Сучасні методи захисту інформації

Інформатика, програмування

дивитися на реферати схожі на "Сучасні методи захисту інформації"

ЗМІСТ

ВСТУП

1. Види умисних загроз безпеці інформації

2. Методи та засоби захисту інформації

3. Криптографічні методи захисту інформації

ВИСНОВОК

Список використаної літератури

ВСТУП

Розвиток нових інформаційних технологій і загальна комп'ютеризація призвели до того, що інформаційна безпека не тільки стає обов'язковою, вона ще й одна з характеристик ІВ.

Існує досить великий клас систем обробки інформації, при розробці яких фактор безпеки відіграє провідну роль

(наприклад, банківські інформаційні системи).

Під безпекою ІС розуміється захищеність системи від випадкового або навмисного втручання в нормальний процес її функціонування, від спроб розкрадання (несанкціонованого отримання) інформації, модифікації або фізичного руйнування її компонентів. Інакше кажучи, це здатність протидіяти різним впливи на ІВ.

Під загрозою безпеки інформації розуміються події або дії, які можуть призвести до спотворення, несанкціонованого використання або навіть до руйнування інформаційних ресурсів керованої системи, а також програмних і апаратних коштів.

Якщо виходити з класичного розгляду кібернетичної моделі будь-керованої системи, впливи на неї можуть носити випадковий характер. Тому серед загроз безпеки інформації слід виділяти як один з видів загрози випадкові, чи ненавмисні. Їх джерелом можуть бути вихід з ладу апаратних засобів, неправильні дії працівників ІС або її користувачів, ненавмисні помилки в програмному забезпеченні і т.д. Такі загрози теж слід тримати в увазі, тому що збиток від них може бути значним. Однак у цьому розділі найбільша увага приділяється загрозам умисним, які на відміну від випадкових мають на меті завдання збитків керованій системі або користувачам. Це робиться нерідко заради отримання особистої вигоди.

Людини, що намагається порушити роботу інформаційної системи або дістати несанкціонований доступ до інформації, зазвичай називають зломщиком, а іноді «комп'ютерним піратом» (хакером).

У своїх протиправних діях, спрямованих на оволодіння чужими секретами, зломщики прагнуть знайти такі джерела конфіденційної інформації, які б давали їм найбільш достовірну інформацію в максимальних об'ємах з мінімальними витратами на її отримання. За допомогою різного роду прийомів і безлічі прийомів і засобів підбираються шляхи й підходи до таких джерел. У даному випадку під джерелом інформації мається на увазі матеріальний об'єкт, що володіє певними відомостями, що представляють конкретний інтерес для зловмисників або конкурентів.

Захист від навмисних загроз - це свого роду змагання оборони і нападу: хто більше знає, передбачає дієві заходи, той і виграє.

Численні публікації останніх років показують, що зловживання інформацією, що циркулює в ІС або передається по каналах зв'язку, удосконалювалися не менш інтенсивно, ніж заходи захисту від них. В даний час для забезпечення захисту інформації потрібно не просто розробка приватних механізмів захисту, а реалізація системного підходу, що включає комплекс взаємопов'язаних заходів (використання спеціальних технічних і програмних засобів, організаційних заходів, нормативно-правових актів, морально-етичних заходів протидії і т.д. ). Комплексний характер захисту виникає з комплексних дій зловмисників, які прагнуть будь-якими засобами здобути важливу для них інформацію ..

Сьогодні можна стверджувати, що народжується нова сучасна технологія - технологія захисту інформації в комп'ютерних інформаційних системах і в мережах передачі даних. Реалізація цієї технології вимагає зростаючих витрат і зусиль. Однак все це дозволяє уникнути значно переважаючих втрат і збитків, які можуть виникнути при реальному здійсненні погроз ІС та ІТ.

1. Види умисних загроз безпеці інформації

Пасивні загрози спрямовані в основному на несанкціоноване використання інформаційних ресурсів ІС, не надаючи при цьому впливу на її функціонування. Наприклад, несанкціонований доступ до баз даних, прослуховування каналів зв'язку і т.д.

