Вступление. Многие слышали про взломы различных платежных систем, про новые стандарты в области информационной безопасности, про то, что государство разрабатывает новые нормативы в области персональных данных.
Некоторые даже слышали три таинственных слова «конфиденциальность, целостность и доступность», но не многие понимают, что все это означает и зачем все это нужно. Сюда относятся и многие ИТ - специалисты не говоря уже про людей далеких от ИТ.
Хотя в мире, где все основано на информационных технологиях, должны понимать что такое «информационная безопасность». Информационная безопасность – это не только антивирус и файрвол, информационная безопасность это целый комплекс мер.
На Хабре начинается серия публикаций по информационной безопасности, в этих публикациях будут рассмотрены многие важные аспекты ИБ, такие как: конфиденциальность, целостность и доступность; уязвимости в программных продуктах (также обсудим черный рынок 0-day уязвимостей и эксплоитов); технические меры защиты; организационные меры (политики, процедуры, инструкции); модели доступа; стандарты и законы в области ИБ. А также обсудим другие очень интересные вещи. Как и любой другой предмет начнем с самых основ, то есть теории.
Недавно в Твитере развернулись нешуточные страсти по «бумажной» и «практической» безопасности. Здесь будут рассмотрены как «бумажная» так и «практическая» безопасность, хотя, по моему мнению, эти две составляющие нельзя делить. Если речь идет о серьезном подходе «практика» не может существовать без «бумаги», так как для начальства, аудиторов в первую очередь важны бумажные отчеты Вашей работы. Не говоря уже про такие стандарты ISO и PCI DSS, которые требуют утвержденные руководством «бумажной безопасности».
Конфиденциальность, целостность и доступность.
Именно эти три слова служат прочным фундаментом информационной безопасности. Хотя многие считают что эта «триада» уже устарела, но об этом позже. Чтобы лучше понять значение этих слов необходимо представить следующую картину: три человека обхватили друг друга руками, и каждый сильно откинулся назад, если один из них отпустит руку другого то все упадут. Информационная безопасность достигается соотношением именно этих трех свойств, если у информации нету, хотя бы одной из этих свойств о безопасности говорить не приходиться. Каждая из этих свойств «триады» обеспечивается рядом мер, причем для обеспечения одного свойства необходимо использовать не одно, а несколько мер. Любая информация обладает, так или иначе, всеми тремя свойствами, давайте разберем каждое значение их этой триады.
Конфиденциальность – свойство информации, гарантирующее, что доступ к информации имеет доступ только определенные лица.
Например. В фирме «Рога и копыта» есть информация, а именно отчет о продажах. Доступ имеют только сотрудники отдела продаж и бухгалтерии. Причем сотрудники отдела продаж имеют ко всей информации (более подробно будет описано ниже), а бухгалтерия только к окончательным расчетам (чтобы рассчитать налоги с продаж.).
Таким образом, конфиденциальность означает не только доступ к информации, но и разграничение доступа к информации, то Петров имеет доступ к одной части информации, Сидоров ко второй, а Иванов ко всей информации.
Целостность – свойство информации, гарантирующее, что только определенные лица могут менять информацию.
Например. Продолжим пример с фирмой «Рога и Копыта» и с их отчетом по продажам. Как было ранее сказано Отдел продаж имеет доступ ко всей информации, а бухгалтерия только к определенной части. Но для безопасности это еще мало. Необходимо еще и разграничить доступ среди Отдела продаж.
Внимание!
В отделе есть два специалиста Сидоров и Петров, у каждого свой отчет. Необходимо чтобы каждый мог иметь право записи только в свой отчет. Вдруг Петров занизит продажи Сидорова. Еще хороший пример.
Фирма «Рога и Копыта» создала и отправила платеж по ДБО в свой банка, однако хакер Вася перехватил платеж и в поле получателя вставил номер своего счета. Это прямое нарушение целостности. Чтобы такого не произошло необходимо предпринимать ряд мер, к примеру, ЭЦП.
Доступность – свойство информации, гарантирующее, что лица имеющие доступ к информации в нужный момент смогут получить доступ.
Например. Генеральный директор фирмы «Рога и Копыта» в понедельник утром пришел на работу, включил компьютер и с удивлением обнаружил, что не может открыть базу отдела продаж по продажам.
Так что же произошло? Элементарно, Ватсон! В воскресенье ночью в потолке прорвало трубу, вода попала в компьютер, где хранилась база, и жесткий диск благополучно сгорел.
Так как директор никогда не слышал про информационную безопасность, а локальная сеть была создана студентом, не было ни резервной копии, ни избыточности в виде RAID.
Это самый простой пример, можно привести кучу примеров, сайт компании не был доступен и клиент не смог открыть сайт одной компании, но открыл сайт другой и естественно купил продукт второй компании. Это было первым выпуском серии «Информационная безопасность для маленьких».
Продолжение следует.
Источник: https://habrahabr.ru/sandbox/57903/
Нарушение целостности информации (данных) — повреждение (нарушение целостности), приводящее к невозможности использовать информацию без восстановления. Помимо вероятности потерять важные данные, угрозе подвержена работоспособность всей.
По характеру нарушение целостности информации (данных) рассматривают:
Следует отметить, что по мере увеличения способов хранения, обработки, записи данных будет возрастать и количество рисков.
Отдельная группа риска – сведения, представляющие финансовый интерес.
Крупные компании также оценивают как объект, находящийся в зоне опасности, сведения о научных разработках, ноу-хау, финансовые отчёты, всевозможные сводки, результаты маркетинговых исследований рынка за определённый период.
Сюда же относят информацию, являющуюся коммерческой тайной. В отношении публичных персон это могут быть биография, личные факты, компрометирующие фото.
Откуда исходит угроза?
