Криптография. Вопросы для повторения
 Скачать 359.49 Kb.
|
|
Содержание Предисловие о семи безопасных информационных технологиях ...................................................................................... 6 Глава 1. Менеджмент информационной безопасности............ 9 1.1. Основные понятия информационной безопасности....................9 1.2. Система менеджмента информационной безопасности ..........12 1.3. Анализ и управление рисками ......................................................17 1.4. Классификация информации ........................................................23 1.5. Порядок использования политик, стандартов и руководств ......28 1.6. Особенности работы с персоналом .............................................31 Вопросы для повторения .......................................................................33 Лабораторная работа ............................................................................36 Глава 2. Обеспечение безопасного доступа .............................38 2.1. Понятие управления безопасным доступом ...............................38 2.2. Категории управления доступом ..................................................39 2.3. Свойство подотчетности и подсистемы управления доступом ..................................................................................................41 2.4. Средства идентификации и аутентификации ..............................43 2.5. Протоколы сетевого доступа .........................................................54 2.6. Методы управления доступом.......................................................58 Вопросы для повторения .......................................................................61 Лабораторная работа ............................................................................64 Глава 3. Обеспечение сетевой безопасности ...........................65 3.1. Понятие компьютерной сети .........................................................65 3.2. Базовая эталонная модель взаимосвязи открытых систем ......74 3.3. Стек протоколов TCP/IP .................................................................78 3.4. Средства обеспечения сетевой безопасности ...........................91 Вопросы для повторения .....................................................................101 Содержание 4 Глава 4. Криптографическая защита информации ...............106 4.1. Основные криптографические примитивы .............................. 106 4.2. Элементарное шифрование....................................................... 108 4.3. Симметричная криптография .................................................... 114 4.4. Асимметричная криптография .................................................. 118 4.5. Электронно-цифровая подпись и криптографическая хэш-функция ......................................................................................... 123 4.6. Инфраструктура открытых ключей ............................................ 127 Вопросы для повторения .................................................................... 128 Глава 5. Разработка безопасных программ ...........................132 5.1. Модели жизненного цикла программного обеспечения ........ 132 5.2. Безопасный жизненный цикл программного обеспечения ........................................................................................ 136 5.3. Обзор мер по разработке безопасного программного обеспечения ........................................................................................ 143 Вопросы для повторения .................................................................... 154 Глава 6. Моделирование и оценка соответствия ...................158 6.1. Основные понятия безопасной архитектуры ........................... 158 6.2. Концептуальные модели управления доступом ...................... 160 6.3. Принципы безопасной архитектуры ЭВМ ................................ 166 6.4. Скрытые каналы передачи информации...................................170 6.5. Критерии оценки соответствия ...................................................173 Вопросы для повторения .................................................................... 184 Глава 7. Обеспечение непрерывности бизнеса и восстановления ........................................................................187 7.1. Управление непрерывностью бизнеса и восстановлением ............................................................................. 187 7.2. Модель менеджмента непрерывности бизнеса ...................... 