Активні загрози мають на меті порушення нормального функціонування ІС шляхом цілеспрямованого впливу на її компоненти. До активних загроз відносяться, наприклад, виведення з ладу комп'ютера або його операційної системи, перекручування відомостей в БНД, руйнування ПЗ комп'ютерів, порушення роботи ліній зв'язку і т.д.

Джерелом активних загроз можуть бути дії зломщиків, шкідливі програми і т.п.

Умисні загрози поділяються також на внутрішні

(що виникають всередині керованої організації) і зовнішні.

Внутрішні загрози найчастіше визначаються соціальною напруженістю і важким моральним кліматом.

Зовнішні загрози можуть визначатися зловмисними діями конкурентів, економічними умовами та іншими причинами

(наприклад, стихійними лихами). За даними зарубіжних джерел, набув широкого поширення промислове шпигунство - це що наносять збиток власникові комерційної таємниці незаконні збирання, привласнення і передача відомостей, що становлять комерційну таємницю, особою, не уповноваженою на це її власником.

До основних загроз безпеці інформації і нормального функціонування ІС відносяться:

• витік конфіденційної інформації;

• компрометація інформації;

• несанкціоноване використання інформаційних ресурсів;

• помилкове використання інформаційних ресурсів;

• несанкціонований обмін інформацією між абонентами;

• відмова від інформації;

• порушення інформаційного обслуговування;

• незаконне використання привілеїв.

Витік конфіденційної інформації - це безконтрольний вихід конфіденційної інформації за межі ІВ або кола осіб, яким вона була довірена по службі або стала відома в процесі роботи. Ця витік може бути наслідком:

• розголошення конфіденційної інформації;

• догляду інформації з різних, головним чином технічним, каналам;

• несанкціонованого доступу до конфіденційної інформації різними способами.

Розголошення інформації її власником або власником є навмисні або необережні дії посадових осіб і користувачів, яким відповідні відомості в установленому порядку були довірені по службі чи по роботі, що призвели до ознайомлення з ним осіб, що не допущені до цих відомостей.

Можливий безконтрольний догляд конфіденційної інформації з візуально-оптичним, акустичним, електромагнітним й іншим каналам.

Несанкціонований доступ - це протиправне умисне оволодіння конфіденційною інформацією особою, що не мають права доступу до охоронюваним відомостями.

Найбільш поширеними шляхами несанкціонованого доступу до інформації є:

• перехоплення електронних випромінювань;

• примусове електромагнітне опромінення (підсвічування) ліній зв'язку з метою отримання паразитної модуляції несучої;

• застосування підслуховуючих пристроїв (закладок);

• дистанційне фотографування;

• перехоплення акустичних випромінювань і відновлення тексту принтера;

• читання залишкової інформації в пам'яті системи після виконання санкціонованих запитів;

• копіювання носіїв інформації з подоланням заходів захисту

• маскування під зареєстрованого користувача;

• маскування під запити системи;

• використання програмних пасток;

• використання недоліків мов програмування і операційних систем;

• незаконне підключення до апаратури та ліній зв'язку спеціально розроблених апаратних засобів, що забезпечують доступ інформації;

• зловмисний виведення з ладу механізмів захисту;

• розшифровка спеціальними програмами зашифрованою: інформації;

• інформаційні інфекції.

Перераховані шляху несанкціонованого доступу вимагають досить великих технічних знань і відповідних апаратних чи програмних розробок з боку зломщика. Наприклад, використовуються технічні канали витоку - це фізичні шляху від джерела конфіденційної інформації до зловмисникові, за допомогою яких можливе отримання охоронюваних відомостей. Причиною виникнення каналів витоку є конструктивні і технологічні недосконалості схемних рішень або експлуатаційний знос елементів. Все це дозволяє створювати зломщикам що діють на певних фізичних принципах перетворювачі, що утворюють властивий цим принципам канал передачі інформації-канал витоку.

Однак є і досить примітивні шляху несанкціонованого доступу:

• розкрадання носіїв інформації і документальних відходів; • ініціативне співробітництво;

• схиляння до співпраці з боку зломщика; • випитиваніе;

• підслуховування;

• спостереження й інші шляхи.