При обсуждении темы источников угрозы нельзя игнорировать человеческий фактор. Сведения удаляются специально, случайно по ошибке.
Часто пользователи игнорируют необходимость заниматься профилактикой, проверять обновление антивирусов, настраивать установленные на ПК программы так, чтобы последние не вызывали сбои в работе конкретной ОС.
Иногда к проблемам приводит некомпетентность, неверные или противоречивые команды. Ситуация может усугубиться, если неопытный пользователь попытается самостоятельно заняться спасением информации.
Традиционно вопросом рисков и существующих угроз начинают заниматься уже после образования проблемной ситуации. Практика же показывает: наибольший эффект даёт грамотно и своевременно проведённая профилактика. Нередко вероятность восстановления напрямую зависит от наличия системы резервирования и того, была ли она активирована.
В первую очередь компаниям и пользователям необходимо уделять внимание созданию резервных копий из которых можно при необходимости восстановить данные.
Помимо этого, существуют дополнительные способы сохранить информацию.
Есть утилиты, блокирующие доступ к отдельным файлам: это не позволит вирусу или другой программе удалить сведения, перезаписать, стереть, внести свои изменения, осуществить иные манипуляции.
Правда, такие гарантии приводят к организации отдельной системы доступа. Поэтому большинство администраторов рекомендуют применять подобное ПО в отношении только особо важных файлов.
Уровень безопасности вполне реально повысить, если периодически проверять версии большинства используемых программ. Разработчики сейчас ориентированы на предоставление всё больших гарантий целевой аудитории.
Что не в последнюю очередь связано с громкими скандалами и судебными исками от покупателей к известным компаниям (Microsoft), выпустившим ПО, которое привело к потере ценных сведений. Поэтому заметна тенденция дополнительных страховок.
В результате каждая новая вышедшая версия закрывает уязвимости, наблюдавшиеся у предыдущей.
Немало говорится о важности компьютерной грамотности. Нередко пользователи, пытающиеся вернуть доступ, скачивают неподходящие утилиты, форматируют повреждённые диски, пытаются самостоятельно произвести диагностику.
Но в случае серьёзных проблем описанные действия могут привести к тому, что информация окажется безвозвратно утерянной. Нужно совершенно точно знать причину нарушения целостности.
Поэтому в ситуациях, когда сведения обладают повышенной ценностью, специалисты советуют обращаться в специальные компьютерные лаборатории. Они не дают 100% гарантии, но шансы гораздо выше, чем во всех остальных случаях.
К потере сведений может привести и техническая поломка. Полное физическое разрушение диска означает безвозвратную утрату сведений. Если ноутбук утопили, перегрели, ударили, то шансы остаются. Многое зависит от компании-производителя винчестера, от характера повреждения, длительности негативного воздействия, степени, от предпринятых сразу же мер.
Таким образом, анализ угроз сводится к ряду моментов:
Провести полное исследование угроз в состоянии исключительно квалифицированный специалист, оценивающий ситуацию комплексно. К нему можно обратиться при необходимости за экспертной оценкой. Такие профессионалы выдают и рекомендации, касающиеся режима эксплуатации отдельных ПК и ОС. Следование инструкциям и соблюдение базовых мер безопасности позволяет существенно снизить уровень рисков.
Источник: https://www.anti-malware.ru/threats/information-integrity-violation
Информация и её свойства
Предметом рассмотрения проблемы информационной безопасности для личности, общества и образующих его структур является сама информация, её свойства и состояние, информационные отношения, которые формируются между субъектами или в среде размещения, хранения, обработки и представления информации.
Информация как одна из базовых понятийных категорий современного мира имеет многоаспектное представление в достаточно обширной литературе на эту тему.
Нас в дальнейшем изложении курса будут, в основном, интересовать представление информационных отношений и состояния информации, собираемой, накапливаемой, хранимой и обрабатываемой на различных объектах информатизации и в их автоматизированных системах (АС) обработки и передачи данных.
Понятие информации
Информация – совокупность сведений, знаний об окружающем мире и протекающих в нём процессах, воспринимаемых человеком или специальными устройствами.
Понятие информации тесно связано с процессом познания. Информация является отражением материального мира, его объектов – материальных носителей информации.
В результате отражения формируется образ объекта, который характеризуется такими видами показателей, как пространственные, энергетические, физические, поведенческие и другие.
Образ объекта фиксируется на языке, понятном принимаемой стороной.
Информация не существует без своих материальных носителей (объектов). В то же время она обладает свойством инвариантности по отношению к объекту – носителю информации.
Инвариантность проявляется в том, что полученные в результате отражения и зафиксированные на определенном языке и на используемых внешних по отношению к объекту носителях образы являются инвариантами объекта и могут стать независимыми от него, передаваться, преобразовываться и участвовать в других формах движения в природе и обществе, в создаваемой обществом информационной технике. Такая информация называется объективированной информацией.
В современных информационных технологиях используется понятие «данные».
Данные – информация, представленная в виде, пригодном для её обработки автоматическими средствами (средствами компьютерной техники, телекоммуникационными средствами) при возможном участии человека.
При этом информация — содержание, присваиваемое данным посредством соглашений, которые обеспечивают адекватность исходному образу объекта.
По существу данные – это образы объектов, описанные на языке, который воспринимается информационной техникой, то есть объективированная информация, являющаяся предметом обработки в автоматизированных системах обработки данных (АСОД).
Основные характеристические свойства информации
Основными свойствами информации, характеризующими её состояние и качество (характеристические свойства), являются:
— достоверность;
— актуальность;
— целостность;
— полнота;
— ценность;
— защищённость;
— безопасность.
Достоверность
Свойство достоверности может быть интерпретировано в различных приложениях.
