Воздействие на информацию которое происходит вследствие ошибок ее - Решение и исправление самых разных ошибок на TopOshibok.ru

Тест по информатике Информационное право и безопасность 11 класс с ответами, содержит 5 заданий.

1. Установите соответствие.

1) право распоряжения
2) право владения
3) право пользования

А) собственник информации имеет право использовать ее в своих интересах.
Б) только собственник информации имеет право определять, кому эта информация может быть предоставлена.
В) никто, кроме собственника информации, не может ее изменять.

Запишите выбранные буквы под соответствующими цифрами.

2. Заполните пропуски в предложении.

… информации – субъект, пользующийся информацией, полученной от ее собственника, владельца или … в соответствии с установленными правами и правилами доступа к информации либо с их ….

1) владелец, разработчика, нарушением
2) пользователь, разработчика, модификациями
3) владелец, посредника, модификациями
4) пользователь, посредника, нарушением

3. Лицензия на программное обеспечение — это

1) документ, определяющий порядок использования программного обеспечения, защищенного авторским правом
2) документ, определяющий порядок распространения программного обеспечения, защищенного авторским правом
3) документ, определяющий порядок использования и распространения программного обеспечения, защищенного авторским правом
4) документ, определяющий порядок использования и распространения программного обеспечения, незащищенного авторским правом

4. К показателям Информационной безопасности относятся

1) дискретность
2) целостность
3) конфиденциальность
4) актуальность
5) доступность

5. Воздействие на информацию, которое происходит вследствие ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации событий, называется …

Ответы на тест по информатике Информационное право и безопасность 11 класс
1. 1Б 2В 3А
2-4
3-3
4-235
5. Непреднамеренным

Опубликовано: 15.03.2020
Обновлено: 15.03.2020

Источник

1
Войти
Зарегистрироваться / Создать сайт

СДЕЛАЙТЕ СВОИ УРОКИ ЕЩЁ ЭФФЕКТИВНЕЕ, А ЖИЗНЬ СВОБОДНЕЕ

Благодаря готовым учебным материалам для работы в классе и дистанционно

Скидки до 50 % на комплекты
только до

Готовые ключевые этапы урока всегда будут у вас под рукой

Была в сети 19.09.2023 20:30

Галкина Инна Владимировна

учитель информатики

36 лет

5 883
5 691

Информационное право и безопасность

Внимание! Все тесты в этом разделе разработаны пользователями сайта для собственного
использования.
Администрация сайта не
проверяет возможные ошибки,
которые могут встретиться в тестах.

Тест по информатике Информационное право и безопасность 11 класс с ответами. Тест включает 5 заданий с выбором ответа.

Список вопросов теста

Вопрос 1

Установите соответствие между правом и определением:

Право

1) право распоряжения
2) право владения
3) право пользования

Определение

Например, 2Б3В4А

Вопрос 2

Заполните пропуски в предложении.

… информации — субъект, пользующийся информацией, полученной от ее собственника, владельца или … в соответствии с установленными правами и правилами доступа к информации либо с их ….

Варианты ответов

пользователь, посредника, нарушением
владелец, посредника, модификациями
владелец, разработчика, нарушением
пользователь, разработчика, модификациями

Вопрос 3

Лицензия на программное обеспечение — это …

Вопрос 4

К показателям «Информационной безопасности» относятся

1) дискретность
2) доступность
3) конфиденциальность
4) актуальность
5)целостность

Вопрос 5

Воздействие на информацию, которое происходит вследствие ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации событий, называется …

Источник

Информатика. 11 класса. Босова Л.Л. Оглавление

§ 18. Информационное право и информационная безопасность

18.1. Правовое регулирование в области информационных ресурсов

Информационные ресурсы, признанные в качестве одного из важнейших ресурсов страны, являются сегодня объектом особого внимания, контроля и управления со стороны государства. В нашей стране разработан ряд законов, обеспечивающих правовое регулирование в информационной сфере.

Согласно Гражданскому кодексу Российской Федерации (ГК РФ), собственнику принадлежат права владения, пользования и распоряжения своим имуществом¹⁾.

¹⁾ ГК РФ. Статья 209. Содержание права собственности.

Собственнику информационного объекта, как и собственнику материального объекта, принадлежат:

• право распоряжения, состоящее в том, что только собственник информации имеет право определять, кому эта информация может быть предоставлена;
• право владения, обеспечивающее собственнику информации хранение информации в неизменном виде; никто, кроме владельца информации, не может её изменять;
• право пользования, предоставляющее собственнику информации право её использования в своих интересах.

Владелец информации — субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.

Пользователь (потребитель) информации — субъект, пользующийся информацией, полученной от её собственника, владельца или посредника в соответствии с установленными правами и правилами доступа к информации либо с их нарушением.

Отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации регулируются Федеральным законом «Об информации, информационных технологиях и о защите информации». Рассмотрим некоторые статьи этого закона.

В статье 3 среди принципов правового регулирования отношений наряду со свободой поиска, получения, передачи, производства и распространения информации любым законным способом провозглашена неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия.

В статье 5 этого закона отмечается, что информация, в зависимости от порядка её предоставления или распространения, подразделяется на:

1) информацию, свободно распространяемую;
2) информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
3) информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;
4) информацию, распространение которой в Российской Федерации ограничивается или запрещается.

В статье 8 утверждается право граждан на доступ без ограничений к:

1) нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина;
2) информации о состоянии окружающей среды;
3) информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств;
4) информации, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией.

В статье 12 указывается, что государственное регулирование в сфере применения информационных технологий предусматривает развитие информационных систем различного назначения, а также создание условий для эффективного использования в Российской Федерации информационно-телекоммуникационных сетей, в том числе сети Интернет.

В статье 16 отмечается, что защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.

В правовой информационной системе «КонсультантПлюс» найдите Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Используйте текст закона для ответов на следующие вопросы.

1. Сравните определения основных понятий, приведённые в статье 2 закона № 149-ФЗ, с определениями этих понятий в учебнике информатики. Чем вы можете объяснить имеющиеся расхождения?

2. На каких принципах основывается правовое регулирование отношений, возникающих в сфере информации, информационных технологий и защиты информации?