Будь-які способи витоку конфіденційної інформації можуть призвести до значного матеріального і морального збитку як для організації, де функціонує ІВ, так і для її користувачів.

Менеджерам слід пам'ятати, що досить велика частина причин і умов, що створюють передумови і можливість неправомірного оволодіння конфіденційною інформацією, виникає через елементарних недоробок керівників організацій та їх співробітників. Наприклад, до причин і умов, що створює передумови для витоку комерційних секретів, можуть належати:

• недостатнє знання працівниками організації правил захисту конфіденційної інформації і нерозуміння необхідності їх ретельного дотримання;

• використання неатестованих технічних засобів обробки конфіденційної інформації;

• слабкий контроль за дотриманням правил захисту інформації правовими, організаційними та інженерно-технічними заходами;

• плинність кадрів, у тому числі володіють відомостями, що становлять комерційну таємницю ;

• організаційні недоробки, у результаті яких винуватця-ми витоку інформації є люди - співробітники ІС та ІТ.

Більшість з перерахованих технічних шляхів несанкціонованого доступу піддаються надійної блокування при правильно розробленої і реалізованої на практиці системі забезпечення безпеки. Але боротьба з інформаційними інфекціями представляє значні труднощі, тому що існує і постійно розробляється величезна кількість шкідливих програм, мета яких - псування інформації в БД, ПЗ комп'ютерів. Велика кількість різновидів цих програм не дозволяє розробити постійних і надійних засобів захисту проти них.

Шкідливі програми класифікуються наступним чином:

Логічні бомби, як випливає з назви, використовуються для перекручення чи знищення інформації , рідше з їх допомогою здійснюються крадіжку або шахрайство. Маніпуляціями з логічними бомбами зазвичай займаються чимось незадоволені службовці, що збираються покинути цю організацію, але це можуть бути і консультанти, службовці з певними політичними переконаннями і т.п.

Реальний приклад логічної бомби: програміст, передбачаючи своє звільнення, вносить до програми розрахунку заробітної плати певні зміни, які починають діяти, коли його прізвище зникне з набору даних про персонал фірми.

Троянський кінь - програма, що виконує в доповнення до основних, тобто запроектованим і документованим дій, дії додаткові, не описані в документації. Аналогія з давньогрецькою троянським конем виправдана - і в тому і в іншому випадку в не викликає підозри оболонці таїться загроза. Троянський кінь являє собою додатковий блок команд, тим або іншим чином вставлений у вихідну нешкідливу програму, яка потім передається (дарується, продається, підміняється) користувачам ІВ. Цей блок команд може спрацьовувати при настанні деякого умови

(дати, часу, за командою ззовні і т.д.). Запустити таку програму наражає на небезпеку як свої файли, так і всю ІС в цілому. Троянський кінь діє звичайно в рамках повноважень одного користувача, але в інтересах іншого користувача або взагалі сторонньої людини, особу якого встановити часом неможливо.

Найбільш небезпечні дії троянський кінь може виконувати, якщо запустив його користувач володіє розширеним набором привілеїв. У такому випадку зловмисник, що склав та впровадили троянського коня, і сам цими привілеями не володіє, може виконувати несанкціоновані привілейовані функції чужими руками.

Вірус - програма, яка може заражати інші програми шляхом включення в них модифікованої копії, що володіє здатність до подальшого розмноження.

Вважається, що вірус характеризується двома основними особливостями:

1) здатністю до саморозмноження;

2) здатністю до втручання в обчислювальний процес ( тобто до отримання можливості керування).

Наявність цих властивостей, як бачимо, є аналогом паразитування в живій природі, яке властиво біологічним вірусів. В останні роки проблема боротьби з вірусами стала дуже актуальною, тому дуже багато хто займається нею. Використовуються різні організаційні заходи, нові антивірусні програми, ведеться пропаганда всіх цих заходів. Останнім часом вдавалося більш-менш обмежити масштаби заражень і руйнувань. Однак, як і в живій природі, повний успіх у цій боротьбі не досягнуто.

