Программно технический уровень защиты информации. Основы информационной и компьютерной безопасности

Лекция 6.
Основные программно-технические меры
(сервисы безопасности)
1

Литература

В.А. Галатенко «Основы
информационной безопасности»,
Электронная книга
2

Центральным для программнотехнического уровня является понятие
сервиса безопасности.
3

Основные понятия программно-технического уровня информационной безопасности

К вспомогательным относятся сервисы
безопасности (мы уже сталкивались с
ними при рассмотрении стандартов и
спецификаций в области ИБ); среди
них нас в первую очередь будут
интересовать универсальные,
высокоуровневые, допускающие
использование различными
основными и вспомогательными
сервисами.
4

Основные понятия программно-технического уровня информационной безопасности

Далее мы рассмотрим следующие сервисы:
;
управление доступом;
протоколирование и аудит;
шифрование;
контроль целостности;
экранирование;
анализ защищенности;
обеспечение отказоустойчивости;
обеспечение безопасного восстановления;
туннелирование;
управление.
5

Основные понятия программно-технического уровня информационной безопасности

Для проведения классификации сервисов
безопасности и определения их места в общей
архитектуре меры безопасности можно
разделить на следующие виды:
превентивные, препятствующие нарушениям
ИБ;
меры обнаружения нарушений;
локализующие, сужающие зону воздействия
нарушений;
меры по выявлению нарушителя;
меры восстановления режима безопасности.
6

Основные понятия программно-технического уровня информационной безопасности

Большинство сервисов безопасности попадает в
число превентивных, и это, безусловно,
правильно. Аудит и контроль целостности
способны помочь в обнаружении нарушений;
активный аудит, кроме того, позволяет
запрограммировать реакцию на нарушение с
целью локализации и/или прослеживания.
Направленность сервисов
отказоустойчивости и безопасного
восстановления очевидна. Наконец,
управление играет инфраструктурную роль,
обслуживая все аспекты ИС.
7

Идентификация и аутентификация

Идентификация позволяет субъекту
(пользователю, процессу, действующему
от имени определенного пользователя,
или иному аппаратно-программному
компоненту) назвать себя (сообщить свое
имя).
8

Идентификация и аутентификация

Посредством аутентификации вторая
сторона убеждается, что субъект
действительно тот, за кого он себя
выдает. В качестве синонима слова "
аутентификация " иногда используют
словосочетание "проверка подлинности".
9

10. Аутентификация

Аутентификация - процедура проверки
подлинности, например:
проверка подлинности пользователя путём
сравнения введённого им пароля с паролем,
сохранённым в базе данных пользователей;
подтверждение подлинности электронного
письма путём проверки цифровой подписи
письма по открытому ключу отправителя;
проверка контрольной суммы файла на
соответствие сумме, заявленной автором
этого файла.
10

11. Авторизация

Авторизация- предоставление
определённому лицу или группе лиц
прав на выполнение определённых
действий; а также процесс проверки
(подтверждения) данных прав при
попытке выполнения этих действий.
Часто можно услышать выражение, что
какой-то человек «авторизован» для
выполнения данной операции - это
значит, что он имеет на неё право.
11

12. Авторизация

Авторизацию не следует путать с аутентификацией:
аутентификация - это процедура проверки
легальности пользователя или данных, например,
проверки соответствия введённого
пользователем пароля к учётной записи паролю в
базе данных, или проверка цифровой подписи
письма по ключу шифрования, или проверка
контрольной суммы файла на соответствие
заявленной автором этого файла.
Авторизация же производит контроль доступа
легальных пользователей к ресурсам системы
после успешного прохождения ими
аутентификации. Зачастую процедуры
аутентификации и авторизации совмещаются.
12

13. Идентификация и аутентификация

Аутентификация бывает односторонней
(обычно клиент доказывает свою
подлинность серверу) и двусторонней (
взаимной). Пример односторонней
аутентификации – процедура входа
пользователя в систему.
13

14. Парольная аутентификация

Главное достоинство парольной
аутентификации – простота и
привычность. Пароли давно встроены в
операционные системы и иные сервисы.
При правильном использовании пароли
могут обеспечить приемлемый для
многих организаций уровень
безопасности. Тем не менее, по
совокупности характеристик их следует
признать самым слабым средством
проверки подлинности.
14

15. Парольная аутентификация

Следующие меры позволяют значительно повысить
надежность парольной защиты:
наложение технических ограничений (пароль должен
быть не слишком коротким, он должен содержать буквы,
цифры, знаки пунктуации и т.п.);
управление сроком действия паролей, их периодическая
смена;
ограничение доступа к файлу паролей;
ограничение числа неудачных попыток входа в систему
(это затруднит применение "метода грубой силы");
обучение пользователей;
использование программных генераторов паролей (такая
программа, основываясь на несложных правилах, может
порождать только благозвучные и, следовательно,
запоминающиеся пароли).
15

16. Одноразовые пароли

Рассмотренные выше пароли можно
назвать многоразовыми; их раскрытие
позволяет злоумышленнику действовать
от имени легального пользователя.
Гораздо более сильным средством,
устойчивым к пассивному
прослушиванию сети, являются
одноразовые пароли.
16

17. Сервер аутентификации Kerberos

Kerberos – это программный продукт,
разработанный в середине 1980-х годов в
Массачусетском технологическом
институте и претерпевший с тех пор ряд
принципиальных изменений. Клиентские
компоненты Kerberos присутствуют в
большинстве современных
операционных систем.
17

18. Идентификация/аутентификация с помощью биометрических данных

Биометрия представляет собой совокупность
автоматизированных методов идентификации
и/или аутентификации людей на основе их
физиологических и поведенческих
характеристик. К числу физиологических
характеристик принадлежат особенности
отпечатков пальцев, сетчатки и роговицы глаз,
геометрия руки и лица и т.п. К поведенческим
характеристикам относятся динамика подписи
(ручной), стиль работы с клавиатурой. На стыке
физиологии и поведения находятся анализ
особенностей голоса и распознавание речи.
18

19. Идентификация/аутентификация с помощью биометрических данных

В общем виде работа с биометрическими
данными организована следующим
образом. Сначала создается и
поддерживается база данных характеристик
потенциальных пользователей. Для этого
биометрические характеристики
пользователя снимаются, обрабатываются,
и результат обработки (называемый
биометрическим шаблоном) заносится в
базу данных (исходные данные, такие как
результат сканирования пальца или
роговицы, обычно не хранятся).
19

20. Идентификация/аутентификация с помощью биометрических данных

Но главная опасность состоит в том, что
любая "пробоина" для биометрии
оказывается фатальной. Пароли, при всей
их ненадежности, в крайнем случае можно
сменить. Утерянную аутентификационную
карту можно аннулировать и завести новую.
Палец же, глаз или голос сменить нельзя.
Если биометрические данные окажутся
скомпрометированы, придется как минимум
производить существенную модернизацию
всей системы.
20

21.

