49655 (Захист данних)

МЕТА ТА ЗАВДАННЯ КУРСУ

Забезпечення безпечної діяльності комп'ютерних систем необхідне для будь-яких підприємств і установ починаючи від державних організацій і закінчуючи невеликими приватними фірмами, не залежно від виду їх діяльності. Розходження полягає лише в засобах, методах та в обсязі забезпечення безпеки.

Якщо пріоритет збереження безпеки особистості є природним, то пріоритет інформації над матеріальними цінностями вимагає більш докладного розгляду. Це стосується не тільки інформації, що складає державну чи комерційну таємницю, але і відкритої інформації.

Навчальна дисципліна «Захист даних в інформаційних системах» вивчає методи і засоби захисту інформації в комп'ютерних системах, основні засади інформаційної безпеки, класифікацію та принципи побудови систем захисту.

Метою викладання курсу є надання студентам знань про загальні відомості щодо захисту інформації, потенційних загроз та проблем захисту даних в локальних системах та комп'ютерних мережах.

Студенти при вивченні дисципліни отримують знання про загальні відомості щодо захисту інформації, класифікацію загроз інформації та міри протидії ним, класифікацію та особливості комп'ютерних вірусів, основи захисту інформації в комп'ютерних мережах. У них повинні сформуватись вміння класифікувати, ідентифікувати і захищати засоби обробки інформації від несанкціонованого доступу та комп'ютерних вірусів, захищати інформацію персонального комп'ютера, управляти доступом та адмініструванням мереж, використовувати системи кодування інформації та її стискування, розробляти індивідуальні системи управління доступом і захистом інформації.

Курс «Захист даних в інформаційних системах» пов'язаний з такими дисциплінами, як «Комп'ютерні мережі», «Системне програмування», «Прикладне програмування», «Автоматизовані навчальні системи», «Інтернет-технології та телекомунікації в бізнесі». При вивченні та засвоєнні навчальної дисципліни студенти також застосовують набуті знання з курсів «інформатика», «Вища математика», «Фізика».

ЛЕКЦІЯ 1

Тема: Основи безпеки даних в комп'ютерних системах

План

1. Основні поняття щодо захисту інформації в автоматизованих системах.

2. Загрози безпеки даних та їх особливості.

І. Основні поняття щодо захисту інформації в автоматизованих системах

Як вважають західні фахівці, витік 20% комерційної інформації в 60 випадках з 100 призводить до банкрутства фірми. Жодна, навіть процвітаюча фірма не проіснує більше трьох діб, якщо її інформація, що складає комерційну таємницю, стане відомою. Таким чином, економічна та інформаційна безпека виявляються тісно взаємозалежними.

Збитки від діяльності конкурентів, що використовують методи шпигунства, складають у світі до 30% усього збитку, а це мільярди доларів. Точну цифру збитків указати не можна внаслідок того, що ні злочинці, ні потерпілі не прагнуть піддавати гласності зроблені дії. Перші, мабуть, через страх відповідальності за вчинене, а другі - через страх втратити імідж. Цим пояснюється високий рівень латентності правопорушень і відсутність інформації про них в засобах масової інформації. Тому до публіки доходить менш 1% від усіх випадків порушень, що мають карний характер і які приховати неможливо.

Таким чином, задачі безпеки будь-яких видів доводиться вирішувати щораз при розгляді всіляких аспектів людської діяльності. Але, як бачимо, всі види безпеки тісно пов'язані з інформаційною безпекою (ІБ) і, більш того, їх неможливо забезпечити без забезпечення ІБ. Отже, предметом нашого подальшого розгляду буде саме захист інформації в інформаційних автоматизованих системах.

Особливістю терміну "інформація" є те, що, з одного боку, він є інтуїтивно зрозумілим практично для всіх, а з іншого боку - загальновизнаного його трактування в науковій літературі не існує. Одночасно слід особливо зазначити, що як наукова категорія "інформація" складає предмет вивчення для всіляких областей знань: філософії, інформатики, кібернетики і т.д.

Інформація - це відомості про осіб, факти, предмети, події, явища і процеси, незалежно від форми їх уявлення.

Захист інформації - комплекс заходів, проведених із метою запобігання (зниження до безпечного рівня) можливостей витікання, розкрадання, втрати, поширення, знищення, перекручування, підробки або блокування інформації.

Для правильної побудови системи захисту необхідно визначити:

1. Види дій над інформацією.

2. Що з себе являє автоматизована система.

3. Які існують загрози безпеки автоматизованих систем.

4. Заходи протидії загрозам безпеки.

5. Принципи побудови систем захисту.

Види дій над інформацією:

1. Блокування інформації (користувач не може дістати доступ до
інформації; за відсутності доступу сама інформація не втрачається).

Причини: відсутність устаткування, фахівця, програмного забезпечення.

1. Порушення цілісності (втрата, вихід з ладу носія; спотворення, тобто порушення смислової значущості; порушення логічної зв'язаності; втрата достовірності (наявна інформація не відповідає реальному стану)).

2. Порушення конфіденційності (з інформацією ознайомлюються суб'єкти, на яких це не покладено).

Рівень допуску до інформації визначає її власник. Порушення конфіденційності може відбутися із-за неправильної роботи системи обмеження доступу або наявності побічного каналу доступу.

4. Несанкціоноване тиражування (під захистом розуміється захист
авторських прав і прав власності на інформацію).

Автоматизована система (АС) - це організаційно-технічна система, що об'єднує обчислювальну систему, фізичне середовище, персонал і оброблювану інформацію.