Хробак - програма, що розповсюджується через мережу і яка не залишає своєї копії на магнітному носії. Черв'як використовує механізми підтримки мережі для визначення вузла, який може бути заражений. За-тим за допомогою тих самих механізмів передає своє тіло або його частину на цей вузол і або активізується, або чекає для цього відповідних умов. Найбільш відомий представник цього класу - вірус Морріса (хробак Морріса), що вразив мережу Internet в 1988 р.

Підходящої середовищем поширення хробака є мережа, всі користувачі якої вважаються дружніми і довіряють один одному, а захисні механізми відсутні. Найкращий спосіб захисту від хробака - вживання заходів проти несанкціонованого доступу до мережі.

Загарбник паролів - це програми, спеціально призначені для крадіжки паролів. При спробі звернення користувача до терміналу системи на екран виводиться інформація, необхідна для закінчення сеансу роботи. Намагаючись організувати вхід, користувач вводить ім'я та пароль, що пересилаються власнику програми-загарбника, після чого виводиться повідомлення про помилку, а введення і керування повертаються до операційної системи. Користувач, який думає, що допустив помилку при наборі пароля, повторює вхід і отримує доступ до системи. Однак його ім'я та пароль вже відомі власнику програми-загарбника. Перехоплення пароля можливий і іншими способами. Для запобігання цієї загрози перед входом в систему необхідно переконатися, що ви вводите ім'я та пароль саме системної програмі введення, а не який-небудь інший. Крім того, необхідно неухильно дотримуватися правил використання паролів і роботи з системою. Більшість порушень відбувається не через хитромудрих атак, а з-за елементарної недбалості. Дотримання спеціально розроблених правил використання паролів - необхідна умова надійного захисту.

Компрометація інформації (один із видів інформаційних інфекцій). Реалізується, як правило, за допомогою несанкціонованих змін в базі даних в результаті чого її споживач змушений або відмовитися від неї, або робити додаткові зусилля для виявлення змін і відновлення істинних відомостей. При використанні скомпрометованої інформації споживач наражається на небезпеку прийняття неправильних рішень.

Несанкціоноване використання інформаційних ресурсів, з одного боку, є наслідками її витоку і засобом її компрометації. З іншого боку, воно має самостійне значення, тому що може завдати великої шкоди керованій системі

(аж до повного виходу з ладу ІТ) або її абонентам.

Помилкове використання інформаційних ресурсів будучи санкціонованим тем?? е менш може призвести до руйнування, витік або компрометації вказаних ресурсів. Дана загроза частіше за все є наслідком помилок, що є в ПО ІТ.

Несанкціонований обмін інформацією між абонентами може призвести до отримання одним з них відомостей, доступ до яких йому заборонений. Наслідки - ті ж, що і при несанкціонованому доступі.

Умови використання інформації полягає в невизнання одержувачем або відправником цієї інформації фактів її отримання або від-правки.

Це дозволяє одній зі сторін розривати укладені фінансові угоди технічним шляхом, формально не відмовляючись від них, завдаючи тим самим другій стороні значної шкоди.

Порушення інформаційного обслуговування - загроза, джерелом якого є сама ІТ. Затримка з наданням інформаційних ресурсів абонента може призвести до тяжких для нього наслідків.

Відсутність у користувача своєчасних даних, необхідних для прийняття рішення, може викликати його нераціональні дії.

Незаконне використання привілеїв. Будь-яка захищена система містить засоби, що використовуються у надзвичайних ситуаціях, або засоби які здатні функціонувати з порушенням існуючої політики безпеки. Наприклад, на випадок раптової перевірки користувач повинен мати можливість доступу до всіх розділами системи. Зазвичай ці кошти використовуються адміністраторами, операторами, системними програмістами та іншими користувачами, які виконують спеціальні функції.

Більшість систем захисту в таких випадках використовують набори привілеїв, тобто для виконання певної функції потрібна певна привілей. Зазвичай користувачі мають мінімальний набір привілеїв, адміністратори - максимальний.

Набори привілеїв охороняються системою захисту.