Достоверность – свойство информации быть правильно воспринятой; или вероятность отсутствия ошибок (в документе, массиве данных, сообщении).
Достоверность данных – степень соответствия данных, хранимых в памяти компьютера или в документах, реальному состоянию отображаемых ими объектов предметной области.
Достоверность обработки информации – функция вероятности ошибки, то есть событие, состоящее в том, что информация в системе при её обработке не совпадает в пределах заданной точности с некоторым её истинным значением.
Достоверность передачи информации – степень соответствия принятого сообщения переданному сообщению.
Актуальность
Свойство актуальности особенно важно при принятии решений на основании информации в фиксированный момент времени.
Актуальность – свойство данных (информации) находиться в актуальном состоянии, то есть в любой момент времени адекватно отображать состояние объектов предметной области.
Устаревшие данные (информация), не включающие в себя изменения характеристик, свойств, описаний рассматриваемого объекта в любой текущий момент времени теряют свою актуальность.
Целостность
Внимание!
Свойство целостности отражает неизменность во времени совокупности сведений или отдельных сведений об объекте, процессе с момента их фиксации на различных носителях информации.
Целостность – состояние данных (информации), когда они сохраняют своё информационное содержание и однозначность интерпретации в условиях преднамеренных или случайных воздействий.
Целостность данных считается сохранённой, если данные не искажены и не разрушены.
В криптографии при шифрованной передаче данных иногда понятия целостности и имитостойкости сообщений являются синонимами.
Полнота
Свойство полноты информации является достаточно субъективной характеристикой в конкретных информационных процессах. Полнота информации зависит, во-первых, от наличия информационных ресурсов по рассматриваемому предмету и возможности получения недостающих на взгляд субъекта, во-вторых, от определённых эвристических методов оценки достаточности информации для принятия качественного решения.
Полнота — свойство информации, определяющее необходимый и достаточный информационный ресурс для анализа ситуаций, решения различных задач с использованием информационной поддержки и принятия решений в различных областях человеческой деятельности.
Ценность
Свойство ценности информации – это чисто потребительское качество, но в приложении к общечеловеческой деятельности в личном плане, в организации, в обществе.
Ценность – свойство информации, определяемое её пригодностью к практическому использованию в различных областях целенаправленной деятельности человека.
Этот показатель качества необходимо отличать от показателя «цена», когда информация становиться информационным продуктом и участвует как товар в рыночных отношениях.
Специальные свойства информации
Следующие свойства, отражающие специальные показатели состояния и качества информации, являются интегрированными, в определённой степени производными от среды, в которой размещается информация, и имеют непосредственное отношение к пониманию проблемы информационной безопасности, рассмотрение которой будет предложено ниже.
Защищённость – свойство информации быть в любой среде размещения конфиденциальной/секретной , целостной и доступной в рамках предоставленных прав доступа и полномочий на действия.
Безопасность – свойство информации, которое исключает деструктивное влияние её на решение задач, в которых она используется непосредственно как расчётная субстанция или в качестве информационно-аналитической поддержки. Это означает, что данная информация должна обладать свойствами достоверности , актуальности , целостности , полноты , ценности или, по крайней мере, необходимым и достаточным набором этих свойств.
Источник: https://megalektsii.ru/s47355t1.html
Сижу, читаю драфт государственного стандарта «Информационные системы и объекты информатизации. Угрозы безопасности информации. Общие положения». И вот такой пассаж бросился в глаза:
Угрозы нарушения целостности защищаемой информации направлены на ее уничтожение и/ или модификацию.
Угрозы нарушения доступности защищаемой информации направлены на исключение возможности использования этой информации ее обладателем (пользователем), процессом или устройством
На мой взгляд здесь классическая ошибка, связанная с наличием тонкой грани между понятиями свойств «целостности» и «доступности» информации.
Разве уничтожение информации (угрозы нарушения целостности согласно первому определению) не приводит к исключению возможности использования этой информации ее обладателем (из второго определения для угроз доступности) ? Приводит!
Поэтому про нарушение целостности можно говорить только тогда, когда в исходную информацию вносятся изменения, которые для пользователя выглядят как абсолютно легитимные. Если же в результате изменений информация меняется полностью или же нарушается структура данных, то это уже в чистом виде уничтожение информации, т.е нарушение доступности.
Может быть я конечно говорю банальные вещи, но есть специалисты, которые в этом вопросе по-прежнему путаются.
В качестве подтверждения давайте посмотрим на определения свойств «целостности» и «доступности» в различных документах:
— ISO 27001
доступность: свойство, заключающееся в доступности и применимости для авторизованных субъектов, когда потребуется;
целостность: свойство, заключающееся в обеспечении точности и полноты ресурсов.
— ГОСТ Р 50922 2006. Защита информации. Основные термины и определения
целостность: Состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право
доступность информации: [ресурсов информационной системы]: Состояние информации [ресурсов информационной системы], при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно.
— Базовая модель угроз безопасности ПДн от ФСТЭК (документ от 2008 г.)
целостность информации: состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право.
определения доступности нет.
— СТО БР ИББС
доступность информационных активов: Свойство ИБ организации банковской системы Российской Федерации, состоящее в том, что информационные активы предоставляются авторизованному пользователю, причем в виде и месте, необходимых пользователю, и в то время, когда они ему необходимы.
целостность информационных активов: Свойство ИБ организации банковской системы Российской Федерации сохранять неизменность или исправлять обнаруженные изменения в своих информационных активах.
Можно увидеть, что все определения очень схожи. И это только подтверждает то, что когда мы говорим о целостности, то речь идет именно о внесении несанкционированых изменений. Если же изменения приводят к тому, что исходная информация становится абсолютно неинформативной (уж простите за тафталогию), то тут мы уже имеем дело с нарушением доступности.