Модели управления доступом
21

22. Цели и область применения

Цель управления доступом это
ограничение операций которые может
проводить легитимный пользователь
(зарегистрировавшийся в системе).
Управление доступом указывает что
конкретно пользователь имеет право
делать в системе, а так же какие
операции разрешены для выполнения
приложениями, выступающими от
имени пользователя.
22

23. Цели и область применения

Таким образом управление доступом
предназначено для предотвращения
действий пользователя, которые могут
нанести вред системе, например
нарушить безопасность системы.
23

24. Используемые термины

Доступ
Доступ субъекта к объекту для определенных операций.
Объект
Контейнер информации в системе
Субъект
Сущность определяющая пользователя при работе в
системе
Пользователь
Человек выполняющий действия в системе или
приложение выступающее от его имени.
24

25. Общее описание

Управление доступом это определение
возможности субъекта оперировать
над объектом. В общем виде
описывается следующей диаграммой:
25

26. Общее описание

С традиционной точки зрения средства управления
доступом позволяют специфицировать и
контролировать действия, которые субъекты
(пользователи и процессы) могут выполнять над
объектами (информацией и другими
компьютерными ресурсами). В данном разделе
речь идет о логическом управлении доступом,
которое, в отличие от физического, реализуется
программными средствами. Логическое
управление доступом – это основной механизм
многопользовательских систем, призванный
обеспечить конфиденциальность и целостность
объектов и, до некоторой степени, их
доступность (путем запрещения обслуживания
неавторизованных пользователей).
26

27. Общее описание

Задача: обеспечить управление доступом к
производственной информации.
Доступ к компьютерным системам и
данным необходимо контролировать
исходя из производственных требований
(бизнеса).
Такой контроль должен учитывать правила
распространения информации и
разграничения доступа, принятые в
организации.
27

28. Общее описание

Производственные требования к управлению
доступом к системам необходимо определить
и документально оформить.
Правила управления доступом и права доступа
для каждого пользователя или группы
пользователей должны быть четко
сформулированы в положениях политики
управления доступом к информации.
Пользователи и поставщики услуг должны
знать четко сформулированные
производственные требования,
удовлетворяющие политике управления
доступом.
28

29. Общее описание

При определении правил управления доступом
необходимо рассмотреть следующее:
различия между правилами, которые всегда должны
быть выполнены, и правилами, которые являются
необязательными или условными;
формулировать правила лучше на предпосылке
"запрещено все, что явно не разрешено", чем на
предпосылке "разрешено все, что явно не запрещено";
изменения в информационных метках, которые
инициализированы автоматически средствами
обработки информации и инициализированы по
усмотрению пользователя;
изменения в правах доступа пользователю, которые
инициализированы автоматически информационной
системой и инициализированы администратором;
правила, которые требуют одобрения администратора
или кого-либо другого перед вступлением в силу, и те
правила, которые не требуют чьего-либо одобрения.
29

30. Модели управления доступом

Полномочное управление доступом
Ролевое управление доступом
30

31. Избирательное управление доступом

Избирательное управление доступом
(англ. discretionary access control, DAC) -

объектам на основе списков управления
доступом или матрицы доступа.
Также используются названия
«дискреционное управление доступом»,
«контролируемое управление доступом»
или «разграничительное управление
доступом».
31

32. Избирательное управление доступом

Каждый объект системы имеет привязанного к нему субъекта,
называемого владельцем. Именно владелец устанавливает права
доступа к объекту.
Система имеет одного выделенного субъекта - суперпользователя,
который имеет право устанавливать права владения для всех
остальных субъектов системы.
Субъект с определенным правом доступа может передать это право
любому другому субъектуп
Права доступа субъекта к объекту системы определяются на
основании некоторого внешнего (по отношению к системе) правила
(свойство избирательности).
Для описания свойств избирательного управления доступом
применяется модель системы на основе матрицы доступа (МД,
иногда ее называют матрицей контроля доступа). Такая модель
получила название матричной.
Матрица доступа представляет собой прямоугольную матрицу, в
которой объекту системы соответствует строка, а субъекту столбец. На пересечении столбца и строки матрицы указывается тип
(типы) разрешенного доступа субъекта к объекту. Обычно выделяют
такие типы доступа субъекта к объекту как "доступ на чтение",
"доступ на запись", "доступ на исполнение" и др.
32

33. Избирательное управление доступом

Множество объектов и типов доступа к ним субъекта может
изменяться в соответствии с некоторыми правилами,
существующими в данной системе.
Например, доступ субъекта к конкретному объекту может быть
разрешен только в определенные дни (дата-зависимое
условие), часы (время-зависимое условие), в зависимости от
других характеристик субъекта (контекстно-зависимое
условие) или в зависимости от характера предыдущей работы.
Такие условия на доступ к объектам обычно используются в
СУБД. Кроме того, субъект с определенными полномочиями
может передать их другому субъекту (если это не
противоречит правилам политики безопасности).
Решение на доступ субъекта к объекту принимается в
соответствии с типом доступа, указанным в соответствующей
ячейке матрицы доступа. Обычно, избирательное управление
доступом реализует принцип "что не разрешено, то
запрещено", предполагающий явное разрешение доступа
субъекта к объекту.
33

34. Избирательное управление доступом

Возможны и смешанные варианты
построения, когда одновременно в
системе присутствуют как владельцы,
устанавливающие права доступа к своим
объектам, так и суперпользователь,
имеющий возможность изменения прав
для любого объекта и/или изменения его
владельца. Именно такой смешанный
вариант реализован в большинстве
операционных систем, например Unix или
Windows NT.
34

35. Полномочное управление доступом

Мандатное управление доступом (англ. Mandatory
access control, MAC) - разграничение доступа
субъектов к объектам, основанное на назначении
метки конфиденциальности для информации,
содержащейся в объектах, и выдаче официальных
разрешений (допуска) субъектам на обращение к
информации такого уровня конфиденциальности.
Также иногда переводится как Принудительный
контроль доступа. Это способ, сочетающий
защиту и ограничение прав, применяемый по
отношению к компьютерным процессам, данным
и системным устройствам и предназначенный для
предотвращения их нежелательного
использования.
35