Несанкціонований (незаконний) захоплення привілеїв можливий при наявності помилок у системі захисту, але частіше за все відбувається в процесі керування системою захисту, зокрема при недбалому користуванні привілеями.

Суворе дотримання правил управління системою захисту, дотримання принципу мінімуму привілеїв дозволяє уникнути таких порушень.

2. Методи та засоби захисту інформації

Створення систем інформаційної безпеки (СИБ) в ІС та ІТ грунтується на наступних принципах:

Системний підхід до побудови системи захисту, що означає оптимальне поєднання взаємопов'язаних організаційних програмних,. апаратних, фізичних та інших властивостей, підтверджених практикою створення вітчизняних і зарубіжних систем захисту і застосовуються на всіх етапах технологічного циклу обробки інформації.

Принцип безперервного розвитку системи. Цей принцип, який є одним з основоположних для комп'ютерних інформаційних систем, ще більш актуальний для СИБ. Способи реалізації загроз інформації в ІТ безперервно удосконалюються, а тому забезпечення безпеки ІС не може бути одноразовим актом.

Це безперервний процес, що полягає в обгрунтуванні і реалізації найбільш раціональних методів, способів і шляхів вдосконалення

СИБ, безперервному контролі, виявленні її вузьких і слабких місць, потенційних каналів витоку інформації та нових способів несанкціонованого доступу,.

Поділ і мінімізація повноважень по доступу до оброблюваної інформації та процедур обробки, тобто надання як користувачам, так і самим працівникам ІС, мінімуму строго визначених повноважень, достатніх для виконання ними своїх службових обов'язків.

Повнота контролю і реєстрації спроб несанкціонованого доступу, тобто необхідність точного встановлення ідентичності кожного користувача і протоколювання його дій для проведення можливого розслідування, а також неможливість здійснення будь-якої операції обробки інформації в ІТ без її попередньої реєстрації.

Забезпечення надійності системи захисту, тобто неможливість зниження рівня надійності при виникненні в системі збоїв, відмов, навмисних дій зломщика або ненавмисних помилок користувачів і обслуговуючого персоналу.

Забезпечення контролю за функціонуванням системи захисту, тобто створення засобів і методів контролю працездатності механізмів захисту.

Забезпечення всіляких засобів боротьби з шкідливими програмами.

Забезпечення економічної доцільності використання системи. захисту, що виражається в перевищенні можливого збитку ІВ і

ІТ від реалізації загроз над вартістю розробки та експлуатації

СИБ.

В результаті рішення проблем безпеки інформації сучасні ІС та ІТ повинні володіти наступними основними ознаками:

• наявністю інформації різного ступеня конфіденційності;

• забезпеченням криптографічного захисту інформації раз-особистої ступеня конфіденційності при передачі даних;

• ієрархічністю повноважень суб'єктів доступу до програм до компонентів ІС та ІТ (до файлів-серверів, каналів зв'язку тощо);.

• обов'язковим керуванням потоками інформації як в локальних мережах, так і при передачі по каналах зв'язку на далекі відстані;

• наявністю механізму реєстрації та обліку спроб несанкціонованого доступу, подій в ІС і документів, що виводяться на друк;

• обов'язковим забезпеченням цілісності програмного забезпечення та інформації в ІТ ;

• наявністю засобів відновлення системи захисту інформації;

• обов'язковим урахуванням магнітних носіїв;

• наявністю фізичної охорони засобів обчислювальної техніки і магнітних носіїв;

• наявністю спеціальної служби інформаційної безпеки системи.

При розгляді структури CІБ можливий традиційний підхід

- виділення забезпечують підсистем.

Система інформаційної безпеки, як і будь-яка ІС, повинна мати певні види власного програмного забезпечення, спираючись на які вона буде здатна виконати свою цільову функцію.

1. Правове забезпечення - сукупність законодавчих актів, нормативно-правових документів, положень, інструкцій, інструкцій, вимоги яких є обов'язковими в рамках сфери їх діяльності у системі захисту інформації.