3. Какие права и обязанности имеет обладатель информации?

4. Любая ли информация может быть доступна гражданам? С чем связаны ограничения на доступ граждан к информации?

5. Распространение какой информации запрещено законом?

6. С какой целью создаётся реестр российского программного обеспечения?

7. Где могут размещаться технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными учреждениями?

8. Распространение какой информации в нашей стране запрещено?

9. Какой механизм ограничения доступа к сайтам в сети Интернет, содержащим запрещённую информацию, предусмотрен законом № 149-ФЗ?

10. Вы, являясь правообладателем некоторой информации, обнаружили, что она размещена в сети Интернет без вашего разрешения или иного законного основания. Какие действия вам следует предпринять?

11. Лица, права и законные интересы которых были нарушены в связи с разглашением информации ограниченного доступа, вправе обратиться в установленном порядке за судебной защитой своих прав. В каком случае их иск не будет удовлетворён?

Особого внимания заслуживают такие информационные объекты, как программы для электронных вычислительных машин (программы для ЭВМ) и базы данных. Наравне с произведениями науки, литературы или искусства, они считаются результатами интеллектуальной деятельности.

Права на результаты интеллектуальной деятельности (авторское право, исключительное право, право собственности и др.) регулируются четвёртой частью ГК РФ¹⁾.

¹⁾ ГК РФ. Часть четвёртая. Раздел VII. Права на результаты интеллектуальной деятельности и средства индивидуализации.

К сожалению, многие частные лица и даже организации нарушают закон, устанавливая на свои компьютеры программное обеспечение, полученное путём незаконного копирования. Такая практика затрудняет становление цивилизованного рынка информационных ресурсов и услуг.

18.2. Правовые нормы использования программного обеспечения

Использование программного обеспечения (ПО) является законным только тогда, когда на это есть согласие владельца авторских прав (компании-производителя или независимого разработчика). Основой правовых отношений между пользователем и собственником ПО является лицензия.

Лицензия (лицензионное соглашение) на программное обеспечение — это документ, определяющий порядок использования и распространения программного обеспечения, защищённого авторским правом.

Существует множество разнообразных лицензий на программное обеспечение. Рассмотрим некоторые из них (рис. 5.6).

Рис. 5.6. Виды лицензий на использование ПО

Лицензии на программное обеспечение в целом можно разделить на две большие группы: проприетарные и лицензии свободного и открытого ПО.

В проприетарных лицензиях издатель ПО даёт разрешение её получателю использовать одну или несколько копий программы, но при этом сам остаётся правообладателем всех этих копий. Проприетарное программное обеспечение может быть коммерческим (Commercial software), условно-бесплатным (Shareware) и бесплатным (Freeware).

Коммерческое программное обеспечение создаётся с целью получения прибыли от его использования другими, например путём продажи экземпляров.

Условно-бесплатное программное обеспечение представляет собой ограниченную по возможностям версию программы. Наиболее распространёнными видами ограничений являются:

• ограничение времени работы программы, количества её запусков, количества уровней в ней (в играх);
• отсутствие ряда функциональных возможностей;
• блокирование доступа к важным функциям, например сохранению файла;
• добавление дополнительной информации к сохраняемым файлам, например водяных знаков в программах редактирования изображения и видео.

В соответствии с лицензией, по окончании тестового периода необходимо приобрести или удалить программу. После покупки программы пользователь получает код, снимающий ограничения, либо отдельную полноценную версию программы.

К условно-бесплатному ПО относятся:

• Demoware — демонстрационные версии коммерческого программного обеспечения, лицензионное соглашение которого предусматривает множество ограничений в функциональности по сравнению с основной версией;
• Nagware — модель лицензирования компьютерных программ, использующая навязчивое напоминание о необходимости регистрации программы за определённую плату;
• Trialware — программное обеспечение, лицензионное соглашение которого предусматривает бесплатное использование программы без каких-либо ограничений в функциональности, но только в течение пробного периода.

Freeware — вид лицензии на программное обеспечение, который предусматривает бесплатное пользование программой. При этом разработчик может уточнять, какое именно использование может быть бесплатным (использование в личных целях, коммерческое использование).

В отличие от проприетарных свободные и открытые лицензии не оставляют права на конкретную копию программы её издателю, а передают самые важные из них конечному пользователю, который и становится владельцем. Примером свободной лицензии является GNU General Public License, которая даёт пользователю право самому распространять ПО под этой лицензией и изменять его любым способом. При этом любые изменения программы, сделанные пользователем и распространённые дальше, должны сопровождаться исходным кодом этих изменений.

18.3. О наказаниях за информационные преступления

Уголовный кодекс Российской Федерации (УК РФ) содержит главу 28 «Преступления в сфере компьютерной информации», в которой определена мера наказания за некоторые виды преступлений в области информационных технологий:

1) неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации;
2) создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации;
3) нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации.

Данные деяния в зависимости от тяжести последствий, в том числе размеров нанесённого ущерба, наказываются крупными денежными штрафами, ограничением или лишением свободы на срок до семи лет.

18.4. Информационная безопасность

Информационная безопасность — защищённость информации и поддерживающей инфраструктуры информационной системы от случайных или преднамеренных воздействий естественного или искусственного характера, способных нанести ущерб субъектам информационных отношений (владельцам и пользователям информации) в рамках данной информационной системы.

Информационная безопасность достигается обеспечением доступности, целостности, и конфиденциальности обрабатываемых данных, а также доступности и целостности информационных компонентов и ресурсов системы.

Доступность информации — это состояние информации, при котором субъекты, имеющие права доступа, могут реализовывать их беспрепятственно и в течение приемлемого времени. К правам доступа относятся: право на чтение, изменение, копирование, уничтожение информации, а также права на изменение, использование, уничтожение ресурсов.

Целостность информации — это свойство информации сохранять свои структуру и/или содержание в процессе передачи и хранения. Целостность информации обеспечивается в том случае, если данные в системе не отличаются в смысловом отношении от данных в исходных документах, т. е. если не произошло их случайного или намеренного искажения, или разрушения.