Надеюсь что разработчики ГОСТа в ТК-362 учтут этот момент и внесут соответствующие поправки в документ.
Источник: http://secinsight.blogspot.ru/2013/07/blog-post.html
Кто в наше время не слышал об информационной безопасности?
Слышали наверное все от домохозяек до топ-менеджеров ведущих компаний. Если кто-то поспорит о «домохозяйках», спросите Вашу жену или дочку, когда у них последний раз угоняли аккаунт от «Контактов» или «Одноклассников».
Но весь вопрос в том, насколько разниться понимание информационной безопасности у домохозяйки, жертвующей в худшем случае аккаунтом из социальной сети или приобретая тормозящий компьютер, зараженный вредоносным программным обеспечением по и топ-менеджера, неправильное решение которого может стоить жизни компании с тысячами сотрудников.
Так вот, хочется сказать, что немало топ-менеджеров не ушли в своем восприятии вопросов информационной безопасности дальше домохозяек. Возьмем простой пример: у кого в компании на рабочем компьютере есть административные права? Правильный ответ – у IT и топ-менеджмента. И если есть надежда, что у IT хвати ума не работать под административными правами, то про топов этого не скажешь.
Почему возникла такая ситуация?
Вопрос в том, что как отдельное направление в бизнесе, информационная безопасность оформилась совсем недавно, а на Украине вообще только-только. Толчок к этому дало бешеное развитие информационных технологий, которые бизнес впитывал, как губка.
Но вместе с теми преимуществами, которые несет в себе IT в бизнес вошли и все угрозы, которые порождаются использованием информационных технологий. И если прибыли от преимуществ для всех явны из финансовых отчетов, то чтобы оценить угрозы и ущерб от них, необходимо проводить всесторонний анализ рисков.
А это, в отличии от финансов и больших цифр прибыли, понимает далеко не каждый руководитель.
Что вкладывает среднестатистический человек в понятие информационная безопасность?
Во-первых, он не отличает информационную безопасность от IT-безопасности. То есть считает, что сфера информационной безопасности не простирается дальше компьютеров. Во-вторых, если его конкретнее расспросить, что же он все таки понимает под информационной безопасностью, то можно скорее всего услышать следующее:
— это противодействие вирусам;
— это охрана от разглашения коммерческих и других секретов;
— это защита от хакеров, которые могут сейчас залезть в любой компьютер и взломать что угодно.
И очень мало кто представляет, что значит информационная безопасность в самом деле.
Основной задачей информационной безопасности является соблюдение трех основных свойств информации – конфиденциальности, целостности и доступности. И если первое понятно практически всем, то два последних для многих не несут смысловой нагрузки.
Целостность информации – это такое ее свойство, которое состоит в том, что информация не может быть изменена (сюда входит и удалена) неуполномоченным на то субъектом (это может быть и человек, и компьютерная программа, и аппаратная часть компьютера, и любое другое воздействие типа сильного магнитного излучения, наводнения или пожара) . Для многих будет открытие, что под вопросы информационной безопасности попадает случай, когда жена стерла Вашу любимую игрушку. Или если Вы ее случайно стерли сами. А если Вы потеряли флешку со скачанными с интернета фотографиями? Или неправильно поставили дату в важном деловом письме? Все это – целостность информации.
Доступность информации – это такое ее свойство, которое позволяет субъекту, который имеет на это право, получить информацию в виде, необходимой субъекту, в месте, которое нужно субъекту, и во время, нужное для субъекта.
Так вот, это случаи, когда Вы пришли в железнодорожную кассу или в магазин, или в банк, а вам говорят, что в ближайшие пол-часа Вас обслужить не могут, потому что висит «Экспресс», «1С», клиент-банк… Список можно продолжать.
Или когда у вас пропадает интернет, Вы звоните провайдеру, а он начинает Вам рассказывать про воров, укравших свич и кусок кабеля, или про недавнюю грозу.
Так вот – все эти товарищи экономят на информационной безопасности и не обеспечивают должного уровня доступности информации. Это же можно сказать и про Microsoft, когда вспоминаешь песню про «зависшую винду».
Вы уже приблизительно увидели, с чем приходиться сталкиваться информационной безопасности. Но это только маленькая верхушка огромного айсберга.
Как Вы думаете, должен ли специалист по информационной безопасности разбираться в юриспруденции? «Зачем попу гармонь»,- скажете Вы и опять не угадаете. Изучение и составление нормативных документов – одна из важных аспектов работы информационной безопасности.
А кто, по вашему будет собирать доказательства в компании, где произошло преступление, связанное с информацией.
Внимание!
Милиция? Вы большой оптимист, если думаете, что там надеться хотя бы один специалист, который сможет посмотреть журнал аудита Windows и найти там что-то для себя понятное.
А Вы знаете, сколько на Украине создано законодательных актов и других государственных нормативных документов по информационной безопасности? Боюсь, Вашего книжного шкафа не хватит. А если взять еще нормативные документы по отдельным ведомствам? Потянет на небольшую библиотеку.
А должен ли специалист по информационной безопасности разбираться в кадровой работе? Конечно должен. В функции информационной безопасности входит определение требований при приеме на работу, мониторинг перемещения сотрудников, принятие мер при увольнении сотрудника и т.д.
А должен ли специалист по информационной безопасности иметь педагогические навыки? А кто по Вашему, будет вносить в головы как рядовых сотрудников так и топ-менеджмента, азы информационной безопасности? Ведь без неукоснительного соблюдения правил информационной безопасности все файерволы, маршрутизаторы, системы шифрования и контроль доступа – просто лишняя трата денег.
А еще информационная безопасность тесно пересекается с такими направлениями, как служба безопасности, охрана, деловодство, внутренний аудит, аналитика бизнес-процессов, хозяйственное обеспечение и многими другими направлениями, о которых Вы даже не могли подумать.
