружие и опасность для интеллекта отдельной личности и народа в целом, его армии, силовых структур, руководящих органов власти. До последнего времени главным объектом воздействия ут- верждалось сознание человека. Считалось непреложной ис- тиной, что осязаемые эффекты могут быть восприняты на- шим сознанием тогда и только тогда, когда они критически осмыслены нашим сознанием, пройдут через фильтр нашей оперативной памяти, а лишь потом отложаться в хранилище памяти — в нашем подсознании, прямой доступ к которому ка- тегорически закрыт. Подсознание рассматривается скорее как нечто мифическое, эфемерное как нечто спящее, неактивное, не способное влиять на «здравые» мысли и поступки лично- сти. Новейшие исследования убедительно доказали, что наша 198 9. Информационные войны и информационное противоборство оперативная память, формирующая наш здравый смысл, — это всего лишь малая часть от нашей суммарной памяти, которой обладает человек. Главный ее резерв и хранилище — наше подсознание. В подсознании содержится от 70 до 99 процен- тов объема нашей памяти (всех знаний). Отсюда огромный интерес к раскрытию резервных возможностей человека пу- тем прямого воздействия на его подсознание. Попытка «рас- копать» глубинные залежи нашего мозга направлена на ак- тивное задействование подсознания в оперативный процесс мышления, когда реализуются феноменальные возможности человека по запоминанию информации, по фантастической скорости счета, по раскрытию его парапсихических способно- стей. С другой стороны, за этим стоит желание научиться пря- мо воздействовать на подсознание людей, программировать их на определенные мысли и поступки. Подобные действия влекут за собой не только фундаментальные сдвиги в подсо- знании и психике людей, но и изменение их мировоззренче- ских позиций. Стремление воздействовать на человека напрямую через его подсознание выражено в разработке самых различных методов, при использовании которых объект воздействия не осознает ни цель, ни даже сам факт воздействия. Их коренное отличие от информационных воздействий открытого типа заключает- ся в том, что они скрытно, то есть без ведома объекта воздей- ствия, лишают его права самостоятельного выбора логически обоснованных решений, свободы выбора своего поведения, исполнения желаний, выражения эмоций и даже психофизио- логического состояния организма (настроения, здоровья). Это достигается либо предварительным введением объекта воздей- ствия в измененное состояние сознания, либо внедрением ма- нипулирующей информации на фоне отвлекающих сообщений прямо в подсознание, минуя этап критического восприятия ее сознанием человека. В востребованное время эта информация по условному сигналу (паролю) с уровня подсознания всплыва- 199 9.3. Информационно-психологическая война ет в сознании и воспринимается человеком как его собственные мысли и убеждения. В соответствии с заложенной программой человек — объект воздействия — организует свое поведение, принимая решения. В предельном варианте этот человек в ре- зультате информационно-психологического воздействия скры- того типа превращается в зомби, который безотказно выполняет волю своего повелителя. Человек, подвергшийся «программи- рованию», внешне ведет себя так же, как обычный человек, и не подозревает о том, что он «запрограммирован». Он среа- гирует только на ключевую команду, переданную ему в нужное время. После выполнения задания человек-зомби даже не осоз- нает, что он сделал по этой команде, — программой ему «при- казали» забыть этот факт. В подсознание такого человека мож- но заложить и несколько спецпрограмм. Использование психотропных средств возможно и в военных целях, что позволяет говорить о психотропном оружии, кото- рое может применяться как отдельно, так и в сочетании с дру- гими средствами воздействия. Итак, по мере повышения роли информации и информа- ционных технологий в жизнедеятельности человека проти- воборство между государствами, политическими партиями, транснациональными корпорациями и международными тер- рористическими организациями стало приобретать новые фор- мы. В настоящее время ученые из разных стран в основном про- анализировали систему закономерностей информационной борьбы. Они связывают воедино явления и процессы, проте- кающие в различных сферах: экономической, политической, духовной, военной. Закономерности информационной борь- бы выступают как отношения не только между материальны- ми факторами, но и между активно действующими в ней ду- ховными силами. Если до конца 40-х гг. XX в. информационная борьба меж- ду государствами в основном велась в период боевых действий 200 