Конфиденциальность информации — это статус, предоставленный информации или данным и определяющий требуемую степень их защиты. К конфиденциальным данным можно отнести, например, личную информацию пользователей, учётные записи (имена и пароли), данные о кредитных картах, данные о разработках и различные внутренние документы, бухгалтерские сведения. Конфиденциальная информация должна быть известна только допущенным и прошедшим проверку (авторизованным) субъектам системы (пользователям, процессам, программам). Для остальных субъектов системы это информация должна быть недоступна.

Совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности представлены в Доктрине информационной безопасности Российской Федерации, согласно которой под информационной безопасностью Российской Федерации понимается состояние защищённости её национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

В доктрине выделены четыре основные составляющие национальных интересов Российской Федерации в информационной сфере:

1) соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны;
2) информационное обеспечение государственной политики Российской Федерации, связанное с доведением до российской и международной общественности достоверной информации о государственной политике Российской Федерации, её официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам;
3) развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка её продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов;
4) защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развёрнутых, так и создаваемых на территории России.

В доктрине описаны правовые, организационно-технические и экономические методы обеспечения информационной безопасности Российской Федерации, приведены основные положения государственной политики и представлены организационные основы обеспечения информационной безопасности нашей страны.

18.5. Защита информации

Защита информации — деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию¹⁾.

¹⁾ ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения».

Утечка информации (её неконтролируемое распространение) происходила во все времена. Многие реальные эпизоды, связанные с утечкой информации или её предотвращением, положены в основу кинофильмов о спецслужбах. С развитием информационных и коммуникационных технологий ещё одним каналом утечки информации стали компьютерные сети.

Различают несанкционированное и непреднамеренное воздействие на информацию.

Несанкционированным является воздействие на защищаемую информацию с нарушением установленных прав и (или) правил доступа, приводящее к утечке, искажению, подделке, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации. Такого рода воздействие на информацию или ресурсы информационной системы может осуществляться с помощью вредоносных программ (вирусов).

Непреднамеренное воздействие на информацию происходит вследствие ошибок пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации событий.

Меры, принимаемые для защиты информации, прежде всего зависят от уровня её использования.

Пользователь, являющийся частным лицом, может обеспечить защиту информации на своём компьютере, если будет:

• постоянно использовать блок бесперебойного питания;
• периодически выполнять резервное копирование файлов на внешние носители;
• постоянно использовать антивирусную программу, регулярно обновлять антивирусные базы и осуществлять антивирусную проверку компьютера.

Возможности для защиты информации от случайной потери или удаления предусмотрены и в программном обеспечении компьютера. Например:

• предусмотрены предупреждения о наличии в электронном документе макроопределений, под которые могут быть замаскированы вирусы;
• имеется возможность отменять последние действия;
• предусмотрены запросы на подтверждение команд, приводящих к изменению содержания или удалению файла или группы файлов;
• возможности изменения файлов ограничиваются установкой атрибутов (например, атрибута «только для чтения») и т. д.

Для обеспечения более высокого уровня защиты информации в дополнение к техническим средствам применяются системы шифрования.

Криптография — наука, занимающаяся методами шифрования и защиты целостности информации. Благодаря её современным достижениям разработана и получает всё более широкое применение технология электронной подписи, позволяющая отказаться от необходимости передачи подлинников документов только в бумажном виде.

САМОЕ ГЛАВНОЕ

В нашей стране разработан ряд законов, обеспечивающих правовое регулирование в информационной сфере.

Отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации, регулируются Федеральным законом «Об информации, информационных технологиях и о защите информации».

Права на результаты интеллектуальной деятельности (авторское право, исключительное право, право собственности и др.) регулируются четвёртой частью ГК РФ.

Использование ПО является законным только тогда, когда на это есть согласие владельца авторских прав (компании-производителя или независимого разработчика). Основой правовых отношений между пользователем и собственником ПО является лицензия.

УК РФ содержит главу 28 «Преступления в сфере компьютерной информации», в которой определена мера наказания за следующие виды преступлений в области информационных технологий: неправомерный доступ к компьютерной информации; создание, распространение или использование вредоносных компьютерных программ; нарушение правил эксплуатации компьютерного оборудования и информационно-телекоммуникационных сетей.

Информационная безопасность — защищённость информации и поддерживающей инфраструктуры информационной системы от случайных или преднамеренных воздействий естественного или искусственного характера, способных нанести ущерб субъектам информационных отношений (владельцам и пользователям информации) в рамках данной информационной системы. Информационная безопасность достигается обеспечением доступности, целостности и конфиденциальности обрабатываемых данных, а также доступности и целостности информационных компонентов и ресурсов системы.

Совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности представлены в Доктрине информационной безопасности Российской Федерации.

Защита информации — деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Вопросы и задания

1. Какие права принадлежат собственнику информационного объекта?

2. Кто считается владельцем информации?

3. Кто считается потребителем информации?

4. Каким законом регулируются отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации?

5. К каким объектам приравнены компьютерные программы и базы данных? Чем регулируются права на эти информационные объекты?

6. В каком случае использование программного обеспечения является законным?

7. Что такое лицензия на программное обеспечение? Какие виды лицензий вам известны? Приведите примеры известных вам продуктов, имеющих лицензии разных видов.

8. Какие деяния Уголовный кодекс РФ классифицирует как преступления в сфере компьютерной информации?

9. Зачем нужны законодательные акты в информационной сфере?

10. Что такое информационная безопасность информационной системы? За счёт чего она достигается?

11. Что понимается под доступностью информации? Приведите пример, когда это условие нарушается.

12. Что понимается под целостностью информации? Приведите пример, когда это условие нарушается.

13. Что понимается под конфиденциальностью информации? Приведите пример, когда это условие нарушается.

14. В чём, на ваш взгляд, проявляются доступность, целостность и конфиденциальность при взаимодействии:

1) между поликлиникой и пациентом;
2) между школой и родителями (законными представителями) ученика;
3) между банком и его клиентом?

15. В чём заключаются интересы личности, общества и государства в информационной сфере? Для ответа на вопрос используйте Доктрину информационной безопасности Российской Федерации.

16. Что относится к национальным интересам Российской Федерации в информационной сфере?

17. Найдите в электронных словарях и проанализируйте определения понятий «концепция», «парадигма», «хартия», «доктрина». Что общего в этих понятиях? В чём основное различие между ними?

