–Кодекс Российской Федерации об административных правонарушениях.
В Уголовном кодексе Российской Федерации вопросам безопасности информации посвящены следующие главы и статьи:
–Статья 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений.
–Статья 140. Отказ в предоставлении гражданину информации.
–Статья 183. Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну.
–Статья 237. Сокрытие информации об обстоятельствах, создающих опасность для жизни и здоровья людей.
–Статья 283. Разглашение государственной тайны.
–Статья 284. Утрата документов, содержащих государственную тайну. Особое внимание уделяется компьютерным преступлениям,
ответственность за которые предусмотрена в специальной 28 главе Уголовного кодекса "Преступления в сфере компьютерной информации" которая включает следующие статьи:
–Статья 272. Неправомерный доступ к компьютерной информации.
–Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ.
–Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
Тема 1.8. Стандарты информационной безопасности
Стандарт ISO/IEC 15408 "Критерии оценки безопасности информационных технологий" (издан 1 декабря 1999 года) относится к оценочным стандартам. Этот международный стандарт стал итогом почти десятилетней работы специалистов нескольких стран. Он вобрал в себя опыт существовавших к тому времени документов национального и межнационального масштаба. Именно поэтому этот стандарт очень часто называют "Общими критериями".
"Общие критерии" являются метастандартом, определяющим инструменты оценки безопасности информационных систем и порядок их использования. "Общие критерии" содержат два основных вида требований безопасности:
–функциональные – соответствуют активному аспекту защиты – предъявляемые к функциям безопасности и реализующим их механизмам;
–требования доверия – соответствуют пассивному аспекту – предъявляемые к технологии и процессу разработки и эксплуатации. Угрозы безопасности в стандарте характеризуются следующими параметрами:
–источник угрозы;
–метод воздействия;
–уязвимые места, которые могут быть использованы;
–ресурсы (активы), которые могут пострадать.
25
Все функциональные требования объединены в группы на основе выполняемой ими роли или обслуживаемой цели безопасности. Всего в "Общих критериях" представлено 11 функциональных классов, 66 семейств, 135 компонентов. Это гораздо больше, чем число аналогичных понятий в "Оранжевой книге".
"Общие критерии" включают следующие классы функциональных требований:
1.Идентификация и аутентификация.
2.Защита данных пользователя.
3.Защита функций безопасности (требования относятся к целостности
иконтролю данных сервисов безопасности и реализующих их механизмов).
4.Управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности).
5.Аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности).
6.Доступ к объекту оценки.
7.Приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных).
8.Использование ресурсов (требования к доступности информации).
9.Криптографическая поддержка (управление ключами).
10.Связь (аутентификация сторон, участвующих в обмене данными).
11.Доверенный маршрут/канал (для связи с сервисами безопасности). Вторая форма требований безопасности в "Общих критериях" –
требования доверия безопасности. Всего в "Общих критериях" 10 классов, 44 семейства, 93 компонента требований доверия безопасности.
Классы требований доверия безопасности:
1.Разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации).
2.Поддержка жизненного цикла (требования к модели жизненного цикла, включая порядок устранения недостатков и защиту среды разработки).
3.Тестирование.
4.Оценка уязвимостей (включая оценку стойкости функций безопасности).
5.Поставка и эксплуатация.
6.Управление конфигурацией.
7.Руководства (требования к эксплуатационной документации).
8.Поддержка доверия (для поддержки этапов жизненного цикла после сертификации).
9.Оценка профиля защиты.
10.Оценка задания по безопасности.
Применительно к требованиям доверия (для функциональных требований не предусмотрены) в "Общих критериях" введены оценочные
26
уровни доверия (их семь), содержащие осмысленные комбинации компонентов.
В последнее время с развитием вычислительных сетей и в особенности глобальной сети Интернет вопросы безопасности распределенных систем приобрели особую значимость. Стандарт получившего название "Рекомендации X.800" достаточно полно трактует вопросы информационной безопасности распределенных систем, т. е. вычислительных сетей.
Рекомендации X.800 выделяют следующие сервисы (функции) безопасности и исполняемые ими роли:
1.Аутентификация. Данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Аутентификация партнеров по общению используется при установлении соединения и периодически во время сеанса. Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной).
2.Управление доступом обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.
3.Конфиденциальность данных обеспечивает защиту от несанкционированного получения информации. Отдельно выделяется конфиденциальность трафика – это защита информации, которую можно получить, анализируя сетевые потоки данных.
4.Целостность данных подразделяется на подвиды в зависимости от того, какой тип общения используют партнеры – с установлением соединения или без него, защищаются ли все данные или только отдельные поля, обеспечивается ли восстановление в случае нарушения целостности.