36. Полномочное управление доступом

все субъекты и объекты системы должны
быть однозначно идентифицированы;
каждому объекту системы присвоена
метка критичности, определяющая
ценность содержащейся в нем
информации;
каждому субъекту системы присвоен
уровень прозрачности (security clearance),
определяющий максимальное значение
метки критичности объектов, к которым
субъект имеет доступ.
36

37. Полномочное управление доступом

В том случае, когда совокупность меток имеет одинаковые
значения, говорят, что они принадлежат к одному
уровню безопасности. Организация меток имеет
иерархическую структуру и, таким образом, в системе
можно реализовать иерархически не нисходящий (по
ценности) поток информации (например, от рядовых
исполнителей к руководству). Чем важнее объект или
субъект, тем выше его метка критичности. Поэтому
наиболее защищенными оказываются объекты с
наиболее высокими значениями метки критичности.
Каждый субъект кроме уровня прозрачности имеет
текущее значение уровня безопасности, которое может
изменяться от некоторого минимального значения до
значения его уровня прозрачности. Для принятия
решения на разрешение доступа производится
сравнение метки критичности объекта с уровнем
прозрачности и текущим уровнем безопасности
субъекта.
37

38. Полномочное управление доступом

Результат сравнения определяется двумя
правилами: простым условием защиты (simple
security condition) и свойством (property). В
упрощенном виде, они определяют, что
информация может передаваться только
"наверх", то есть субъект может читать
содержимое объекта, если его текущий уровень
безопасности не ниже метки критичности
объекта, и записывать в него, если не выше.
Простое условие защиты гласит, что любую
операцию над объектом субъект может
выполнять только в том случае, если его уровень
прозрачности не ниже метки критичности
объекта.
38

39. Полномочное управление доступом

Основное назначение полномочной политики
безопасности - регулирование доступа субъектов
системы к объектам с различным уровнем критичности и
предотвращение утечки информации с верхних уровней
должностной иерархии на нижние, а также
блокирование возможных проникновений с нижних
уровней на верхние. При этом она функционирует на
фоне избирательной политики, придавая ее
требованиям иерархически упорядоченный характер (в
соответствии с уровнями безопасности).
Мандатная система разграничения доступа реализована в
ОС FreeBSD Unix.
В SUSE Linux и Ubuntu есть архитектура мандатного
контроля доступа под названием AppArmor.
39

40. Ролевое управление доступом

Управление доступом на основе ролей
(англ. Role Based Access Control,
RBAC) - развитие политики
избирательного управления доступом,
при этом права доступа субъектов
системы на объекты группируются с
учётом специфики их применения,
образуя роли.
40

41. Ролевое управление доступом

Ролевая модель управления доступом содержит ряд
особенностей, которые не позволяют отнести её
ни к категории дискреционных, ни к категории
мандатных моделей.
Основная идея реализуемого в данной модели
подхода состоит в том, что понятие «субъект»
заменяется двумя новыми понятиями:
пользователь – человек, работающий в системе;
роль – активно действующая в системе
абстрактная сущность, с которой связан
ограниченный и логически непротиворечивый
набор полномочий, необходимых для
осуществления тех или иных действий в системе.
41

42. Ролевое управление доступом

Классическим примером роли является root в Unixподобных системах – суперпользователь,
обладающий неограниченными полномочиями.
Данная роль по мере необходимости может
быть задействована различными
администраторами.
Основным достоинством ролевой модели
является близость к реальной жизни: роли,
действующие в АС, могут быть выстроены в
полном соответствии с корпоративной иерархией
и при этом привязаны не к конкретным
пользователям, а к должностям – что, в частности,
упрощает администрирование в условиях
большой текучки кадров.
42

43. Ролевое управление доступом

Управление доступом при использовании
ролевой модели осуществляется следующим
образом:
1. Для каждой роли указывается набор
полномочий, представляющий собой набор
прав доступа к объектам АС.
2. Каждому пользователю назначается список
доступных ему ролей.
Отметим, что пользователь может быть
ассоциирован с несколькими ролями –
данная возможность также значительно
упрощает администрирование сложных
корпоративных АС.
43

44. Ролевое управление доступом

RBAC широко используется для
управления пользовательскими
привилегиями в пределах единой
системы или приложения. Список
таких систем включает в себя Microsoft
Active Directory, SELinux, FreeBSD,
Solaris, СУБД Oracle и множество
других.
44

45. Модель Белла - Лападулы

Модель Белла - Лападулы - модель
контроля и управления доступом,
основанная на мандатной модели
управления доступом. В модели
анализируются условия, при которых
невозможно создание
информационных потоков от
субъектов с более высоким уровнем
доступа к субъектам с более низким
уровнем доступа.
45

46. Модель Белла - Лападулы

Классическая модель Белла - Лападулы была описана в
1975 году сотрудниками компании MITRE Corporation
Дэвидом Беллом и Леонардом Лападулой, к созданию
модели их подтолкнула система безопасности для
работы с секретными документами Правительства США.
Суть системы заключалась в следующем: каждому
субъекту (лицу, работающему с документами) и объекту
(документам) присваивается метка
конфиденциальности, начиная от самой высокой
(«особой важности»), заканчивая самой низкой
(«несекретный» или «общедоступный»). Причем субъект,
которому разрешён доступ только к объектам с более
низкой меткой конфиденциальности, не может получить
доступ к объекту с более высокой меткой
конфиденциальности. Также субъекту запрещается
запись информации в объекты с более низким уровнем
безопасности.
46

47. Модель Харрисона-Руззо-Ульмана

Модель Харрисона-Руззо-Ульмана
является классической дискреционной
моделью, реализует произвольное
управление доступом субъектов к
объектам и контроль за распределение
прав доступа в рамках этой модели.
47

48. Модель Харрисона-Рузза-Ульмана

Модель Харрисона-РуззаУльмана
Система обработки предоставляется в виде
совокупности активных сущностей субъектов,
формирующих множество субъектов,
которые осуществляют доступ к
пользователям пассивных сущностей
объектов, формирующих множество
объектов, содержащих защищаемую
информацию, и конечного множества прав
доступа, характеризующего полномочия на
выполнение соответствующих действий до
того, что бы включить в область действия
модели отношения между субъектами.
Принято считать, что все субъекты
одновременно являются и объектами.
48