2. Організаційне забезпечення. Мається на увазі, що реалізація інформаційної безпеки здійснюється певними структурними одиницями, такими, наприклад, як служба безпеки фірми і її складові структури: режим, охорона та ін

3. Інформаційне забезпечення, що включає в себе відомості, дані, показники, параметри, що лежать в основі вирішення завдань, що забезпечують функціонування СИБ. Сюди можуть входити як показники доступу, обліку, зберігання, так і інформаційне забезпечення розрахункових завдань різного характеру, пов'язаних з діяльністю служби безпеки.

4. Технічне (апаратне) забезпечення. Передбачається широке використання технічних засобів, як для захисту інформації, так і для забезпечення діяльності СИБ.

5. Програмне забезпечення. Маються на увазі різні інформаційні, облікові, статистичні та розрахункові програми, що забезпечують оцінку наявності та небезпеки різних каналів витоку і способів несанкціонованого доступу до інформації.

6. Математичне забезпечення. Це - математичні методи, що використовуються для різних розрахунків, пов'язаних з оцінкою небезпеки технічних засобів, які мають зловмисники, зон і норм необхідного захисту.

7. Лінгвістичне забезпечення. Сукупність спеціальних мовних засобів спілкування фахівців і користувачів у сфері забезпечення інформаційної безпеки.

8. Нормативно-методичне забезпечення. Сюди входять норми і регламенти діяльності органів, служб, засобів, що реалізують функції захисту інформації; різного роду методики, що забезпечують діяльність користувачів при виконанні своєї роботи в умовах жорстких вимог дотримання конфіденційності.

Нормативно-методичне забезпечення може бути злито з правовим.

Слід зазначити, що з усіх заходів захисту в даний час провідну роль відіграють організаційні заходи. Тому виникає питання про організацію служби безпеки.

Реалізація політики безпеки вимагає настроювання засобів захисту, управління системою захисту і здійснення контролю функціонування ІС.

Як правило, завдання управління і контролю вирішуються адміністративної групою, склад і розмір якої залежить від конкретних умов. Дуже часто в цю групу входять адміністратор безпеки, менеджер безпеки і оператори.

У найбільшій мережі світу Інтернет атаки на комп'ютерні системи прокочуються, як цунамі, не знаючи ні державних кордонів, ні расових або соціальних відмінностей. Йде постійна боротьба інтелекту, а також організованості системних адміністраторів та винахідливості хакерів.

Розроблена корпорацією Microsoft операційна система

Windows.NT як основу ІС набуває все більшого поширення. І звичайно, хакери усього світу звернули на неї пильну увагу.

У міру появи повідомлень про вразливі місця в Windows NT корпорація Microsoft швидко створює спочатку латки (hotfixes), а потім пакети оновлень (service packs), що допомагають захистити операційну систему. В результаті Windows NT постійно змінюється на краще. Зокрема, у ній з'являється все більше можливостей для, побудови мережі, справді захищеною від несанкціонованого доступу до інформації.

Методи і засоби забезпечення безпеки інформації:

Перешкода - метод фізичного прегражденія шляху зловмисникові до захищається інформації (до апаратури, носіїв інформації і т.д.).

Управління доступом - методи захисту інформації регулюванням використання всіх ресурсів ІС і ІТ. Ці методи повинні протистояти всім можливих шляхів несанкціонованого доступу до інформації. Управління доступом включає наступні функції захисту:

• ідентифікацію користувачів, персоналу і ресурсів системи

(привласнення кожному об'єкту персонального ідентифікатора);

• впізнання (встановлення достовірності) об'єкта або суб'єкта по пред'явленому їм ідентифікатором;

• перевірку повноважень (перевірка відповідності дня тижня, часу доби; запитуваних ресурсів і процедур встановленим регламентом);

• дозвіл і створення умов роботи в межах встановленого регламенту;

• реєстрацію (протоколювання) звернень до захищається ресурсів;

• реагування (сигналізація, відключення, затримка робіт, відмова у запиті тощо) при спробах несанкціонованих дій .

Механізми шифрування - криптографічне закриття інформації.