9. Информационные войны и информационное противоборство и подчинялась военной стратегии, то сегодня она ведется прак- тически постоянно и повсеместно. Необходимо пристальное внимание политиков и международной общественности, чтобы своевременно увидеть и по возможности предотвратить угро- зу перехода от информационной борьбы к более агрессивным и разрушительным формам. Возрастает необходимость создать условия для заключения многосторонних международных соглашений о запрещении применения средств технологического воздействия на наци- ональные информационные ресурсы, определить принципы контроля использования информационных систем и сформи- ровать основные приоритеты в проводимой международными организациями политике интеграции национальных сегмен- тов информационных систем в единую мировую информаци- онную инфраструктуру. Традиционно для разрешения задач внешней политики используются экономические, диплома- тические, идеологические, культурные и другие «невоенные» средства. Сегодня к этому перечню средств можно добавить информационные технологии. Вопросы для самоконтроля 1. Чем отличаются понятия «информационная война» и «ин- формационное противоборство»? 2. Чем отличается информационная война от обычного во- оруженного конфликта? 3. Какие виды информационных войн Вы можете выделить? 4. Приведите пример межкорпоративной информационной войны. 5. Можно ли рассматривать рекламу как средство ведения информационной борьбы? 6. Какие приемы ведения информационной войны исполь- зуются во время предвыборных кампаний, приведите при- меры. 201 9.3. Информационно-психологическая война 7. Что такое информационное оружие? Какие виды оружия применяются в ходе ведения информационной войны? 8. Каковы цели информационной войны? 9. Каковы средства и методы защиты от информационно- технического оружия? 10. Каковы особенности информационно-психологической войны? 202 библиографический список 1. Васильков А. В. Безопасность и управление доступом в информационных системах / А. В. Васильков, И. А. Ва- сильков. — Москва : ФОРУМ: ИНФРА-М, 2013. — 368 с. 2. Жигулин Г. П. Организационное и правовое обеспече- ние информационной безопасности / Г. П. Жигулин. — Санкт-Петербург : СПбНИУИТМО, 2014. — 173 с. 3. Теоретические основы компьютерной безопасно- сти / П. Н. Девянин [и др.]. — Москва : Радио и связь, 2000. — 192 с. 4. Бардаев Э. А. Документоведение : учебник для студ. высш. учеб. заведений / Э. А. Бардаев, В. Б. Кравченко. — Мо- сква : Издательский центр «Академия», 2008. — 304 с. 5. Малюк А. А. Введение в защиту информации в автома- тизированных системах / А. А. Малюк, С. В. Пазизин, Н. С. Погожин. — Москва : Горячая линия — Телеком, 2001. — 148 с. 6. Мельников В. В. Безопасность информации в автомати- зированных системах / В. В. Мельников. — Москва : Фи- нансы и статистика, 2003. — 368 с. 7. Гайдамакин Н. А. Разграничение доступа к информации в компьютерных системах / Н. А. Гайдамакин. — Екате- ринбург : Изд-во Урал. ун-та, 2003. — 328 с. 8. Зегжда Д. П. Основы безопасности информационных систем / Д. П. Зегжда, А. М. Ивашко. — Москва : Горя- чая линяя — Телеком, 2000. — 452 с. 9. Барсуков В. С. Безопасность: технологии, средства, услу- ги / В. С. Барсуков. — Москва : КУДИЦ-ОБРАЗ, 2001–496 с. 10. Расторгуев С. П. Информационные войны / С. П. Рас- торгуев. — Москва : «Финансы и статистика», 1998. — 415 с. Учебное издание Вострецова Елена Владимировна ОСНОВЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Редактор О. С. Сергеева Верстка О. П. Игнатьевой Подписано в печать 23.05.2019. Формат 60×84/16. Бумага офсетная. Цифровая печать. Усл. печ. л. 11,9. Уч.-изд. л. 10,2. Тираж 40 экз. Заказ 126. Издательство Уральского университета Редакционно-издательский отдел ИПЦ УрФУ 620049, Екатеринбург, ул. С. Ковалевской, 5 Тел.: +7 (343) 375-48-25, 375-46-85, 374-19-41 E-mail: rio@urfu.ru Отпечатано в Издательско-полиграфическом центре УрФУ 620083, Екатеринбург, ул. Тургенева, 4 Тел.: +7 (343) 358-93-06, 350-58-20, 350-90-13 Факс: +7 (343) 358-93-06 http://print.urfu.ru Е. В. ВОСТРЕЦОВА Е. В. ВОСТРЕЦОВА ОСНОВЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОСНОВЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Учебное пособие ВОСТРЕЦОВА ЕЛЕНА ВЛАДИМИРОВНА Доцент, кандидат технических наук. Опыт преподавания дисциплины «Основы информационной безопасности» со- ставляет более 20 лет. Область научных интересов — технические средства за- щиты информации, анализ и обработка сигналов; мето- дики и технологии современного высшего образования. Автор более 100 научных и учебно-методических трудов. 9 7 8 5 7 9 9 6 2 6 7 7 8 I SBN 579962677 - X |