18. В чём заключается защита информации?

19. Чем отличается несанкционированное воздействие на информацию от непреднамеренного воздействия на информацию? В чём их опасность?

20. Какие меры следует принимать для защиты информации на своём личном компьютере?

21. Какие меры по защите информации принимаются в вашей школе?

Дополнительные материалы к главе смотрите в авторской мастерской.

Оглавление

§ 17. Информационное общество

§ 18. Информационное право и информационная безопасность

Экзаменационные вопросы по дисциплине «Методы и средства защиты компьютерной информации»

Современное
состояние информационных технологий.
Проблема защиты информации и подходы
к ее возможному решению.

Особенности
современных информационных технологий

увеличение
количества автоматизированных процедур
в системах обработки данных и важности
принимаемых на их основе решений;
территориальная
распределенность компонентов компьютерных
систем и передача информации между
этими компонентами;

усложнение
используемых программных и накопление
и долговременное хранение больших
массивов данных на электронных носителях,
зачастую не имеющих твердых копий;
интеграция
в единых базах данных информации
различного назначения и различных
режимов доступа;
непосредственный
доступ к ресурсам компьютерных систем
большого количества пользователей
различных категорий и с различными
полномочиями в системе;
рост
стоимости ресурсов компьютерных систем.

Защита
(проблема защиты) информации – это
надежное обеспечения сохранности
информации и установленного статуса
ее использования.

Подходы
к защите компьютерной информации

Фрагментарный
подход
— применяются отдельные организационные
мероприятия, технические и программные
средства (антивирусные программы, не
всегда своевременно обновляемые, и
средства разграничения прав пользователей
компьютерной системы на основе паролей,
часто простых и редко обновляемых).

Системный
– создается целостная система со своим
управляющим блоком (ядром защиты),
которая должна обеспечивать надежную
защиту компьютерной системы во все
время ее функционирования.

Комплексный
– защита компьютерной информации
рассматривается не как одноразовая
акция, а как непрерывный процесс,
целенаправленно проводимый во все время
создания и функционирования компьютерной
системы с комплексным применением всех
имеющихся методов, средств и мероприятий.

Основные
понятия информационной безопасности.

Информация

Под
информацией, применительно к задаче ее
защиты, понимают сведения (сообщения,
данные) независимо от формы их
представления. В зависимости от формы
представления информация может быть
разделена на речевую, телекоммуникационную
и документированную.

Формы
представления информации

К
документированной информации (или
просто к документам) относят информацию,
представленную на материальных носителях
вместе с идентифицирующими ее реквизитами.
Речевая информация возникает в ходе
ведения в помещениях разговоров, работы
систем связи, звукоусиления и
звуковоспроизведения. Телекоммуникационная
информация циркулирует в технических
средствах обработки и хранения информации,
а также в каналах связи при ее передаче.

Информационные
процессы, технологии и системы

К
информационным процессам относят
процессы сбора, обработки, накопления,
хранения, поиска и распространения
информации. Под информационной системой
понимают упорядоченную совокупность
информационных ресурсов (документов и
массивов документов) и информационных
технологий (методов и программно-аппаратных
средств),

Компьютерная
система

Под
компьютерной системой понимают
организационно-техническую систему,
включающую в себя информационные
ресурсы, программно-аппаратные средства,
а также обслуживающий персонал и
пользователей.

Виды
информации

Информацию
разделяют на общедоступную и ограниченного
доступа. К информации ограниченного
доступа относятся государственная
тайна и конфиденциальная информация.
В соответствии с российским законодательством
к конфиденциальной относится следующая
информация:

служебная
тайна (например, тайна суда и следствия);
профессиональная
тайна (врачебная, адвокатская и т.п.);
коммерческая
тайна;
персональные
данные (сведения о фактах, событиях и
обстоятельствах жизни гражданина,
позволяющие идентифицировать его
личность).

Обладатель
информации

Обладателем
информации может быть физическое или
юридическое лицо, Российская Федерация,
ее субъект, муниципальное образование,
которое: самостоятельно создало
информацию или в соответствии с
законодательством или договором получило
право управлять доступом к информации.

Защищаемая
информация

К
защищаемой относится информация, имеющая
обладателя и подлежащая защите в
соответствии с требованиями правовых
документов или требованиями,
устанавливаемыми обладателем информации.
Зашитой
информации называют деятельность по
предотвращению

утечки
защищаемой информации,
несанкционированных
и
непреднамеренных
воздействий на защищаемую информацию.

Характеристики
защищенности информации

Конфиденциальность
(известность содержания информации
только имеющим соответствующие полномочия
субъектам).

Целостность
(неизменность информации в условиях ее
случайного и (или) преднамеренного
искажения или разрушения

Доступность
(способность обеспечения беспрепятственного
доступа субъектов к интересующей их
информации).

Утечка
(копирование) информации

Под
утечкой понимают неконтролируемое
распространение защищаемой информации
путем ее разглашения, несанкционированного
доступа к ней и получениями разведками.
Разглашение – это доведение защищаемой
информации до неконтролируемого
количества получателей информации
(например, публикация информации на
открытом сайте в сети Интернет или в
открытой печати).

Несанкционированный
доступ

Получение
защищаемой информации заинтересованным
субъектом с нарушением правил доступа
к ней.

Воздействие
на информацию (модификация, подмена,
уничтожение)

Несанкционированное
воздействие на защищаемую информацию
– воздействие с нарушением правил ее
изменения (например, намеренное внедрение
в защищаемые информационные ресурсы
вредоносного программного кода или
умышленная подмена электронного
документа).

Под
непреднамеренным воздействием на
защищаемую информацию понимают
воздействие на нее из-за ошибок
пользователя, сбоя технических или
программных средств, природных явлений,
иных нецеленаправленных воздействий
(например, уничтожение документов в
результате отказа накопителя на жестком
магнитном диске компьютера).

Цель
и объекты защиты

Целью
защиты информации (ее желаемым результатом)
является предотвращение ущерба обладателю
или пользователю информации. Под
эффективностью защиты информации
понимают степень соответствия результатов
защиты информации поставленной цели.
Объектом защиты может быть информация,
ее носитель или информационный процесс,
в отношении которых необходимо
обеспечивать защиту в соответствии с
поставленной целью.