Ці методи захисту все ширше застосовуються як при обробці, так і при зберіганні інформації на магнітних носіях. При передачі інформації по каналах зв'язку великої протяжності цей метод є єдино надійним.

Протидія атакам зловмисних програм передбачає комплекс різноманітних заходів організаційного характеру і використання антивірусних програм. Цілі вжитих заходів - це зменшення ймовірності інфікування АІС, виявлення фактів зараження системи, зменшення наслідків інформаційних інфекцій, локалізація або знищення вірусів; відновлення інформації в

ІВ.

Регламентація - створення таких умов автоматизованої обробки, зберігання та передачі інформації, що захищається, при яких норми і стандарти щодо захисту виконуються найбільше.

Примус - метод захисту, при якому користувачі та персонал ІС змушені дотримуватися правил обробки, передачі і використання захищається інформації під загрозою матеріальної, адміністративної чи кримінальної відповідальності.

Спонукання - метод захисту, що спонукає користувачів і персонал ІС не порушувати встановлені порядки за рахунок дотримання сформованих моральних та етичних норм.

Вся сукупність технічних засобів поділяється на апаратні і фізичні.

Апаратні засоби - пристрої, що вбудовуються безпосередньо в обчислювальну техніку, або пристрої, які сполучаються з нею по стандартного інтерфейсу.

Фізичні засоби включають різні інженерні пристрої і споруди, які перешкоджають фізичній проникненню зловмисників на об'єкти захисту та здійснюють захист персоналу

(особисті засоби безпеки), матеріальних засобів і фінансів, інформації від протиправних дій. Приклади фізичних коштів: замки на дверях, грати на вікнах, засоби електронного охоронної сигналізації і т.п.

Програмні засоби - це спеціальні програми і програмні комплекси, призначені для захисту інформації в ІС. < p> Як зазначалося, багато хто з них злиті з ПЗ самої ІВ.

З коштів ПЗ системи захисту необхідно виділити ще програмні засоби, що реалізують механізми шифрування

(криптографії), Криптографія - це наука про забезпечення таємності та/або автентичності (справжності) переданих повідомлень.

Організаційні засоби здійснюють своїм комплексом регламентацію виробничої діяльності в ІС та взаємовідносин виконавців на нормативно-правовій основі таким чином, що розголошення, витік і несанкціонований доступ до конфіденційної інформації стає неможливим або істотно ускладнюється за рахунок проведення організаційних заходів. Комплекс цих заходів реалізується групою інформаційної безпеки, але повинен знаходитися під контролем першого керівника.

Законодавчі засоби захисту визначаються законодавчими актами країни, якими регламентуються правила користування, обробки та передачі інформації обмеженого доступу і встановлюються міри відповідальності за порушення цих правил .

Морально-етичні засоби захисту включають всілякі норми поведінки, які традиційно склалися раніше, складаються в міру поширення ІС та ІТ в країні і в світі або спеціально розробляються. Морально-етичні норми можуть бути неписані

(наприклад, чесність) або оформлені в якийсь звід (статут) правил або розпоряджень. Ці норми, як правило, не є законодавчо затвердженими, але оскільки їх недотримання призводить до падіння престижу організації, вони вважаються обов'язковими для виконання.

Характерним прикладом таких приписів є Кодекс професійної поведінки членів Асоціації користувачів ЕОМ

США.

3. Криптографічні методи захисту інформації

Готове до передачі інформаційне повідомлення, спочатку відкрите і незахищене, зашифровується і тим самим перетворюється в шифрограму, тобто в закриті текст або графічне зображення документа. У такому вигляді повідомлення передається по каналу зв'язку, навіть і не захищеного. Санкціонований користувач після отримання повідомлення дешифрує його (тобто розкриває) за допомогою зворотного перетворення криптограми, внаслідок чого виходить вихідний, відкритий вид повідомлення, доступний для сприйняття санкціонованим користувачам.

Методу перетворення в криптографічного системі відповідає використання спеціального алгоритму . Дія такого алгоритму запускається унікальним числом (послідовністю біт), зазвичай званим шифрувальним ключем.