49. Модель пятимерного пространства безопасности Хордстона

Теперь рассмотрим модель, называемую
пятимерным пространством
безопасности Хартстона. В данной
модели используется пятимерное
пространство безопасности для
моделирования процессов, установления
полномочий и организации доступа на их
основании. Модель имеет пять основных
наборов:
А – установленных полномочий; U –
пользователей; Е – операций; R –
ресурсов; S – состояний.
49

50. Модель пятимерного пространства безопасности Хордстона

Область безопасности будет выглядеть как
декартово произведение: А×U×E×R×S. Доступ
рассматривается как ряд запросов,
осуществляемых пользователями u для
выполнения операций e над ресурсами R в то
время, когда система находится в состоянии s.
Например, запрос на доступ представляется
четырехмерным кортежем q = (u, e, R, s), u U,e
E,s S,r R. Величины u и s задаются системой в
фиксированном виде.
Таким образом, запрос на доступ – подпространство
четырехмерной проекции пространства
безопасности. Запросы получают право на доступ
в том случае, когда они полностью заключены в
соответствующие подпространства.
50

51. Монитор безопасности обращений

Концепция монитора безопасности обращений
является достаточно естественной формализацией
некого механизма, реализующего разграничение
доступа в системе.
Монитор безопасности обращений (МБО)
представляет собой фильтр, который разрешает
или запрещает доступ, основываясь на
установленных в системе правилах разграничения
доступа
51

52. Монитор безопасности обращений

Получив запрос на доступ от субъекта S к объекту O, монитор
безопасности обращений анализирует базу правил,
соответствующую установленной в системе политике
безопасности, и либо разрешает, либо запрещает доступ.
Монитор безопасности обращений удовлетворяет следующим
свойствам:
1. Ни один запрос на доступ субъекта к объекту не должен
выполняться в обход МБО.
2. Работа МБО должна быть защищена от постороннего
вмешательства.
3. Представление МБО должно быть достаточно простым для
возможности верификации корректности его работы.
Несмотря на то, что концепция монитора безопасности
обращений является абстракцией, перечисленные свойства
справедливы и для программных или аппаратных модулей,
реализующих функции монитора обращений в реальных
системах.
52

53. Модели целостности

Одной из целей политики
безопасности- защита от нарушения
целостности информации.
Наиболее известны в этом классе
моделей модель целостности Биба и
модель Кларка-Вильсона.
53

54. Модель Кларка-Вилсона

Модель Кларка-Вилсона появилась в
результате проведенного авторами анализа
реально применяемых методов обеспечения
целостности документооборота в
коммерческих компаниях. В отличие от
моделей Биба и Белла-ЛаПадулы, она
изначально ориентирована на нужды
коммерческих заказчиков, и, по мнению
авторов, более адекватна их требованиям,
чем предложенная ранее коммерческая
интерпретация модели целостности на основе
решеток.
54

55. Модель Кларка-Вилсона

Основные понятия рассматриваемой модели - это
корректность транзакций и разграничение
функциональных обязанностей. Модель задает
правила функционирования компьютерной
системы и определяет две категории объектов
данных и два класса операций над ними. Все
содержащиеся в системе данные подразделяются
на контролируемые и неконтролируемые
элементы данных (constrained data items - CDI и
unconstrained data items - UDI соответственно).
Целостность первых обеспечивается моделью
Кларка-Вилсона. Последние содержат
информацию, целостность которой в рамках
данной модели не контролируется (этим и
объясняется выбор терминологии).
55

56. Модель Кларка-Вилсона

Далее, модель вводит два класса операций
над элементами данных: процедуры
контроля целостности (integrity
verification procedures - IVP) и процедуры
преобразования (transformation
procedures - ТР). Первые из них
обеспечивают проверку целостности
контролируемых элементов данных (CDI),
вторые изменяют состав множества всех
CDI (например, преобразуя элементы UDI
в CDI).
56

57. Модель Кларка-Вилсона

Так же модель содержит девять правил,
определяющих взаимоотношения
элементов данных и процедур в
процессе функционирования системы.
57

58.

58

59. Модель Биба

В основе модели Биба лежат уровни
целостности, аналогичные уровням
модели Белла-Лападула. В отличие от
модели Белла-Лападула чтение
разрешено теперь только вверх (от
субъекта к объекту, уровень ценности
которого превосходит уровня субъекта),
а запись - только вниз. Правила данной
модели являются полной
противоположностью правилам модели
Белла-Лападула.
59

60. Модель Биба

В модели Биба рассматриваются
следующие доступы субъектов к
объектам и другим субъектам: доступ
субъекта на модификацию объекта,
доступ субъекта на чтение объекта,
доступ субъекта на выполнение и
доступ субъекта к субъекту.
60

61. Модель Биба

Отдельного комментария заслуживает вопрос,
что именно понимается в модели Биба под
уровнями целостности.
Действительно, в большинстве приложений
целостность данных рассматривается как некое
свойство, которое либо сохраняется, либо не
сохраняется – и введение иерархических
уровней целостности может представляться
излишним.
В действительности уровни целостности в модели
Биба стоит рассматривать как уровни
достоверности, а соответствующие
информационные потоки – как передачу
информации из более достоверной совокупности
данных в менее достоверную и наоборот.

Для обеспечения защиты от сетевых атак наиболее широко используемым и эффективным является установка :

1. Комплексных систем защиты класса ЗАСТАВА , обеспечивающих защиту корпоративных информационных систем на сетевом уровне с помощью технологий виртуальных частных сетей (Virtual Private Networks - VPN) и распределенного межсетевого экранирования (МЭ, FW).

2. Широкополосный аппаратный IP-шифратор класса "Заслон" - это отечественный магистральный широкополосный аппаратный IP-шифратор, предназначенный для криптографической защиты информации в современных телекоммуникационных системах.

3. Средств комплексной защиты информации - СЗИ ОТ НСД Secret Net 7 .

Рассмотрим данные продукты более подробно.

Продукты ЗАСТАВА работают на различных аппаратных платформах, под управлением многих популярных операционных систем. Они используются как в крупных, территориально распределенных системах, где одновременно работают тысячи агентов ЗАСТАВА, так и в системах малого и среднего бизнеса, где необходима защита всего для нескольких компьютеров. Программный комплекс "VPN/FW "ЗАСТАВА", версия 5.3, обеспечивает защиту корпоративных информационно-вычислительных ресурсов на сетевом уровне с помощью технологий виртуальных частных сетей (Virtual Private Networks - VPN) и распределенного межсетевого экранирования (МЭ).