188 Вопросы для повторения .................................................................... 198 Литература ....................................................................................201 Ответы на вопросы для повторения .........................................208 5 Содержание Приложение 1. Кодекс профессиональной этики ..................214 Четыре заповеди профессиональной этики (ISC)2 ..........................214 Семь правил профессиональной этики ISACA ..................................214 Приложение 2. Типовые компьютерные атаки ......................216 Криптографические и парольные атаки............................................216 Атаки на отказ в обслуживании ..........................................................217 Атаки на программный код и приложения ...................................... 218 Атаки социальной инженерии и физические атаки ........................ 219 Сетевые атаки ..................................................................................... 220 Предисловие о семи безопасных информационных технологиях 6 Предисловие о семи безопасных информационных технологиях Держите меня всемером! План безопасности Белоснежки Безопасные информационные технологии (опираясь на ISO/ IEC 38500-2015) можно определить как методические и техниче- ские ресурсы, необходимые для безопасного сбора, обработки, хра- нения и распространения информации в компьютерных системах. Чрезвычайная актуальность и удивительный интерес к тематике не нуждаются в аргументации. Внедрение безопасных информа- ционных технологий (ИТ) – сейчас самое передовое направление автоматизации любой деятельности. В настоящее время известен ряд увлекательных учебников в об- ласти информационной безопасности (ИБ), отражающий акаде- мические изыскания отечественных научных школ или ИТ-корпо- раций [1–40]. Особенностью этой книги является формирование учебного курса, соответствующего исключительно международ- ному вектору развития в области обучения ИБ, проще говоря, неофициальному осмыслению самых востребованных в мире сер- тификационных курсов в области ИБ, к примеру: CISSP (Certified Information Systems Security Professional), CSSLP (Certified Secure Software Lifecycle Professional), поддерживаемых международным консорциумом (ISC) – Interna tional Information Systems Security Certification Consortium [41–46]; CISM (Certified Information Security Manager), CISA (Certified Information Systems Auditor), организуемых международной 7 Предисловие о семи безопасных информационных технологиях ассоциацией ISACA (Information Systems Audit and Control Association) и др. [47–51]. Определение авторами указанной, в общем-то принципиальной, позиции связано с двумя моментами: данный учебник исключительно полезен активным ИТ-специалистам, чтобы подготовиться к соответствующим международным сертификационным экзаменам в области ИБ, что чрезвычайно важно в карьерном и информационно-пуб- личном плане; понимание специфики элитных международных курсов по- зволяет российским профессионалам провести некоторую рефлексию отечественных направлений в обучении по линии ИБ, сравнить их с системой взглядов, предпочитаемой зару- бежными специалистами. Надо понимать, что изучение международных тенденций в безопас- ных информационных технологиях позволяет отечественным ИТ-стартапам повысить свою конкурентоспособность на между- народных рынках. Разумеется, авторами учебника выступили специалисты, имею- щие соответствующие сертифицированные международные статусы: Барабанов Александр (CISSP, CSSLP); Дорофеев Александр (CISSP, CISA, CISM, BSI Lead Auditor); Марков Алексей (CISSP, SBCI, BSI Lead Auditor, IEEE Member, ACM Member); Цирлов Валентин (CISSP, CISM, AMBCI). Учебные материалы апробированы в МГТУ им. Н. Э. Баумана (курс «Сертификация специалистов по информационной безопас- ности»), в Финансовом университете при Правительстве РФ (курс «Организационные основы информационной безопасности») и в УЦ «Эшелон» (курс «Подготовка к CISSP за 12 сиреневых вечеров»). Отдельные вопросы обсуждались на страницах рецен- зируемого журнала «Вопросы кибербезопасности» [52–61]. Учебник включает в себя семь разделов по безопасным инфор- мационным технологиям: Предисловие о семи безопасных информационных технологиях 8 1) менеджмент информационной безопасности; 2) обеспечение безопасного доступа; 3) обеспечение сетевой безопасности; 4) криптографическая защита информации; 5) разработка безопасных программ; 6) моделирование и оценка соответствия; 7) обеспечение непрерывности бизнеса и восстановления. В качестве