Создание комплексной системы информационной безопасности выделенного объекта

Указанные выше методы обеспечения информационной безопасности организации реализуются на практике применением различных механизмов защиты, для создания которых используются следующие основные средства: физические, аппаратные, программные, аппаратно-программные, криптографические, организационные, законодательные и морально-этические.

Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются ввиде автономных устройств и систем.

Наряду с традиционными  механическими системами при доминирующем участии человека разрабатываются и внедряются универсальные  автоматизированные электронные системы физической защиты, предназначенные для охраны территорий, охраны помещений, организации пропускного режима, организации наблюдения; системы пожарной сигнализации; системы предотвращения хищения носителей.

Элементную базу таких  систем составляют различные датчики, сигналы от которых обрабатываются микропроцессорами, электронные интеллектуальные ключи, устройства определениябиометрических характеристик человека и т. д.

Для организации  охраны оборудования, входящего в состав автоматизированной информационной системы предприятия, и перемещаемых носителей информации (дискеты, магнитные ленты, распечатки) используются:

·        различные замки (механические, с кодовым набором, с управлением от микропроцессора, радиоуправляемые), которые устанавливают на входные двери, ставни, сейфы, шкафы, устройства и блоки системы;

·        микровыключатели, фиксирующие открывание или закрывание дверей и окон;

·        инерционные датчики, для подключения которых можно использовать осветительную сеть, телефонные провода и проводку телевизионных антенн;

·        специальные наклейки из фольги, которые наклеиваются на все документы, приборы, узлы и блоки системы для предотвращения их выноса из помещения. При любой попытке вынести за пределы помещения предмет с наклейкой специальная установка (аналог детектора металлических объектов), размещенная около выхода, подает сигнал тревоги;

·        специальные сейфы и металлические шкафы для установки в них отдельных элементов автоматизированной информационной системы (файл-сервер, принтер и т. п.) и перемещаемых носителей информации.

Для нейтрализации утечки информации по каналам побочных электромагнитных излучений используют экранирующие и поглощающие материалы и изделия. При этом:

·        экранирование рабочих помещений, где установлены компоненты автоматизированной информационной системы, осуществляется путем покрытия стен, пола и потолка металлизированными обоями, токопроводящей эмалью и штукатуркой, проволочными сетками или фольгой, установкой загородок из токопроводящего кирпича, многослойных стальных, алюминиевых или из специальной пластмассы листов;

·        для защиты окон применяют металлизированные шторы и стекла с токопроводящим слоем;

·        все отверстия закрывают металлической сеткой, соединяемой с шиной заземления или настенной экранировкой;

·        на вентиляционных каналах монтируют предельные магнитные ловушки, препятствующие распространению радиоволн.

Для защиты от наводок  на электрические цепи узлов и блоков автоматизированной информационной системы используют:

·        экранированный кабель для внутристоечного, внутриблочного, межблочного и наружного монтажа;

·        экранированные эластичные соединители (разъемы), сетевые фильтры подавления электромагнитных излучений;

·        провода, наконечники, дроссели, конденсаторы и другие помехоподавляющие радио- и электроизделия;

·        на водопроводных, отопительных, газовых и других металлических трубах помещают разделительные диэлектрические вставки, которые осуществляют разрыв электромагнитной цепи.

Для контроля электропитания используются электронные отслеживатели — устройства, которые устанавливаются в местах ввода сети переменного напряжения. Если шнур питания перерезан, оборван или перегорел, кодированное послание включает сигнал тревоги или активирует телевизионную камеру для последующей записи событий.

Для обнаружения  внедренных «жучков» наиболее эффективным считается рентгеновское обследование. Однако реализация этого метода связана с большими организационными и техническими трудностями.

Применение специальных  генераторов шумов для защиты от хищения информации с компьютеров путем съема ее излучений с экранов дисплеев оказывает неблагоприятное воздействие наорганизм человека, что приводит к быстрому облысению, снижению аппетита, головным болям, тошноте. Именно поэтому они достаточно редко применяются на практике.

Аппаратные средства защиты — это различные электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных устройств и сопрягающиеся с этими блоками.

Они предназначены  для внутренней защиты структурных элементов средств и систем вычислительной техники: терминалов, процессоров, периферийного оборудования, линий связи и т. д.

Основные функции  аппаратных средств защиты:

·        запрещение несанкционированного (неавторизованного) внешнего доступа (удаленного пользователя, злоумышленника) к работающей автоматизированной информационной системе;

·        запрещение несанкционированного внутреннего доступа к отдельным файлам или базам данных информационной системы, возможного в результате случайных или умышленных действий обслуживающего персонала;

·        защита активных и пассивных (архивных) файлов и баз данных, связанная с необслуживанием или отключением автоматизированной информационной системы;

·        защита целостности программного обеспечения.

Эти задачи реализуются  аппаратными средствами защиты информации с использованием метода управления доступом (идентификация, аутентификация и проверка полномочий субъектовсистемы, регистрация и реагирование).

Для работы с  особо ценной информацией организации (фирмы) производители компьютеров могут изготавливать индивидуальные диски с уникальными физическими характеристиками, не позволяющими считывать информацию. При этом стоимость компьютера может возрасти в несколько раз.

Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля.

Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия.

В настоящее время  создано большое количество операционных систем, систем управления базами данных, сетевых пакетов и пакетов прикладных программ, включающих разнообразныесредства защиты информации.

С помощью программных  средств защиты решаются следующие задачи информационной безопасности:

·        контроль загрузки и входа в систему с помощью персональных идентификаторов (имя, код, пароль и т. п.);

·        разграничение и контроль доступа субъектов к ресурсам и компонентам системы, внешним ресурсам;

·        изоляция программ процесса, выполняемого в интересах конкретного субъекта, от других субъектов (обеспечение работы каждого пользователя в индивидуальной среде);

·        управление потоками конфиденциальной информации с целью предотвращения записи на носители данных несоответствующего уровня (грифа) секретности;

·        защита информации от компьютерных вирусов;

·        стирание остаточной конфиденциальной информации в разблокированных после выполнения запросов полях оперативной памяти компьютера;

·        стирание остаточной конфиденциальной информации на магнитных дисках, выдача протоколов о результатах стирания;

·        обеспечение целостности информации путем введения избыточности данных;

·        автоматический контроль над работой пользователей системы на базе результатов протоколирования и подготовка отчетов по данным записей в системном регистрационном журнале.

В настоящее время  ряд операционных систем изначально содержит встроенные средства блокировки «повторного использования». Для других типов операционных систем существует достаточно много коммерческих программ, не говоря уже о специальных пакетах безопасности, реализующих аналогичные функции.

Применение избыточных данных направлено на предотвращение появления в данных случайных ошибок и выявление неавторизованных модификаций. Это может быть применение контрольных сумм, контроль данных на чет-нечет, помехоустойчивое кодирование и т. д.

Часто практикуется хранение в некотором защищенном месте системы сигнатур важных объектов системы. Например, для файла в качестве сигнатуры может быть использовано сочетание байта защиты файла с его именем, длиной и датой последней модификации. При каждом обращении к файлу или в случае возникновения подозрений текущие характеристики файла сравниваются с эталоном.

Свойство ревизуемости системы контроля доступа означает возможность реконструкции событий или процедур. Средства обеспечения ревизуемости должны выяснить, что же фактическислучилось. Здесь речь идет о документировании исполняемых процедур, ведении журналов регистрации, а также о применении четких и недвусмысленных методов идентификации и проверки.

Следует отметить, что задачу контроля доступа при одновременном обеспечении целостности ресурсов надежно решает только шифрование информации.

 

4. Обеспечение  информационной безопасности выделенного      

объекта с учетом особенностей операционной системы Linux 

 

4.1. Механизмы  безопасности ОС Linux 

 

Операционная система (ОС) Linux является Unix-подобной ОС. В прошлом вычислительные мощности ОС Unix и данные располагались на одной системе и ее закрытость была гарантией безопасности данных. Однако в широко распространенной в настоящее время архитектуре "клиент/сервер" и операционная система, и приложения используют при работе сеть. В этих системах безопасность сетевых приложений напрямую связана с безопасностью сети и систем в этой сети.

Исторически Unix-подобные операционные системы имеют открытый код, то есть его может изучать и совершенствовать любой человек. С точки зрения безопасности это имеет как положительные, так и отрицательные качества. С одной стороны можно проверить  код на наличие некорректных, недокументированных  или зловредных компонентов, но с  другой стороны – это сложная  задача, которую должен выполнять  коллектив высококвалифицированных  программистов и которая не может  быть выполнена обычным пользователем, например, коммерческим предприятием.

Кроме того, вопросам безопасности на момент разработки ОС Unix не придавалось серьезного значения, и многие черты слабой архитектуры безопасности были перенесены в Unix-подобные ОС, в том числе в Linux. С другой стороны открытость кода и гибкость Linux позволяют дополнить ее дополнительными программными модулями, усиливающими информационную безопасность.

Ниже рассмотрены основные механизмы безопасности Linux. 

 

Управление  полномочиями пользователей

Linux является многопользовательской ОС. Для обеспечения безопасности системы важно знать существующие категории пользователей и то, каким образом организована работа пользователей и какие права им предоставлены.

В Linux существует три типа пользователей:

1) системный администратор  – корневой пользователь (root), суперпользователь: обладает полным контролем над работой всей системы, имеет доступ ко всем файлам системы и исключительное право запускать определенные программы;

2) обычные пользователи: могут входить в систему, создавать  файлы и работать с ними  в своих каталогах; имею ограниченный  доступ к файлам и каталогам  на компьютере и не могут  выполнять многих операций системного  уровня; могут объединяться в  группы пользователей с одинаковыми  полномочиями;

3) системные учетные записи: используются ОС для собственных  целей.

Пользователь или группа пользователей может обладать правом на чтение (r), запись (w) и выполнение файла (е) (по аналогии определяются и права для работы с каталогами). Основное правило для назначения прав доступа к файлам – это наложение наиболее жестких ограничений и, при необходимости, добавление прав определенным пользователям или группам.