Информационная
безопасность и политика безопасности

Совокупность
информационных ресурсов и системы
формирования, распространения и
использования информации называют
информационной средой общества. Под
информационной безопасностью понимают
состояние защищенности информационной
среды, обеспечивающее ее формирование
и развитие. Политика безопасности –
это набор документированных норм, правил
и практических приемов, регулирующих
управление, защиту и распределение
информации ограниченного доступа.

Угрозы безопасности
и каналы утечки информации.

Угрозы
безопасности

Под
угрозой безопасности информации в
компьютерной системе (КС) понимают
событие или действие, которое может
вызвать изменение функционирования
КС, связанное с нарушением защищенности
обрабатываемой в ней информации.
Уязвимость информации – это возможность
возникновения на каком-либо этапе
жизненного цикла КС такого ее состояния,
при котором создаются условия для
реализации угроз безопасности информации.

Атака
на компьютерную систему

Атакой
на КС называют действие, предпринимаемое
нарушителем, которое заключается в
поиске и использовании той или иной
уязвимости. Иначе говоря, атака на КС
является попыткой реализации угрозы
безопасности информации в ней.

Цели
угроз безопасности информации

Нарушение
конфиденциальности (перехват, утечка
или копирование информации).
Нарушение
целостности (разрушение, модификация
или подделка информации).
Нарушение
доступности (блокирование информации
или отказ в обслуживании).

Угроза
раскрытия параметров

Опосредованной
угрозой безопасности информации в КС
является угроза раскрытия параметров
подсистемы защиты информации, входящей
в состав КС. Реализация этой угрозы дает
возможность реализации перечисленных
ранее непосредственных угроз безопасности
информации.

Угрозы
информационной безопасности могут быть
разделены на угрозы, не зависящие от
деятельности человека (естественные
угрозы физических воздействий на
информацию стихийных природных явлений),
и угрозы, вызванные человеческой
деятельностью (искусственные угрозы,
которые являются гораздо более опасными).

Искусственные
угрозы

Искусственные
угрозы, исходя из их мотивов, разделяются
на непреднамеренные (случайные) угрозы
и угрозы преднамеренные (умышленные).
К
непреднамеренным угрозам относятся:

ошибки
в проектировании КС;
ошибки
в разработке программных средств КС;
случайные
сбои в работе аппаратных средств КС,
линий связи, энергоснабжения;
ошибки
пользователей КС;
воздействие
на аппаратные средства КС физических
полей других электронных устройств
(при несоблюдении условий их
электромагнитной совместимости) и др.

Умышленные
угрозы

К
умышленным угрозам относятся:

несанкционированные
действия обслуживающего персонала КС
(например, ослабление политики
безопасности администратором, отвечающим
за безопасность КС);
несанкционированный
доступ к ресурсам КС со стороны
пользователей КС и посторонних лиц,
ущерб от которого определяется
полученными нарушителем полномочиями

Построение
модели угроз

Поскольку сложно
заранее определить возможную совокупность
угроз безопасности информации и
результатов их реализации, модель
потенциальных угроз безопасности
информации в КС должна создаваться
совместно собственником (владельцем)
КС и специалистами по защите информации
на этапе проектирования КС. Созданная
модель должна затем уточняться в ходе
эксплуатации КС.

Комплексный подход
к защите информации. Организационно-правовое
и инженерно-техническое обеспечение
информационной безопасности.

Роль
правового обеспечения

Основой
проведения организационных мероприятий
является использование и подготовка
законодательных и нормативных документов
в области информационной безопасности,
которые на правовом уровне должны
регулировать доступ к информации со
стороны потребителей.

Уровни
правового обеспечения информационной
безопасности.

Первый
уровень образуют международные договора,
к
которым присоединилась Российская
Федерация, и федеральные законы России:

международные
(всемирные) конвенции об охране
промышленной
собственности, об охране интеллектуальной
собственности, об авторском праве;
Конституция
РФ (статья 23 определяет право граждан
на тайну переписки, телефонных,
телеграфных и иных сообщений);
Гражданский
кодекс РФ (в статье 139 устанавливается
право на возмещение убытков от утечки
с помощью незаконных методов информации,
относящейся к служебной и коммерческой
тайне);
Уголовный
кодекс РФ (статья 272 устанавливает
ответственность
за неправомерный доступ к компьютерной
информации, статья 273 – за создание,
использование и распространение
вредоносных программ для ЭВМ, статья
274 – за нарушение правил эксплуатации
ЭВМ, систем и сетей);
федеральный
закон «Об информации, информационных
технологиях и о защите информации»;
федеральные
законы «О государственной тайне»,
«О коммерческой тайне», «О персональных
данных»;
федеральные
законы «О лицензировании отдельных
видов деятельности», «О связи», «Об
электронной цифровой подписи»;
четвертая
часть Гражданского кодекса РФ (охрана
интеллектуальной собственности).

Второй
уровень правового регулирования защиты
информации составляют подзаконные
акты, к которым относятся указы Президента
и постановления Правительства РФ, а
также определения Конституционного
суда РФ, письма Высшего арбитражного
суда РФ и постановления пленумов
Верховного суда РФ.

Третий
уровень правового обеспечения
информационной
безопасности составляют государственные
стандарты (ГОСТы) в области защиты
информации, руководящие документы,
нормы, методики и классификаторы,
разработанные соответствующими
государственными органами.

Четвертый
уровень правового обеспечения
информационной
безопасности образуют локальные
нормативные акты, положения, инструкции,
методические рекомендации и другие
документы по комплексной защите
информации в КС конкретной организации.

Инженерно-технические
средства защиты
информации

Физические
объекты, механические, электрические
и электронные устройства, элементы
конструкции зданий, средства пожаротушения
и другие средства.