Такой вот большой существует сегодня разрыв между пониманием информационной безопасности средним человеком, и теми реальными задачами, с которыми приходиться сталкиваться при организации информационной безопасности в бизнесе.
Роль доступности информации особенно проявляется в разного рода системах управления – производством, транспортом и т.п. Менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей, например, продажа железнодорожных и авиабилетов, банковские услуги, доступ в информационную сеть Интернет и т.п.
Фактор времени в определении доступности информации в ряде случаев является очень важным, поскольку некоторые виды информации и информационных услуг имеют смысл только в определенный промежуток времени. Например, получение заранее заказанного билета на самолет после его вылета теряет всякий смысл. Точно также получение прогноза погоды на вчерашний день не имеет никакого смысла, поскольку это событие уже наступило. В этом контексте весьма уместной является поговорка: «Дорога ложка к обеду».
Целостность информации условно подразделяется на статическую и динамическую. Статическая целостность информации предполагает неизменность информационных объектов от их исходного состояния, определяемого автором или источником информации. Динамическая целостность информации включает вопросы корректного выполнения сложных действий с информационными потоками, например, анализ потока сообщений для выявления некорректных, контроль правильности передачи сообщений, подтверждение отдельных сообщений и др.
Так, ошибка в управляющей программе приведет к остановке управляемой системы, неправильная трактовка закона может привести к его нарушениям, точно также неточный перевод инструкции по применению лекарственного препарата может нанести вред здоровью. Все эти примеры иллюстрируют нарушение целостности информации, что может привести к катастрофическим последствиям. Именно поэтому целостность информации выделяется в качестве одной из базовых составляющих информационной безопасности.
Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем в России связана с серьезными трудностями. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишены возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные и технические проблемы.
Как уже отмечалось выделение этих категорий в качестве базовых составляющих информационной безопасности обусловлено необходимостью реализации комплексного подхода при обеспечении режима информационной безопасности. Кроме этого нарушение одной из этих категорий может привести к нарушению или полной бесполезности двух других. Например, хищение пароля для доступа к компьютеру (нарушение конфиденциальности) может привести к его блокировке, уничтожению данных (нарушение доступности информации) или фальсификации информации, содержащейся в памяти компьютера (нарушение целостности информации).
Исторически проблема обеспечения безопасности имеет три аспекта: конфиденциальность, целостность и доступность, каждый из которых может осуществляться соответствующей одноименной службой.
Конфиденциальность информации – это свойство информации быть известной только аутентифицированным законным субъектам системы.
Служба конфиденциальности обеспечивает секретность информации. Правильно сконфигурированная, эта служба открывает доступ к информации только аутентифицированным пользователям. Ее надежная работа зависит от службы обеспечения идентификации и однозначного определения подлинности лиц. Выполняя эту функцию, служба конфиденциальности ограждает системы от атак доступа. Служба конфиденциальности должна учитывать различные способы представления информации – в виде распечаток, файлов или пакетов, передающихся по сетям.
Существуют различные способы обеспечения секретности документов в зависимости от их вида. Бумажные документы нужно защищать физически, т. е. хранить в отдельном месте, доступ к которому контролируется службой конфиденциальности. Не следует забывать о таких вещах, как запирание картотек и ящиков столов, ограничение доступа в кабинеты внутри офиса или в сам офис.
В работе с электронными документами имеются свои тонкости. Во-первых, файлы могут храниться одновременно в нескольких местах: на внешних запоминающих устройствах большой емкости (жестких дисках или магнитных лентах), на гибких дисках, zip-дисках или компакт-дисках. Во вторых, физический доступ к месту хранения файлов не обязателен. Сохранение конфиденциальности магнитных лент и дисков аналогично защите бумажных документов и связано с ограничением физического доступа. Контроль над файлами в компьютерных системах осуществляют системы управления доступом. Работа этих систем зависит от надежной идентификации и аутентификации пользователя и правильной конфигурации, исключающей обход защитных механизмов через уязвимые места системы. В таблице 3.1показаны примеры механизмов обеспечения конфиденциальности файлов и требования, которые к ним предъявляются.
Таблица 3.1 – Механизмы обеспечения конфиденциальности файлов и требования к ним
Недостаточно защитить только ту информацию, которая хранится в виде файлов, ведь злоумышленники могут перехватить ее в процессе передачи по сетевому соединению. Следовательно, требуется обеспечить конфиденциальность информации, передаваемой по каналам связи (рисунок 3.1). Это делается с помощью технологий шифрования.
Рисунок 3.1 – Шифрование обеспечивает защиту информации при передаче по сетям
Механизмы защиты можно применить как для отдельного сообщения, так и для всего трафика соединения. Шифрование позволяет предотвращать атаки подслушивания, но не сможет защитить от перехвата информации. В последнем случае требуется надежная система идентификации и аутентификации для определения подлинности удаленного получателя (рисунок 3.2).
Рисунок 3.2 – Шифрование в сочетании с надежной идентификацией позволяет предотвратить перехват трафика
Служба обеспечения конфиденциальности потока осложнена самим фактом передачи информации между двумя конечными пунктами (рисунок 3.3). Конфиденциальность потока данных не касается сохранности передаваемой информации. Наличие потока данных позволяет анализатору трафика выявить организации, между которыми установлена связь. Количество трафика, передающегося от узла к узлу, также представляет собой ценную информацию. Например, многие службы новостей наблюдают за поставками пиццы в Белый дом и Пентагон. Главная идея состоит в том, что увеличение количества пицц указывает на возникновение какой-то неординарной ситуации. Для описания такого типа деятельности существует специальный термин – анализ движения и событий (traffic and pattern analysis).