Для більшості систем схема генератора ключа може являти собою набір інструкцій і команд або вузол апаратури, або комп'ютерну програму, або все це разом, але в будь-якому випадку процес шифрування (дешифрування) реалізується тільки цим спеціальним ключем. Щоб обмін зашифрованими даними проходив успішно, як відправника, так і одержувачу, необхідно знати правильну ключову установку і зберігати її в таємниці.

Стійкість будь-якої системи закритого зв'язку визначається ступенем секретності використовуваного в неї ключа. Проте цей ключ повинен бути відомий іншим користувачам мережі, щоб вони могли вільно обмінюватися зашифрованими повідомленнями. У цьому сенсі криптографічні системи також допомагають вирішити проблему аутентифікації (встановлення достовірності) прийнятої інформації.

Зломщик у випадку перехоплення повідомлення буде мати справу лише з зашифрованих текстом, а справжній одержувач, приймаючи повідомлення, закриті відомим йому і відправнику ключем , буде надійно захищений від можливого дезінформації.

Сучасна криптографія знає два типи криптографічних алгоритмів: класичні алгоритми, засновані на використанні закритих, секретних ключів, і нові алгоритми з відкритим ключем, в яких використовуються лише один відкритий і один закритий ключ (ці алгоритми називаються також асиметричні?? и). Крім того, існує можливість шифрування інформації та більш простим способом - з використанням генератора псевдовипадкових чисел.

Використання генератора псевдовипадкових чисел полягає в генерації гами шифру за допомогою генератора псевдовипадкових чисел при певному ключі і накладення отриманої гами на відкриті дані оборотним способом.

Надійність шифрування за допомогою генератора псевдовипадкових чисел залежить як від характеристик генератора, так і, причому більшою мірою, від алгоритму одержання гами.

Цей метод криптографічного захисту реалізується досить легко і забезпечує досить високу швидкість шифрування, однак недостатньо стійкий до дешифруванню і тому непридатний для таких серйозних інформаційних систем, якими є, наприклад, банківські системи.

Для класичної криптографії характерне використання однієї секретної одиниці - ключа, який дозволяє відправнику зашифрувати повідомлення, а одержувачу розшифрувати його. У разі шифрування даних, що зберігаються на магнітних або інших носіях інформації, ключ дозволяє зашифрувати інформацію під час запису на носій і розшифрувати при читанні з нього.

Існує досить багато різних алгоритмів криптографічного захисту інформації. Серед них можна назвати алгоритми DES, Rainbow (CIIJA); FEAL-4 і FEAL-8 (Японія); По-Crypt

(Великобританія); алгоритм шифрування за ГОСТ 28147 - 89 (Росія) та ряд інших , реалізованих зарубіжними та вітчизняними постачальниками програмних і апаратних засобів захисту

Найбільш перспективними системами криптографічного захисту даних сьогодні вважаються асиметричні криптосистеми, звані також системами з відкритим ключем. Їх суть полягає в тому, що ключ, що використовується для зашіфровиванія, відмінний від ключа розшифровки.

При цьому ключ зашіфровиванія не секрет і може бути відомий всім користувачам системи. Однак розшифрування за допомогою відомого ключа зашіфровиванія неможливо. Для розшифровки використовується спеціальний, секретний ключ. Знання відкритого ключа не дозволяє визначити секретний ключ. Таким чином, розшифрувати повідомлення може тільки його одержувач, що володіє цим секретним ключем.

Суть криптографічних систем з відкритим ключем зводиться до того, що в них використовуються так звані незворотні функції

(іноді їх називають односторонніми або односпрямованим), які характеризуються наступну властивість: для даного вихідного значення за допомогою деякої відомої функції досить легко обчислити результат, але розрахувати з цього результату початкове значення надзвичайно складно.

Відомо кілька криптосистем з відкритим ключем. Найбільш розроблена на сьогодні система RSA. RSA-це система колективного користування, в якій кожен з користувачів має свої ключі зашіфровиванія і розшифровки даних, причому секреті тільки ключ розшифровки.

Фахівці вважають, що системи з відкритим ключем більше підходять для шифрування даних, що передаються, ніж для захисту даних, хра