Понедельник, 20 Ноября, 2017 г.

«Человек - самый надежный и одновременно
самый уязвимый источник информации».
А. Брединский


Информационная безопасность - это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Свойства информации с точки зрения ее защиты:
конфиденциальность - свойство информации быть защищенной от несанкционированного ознакомления;
целостность - свойство информации быть защищенной от несанкционированного искажения, разрушения или уничтожения;
доступность - свойство информации быть защищенной от несанкционированного блокирования.

image00222221
Перечень наиболее распространенных носителей информации, требующих защиты :
•    бумага;
•    устройства хранения данных на магнитных носителях;
•    магнитная пленка для записи аудио-и видеоинформации;
•    мобильные и стационарные телефоны;
•    накопители на жестких магнитных дисках (винчестеры);
•    магнитные ленточные накопители резервного хранения данных;
•    устройства оптического хранения данных (CD, DVD);
•    флэш-память (хранение данных в микросхеме памяти);
•    акустическое поле,
•    электрический ток;
•    электрическое поле;
•    магнитное поле;
•    электромагнитные волны (в том числе и в видимом диапазоне);
•    человек

Особенности технических каналов утечки информации

 image009
1. Структурный звук в стенах и перекрытиях;
2. Лента принтера, плохо стертые флэшки и т.п.;
3. Видео-закладки;
4. Программно-аппаратные закладки в ПЭВМ;
5. Радио-закладки в стенах и мебели;
6. Системы вентиляции;
7. Лазерные микрофоны;
8. Производственные и технологические отходы;
9. Компьютерные вирусы, логические бомбы и т.п.;
10. Съем информации за счет наводок и "навязывания";
11. Дистанционный съем видео информации (оптика);
12. Диктофоны;
13. Хищение носителей информации;
14. Высокочастотный канал утечки в бытовой технике;
15. Направленный микрофон;
16. Утечка информации через обслуживающий персонал;
17. Несанкционированное копирование;
18. Побочного излучения терминала;
19. Использование "телефонного уха";
20. Клавиатуры и принтера по акустическому каналу;
21. Электромагнитное излучение с дисплея;
22. Визуальное снятия с дисплея и принтера;
23. Наведение на линии коммуникаций и сторонние проводники;
24. Линии связи;
25. Цепи заземления;
26. Сеть электронных часов;
27. Сеть трансляции и громкоговорящей связи;
28. Охранно-пожарная сигнализации;
29. Сеть электропитания;
30. Сеть отопления, газо-и водоснабжения.

 image011
Методы и средства защиты от утечки информации:
•    использование шифрование: "встроенное" в операционную систему, реализуемое при помощи дополнительных средств (программа PGP) или механизмов (защищенный HTTP-протокол - HTTPS).
•    периодическое отслеживание информационных бюллетеней по безопасности, публикуемых различными организациями, работающими в области безопасности;
•    использование средств анализа защищенности, которые ищут уязвимости и устраняют их;
•    использование средств обнаружения атак, идентифицирующие факт реализации атак;
•    правильная и продуманная конфигурация элементов информационной системы, а также встроенных в операционную систему защитных механизмов;
•     регистрация всех событий в соответствующем журнале (Event Log для Windows NT или журналы аудита для Netware);
•    применение специальных систем обнаружения атак;
•    применение межсетевых экранов, которые обнаруживают большое число атак ;
•    правильная конфигурация узлов информационной системы ;
•    запрет несанкционированного изменения системного реестра ;
•    применение антивирусных систем, обнаруживающие программы типа "троянский конь";
•    использование системы контроля мобильного кода Java и ActiveX ;
•    использование системы обнаружения атак;
•    применение системы анализа защищенности;
•    организация структуры и технологии функционирования технических средств информации ;
•    учет требований к обеспечению защиты информации при организации проектирования строительства зданий, сооружений и отдельных помещений;
•    реализация организационных, первичных и основных технических мер по защите информации;
•    приобретение средств обеспечения защиты информации и необходимых нормативных документов;
•    контроль и ограничение доступа к выделенным помещениям;
•    контроль территориальных, частотных, энергетических, пространственных и временных ограничений в режимах использования технических средств, требующих защиты;
•    отключения на период проведения закрытых мероприятий технических средств, которые имеют электроакустические преобразователи, от линий связи и т.. д.;
•    привлечение к проведению работ по защите информации организаций, имеющих лицензию на деятельность в сфере защиты информации, выданную соответствующими органами ;
•    внедрение защищенных средств обработки информации, программных и технических средств защиты информации, а также средств контроля ;
•    обеспечение функционирования средств защиты информации по ее качественным характеристикам;
•    проведения аттестации средств защиты информации с разработкой программы аттестационных испытаний;
•    демонтаж технических средств, линий связи, сигнализации и управления, энергетических сетей, использование которых не связано с жизнеобеспечением предприятия;
•    удаление отдельных элементов технических средств, которые являются средой распространения полей и сигналов, из помещений, где циркулирует информация с ограниченным доступом;
•    временное отключения технических средств, не участвующих в обработке информации с ограниченным доступом, от линий связи, сигнализации, управления и энергетических сетей;
•    применения способов и схемных решений по защите информации, которые не нарушают основных технических характеристик средств обеспечения информационной деятельности;
•    блокирование несанкционированного доступа к информации или ее носителей без использования специальных средств;
•    проведение мероприятий по блокированию временных каналов утечки информации с использованием пассивных средств:
•    проведение мероприятий по блокированию временных каналов утечки информации с использованием активных средств;
•    проведение мероприятий по блокированию временных каналов утечки информации с использованием активно-пассивных средств;
•    проведение мероприятий по выявлению портативных электронных устройств перехвата информации (закладных устройств);
•    проведение мероприятий по преобразованию (шифрование, скремблирования) сигналов в каналах связи;

 image023412
Пути несанкционированного доступа к информации:
•    перехват электронных излучений;
•    принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции несущей частоты;
•    применение устройств подслушивания (закладок);
•    дистанционное фотографирование;
•    перехват акустических излучений и восстановление текста принтера;
•    чтение остаточной информации в памяти системы после выполнения санкционированных запросов;
•    копирование носителей информации с преодолением мер защиты;
•    маскировка под зарегистрированного пользователя;
•    маскировка под запросы системы;
•    использование программных ловушек;
•    чтение остаточной информации в памяти системы после выполнения санкционированных запросов;
•    копирование носителей информации с преодолением мер защиты;
•    маскировка под зарегистрированного пользователя;
•    маскировка под запросы системы;
•    использование программных ловушек;
•    использование недостатков языков программирования и операционных систем;
•    незаконное подключение к аппаратуре и линиям связи специально разработанных аппаратных средств, обеспечивающих доступ к информации;
•    преступный вывод из строя механизмов защиты;
•    расшифровка специальными программами зашифрованной информации.


   imagWWe014