Рисунок 3.3 – Анализ потоков информации позволяет выявить совместно работающие организации
Конфиденциальность потока данных обеспечивается за счет скрытия информации, передаваемой между двумя конечными пунктами, внутри гораздо большего трафика данных. В Вооруженных Силах используется такой прием: две воинских части сначала устанавливают связь, а затем передают постоянный объем данных, независимо от числа фактически отправляемых сообщений (свободное место заполняется информационным "мусором"). Таким образом, количество трафика остается постоянным, и какие-то изменения в интенсивности передачи сообщений обнаружить нельзя.
Большинство коммерческих организаций не задумывается о конфиденциальности потока данных. Однако в некоторых случаях сам факт установки соединения является секретной информацией. Предположим, происходит слияние двух компаний. В этом случае возникновение между ними новых информационных потоков является секретной информацией до тех пор, пока не будет объявлено об этом событии.
определение неавторизованного создания, модификации или удаления информации. Примером могут являться меры, гарантирующие, что почтовое сообщение не было изменено при пересылке.Доступность – это гарантирование того, что авторизованные пользователи могут иметь доступ и работать с информационными активами, ресурсами и системами, которые им необходимы, при этом обеспечивается требуемая производительность . Обеспечение доступности включает меры для поддержания доступности информации, несмотря на возможность создания помех, включая отказ системы и преднамеренные попытки нарушения доступности. Примером может являться защита доступа и обеспечение пропускной способности почтового сервиса.
Три основных сервиса – CIA – служат фундаментом информационной безопасности. Для реализации этих трех основных сервисов требуется выполнение следующих сервисов.
Идентификация – сервис, с помощью которого указываются уникальные атрибуты пользователей, позволяющие отличать пользователей друг от друга, и способы, с помощью которых пользователи указывают свои идентификации информационной системе. Идентификация тесно связана с аутентификацией.
Аутентификация – сервис, с помощью которого доказывается, что участники являются требуемыми, т.е. обеспечивается доказательство идентификации. Это может достигаться с помощью паролей, смарт-карт, биометрических токенов и т.п. В случае передачи единственного сообщения аутентификация должна гарантировать, что получателем сообщения является тот, кто нужно, и сообщение получено из заявленного источника. В случае установления соединения имеют место два аспекта. Во-первых, при инициализации соединения сервис должен гарантировать, что оба участника являются требуемыми. Во-вторых, сервис должен гарантировать, что на соединение не воздействуют таким образом, что третья сторона сможет маскироваться под одну из легальных сторон уже после установления соединения.
Подотчетность – возможность системы идентифицировать отдельного индивидуума и выполняемые им действия. Наличие этого сервиса означает возможность связать действия с пользователями. Данный сервис очень тесно связан с сервисом невозможности отказа.
Невозможность отказа – сервис, который обеспечивает невозможность индивидуума отказаться от своих действий. Например, если потребитель сделал заказ, и в системе отсутствует сервис невозможности отказа, то потребитель может отказаться от факта покупки. Невозможность отказа обеспечивает способы доказательства того, что транзакция имела место , не зависимо от того, является ли транзакция online-заказом или почтовым сообщением, которое было послано или получено. Для обеспечения невозможности отказа как правило используются цифровые подписи.
Авторизация – права и разрешения, предоставленные индивидууму (или процессу), которые обеспечивают возможность доступа к ресурсу. После того, как пользователь аутентифицирован, авторизация определяет, какие права доступа к каким ресурсам есть у пользователя.
Защита частной информации – уровень конфиденциальности, который предоставляется пользователю системой. Это часто является важным компонентом безопасности. Защита частной информации не только необходима для обеспечения конфиденциальности данных организации, но и необходима для защиты частной информации, которая будет использоваться оператором.
Если хотя бы один из этих сервисов не функционирует, то можно говорить о нарушении всей исходной триады CIA .
Для реализации сервисов безопасности должна быть создана так называемая "оборона в глубину". Для этого должно быть проделано:
Обеспечение выполнения сервисов безопасности выполнить следующее:
Гарантирование выполнения, наряду с анализом рисков, является одной из самых важных компонент , обеспечивающих создание обороны в глубину. Это является основой, на которой построены многие другие компоненты. Оценка гарантированности выполнения может во многом определять все состояние и уровень зрелости надежной инфраструктуры.
Организационная политика содержит руководства для пользователей и администраторов. Эта политика должна быть четкой, ясной и понимаемой не только техническими специалистами. Политика должна охватывать не только текущие условия, но и определять, что и как должно быть сделано, если произошла атака .
При анализе рисков первым делом следует проанализировать информационные активы , которые должны быть защищены.
Любое обсуждение риска предполагает определение и оценку информационных активов. Актив – это все, что важно для организации. Критический актив – это актив, который жизненно важен для функционирования организации, ее репутации и дальнейшего развития.
Анализ рисков является процессом определения рисков для информационных активов и принятия решения о том, какие риски являются приемлемыми, а какие нет. Анализ рисков включает:
Угрозой является любое событие, которое может иметь нежелательные последствия для организации. Примерами угроз являются:
Уязвимости, которые могут существовать в информационных активах, могут быть связаны с наличием:
Возможные стратегии управления рисками:
Идентификация пользователя дает возможность вычислительной системе отличать одного пользователя от другого и обеспечивать высокую точность управления доступом к сервисам и ресурсам. Идентификации могут быть реализованы разными способами, такими как пароли, включая одноразовые, цифровые сертификаты, биометрические параметры. Возможны разные способы хранения идентификаций, такие как базы данных , LDAP , смарт-карты.
Система должна иметь возможность проверить действительность ( аутентичность ) предоставленной идентификации. Сервис, который решает эту проблему, называется аутентификацией.