Назначение
инженерно-технических средств
защиты информации

защита
территории и помещений КС от проникновения
нарушителей;
защита
аппаратных средств КС и носителей
информации
от хищения;
предотвращение
возможности удаленного (из-за
пределов охраняемой территории)
видеонаблюдения (подслушивания) за
работой персонала и функционированием
технических средств КС;
предотвращение
возможности перехвата ПЭМИН, вызванных
работающими техническими средствами
КС и линиями передачи данных;
организация
доступа в помещения КС сотрудников
организации;
контроль
над режимом работы персонала КС;
контроль
над перемещением сотрудников КС в
различных
производственных зонах;
противопожарная
защита помещений КС;
минимизация
материального ущерба от потерь
информации,
возникших в результате стихийных
бедствий и техногенных аварий.

Технические
средства охраны

Образуют
первый рубеж защиты КС и
включают в себя:

средства
контроля и управления доступом
(СКУД);
средства
охранной сигнализации;
Средства
видеонаблюдения (охранного
телевидения, CCTV).
Основы
криптографической защиты информационных
ресурсов
К
открытому тексту применяется функция
шифрования, в результате чего получается
шифротекст (или криптограмма).

Криптографическая
защита информации.

Применение
криптографических методов
защиты информации

Обеспечение
конфиденциальности информации,
передаваемой по открытым линиям связи
или хранящейся на открытых носителях
информации.
Аутентификация,
обеспечение целостности и
неоспоримости передаваемой информации.
Защита
информационных ресурсов от
несанкционированного
использовани

Шифрование
и расшифрование

Для
восстановления открытого текста из
шифротекста к последнему применяется
функция расшифрования.

Функции
шифрования (E)
и расшифрования (D)
используют один или более дополнительных
параметров, называемых ключом:

E_k

P
(открытый
текст)—> C
(шифротекст)

D_к′

C
(шифротекст)
—> P
(открытый текст)

C=E_k
(P);
P=D_k_′
(C)

Виды
криптографических систем

Если
ключ шифрования
K
совпадает с ключом расшифрования K
′ , то такую криптосистему называют
симметричной; если для шифрования и
расшифрования используются разные
ключи, то такую систему называют
асимметричной .

В
симметричной криптосистеме ключ
должен быть секретным; в асимметричной
системе один из ключей может быть
открытым .

Ключ
симметричного шифрования
обычно называют сеансовым ( session
key).

Пару
ключей асимметричного
шифрования образуют открытый ключ
(public
key)
и личный (или закрытый) ключ ( secret
key,
private
key).

Криптография
и криптоанализ

Науку
о защите информации с помощью шифрования
называют криптографией.

Процесс
получения открытого текста из шифротекста
без знания ключа расшифрования называют
обычно дешифрованием
(или
«»взломом» шифра), а науку о методах
дешифрования – криптоанализом.

Совместным
изучением методов криптографии
и криптоанализа занимается криптология.

Криптостойкость

Характеристика
надежности шифротекста от вскрытия
называется криптостойкостью.
Криптостойкость шифра может оцениваться
двумя величинами:

минимальным
объемом шифротекста, статистическим
анализом которого можно его вскрыть и
получить открытый текст без знания
ключа;

количеством
MIPS-часов
или MIPS-лет
– времени работы условного
криптаналитического компьютера
производительностью один миллион
операций в секунду, необходимой для
вскрытия шифротекста.

Хеширование
информации

Хешированием
информации
называют процесс ее преобразования в
хеш-значение фиксированной длины
(дайджест, образ, хеш-код или просто
хеш).

Понятие
функции хеширования

Односторонняя
функция

Для
любого документа
M
длина его хеш-значения H(M)
постоянна.

Минимальная
вероятность
коллизий

Сложность
нахождения
другого документа с тем же хеш-значением.

Применение
функций хеширования

Хранение
образов паролей пользователей компьютерных
систем в регистрационных базах данных.

Генерация
одноразовых паролей и откликов на
случайные запросы службы аутентификации.

Обеспечение
подлинности и целостности электронных
документов.

Программно-аппаратная
защита информации.

Аппаратные
средства защиты информации

Электронные
и электронно-механические устройства,
включаемые в состав технических средств
КС и выполняющие (самостоятельно или в
едином комплексе с программными
средствами) некоторые функции обеспечения
информационной безопасности. Критерием
отнесения устройства к аппаратным, а
не инженерно-техническим средствам
защиты является именно обязательное
включение в состав технических средств
КС.

Основные
аппаратные средства защиты
информации

устройства
для ввода идентифицирующей пользователя
информации (магнитных и пластиковых
карт, отпечатков пальцев и т.п.);
устройства
для хранения идентифицирующей
пользователя
информации (карты, генераторы одноразовых
паролей, элементы Touch
Memory
и т.п.);
устройства
для шифрования информации;
устройства
для воспрепятствования несанкционированному
включению рабочих станций и серверов
(электронные замки и блокираторы).

Вспомогательные
аппаратные средства
защиты информации

устройства
уничтожения информации на магнитных
носителях;
устройства
сигнализации о попытках несанкционированных
действий пользователей КС и др.

Программные
средства защиты информации

Специальные
программы, включаемые в состав программного
обеспечения КС исключительно для
выполнения защитных функций. К
основным программным средствам защиты
информации относятся:

программы
идентификации и аутентификации
пользователей
КС;
программы
разграничения доступа пользователей
к
ресурсам КС;
программы
шифрования информации;
программы
защиты информационных ресурсов
(системного
и прикладного программного обеспечения,
баз данных, компьютерных средств
обучения и т.п.) от несанкционированного
изменения, использования и копирования.

Идентификация
и аутентификация

Под
идентификацией,
применительно
к обеспечению информационной безопасности
КС, понимают однозначное распознавание
уникального имени субъекта КС (проверка
его регистрации в системе).

Аутентификация
при
этом означает подтверждение того, что
предъявленное имя соответствует данному
субъекту (подтверждение подлинности
субъекта).

Вспомогательные
программные средства
защиты информации

программы
уничтожения остаточной информации (в
блоках оперативной памяти, временных
файлах и т.п.);

программы
аудита (ведения регистрационных
журналов)
событий, связанных с безопасностью КС,
для обеспечения возможности восстановить
и доказать факт происшествия этих
событий;
программы
имитации работы с нарушителем (отвлечения
его на получение якобы конфиденциальной
информации);
программы
тестового контроля защищенности КС и
др.