ЗАСТАВА 5.3 обеспечивает:

· защиту отдельных компьютеров, в том числе мобильных, от атак из сетей общего пользования и Интернет;

· защиту корпоративной информационной системы или ее частей от внешних атак;

Сертифицированная ФСБ РФ версия продукта предоставляет заказчикам готовое решение, позволяющее органично интегрировать продукт в любые информационные системы без необходимости получения дополнительных заключений о правильности встраивания и обеспечивающее полную легитимность его использования для защиты конфиденциальной информации, включая персональные данные. Срок действия сертификатов с 30 марта 2011 г. по 30 марта 2014 г.

Шифратор Заслон - это полностью аппаратное решение. Все криптографические функции и сетевое взаимодействие реализованы в нём схемотехническими, а не программными методами. Выбор аппаратной реализации, в отличие от распространенных устройств (криптомаршрутизаторов), базирующихся на ПЭВМ общего назначения, обусловлен необходимостью преодоления ограничений архитектуры таких ЭВМ. Это, в первую очередь, ограничения общей шины, к которой подключаются сетевые интерфейсные карты. Несмотря на высокую скорость работы современных шин PCI и PCI-X, особенности работы сетевых шифраторов (коррелированные во времени прием и передача пакета со сдвигом на время зашифрования/расшифрования) не позволяют использовать всю их пропускную способность.

В общем, если требуется объединить локальные вычислительные сети незащищенными каналами связи, не опасаясь нарушения конфиденциальности данных при передаче и не тратя значительных усилий на обеспечение совместимости приложений при работе по шифрованным каналам. Заслон выполнен в виде "прозрачного" с точки зрения сети устройства. По этой причине в большинстве случаев достаточно только сконфигурировать шифратор и включить его "в разрыв" соединения защищаемой локальной сети с внешним каналом связи.

СЗИ ОТ НСД Secret Net 7 предназначена для предотвращения несанкционированного доступа к рабочим станциям и серверам, работающим в гетерогенных локальных вычислительных сетях . Система дополняет своими защитными механизмами стандартные защитные средства операционных систем и тем самым повышает защищенность всей автоматизированной информационной системы предприятия в целом, обеспечивая решение следующих задач:

v управление правами доступа и контроль доступа субъектов к защищаемым информационным, программным и аппаратным ресурсам;

v управление доступом к конфиденциальной информации, основанное на категориях конфиденциальности;

v шифрование файлов, хранящихся на дисках;

v контроль целостности данных;

v контроль аппаратной конфигурации;

v дискреционное управление доступом к устройствам компьютера;

v регистрация и учет событий, связанных с информационной безопасностью;

v мониторинг состояния автоматизированной информационной системы;

v ролевое разделение полномочий пользователей;

v аудит действий пользователей (в том числе администраторов и аудиторов);

v временная блокировка работы компьютеров;

v затирание остаточной информации на локальных дисках компьютера.

Система Secret Net 7 состоит из трех функциональных частей:

· защитные механизмы, которые устанавливаются на все защищаемые компьютеры автоматизированной системы (АС) и представляют собой набор дополнительных защитных средств, расширяющих средства безопасности ОС Windows.

· средства управления защитными механизмами, которые обеспечивают централизованное и локальное управление системой.

· средства оперативного управления, которые выполняют оперативный контроль (мониторинг, управление) рабочими станциями, а также централизованный сбор, хранение и архивирование системных журналов.

Secret Net 7 состоит из трёх компонентов:

1. СЗИ Secret Net 7 - Клиент. Устанавливается на все защищаемые компьютеры. В состав этого ПО входят следующие компоненты:

· Защитные механизмы - совокупность настраиваемых программных и аппаратных средств, обеспечивающих защиту информационных ресурсов компьютера от несанкционированного доступа, злонамеренного или непреднамеренного воздействия.

· Модуль применения групповых политик.

· Агент сервера безопасности.

· Средства локального управления - это штатные возможности операционной системы, дополненные средствами Secret Net 7 для управления работой компьютера и его пользователей, а также для настройки защитных механизмов.

2. СЗИ Secret 7 - Сервер безопасности. Включает в себя:

· Собственно сервер безопасности.

· Средства работы с базой данных (БД).

3. СЗИ Secret Net 7 - Средства управления. Включает в себя:

· Программу "Монитор". Эта программа устанавливается на рабочем месте администратора оперативного управления - сотрудника, уполномоченного контролировать и оперативно корректировать состояние защищаемых компьютеров в режиме реального времени.

В фирме требуется внедрение аналогичных технологий.

Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности. Напомним, что ущерб наносят в основном действия ле­гальных пользователей, по отношению к которым процедурные регулято­ры малоэффективны. Главные враги - некомпетентность и неаккурат­ность при выполнении служебных обязанностей, и только программно-технические меры способны им противостоять.

Компьютеры помогли автоматизировать многие области человечес­кой деятельности. Вполне естественным представляется желание возло­жить на них и обеспечение собственной безопасности. Даже физическую защиту все чаще поручают не охранникам, а интегрированным компью­терным системам, что позволяет одновременно отслеживать перемещения сотрудников и по организации, и по информационному пространству.

Следует, однако, учитывать, что быстрое развитие информационных технологий не только предоставляет обороняющимся новые возможнос­ти, но и объективно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня. При­чин тому несколько:

повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой си­лы преодолевать барьеры (прежде всего, криптографические), ранее казавшиеся неприступными;

развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной спо­собности каналов расширяют круг злоумышленников, имею­щих техническую возможность организовывать атаки;

появление новых информационных сервисов ведет и к образо­ванию новых уязвимых мест как «внутри» сервисов, так и на их стыках;

конкуренция среди производителей программного обеспече­ния заставляет сокращать сроки разработки, что приводит к снижению качества тестирования и выпуску продуктов с де­фектами защиты;

навязываемая потребителям парадигма постоянного наращива­ния мощности аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробирован­ных конфигураций и, кроме того, вступает в конфликт с бюд­жетными ограничениями, из-за чего снижается доля ассигно­ваний на безопасность.

Перечисленные соображения лишний раз подчеркивают важность комплексного подхода к информационной безопасности, а также необхо­димость гибкой позиции при выборе и сопровождении программно-тех­нических регуляторов.

Центральным для программно-технического уровня является поня­тие сервиса безопасности.