Термин сущность ( entity ) часто лучше подходит для обозначения предъявителя идентификации, чем термин пользователь , так как участниками аутентификационного процесса могут быть не только пользователи, но и программы и аппаратные устройства, например, веб-серверы или маршрутизаторы.
Разные требования к безопасности требуют разных методов идентификации и аутентификации. Во многих случаях бывает достаточно обеспечивать безопасность с помощью имени пользователя и пароля. В некоторых случаях необходимо использовать более сильные методы аутентификации.
Возможны следующие способы аутентификации.
Наиболее часто используемой формой идентификации на сегодняшний день является имя пользователя и пароль. Причины этого в том, что, во-первых, пользователи сами могут выбрать пароли, которые им легко запомнить, а всем остальным трудно отгадать, а, во-вторых, данный способ аутентификации требует минимальных административных усилий.
Однако использование паролей имеет определенные проблемы. Любой пароль, который является словом из некоторого словаря, может быть сравнительно быстро найден с помощью программ, которые перебирают пароли. Пароль, состоящий из случайных символов, трудно запомнить.
В большинстве современных приложений пароль не хранится и не передается в явном виде.
Вместо того, чтобы в качестве идентификации использовать нечто, что кто-то знает, можно использовать нечто, что он имеет. Обычно под токенами понимаются некоторые аппаратные устройства, которые предъявляет пользователь в качестве аутентификации. Такие устройства позволяют пользователям не запоминать пароли. Примерами таких токенов являются:
Используются некоторые физические характеристики пользователя.
Криптография предоставляет способы, с помощью которых сущность может доказать свою идентификацию. Для этого она использует ключ, являющийся строкой битов, который подается в алгоритм, выполняющий шифрование данных. На самом деле ключ аналогичен паролю – это нечто, что сущность знает.
Существует два типа алгоритмов и, соответственно, два типа ключей – симметричные и асимметричные.
В случае использования асимметричных ключей необходимо развертывание инфраструктуры открытых ключей.
Во многих протоколах для взаимной аутентификации сторон могут использоваться ключи разных типов, т.е. одна из сторон аутентифицирует себя с помощью цифровой подписи (асимметричные ключи), а противоположная сторона – с помощью симметричного ключа (или пароля).
В современных системах все чаще используется многофакторная аутентификация . Это означает, что аутентифицируемой сущности необходимо предоставить несколько параметров, чтобы установить требуемый уровень доверия.
Для выполнения аутентификации для входа в сеть часто используются механизмы, обеспечивающие централизованную аутентификацию пользователя. Преимущества этого:
Примерами являются:
Целями систем федеративной идентификации являются:
Управление доступом или авторизация означает определение прав и разрешений пользователей по доступу к ресурсам.
Основные вопросы, на которые должен отвечать сервис авторизации: "Кто и что может делать в компьютерной системе или сети?" и "Когда и где он может это делать?".
Компоненты управления доступом:
Субъекты – пользователь , аппаратное устройство, процесс ОС или прикладная система, которым требуется доступ к защищенным ресурсам. Идентификация субъекта подтверждается с помощью механизмов аутентификации.
Объекты или ресурсы –файлы или любые сетевые ресурсы, к которым субъект хочет получить доступ . Это включает файлы, папки и другие типы ресурсов, такие как записи базы данных ( БД ), сеть или ее компоненты, например, принтеры.
Разрешения – права , предоставленные субъекту по доступу к данному объекту или ресурсу.
Управление доступом означает предоставление доступа к конкретным информационным активам только для авторизованных пользователей или групп, которые имеют право просматривать, использовать, изменять или удалять информационные активы . В сетевом окружении доступ может контролироваться на нескольких уровнях: на уровне файловой системы, на прикладном уровне или на сетевом уровне.
Управление доступом на уровне файловой системы может быть интегрировано в ОС. Как правило в этом случае используются списки управления доступом (Access Control List – ACL ) или возможности (capabilities).
В случае использования ACL для каждого объекта создается список , в котором перечислены пользователи и их права доступа к данному объекту. В случае использования возможностей в системе хранится список разрешений для каждого пользователя.
При управлении доступом на сетевом уровне для разграничения трафика используются сетевые устройства.
При управлении доступом на сетевом уровне сеть может быть разбита на отдельные сегменты , доступ к которым будет контролироваться. Сегментацию на сетевом уровне можно сравнить с использованием управления доступом на уровне групп или ролей в файловой системе. Такое деление может быть основано на бизнес-задачах, необходимых сетевых ресурсах, выполняемых операциях (например, производственные сервера и тестовые сервера) или важности хранимой информации. Существует несколько способов сегментации сети. Двумя основными способами является использование маршрутизаторов и межсетевых экранов.
Маршрутизаторы являются шлюзами в интернет или делят внутреннюю сеть на различные сегменты . В этом случае маршрутизаторы выполняют различные политики разграничения трафика.
Межсетевыми экранами являются устройствами, просматривающими входящий и исходящий трафик и блокирующими пакеты в соответствии с заданными правилами.
Преимущества управления доступом на сетевом уровне:
Недостатки управления доступом на сетевом уровне:
Управление доступом на прикладном уровне предполагает использование разрешений и применение правил для доступа к приложениям и прикладным данным. В этом случае часто используются прокси-серверы.
Прокси- сервер является устройством или сервисом, который расположен между клиентом и целевым сервером. Запрос на сервер посылается к прокси-серверу. Прокси- сервер анализирует запрос и определяет, является ли он допустимым.
Преимущества управления доступом на прикладном уровне:
Недостатки управления доступом на прикладном уровне:
Отчетность – это возможность знать, кто и что делал в системе и сети. Это включает:
Обеспечение отчетности позволяет знать, что происходит в компьютерных системах или сетях. Это может быть реализовано многими способами, но наиболее часто используются следующие:
При использовании подобных технологий важно правильно рассчитать количество необходимых ресурсов и время, необходимое для анализа собранных данных.