Преимущества
и недостатки программных
средств защиты информации

Простота
тиражирования.
Гибкость.
Простота
использования.
Неограниченные
возможности
развития.
Расходование
ресурсов компьютерных
систем.
Возможность
обхода (из-за
«пристыкованности»).
Возможность
злоумышленного
изменения.

Способы
несанкционированного доступа к
информации и защиты от него

Основные
способы несанкционированного
доступа к информации в КС

непосредственное
обращение к объекту с конфиденциальной
информацией (например, с помощью
управляемой пользователем программы,
читающей данные из файла или записывающей
их в него);
создание
программных и технических средств,
выполняющих
обращение к объекту в обход средств
защиты (например, с использованием
случайно или намеренно оставленных
разработчиком этих средств так называемых
«люков»);
модификация
средств защиты для осуществления
несанкционированного доступа (например,
внедрение программных закладок);
внедрение
в аппаратные средства КС программных
или аппаратных механизмов, нарушающих
структуру и функции этих средств для
осуществления несанкционированного
доступа (например, путем загрузки на
компьютере иной, незащищенной операционной
системы).

Вспомогательные
способы НСД к информации
в КС

«ручной»
или программный подбор паролей путем
их
полного перебора или при помощи
специального словаря («взлом» КС);
подключение
к КС в момент кратковременного прекращения
работы легального пользователя,
работающего в интерактивном режиме и
не заблокировавшего свой терминал;
подключение
к линии связи и перехват доступа к КС
после отправки пакета завершения сеанса
легального пользователя, работающего
в удаленном режиме;
выдача
себя за легального пользователя с
применением
похищенной у него или полученной
обманным путем (с помощью так называемой
«социальной инженерии») идентифицирующей
информации («маскарад»);
создание
условий для связи по компьютерной
сети легального пользователя с терминалом
нарушителя, выдающего себя за легального
объекта КС (например, один из ее серверов),
«мистификация»;
создание
условий для возникновения в работе
КС сбоев, которые могут повлечь за собой
отключение средств защиты информации
или нарушение правил политики
безопасности;
тщательное
изучение подсистемы защиты КС
и используемой в ней политики безопасности,
выявление уязвимостей в программных
средствах защиты информации в КС,
внедрение программных закладок,
разрешающих доступ нарушителю.

Основные
способы защиты от НСД к компьютерной
информации

Аутентификация
субъектов КС (пользователей
и процессов);

авторизация
субъектов (наделение
их индивидуальным набором прав и
привилегий в КС, включая права доступа
к объектам с конфиденциальной информацией);

аудит
всех
потенциально опасных действий субъектов
в КС (их учет и регистрация в специальном
журнале).

Каналы
утечки информации

Каналы
утечки информации (способы
несанкционированного
ее получения) могут быть разделены на:

косвенные
или общедоступные (не связанные
с физическим доступом к элементам КС);
непосредственные
или узкодоступные (связанные
с физическим доступом к элементам КС).

Косвенные
каналы

использование
подслушивающих (радиозакладных)
устройств;
дистанционное
видеонаблюдение;
перехват
побочных электромагнитных излучений
и наводок (ПЭМИН).

ПЭМИН

Побочные
электромагнитные излучения создаются
техническими средствами КС при обработке
информации, существуют в диапазоне от
единиц герц до 1,5 гигагерц и могут
распространять обрабатываемую информацию.
Наиболее опасными с точки зрения ПЭМИ
являются дисплеи, кабельные линии связи,
накопители на магнитных дисках, матричные
принтеры. Для перехвата ПЭМИ используется
специальная портативная аппаратура.

Побочные
электромагнитные наводки представляют
собой сигналы в цепях электропитания
и заземления аппаратных средств КС и в
находящихся в зоне воздействия ПЭМИ
работающих аппаратных средств КС кабелях
вспомогательных устройств (звукоусиления,
связи, времени, сигнализации), металлических
конструкциях зданий, сантехническом
оборудовании. Эти наведенные сигналы
могут выходить за пределы зоны безопасности
КС.

Непосредственные
каналы

Непосредственные
каналы утечки, не требующие
изменения элементов КС (без оставления
следов)

хищение
носителей информации;
сбор
производственных отходов с информацией;
намеренное
копирование файлов других пользователей
КС;
чтение
остаточной информации после выполнения
заданий
других пользователей (областей
оперативной памяти, удаленных файлов,
ошибочно сохраненных временных файлов);
копирование
носителей информации;
намеренное
использование для несанкционированного
доступа к информации незаблокированных
терминалов других пользователей КС;
маскировка
под других пользователей путем похищения
их идентифицирующей информации (паролей,
карт и т.п.);
обход
средств разграничения доступа к
информационным
ресурсам вследствие недостатков в их
программном обеспечении и др.
незаконное
подключение специальной регистрирующей
аппаратуры к устройствам или линиям
связи (пассивное для фиксации и сохранения
передаваемых данных или активное для
их уничтожения, искажения или подмены);
злоумышленное
изменение программ для выполнения
ими несанкционированного копирования
информации при ее обработке;
злоумышленный
вывод из строя средств защиты информации.

Пассивное
и активное подключение

Пассивное
подключение нарушителя к
устройствам или линиям связи легко
предотвратить (например, с помощью
шифрования передаваемой информации),
но невозможно обнаружить.

Активное
подключение, напротив, легко
обнаружить (например, с помощью механизма
электронной цифровой подписи), но
невозможно предотвратить.

Необходимость
комплексного подхода
к защите информации

Поскольку
наиболее опасные угрозы информационной
безопасности вызваны преднамеренными
действиями нарушителя, которые в общем
случае являются неформальными, проблема
защиты информации относится к формально
не определенным проблемам.

Надежная
защита информации в КС не может
быть обеспечено только формальными
методами (например, только программными
и аппаратными средствами).

Защита
информации в КС не может быть абсолютной.

Обеспечение
информационной безопасности
КС является непрерывным процессом,
целенаправленно проводимым на всех
этапах ее жизненного цикла с комплексным
применением всех имеющихся методов и
средств.

Основные
группы методов и средств защиты
информации

методы
и средства организационно-правовой
защиты информации;
методы
и средства инженерно-технической защиты
информации;
криптографические
методы и средства защиты
информации;
программно-аппаратные
методы и средства защиты
информации.

Аутентификация
пользователей на основе паролей.