Следуя объектно-ориентированному подходу, при рассмотрении ин­формационной системы с единичным уровнем детализации мы увидим совокупность предоставляемых ею информационных сервисов. Назовем их основными. Чтобы они могли функционировать и обладали требуемы­ми свойствами, необходимо несколько уровней дополнительных (вспо­могательных) сервисов - от СУБД и мониторов транзакций до ядра опе­рационной системы и оборудования.

К вспомогательным относятся сервисы безопасности (мы уже сталки­вались с ними при рассмотрении стандартов и спецификаций в области ИБ); среди них нас в первую очередь будут интересовать универсальные, высокоуровневые, допускающие использование различными основными и вспомогательными сервисами. Далее мы рассмотрим следующие сервисы:

идентификация и аутентификация;

управление доступом;

протоколирование и аудит;

шифрование;

контроль целостности;

экранирование;

анализ защищенности;

обеспечение отказоустойчивости;

обеспечение безопасного восстановления;

туннелирование;

С учетом изложенного выделим три уровня формирования режима информационной безопасности:

· законодательно-правовой;

· административный (организационный);

· программно-технический.

Законодательно-правовой уровень включает комплекс законодательных и иных правовых актов, устанавливающих правовой статус субъектов информационных отношений, субъектов и объектов защиты, методы, формы и способы защиты, их правовой статус. Кроме того, к этому уровню относятся стандарты и спецификации в области информационной безопасности. Система законодательных актов и разработанных на их базе нормативных и организационно-распорядительных документов должна обеспечивать организацию эффективного надзора за их исполнением со стороны правоохранительных органов и реализацию мер судебной защиты и ответственности субъектов информационных отношений. К этому уровню можно отнести и морально-этические нормы поведения, которые сложились традиционно или складываются по мере распространения вычислительных средств в обществе. Морально-этические нормы могут быть регламентированными в законодательном порядке, т. е. в виде свода правил и предписаний. Наиболее характерным примером таких норм является Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США. Тем не менее, эти нормы большей частью не являются обязательными, как законодательные меры.

Административный уровень включает комплекс взаимокоординируемых мероприятий и технических мер, реализующих практические механизмы защиты в процессе создания и эксплуатации систем защиты информации. Организационный уровень должен охватывать все структурные элементы систем обработки данных на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.

Программно-технический уровень включает три подуровня: физический, технический (аппаратный) и программный. Физический подуровень решает задачи с ограничением физического доступа к информации и информационным системам, соответственно к нему относятся технические средства, реализуемые в виде автономных устройств и систем, не связанных с обработкой, хранением и передачей информации: система охранной сигнализации, система наблюдения, средства физического воспрепятствования доступу (замки, ограждения, решетки и т. д.).

Средства защиты аппаратного и программного подуровней непосредственно связаны с системой обработки информации. Эти средства либо встроены в аппаратные средства обработки, либо сопряжены с ними по стандартному интерфейсу. К аппаратным средствам относятся схемы контроля информации по четности, схемы доступа по ключу и т. д. К программным средствам защиты, образующим программный подуровень, относятся специальное программное обеспечение, используемое для защиты информации, например антивирусный пакет и т. д. Программы защиты могут быть как отдельные, так и встроенные. Так, шифрование данных можно выполнить встроенной в операционную систему файловой шифрующей системой EFS (Windows 2000, XP) или специальной программой шифрования.

Подчеркнем, что формирование режима информационной безопасности является сложной системной задачей, решение которой в разных странах отличается по содержанию и зависит от таких факторов, как научный потенциал страны, степень внедрения средств информатизации в жизнь общества и экономику, развитие производственной базы, общей культуры общества и, наконец, традиций и норм поведения.

Основные задачи информационной безопасности:

1. защита государственной тайны, т. е. секретной и другой конфиденциальной информации, являющейся собственностью государства, от всех видов несанкционированного доступа, манипулирования и уничтожения;
2. защита прав граждан на владение, распоряжение и управление принадлежащей им информации;
3. защита конституционных прав граждан на тайну переписки, переговоров, личную тайну;
4. защита технических и программных средств информатизации от ошибочных действий персонала и техногенных воздействий, а также стихийных бедствий;
5. защита технических и программных средств информатизации от преднамеренных воздействий.

2. Принципы построения систем защиты информации

Системный подход к защите информации предполагает необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенных для обеспечения безопасности ИС.
Возможность наращивания защиты. Система зашиты должна строиться с учетом не только всех известных каналов проникновения и НСД к информации, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности.
Комплексный подход предполагает согласованное применение разнородных средств защиты информации.

Адекватность - обеспечение необходимого уровня защиты при минимальных издержках на создание механизма защиты и обеспечение его функционирования. Важно правильно выбрать тот достаточный уровень защиты, при котором затраты, риск и масштаб возможного ущерба были бы приемлемыми (задача анализа риска).
Минимизация привилегий в доступе, предоставляемых пользователям, т.е. каждому пользователю должны предоставляться только действительно необходимые ему права по обращению к ресурсам системы и данным.

Полнота контроля - обязательный контроль всех обращений к защищаемым данным.
Наказуемость нарушений. Наиболее распространенная мера наказания - отказ в доступе к системе.

Экономичность механизма - обеспечение минимальности расходов на создание и эксплуатацию механизма.

Принцип системности сводится к тому, что для обеспечения надежной защиты информации в современных ИС должна быть обеспечена надежная и согласованная защита во всех структурных элементах, на всех технологических участках автоматизированной обработки информации и во все время функционирования ИС.

Специализация, как принцип организации защиты, предполагает, что надежный механизм защиты может быть спроектирован и организован лишь профессиональными специалистами по защите информации. Кроме того, для обеспечения эффективного функционирования механизма защиты в состав ИС должны быть включены соответствующие специалисты.

Принцип неформальности означает, что методология проектирования механизма защиты и обеспечения его функционирования - неформальна. В настоящее время не существует инженерной (в традиционном понимании этого термина) методики проектирования механизма защиты. Методики проектирования, разработанные к настоящему времени, со держат комплексы требований, правил, последовательность и содержание этапов, которые сформулированы на неформальном уровне, т.е. механическое их осуществление в общем случае невозможно.

Гибкость системы защиты . Принятые меры и установленные средства защиты, особенно в начальный период их эксплуатации, могут обеспечивать как чрез мерный, так и недостаточный уровень защиты. Для обеспечения возможности варьирования уровнем защищенности, средства защиты должны обладать определенной гибкостью. Особенно важно это свойство в тех случаях, когда установку средств защиты необходимо осуществлять на работающую систему, не нарушая процесса ее нормального функционирования.