Захист нформації в АС (іnformation security, сотриter system security) - діяльність, яка спрямована на забезпечення безпеки оброблюваної в АС інформації та АС у цілому і дозволяє запобігти або ускладнити можливість реалізації загроз, а також знизити величину потенційних збитків внаслідок реалізації загроз.

Комплексна система захисту інформації (КСЗІ) - сукупність організаційних і інженерних заходів, програмно-апаратних засобів, які забезпечують захист інформації в АС.

Причини пошкодження інформації: 79% - низька кваліфікація користувачів; 20% - заплановані розкрадання; 1% - віруси.

Типові структури АС:

1. Автономні робочі станції (один або декілька ПК, не зв'язаних між собою. На будь-якому з них користувачі працюють роздільно в часі. Обмін інформацією відбувається тільки через змінні носії (дискети, диски)).

Об'єкти захисту в автономних робочих станціях:

• власне робоча станція;

• змінні носії інформації;

• користувачі і робочий персонал;

• пристрої візуального представлення інформації (монітор, принтер тощо);

• прилади-джерела побічних електромагнітних випромінювань і наведень.

2. Локальні системи колективного користування (створюються для колективної обробки інформації і (або) сумісного використання ресурсів; устаткування розміщене в межах одного приміщення, будівлі або групи близько розташованих будівель).

Структури локальних систем колективного користування:

1.Без виділеного сервера (однорангові мережі) (не вимагають централізованого управління; будь-який користувач сам робить свої ресурси доступними іншим; використовується однотипна операційна система (ОС)).

2.З виділеним сервером/серверами (побудовані на робочих станціях і серверах; вимагають централізованого адміністративного управління).

1. Багатотермінальні системи на базі малих і великих комп'ютерів (основні ресурси зосереджені на сервері. Робочі станції - термінали. Загальне керівництво здійснює адміністратор. На центральному комп'ютері і робочих станціях використовуються різні ОС).

2. Багатосегментні локальні мережі (складаються з декількох сегментів, будь-який з яких є мережею з виділеним сервером. Об'єднання здійснюється через міст, в якості якого може використовуватися або виділений сервер, або спеціальний пристрій. Будь-яким сегментом управляє свій адміністратор. У будь-якому сегменті може використовуватися своя ОС).

5. Змішані мережі (включають всі раніше розглянуті системи).
Об'єкти захисту:

• всі робочі станції;

• виділені сервери і центральний комп'ютер;

• локальні канали зв'язку;

• реквізити доступу.

6. Глобальні системи колективного користування (розміщені на значній відстані один від одного; об'єднані через глобальні канали зв'язку, які не належать власнику).

Використовуються для сумісної обробки інформації і сумісного використання ресурсів.

Відмінності від локальних систем:

• можуть знаходитися на значній відстані одна від одної;

• канали зв'язку не належать власнику системи;

• канали зв'язку є комутованими і взаємозв'язаними;

• для використання каналів зв'язку необхідний пристрій сполучення;

• подібні системи відкриті і підключитися до ним можуть всі охочі. Об'єкти захисту включають в себе все те ж, що й в локальних системах

колективного користування, а також:

• глобальні канали зв'язку;

• інформація, що передається по глобальних каналах зв'язку;

• інформація про реквізити доступу в глобальні системи колективного
користування.

II. Загрози безпеки даних та їх особливості

Загроза - потенційно можлива подія, дія, процес або явище, яке може привести до нанесення збитку інтересам певної фізичної чи юридичної особи.

Реалізацією загрози є порушення роботи системи. Загрози поділяються на природні та штучні.

Природні загрози - загрози, викликані дією на АС об'єктивних фізичних процесів або стихійних природних явищ, незалежних від людини.

Штучні загрози - такі, що викликані діяльністю людини.

Природні загрози - це стихійні лиха, магнітні бурі, радіоактивне випромінювання, опади тощо, а також загрози опосередковано технічного характеру, пов'язані з надійністю технічних засобів обробки інформації і підсистем забезпечення АС.

Штучні поділяються на:

• ненавмисні - загрози, пов'язані з випадковими діями людей, через
незнання, халатність, цікавість, але без злого наміру.

Наприклад: ненавмисне псування носіїв інформації; запуск програм, не передбачених службовою необхідністю; необережні дії, що призводять до розголошування конфіденційної інформації; розголошування реквізитів доступу в АС; псування каналів зв'язку.

• навмисні - дії людини, що здійснюються умисне для дезорганізації роботи системи, виведення її з ладу, для незаконного проникнення в систему і несанкціонованого доступу до інформації.

Наприклад: фізичне знищення системи; розкрадання носіїв інформації; читання залишкової інформації з ОЗП; несанкціоноване копіювання; вербування персоналу тощо.

Система складових загроз безпеки даних представлена в табл. 1.1.

Таблиця 1.1 Класифікаційні складові загроз безпеки інформації

ЛЕКЦІЯ 2

Тема: Основи безпеки даних в комп'ютерних системах (продовження)

План

1. Канали проникнення та принципи побудови систем захисту.

2. Основи фізичного захисту об'єктів.

І. Канали проникнення та принципи побудови систем захисту

Сучасні засоби перехоплення інформації дозволяють на відстані в десятки і сотні, а іноді і більше метрів реєструвати різної природи побічні інформативні сигнали, що виникають при роботі технічних засобів, і за результатами цієї реєстрації відновлювати оброблювану, передану, прийняту, копійовану інформацію.