приложений к учебнику представлен свод типовых компьютерных атак, чтоб исключить их повторяемость в различных главах, а также декларируемые за рубежом этические правила, что поможет понять некоторые идейные международные принципы ИБ. Выбор указанных разделов определен опытом успешной сдачи названных ранее сертификационных экзаменов. Разделы допол- нены оригинальными вопросами и заданиями для самоподготовки. Авторы в книге придерживаются международной терминологии, определенной международными стандартами или сертификацион- ными курсами, специфические термины продублированы на анг- лийском языке. Авторы выражают благодарность сотрудникам НПО «Эшелон»: сертифицированным специалистам CISSP Андрею Фадину и CISSP Евгению Веселову (за моральную поддержку), CPSCE Георгию Мар- кову (за оригинальные вопросы), а также маркетологу Илье Ануф рие- ву и корректору Яне Авезовой (за помощь в оформлении), доцентам и преподавателям кафедры ИУ-8 «Информационная безопасность» МГТУ им. Н. Э. Баумана Виталию Веренице, Игорю Шахалову, Миха- илу Никулину, Олегу Гудкову, Сергею Борзых и Анастасии Большако- вой (за критику всех зарубежных практик). Авторы также призна- тельны рецензентам учебного курса – профессору Сергею Пет ренко (СПбГЭТУ «ЛЭТИ») [31] и эксперту SATEC, члену OWASP, GSSP, SCEA, SCJP Alec Shcherbakov (Silicon Value, USA) [67]. Научный редактор Алексей Марков, доктор технических наук, эксперт Российской академии наук Глава 1 Менеджмент информационной безопасности В этой главе: Факторы информационной безопасности Система менеджмента информационной безопасности Анализ риска Классификация информации Политики и планы безопасности Работа с персоналом 1.1. Основные понятия информационной безопасности Под информационной безопасностью (ИБ) системы обычно понимают состояние (свойство) защищенности ее ресурсов в условиях наличия угроз в информационной сфере. С комплексом мероприятий, направ- ленных на обеспечение ИБ, связывают понятие защиты информации. Определяющими факторами ИБ являются угроза (threat) и риск (risk). Угрозой называют потенциальную причину (событие, наруше- ние, инцидент), снижающую уровень ИБ информационной систе- мы, т. е. потенциально способную привести к негативным послед- ствиям и ущербу системы или организации. Риск представляет собой возможный ущерб, т. е. комбинацию (как правило, произведение), вероятности реализации угрозы и ущерба от нее. Отметим, что угроза и риск определяются не вообще, а относи- тельно конкретного защищаемого ресурса. В терминологии теории Менеджмент информационной безопасности 10 менеджмента бизнес-процессов вместо ресурса используется си- нонимическое понятие – актив (asset), под определение которого подпадает все, что имеет ценность для организации, например: базы данных, техническое и программное обеспечение, сетевая инфраструктура, специалисты. Угрозы ИБ классифицируют по ряду критериев: по причине возникновения (природные или техногенные, в том числе преднамеренные или случайные); по расположению источника (внешние или внутренние); по компрометируемой подсистеме или сегменту (сетевые, криптографические и др.); по этапу формирования в жизненном цикле системы (реали- зационные и эксплуатационные); по результирующему действию (нарушают уровень конфиден- циальности, целостности или доступности). Примеры угроз ИБ представлены в табл. 1.1. Таблица 1.1. Примеры угроз информационной безопасности Задачи обеспечения безопасности Техногенные Природные Преднамеренные Случайные Контроль физического доступа Бомбардировка Сон вахтерши Торнадо Сохранность оборудования Вандализм Запыление Шаровые молнии Управление сетевыми коммуникациями Прослушивание сети Флуктуации в сети Магнитные бури Защита информационных хранилищ Взлом парольной системы Сбой криптосредств Грибки Управление непрерывностью деятельности Последствие DOS-атаки Последствия тестов на проникновение Карстовые процессы Соответствие законодательству Компьютерное пиратство Тиражирование персональных данных Природные пожары Наиболее известным примером реестра угроз может служить Каталог угроз Федерального агентства по ИБ Германии (BSI IT- Grundschutz-Kataloge) 1 1 •RU• В России – Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). 