Принцип непрерывности защиты предполагает, что защита информации - это не разовое мероприятие и даже не определенная совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла ИС. Разработка системы защиты должна осуществляться параллельно с разработкой защищаемой системы. Это позволит учесть требования безопасности при проектировании архитектуры и, в конечном счете, создать более эффективные защищенные информационные системы.

3) Требование безопасности повторного использования объектов противоречит:
инкапсуляции +
наследованию
полиморфизму

4) Предположим, что при разграничении доступа учитывается семантика программ. В таком случае на игровую программу могут быть наложены следующие ограничения:
запрет на чтение каких-либо файлов, кроме конфигурационных
запрет на изменение каких-либо файлов, кроме конфигурационных +
запрет на установление сетевых соединений

5)Необходимость объектно-ориентированного подхода к информационной безопасности является следствием того, что:
это простой способ придать информационной безопасности научный вид
объектно-ориентированный подход - универсальное средство борьбы со сложностью современных информационных систем +
в информационной безопасности с самого начала фигурируют понятия объекта и субъекта

6)В число граней, позволяющих структурировать средства достижения информационной безопасности, входят:
меры обеспечения целостности
административные меры +
меры административного воздействия

2Контейнеры в компонентных объектных средах предоставляют:
общий контекст взаимодействия с другими компонентами и с окружением +
средства для сохранения компонентов
механизмы транспортировки компонентов

Дублирование сообщений является угрозой:
доступности
конфиденциальности
целостности +

Melissa подвергает атаке на доступность:
системы электронной коммерции
геоинформационные системы
системы электронной почты +

Выберите вредоносную программу, которая открыла новый этап в развитии данной области:
Melissa +
Bubble Boy
ILOVEYOU

Самыми опасными источниками внутренних угроз являются:
некомпетентные руководители +
обиженные сотрудники
любопытные администраторы

5. Среди нижеперечисленных выделите главную причину существования многочисленных угроз информационной безопасности:
просчеты при администрировании информационных систем
необходимость постоянной модификации информационных систем
сложность современных информационных систем +

Агрессивное потребление ресурсов является угрозой: доступности конфиденциальности целостности

Melissa - это:
бомба
вирус +
червь

Для внедрения бомб чаще всего используются ошибки типа:
отсутствие проверок кодов возврата
переполнение буфера +
нарушение целостности транзакций

Окно опасности появляется, когда:
становится известно о средствах использования уязвимости
появляется возможность использовать уязвимость +
устанавливается новое П

Среди нижеперечисленного выделите троянские программы:
ILOVEYOU
Back Orifice +
Netbus +

1. Уголовный кодекс РФ не предусматривает наказания за:
создание, использование и распространение вредоносных программ
ведение личной корреспонденции на производственной технической базе +
нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети

В законопроекте "О совершенствовании информационной безопасности" (США, 2001 год) особое внимание обращено на: смягчение ограничений на экспорт криптосредств
разработку средств электронной аутентификации +
создание инфраструктуры с открытыми ключами

4. Под определение средств защиты информации, данное в Законе "О государственной тайне", подпадают:
средства выявления злоумышленной активности
средства обеспечения отказоустойчивости
средства контроля эффективности защиты информации +

1. Уровень безопасности B, согласно "Оранжевой книге", характеризуется:
принудительным управлением доступом +
верифицируемой безопасностью

3. В число классов требований доверия безопасности "Общих критериев" входят:
разработка +
оценка профиля защиты +
сертификация

4. Согласно "Оранжевой книге", политика безопасности включает в себя следующие элементы:
периметр безопасности
метки безопасности +
сертификаты безопасности

1. Уровень безопасности A, согласно "Оранжевой книге", характеризуется:
произвольным управлением доступом
принудительным управлением доступом
верифицируемой безопасностью +


решение сформировать или пересмотреть комплексную программу безопасности +

обеспечение конфиденциальности почтовых сообщений

4. В число целей программы безопасности верхнего уровня входят:
управление рисками +
определение ответственных за информационные сервисы
определение мер наказания за нарушения политики безопасности

5. В рамках программы безопасности нижнего уровня осуществляются:
стратегическое планирование
повседневное администрирование +
отслеживание слабых мест защиты +

"1. Политика безопасности строится на основе:
общих представлений об ИС организации
изучения политик родственных организаций
анализа рисков +

2. В число целей политики безопасности верхнего уровня входят:
формулировка административных решений по важнейшим аспектам реализации программы безопасности +
выбор методов аутентификации пользователей
обеспечение базы для соблюдения законов и правил +

1. Риск является функцией:

1. Риск является функцией: размера возможного ущерба числа уязвимостей в системе уставного капитала организации

3. В число этапов управления рисками входят: идентификация активов+ ликвидация пассивов выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это: идентификация угроз+ аутентификация угроз ликвидация угроз

Определение ответственных за анализ рисков измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности: определение ответственных за анализ рисков- измерение рисков выбор эффективных защитных средств

6. Оценка рисков позволяет ответить на следующие вопросы: чем рискует организация, используя информационную систему? чем рискуют пользователи информационной системы? чем рискуют системные администраторы?-

1. В число классов мер процедурного уровня входят: поддержание работоспособности+ поддержание физической формы физическая защита+

2. В число принципов управления персоналом входят: минимизация привилегий+ минимизация зарплаты максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят: выявление критически важных функций организации+ определение перечня возможных аварий+ проведение тестовых аварий

5. В число направлений повседневной деятельности на процедурном уровне входят: ситуационное управление конфигурационное управление оптимальное управление-

1. Протоколирование и аудит могут использоваться для: предупреждения нарушений ИБ+ обнаружения нарушений+ восстановления режима ИБ

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС: низкая пропускная способность большинства коммуникационных каналов сложность администрирования пользовательских компьютеров отсутствие достаточного набора криптографических аппаратно-программных продуктов

Применение наиболее передовых технических решений применение простых, апробированных решений+ сочетание простых и сложных защитных средств

Выработка и проведение в жизнь единой политики безопасности+ унификация аппаратно-программных платформ минимизация числа используемых приложений

1. Экранирование может использоваться для: предупреждения нарушений ИБ обнаружения нарушений локализации последствий нарушений

3. В число основных принципов архитектурной безопасности входят: следование признанным стандартам применение нестандартных решений, не известных злоумышленникам- разнообразие защитных средств