Гарантирование доступности состоит в определении точек возможного сбоя и ликвидации этих точек. Стратегии уменьшения негативных последствий отказов могут быть управленческие и технологические.
Первым делом следует определить потенциальные точки отказа в сетевой инфраструктуре. Такие критически важные устройства, как коммутаторы и маршрутизаторы, а также базовые с точки зрения функционирования серверы, такие как DNS-серверы, должны быть проанализированы с точки зрения возможного отказа и влияния этого на возможности функционирования ИТ. Это связано с управлением рисками – определить и минимизировать степень риска.
рыцарь со стволом 18 февраля 2013 в 07:48Вступление.
Многие слышали про взломы различных платежных систем, про новые стандарты в области информационной безопасности, про то, что государство разрабатывает новые нормативы в области персональных данных. Некоторые даже слышали три таинственных слова «конфиденциальность, целостность и доступность», но не многие понимают, что все это означает и зачем все это нужно. Сюда относятся и многие ИТ - специалисты не говоря уже про людей далеких от ИТ.
Хотя в мире, где все основано на информационных технологиях, должны понимать что такое «информационная безопасность». Информационная безопасность – это не только антивирус и файрвол, информационная безопасность это целый комплекс мер.
На Хабре начинается серия публикаций по информационной безопасности, в этих публикациях будут рассмотрены многие важные аспекты ИБ, такие как:
конфиденциальность, целостность и доступность;
уязвимости в программных продуктах (также обсудим черный рынок 0-day уязвимостей и эксплоитов);
технические меры защиты;
организационные меры (политики, процедуры, инструкции);
модели доступа;
стандарты и законы в области ИБ.
А также обсудим другие очень интересные вещи. Как и любой другой предмет начнем с самых основ, то есть теории.
Недавно в Твитере развернулись нешуточные страсти по «бумажной» и «практической» безопасности. Здесь будут рассмотрены как «бумажная» так и «практическая» безопасность, хотя, по моему мнению, эти две составляющие нельзя делить. Если речь идет о серьезном подходе «практика» не может существовать без «бумаги», так как для начальства, аудиторов в первую очередь важны бумажные отчеты Вашей работы. Не говоря уже про такие стандарты ISO и PCI DSS, которые требуют утвержденные руководством «бумажной безопасности».
Конфиденциальность, целостность и доступность.
Именно эти три слова служат прочным фундаментом информационной безопасности. Хотя многие считают что эта «триада» уже устарела, но об этом позже. Чтобы лучше понять значение этих слов необходимо представить следующую картину: три человека обхватили друг друга руками, и каждый сильно откинулся назад, если один из них отпустит руку другого то все упадут. Информационная безопасность достигается соотношением именно этих трех свойств, если у информации нету, хотя бы одной из этих свойств о безопасности говорить не приходиться.
Каждая из этих свойств «триады» обеспечивается рядом мер, причем для обеспечения одного свойства необходимо использовать не одно, а несколько мер. Любая информация обладает, так или иначе, всеми тремя свойствами, давайте разберем каждое значение их этой триады.
Конфиденциальность
– свойство информации, гарантирующее, что доступ к информации имеет доступ только определенные лица.
Например. В фирме «Рога и копыта» есть информация, а именно отчет о продажах. Доступ имеют только сотрудники отдела продаж и бухгалтерии. Причем сотрудники отдела продаж имеют ко всей информации (более подробно будет описано ниже), а бухгалтерия только к окончательным расчетам (чтобы рассчитать налоги с продаж.).
Таким образом, конфиденциальность означает не только доступ к информации, но и разграничение доступа к информации, то Петров имеет доступ к одной части информации, Сидоров ко второй, а Иванов ко всей информации.
Целостность
– свойство информации, гарантирующее, что только определенные лица могут менять информацию.
Например. Продолжим пример с фирмой «Рога и Копыта» и с их отчетом по продажам. Как было ранее сказано Отдел продаж имеет доступ ко всей информации, а бухгалтерия только к определенной части. Но для безопасности это еще мало. Необходимо еще и разграничить доступ среди Отдела продаж. В отделе есть два специалиста Сидоров и Петров, у каждого свой отчет. Необходимо чтобы каждый мог иметь право записи только в свой отчет. Вдруг Петров занизит продажи Сидорова.
Еще хороший пример.
Фирма «Рога и Копыта» создала и отправила платеж по ДБО в свой банка, однако хакер Вася перехватил платеж и в поле получателя вставил номер своего счета. Это прямое нарушение целостности. Чтобы такого не произошло необходимо предпринимать ряд мер, к примеру, ЭЦП.
Доступность
– свойство информации, гарантирующее, что лица имеющие доступ к информации в нужный момент смогут получить доступ.
Например. Генеральный директор фирмы «Рога и Копыта» в понедельник утром пришел на работу, включил компьютер и с удивлением обнаружил, что не может открыть базу отдела продаж по продажам. Так что же произошло? Элементарно, Ватсон! В воскресенье ночью в потолке прорвало трубу, вода попала в компьютер, где хранилась база, и жесткий диск благополучно сгорел. Так как директор никогда не слышал про информационную безопасность, а локальная сеть была создана студентом, не было ни резервной копии, ни избыточности в виде RAID. Это самый простой пример, можно привести кучу примеров, сайт компании не был доступен и клиент не смог открыть сайт одной компании, но открыл сайт другой и естественно купил продукт второй компании.
Это было первым выпуском серии «Информационная безопасность для маленьких».
Продолжение следует.
Теги: информационная безопасность