11 Основные понятия информационной безопасности Одной из наиболее актуальных угроз ИБ компьютерных систем является возможность реализации уязвимости (vulnerability) систе- мы. Под уязвимостью понимают реализуемый дефект (weakness) технического и программного обеспечения системы, снижающий уровень защищенности ресурсов от тех или иных угроз. Отметим, наличие уязвимости становится угрозой, если ее можно реализо- вать так, что это приведет к недопустимому ущербу организации. Например, наличие сетевых уязвимостей в программном обеспе- чении изолированного компьютера не является угрозой. Известен ряд баз данных уязвимостей, например: OSVDB, Mitre CVE ( Common Vulnerabilities and Exposures ), NVD, CNNVD, JVN iPedia, IBM X-Force и др. Наиболее известной базой описания дефектов безопасности программного кода является реестр Mitre CWE ( Common Weakness Enumeration ). Умышленная реализация угроз и уязвимостей в компьютерных системах, приводящая к ущербу организации, называется компью- терной атакой («вторжением») на ресурсы. Примером междуна- родного каталога шаблонов компьютерных атак является Mitre CAPEC (Common Attack Pattern Enumeration and Classification). Рис. 1.1. Факторы информационной безопасности в жизненном цикле систем Понятие ИБ включает в себя совокупность различных свойств, основными из которых являются: конфиденциальность, целостность, доступность. Менеджмент информационной безопасности 12 Конфиденциальность – свойство системы, определяющее ее за- щищенность от несанкционированного раскрытия информации. Целостность – свойство, определяющее защищенность от не- санкционированного изменения. Разделяют логическую и фи- зическую целостность. Физическая целостность подразумевает неизменность физического состояния данных на машинном носи- теле. Логическая целостность отражает корректность выполнения вычислительных процессов (транзакций), полноту и непротиво- речивость информации, например в СУБД, файловых системах, электронных архивах, хранилищах данных, системах управления документооборотом и т. д. Доступность – свойство, определяющее возможность за задан- ное время получить требуемую информационную услугу автори- зованному пользователю. С доступностью часто связывают такую характеристику системы, как готовность – способность к выпол- нению заявленных функций в установленных технических условиях. Атаки, имеющие целью нарушить степень доступности, получили название атак на отказ в обслуживании (DOS-атаки). Что касается информационной системы, то часто в качестве наиболее важных свойств ее ИБ, для выражения значимости, упо- минают свойства аутентичности, подотчетности, неотказуемости, надежности и др. Повышение и обеспечение заданных уровней конфиденциально- сти, целостности и доступности ресурсов осуществляются путем применения механизмов ИБ – различных организационно-техни- ческих мер ИБ (controls). 1.2. Система менеджмента информационной безопасности Скоординированные действия, выполняемые с целью повышения и поддержания на требуемом уровне ИБ организации, называются менеджментом (организационно-техническим управлением) ИБ. Совокупность участников, правил, процедур и мер, используе- мых для обеспечения требуемого уровня ИБ организации, состав- 13 Система менеджмента информационной безопасности ляет систему менеджмента ИБ (СМИБ). В концептуальном плане СМИБ включает в себя два основных уровня управления: процедурный, касающийся документального оформления биз- нес-процессов организации; организационно-технический, касающийся непосредственно мер безопасности. Процедурный уровень основывается на процессном подходе бизнес-риска, его цель состоит в создании, реализации, эксплуа- тации, мониторинге, анализе, повышении и поддержке заданного уровня ИБ. Для практического описания жизненного цикла СМИБ популяр- на процессная модель PDCA – «Plan (планирование), Do (реали- зация), Check (проверка) – Act (совершенствование)», известная как цикл Шухарта–Деминга 1 . К примеру, на стадии планирования устанавливают политики ИБ, процедуры, проводится оценка риска. На стадии реализации осуществляются внедрение и поддержка по- литики ИБ, обработка риска, осуществление контрмер, установка защитных средств и сервисов. На стадии проверки осуществляются контроль факторов ИБ, оценка и анализ эффективности процессов управления ИБ. На завершающей стадии осуществляются выра- ботка и принятие корректирующих и превентивных действий, про- водятся переоценка рисков, пересмотр политики и т. д. При создании СМИБ в первую очередь выбирают наиболее кри- тичные c точки зрения безопасности процессы или процессы, касаю- щиеся определенных видов деятельности организации, например касающиеся международной деятельности или государственного за- каза. Соответственно, создание СМИБ может быть поэтапным. Если обратить внимание на рис. 1.2, можно отметить, что СМИБ не существует сама по себе, а направлена на |