3. В число основных принципов архитектурной безопасности входят: усиление самого слабого звена+ укрепление наиболее вероятного объекта атаки эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: использование собственных линий связи обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ полный анализ сетевого трафика

Управление доступом+ управление информационными системами и их компонентами управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации разделение статических и динамических данных формирование составных сервисов по содержательному принципу +

1. Контроль целостности может использоваться для: предупреждения нарушений ИБ обнаружения нарушений+ локализации последствий нарушений

4. В число универсальных сервисов безопасности входят: средства построения виртуальных локальных сетей экранирование + протоколирование и аудит+

Кардиограмма субъекта+ номер карточки пенсионного страхования результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от: перехвата воспроизведения+ атак на доступность+

Роль+ исполнитель роли пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе: шифрование не применяется- применяется симметричное шифрование применяется асимметричное+ шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда учитывается иногда не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться: год рождения субъекта фамилия субъекта секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода: инкапсуляция наследование+ полиморфизм

4. Сервер аутентификации Kerberos: не защищает от атак на доступность+ частично защищает от атак на доступность- полностью защищает от атак на доступность

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде правила разграничения доступа задаются в виде: матрицы субъекты/объекты - предикатов над объектами списков доступа к методам объектов

3. В число основных понятий ролевого управления доступом входит: объект+ субъект метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов методам объектов (с учетом значений фактических параметров вызова) классам объектов

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов+ методам объектов (с учетом значений фактических параметров вызова)+ классам объектов

Протоколирование и аудит, шифрование, контроль целостности:

Сигнатурный метод выявления атак хорош тем, что он: поднимает мало ложных тревог+ способен обнаруживать неизвестные атаки прост в настройке и эксплуатации+

3. Цифровой сертификат содержит: открытый ключ пользователя+ секретный ключ пользователя имя пользователя+

4. Реализация протоколирования и аудита преследует следующие главные цели: обнаружение попыток нарушений информационной безопасности+ недопущение попыток нарушений информационной безопасности недопущение атак на доступность

2. Пороговый метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки- прост в настройке и эксплуатации+

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем

2. Статистический метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки+ прост в настройке и эксплуатации-

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем+

5. Криптография необходима для реализации следующих сервисов безопасности: контроль защищенности контроль целостности+ контроль доступа

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение возможности воспроизведения последовательности событий обеспечение возможности реконструкции последовательности событий+ недопущение попыток воспроизведения последовательности событий

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация, как правило, имеет низкоуровневый характер, а неотказуемость относится к действиям прикладного уровня регистрационная информация имеет специфический формат, непонятный человеку регистрационная информация имеет слишком большой объем+

5. Криптография необходима для реализации следующих сервисов безопасности: идентификация экранирование аутентификация+

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация может быть рассредоточена по разным сервисам и разным компонентам распределенной ИС+ целостность регистрационной информации может быть нарушена должна соблюдаться конфиденциальность регистрационной информации, а проверка неотказуемости нарушит конфиденциальность

Идентификация и аутентификация, управление доступом

1. В качестве аутентификатора в сетевой среде могут использоваться:
кардиограмма субъекта+
номер карточки пенсионного страхования
результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от:
перехвата
воспроизведения+
атак на доступность+

3. В число основных понятий ролевого управления доступом входит:
роль+
исполнитель роли
пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе:
шифрование не применяется-
применяется симметричное шифрование
применяется асимметричное шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда
учитывается иногда
не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться:
год рождения субъекта
фамилия субъекта
секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода:
инкапсуляция
наследование+
полиморфизм

4. Сервер аутентификации Kerberos:
не защищает от атак на доступность+
частично защищает от атак на доступность
полностью защищает от атак на доступность

3. В число основных понятий ролевого управления доступом входит:
объект+
субъект
метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к:
интерфейсам объектов +
методам объектов (с учетом значений фактических параметров вызова) +
классам объектов

Основные программно-технические меры:

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС:
низкая пропускная способность большинства коммуникационных каналов +
сложность администрирования пользовательских компьютеров
отсутствие достаточного набора криптографических аппаратно-программных продуктов+

3. В число основных принципов архитектурной безопасности входят:
применение наиболее передовых технических решений
применение простых, апробированных решений+
сочетание простых и сложных защитных средств

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
выработка и проведение в жизнь единой политики безопасности+
унификация аппаратно-программных платформ
минимизация числа используемых приложений

3. В число основных принципов архитектурной безопасности входят:
следование признанным стандартам +
применение нестандартных решений, не известных злоумышленникам-
разнообразие защитных средств+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации- разделение статических и динамических данных формирование составных сервисов по содержательному принципу+

3. В число основных принципов архитектурной безопасности входят:
усиление самого слабого звена+
укрепление наиболее вероятного объекта атаки
эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
использование собственных линий связи
обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ п
олный анализ сетевого трафика

4. В число универсальных сервисов безопасности входят:
управление доступом+
управление информационными системами и их компонентами
управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
шифрование всей информации
разделение статических и динамических данных
формирование составных сервисов по содержательному принципу +

4. В число универсальных сервисов безопасности входят:
средства построения виртуальных локальных сетей
экранирование + протоколирование и аудит+

Процедурный уровень информационной безопасности

1. В число классов мер процедурного уровня входят:
поддержание работоспособности+
поддержание физической формы
физическая защита+

2. В число принципов управления персоналом входят:
минимизация привилегий+ минимизация зарплаты
максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят:
выявление критически важных функций организации+
определение перечня возможных аварий+ проведение тестовых аварий

4. В число направлений физической защиты входят:
физическая защита пользователей-
защита поддерживающей инфраструктуры+
защита от перехвата данных+

5. В число направлений повседневной деятельности на процедурном уровне входят:
ситуационное управление
конфигурационное управление
оптимальное управление-

Управление рисками

1. Риск является функцией:
размера возможного ущерба +
числа уязвимостей в системе
уставного капитала организации

3. В число этапов управления рисками входят:
идентификация активов+
ликвидация пассивов
выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это:
идентификация угроз+
аутентификация угроз
ликвидация угроз

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков
измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков-
измерение рисков +
выбор эффективных защитных средств+

6. Оценка рисков позволяет ответить на следующие вопросы:
чем рискует организация, используя информационную систему? +
чем рискуют пользователи информационной системы? +
чем рискуют системные администраторы?-