5.Неотказуемость (невозможность отказаться от совершенных действий) обеспечивает два вида услуг: неотказуемость с подтверждением подлинности источника данных и неотказуемость с подтверждением доставки.
Врекомендациях Х.800 также рассматривается понятие
администрирование средств безопасности, которое включает в себя распространение информации, необходимой для работы сервисов и механизмов безопасности, а также сбор и анализ информации об их функционировании. Согласно рекомендациям X.800, усилия администратора средств безопасности должны распределяться по трем направлениям:
– администрирование информационной системы в целом;
– администрирование сервисов безопасности;
– администрирование механизмов безопасности.
Администрирование информационной системы в целом включает
обеспечение актуальности политики безопасности, взаимодействие с другими административными службами, реагирование на происходящие события, аудит и безопасное восстановление.
Администрирование сервисов безопасности включает в себя определение
защищаемых объектов, выработку правил подбора механизмов безопасности
27
(при наличии альтернатив), комбинирование механизмов для реализации сервисов, взаимодействие с другими администраторами для обеспечения согласованной работы.
Администрирование механизмов безопасности включает:
–управление криптографическими ключами (генерация и распределение);
–управление шифрованием (установка и синхронизация криптографических параметров);
–администрирование управления доступом (распределение информации, необходимой для управления – паролей, списков доступа и т. п.);
–управление аутентификацией (распределение информации, необходимой для аутентификации – паролей, ключей и т. п.);
–управление дополнением трафика (выработка и поддержание правил, задающих характеристики дополняющих сообщений – частоту отправки, размер и т. п.);
–управление маршрутизацией (выделение доверенных путей);
–управление нотаризацией (распространение информации о нотариальных службах, администрирование этих служб).
В РФ с точки зрения стандартизации положений в сфере информационной безопасности первостепенное значение имеют руководящие документы (РД) Гостехкомиссии России, одной из задач которой является "проведение единой государственной политики в области технической защиты информации". За время своего существования Гостехкомиссия разработала и довела до уровня национальных стандартов десятки документов, среди которых:
–Руководящий документ "СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации" устанавливает классификацию СВТ по уровню защищенности от НСД к информации на базе перечня показателей защищенности и совокупности описывающих их требований. Этот оценочный стандарт устанавливает семь классов защищенности СВТ от НСД к информации. Самый низкий класс – седьмой, самый высокий – первый. Классы подразделяются на четыре группы, отличающиеся уровнем защиты.
–Руководящий документ "АС. Защита от НСД к информации. Классификация АС и требования по защите информации" устанавливает классификацию автоматизированных систем, подлежащих защите от несанкционированного доступа к информации и требования по защите информации в АС различных классов. К числу определяющих признаков, по которым производится группировка АС в различные классы, относятся:
–наличие в АС информации различного уровня конфиденциальности;
–уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации;
–режим обработки данных в АС – коллективный или индивидуальный.
28
–Руководящий документ "СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации" является основным документом для анализа системы защиты внешнего периметра корпоративной сети. Данный документ определяет показатели защищенности межсетевых экранов. Каждый показатель защищенности представляет собой набор требований безопасности, характеризующих определенную область функционирования МЭ. Всего выделяется пять показателей защищенности:
–управление доступом;
–идентификация и аутентификация;
–регистрация событий и оповещение;
–контроль целостности;
–восстановление работоспособности.
РАЗДЕЛ 2. УГРОЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И СПОСОБЫ ПРОТИВОДЕЙСТВИЯ
Тема 2.1. Виды угроз информационной безопасности
Анализ и выявление угроз информационной безопасности является второй важной функцией административного уровня обеспечения информационной безопасности. Во многом облик разрабатываемой системы защиты и состав механизмов ее реализации определяется потенциальными угрозами, выявленными на этом этапе. Например, если пользователи вычислительной сети организации имеют доступ в Интернет, то количество угроз информационной безопасности резко возрастает, соответственно, это отражается на методах и средствах защиты и т. д.
Угроза информационной безопасности – это потенциальная возможность нарушения режима информационной безопасности. Преднамеренная реализация угрозы называется атакой на информационную систему.
Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем, например, неконтролируемый доступ к персональным компьютерам или нелицензионное программное обеспечение, хотя даже лицензионное программное обеспечение не лишено уязвимостей.
История развития информационных систем показывает, что новые уязвимые места появляются постоянно. С такой же регулярностью, но с небольшим отставанием, появляются и средства защиты. В большинстве своем средства защиты появляются в ответ на возникающие угрозы.
В этой связи более приемлемым является другой способ – способ упреждающей защиты, заключающийся в разработке механизмов защиты от возможных, предполагаемых и потенциальных угроз.
29