Аутентификация
пользователей на основе
паролей

При
выборе паролей пользователи КС должны
руководствоваться двумя, по сути
взаимоисключающими правилами – пароли
должны трудно подбираться и легко
запоминаться

Оценка
сложности подбора паролей

Сложность
подбора пароля определяется, в первую
очередь, мощностью множества символов,
используемого при выборе пароля (N),
и минимально возможной длиной пароля
(k).
В этом случае количество различных
паролей может быть оценено снизу как
C_p=N^k.
Например, если множество символов пароля
образуют строчные латинские буквы, а
минимальная длина пароля равна 3, то
C_p=26³=
17 576 (что совсем немного для программного
подбора). Если же множество символов
пароля состоит из строчных и прописных
латинских букв, а также цифр, и минимальная
длина пароля равна 6, то C_p=62⁶=
56 800 235 584.

Другие
требования к паролям

максимальный
срок действия пароля (любой секрет
не может сохраняться в тайне вечно);
несовпадение
пароля с идентификатором пользователя,
под которым он зарегистрирован в КС;
неповторяемость
паролей одного пользователя.

Неповторяемость
паролей

Требование
неповторяемости паролей может
быть реализовано сочетанием двух мер.
Во-первых, можно установить минимальный
срок действия пароля (в противном случае
пользователь, вынужденный после истечения
срока действия своего пароля поменять
его, сможет тут же сменить пароль на
старый). Во-вторых, можно вести список
уже использовавшихся данным пользователем
паролей (максимальная длина списка при
этом может устанавливаться администратором).

Назначение
и смена пароля

Наиболее
целесообразным является выбор пароля
пользователем на основе установленных
администратором правил с возможностью
администратора задать новый пароль
пользователя в случае, если тот забыл
свой пароль (поскольку администратору
неизвестен старый пароль пользователя,
он не может злоупотребить этой
возможностью).

Противодействие
попыткам подбора паролей

ограничение
числа попыток входа в систему (ведение
специального счетчика с его автоматическим
обнулением через заданный промежуток
времени);

скрытие
имени последнего работавшего пользователя
(знание имени может помочь нарушителю
подобрать или угадать его пароль);

учет
всех попыток (успешных и неудачных)
входа
в систему в журнале аудита

Реакция
на попытки подбора паролей

блокировка
учетной записи, под которой осуществляется
попытка входа, при превышении максимально
возможного количества попыток (на
заданное время или до «ручного» снятия
блокировки администратором);

нарастающее
увеличение временной задержки
перед предоставлением пользователю
следующей попытки входа.

Постоянная
блокировка учетной записи при обнаружении
попытки подбора пароля (до снятия
блокировки администратором) менее
целесообразно, поскольку позволит
нарушителю намеренно заблокировать
работу в КС легального пользователя
(реализовать угрозу нарушения доступности
информации).

Правила
ввода пароля

Символы
вводимого пароля не отображаются
на экране.

Для
подтверждения правильности ввода пароля
при его назначении или смене (с учетом
первого правила) этот ввод повторяется
дважды.

Хранение
паролей в регистрационной
базе данных

Очевидно,
что в базе данных учетных записей
пользователей
КС пароли не могут храниться в открытом
виде (иначе к ним может получить доступ
как минимум администратор системы).

Наиболее
безопасным является хранение паролей
в
хешированном виде. Хеширование является
необратимым преобразованием и знание
хеш-значения пароля не даст нарушителю
возможности его получения в открытом
виде (он сможет только пытаться подобрать
пароль при известной функции хеширования).

Недостатки
парольной аутентификации

Сложно
обеспечить реальную уникальность и
сложность каждого вновь выбираемого
пользователем пароля (например, можно
выбирать пароли «А1», «А2» и т.д., где А –
первый пароль пользователя, удовлетворяющий
требованиям сложности).

Возможность
перехвата пароля в открытом виде
или его подбора по хеш-значению.

Возможность
поучения или смены пароля в результате
обмана.

Необходимость
ведения регистрационной
базы данных

Присвоение
каждому пользователю КС уникального
имени, под которым он регистрируется в
базе данных учетных записей, не только
позволяет предоставить разным
пользователям КС различный уровень
прав в ней, но и дает возможность полного
учета всех действий пользователя в
системе в журнале аудита.

Протокол
идентификации пользователя
при его входе в КС

Под
протоколом
в
общем случае понимают конечную
последовательность однозначно и точно
определенных действий, выполняемых
двумя или более сторонами для достижения
желаемого результата за конечное время.

Система
S:
запрос имени, под которым пользователь
U
зарегистрирован в базе данных учетных
записей КС SADB
(идентификатора пользователя или так
называемого «логина»).

U:
ввод идентификатора (ID).

S:
проверка наличия ID
в SADB.
Если пользователь с таким именем
зарегистрирован, то запрос его
аутентифицирующей информации. Иначе
возврат к п. 1.

U:
ввод аутентифицирующей информации (P).

S:
проверка совпадения P с аутентифицирующей
информацией для пользователя ID в SADB.
Если совпадение есть, то авторизация
пользователя в КС. Иначе возврат к п. 3.

Организация и
хранение базы данных учетных записей
пользователей.

Хранение
паролей в регистрационной
базе данных

Недостатки
парольной аутентификации

Возможность
перехвата пароля в открытом виде
или его подбора по хеш-значению.

Возможность
поучения или смены пароля в результате
обмана.

Необходимость
ведения регистрационной
базы данных

Типичная
структура учетной записи i
в
регистрационной базе данных

имя
(идентификатор) пользователя
ID_i
;

полное
имя пользователя и его должность в
организации D_i
;

случайное
значение, генерируемое при
регистрации пользователя в КС, S_i
, или относительный номер учетной записи
RID_i
;

аутентифицирующая
пользователя
информация P_i
(например, хеш-значение его пароля) ;

информация
о правах пользователя в КС
G_i
.

Причины
использования
S_i
( RID_i
)

Применяются
при вычислении хеш-значения пароля
пользователя для:

усложнения
подбора пароля по его хеш-значению
(исключения возможности использования
нарушителем заранее составленного
словаря хеш-значений популярных или
вероятных паролей)

предотвращения
возможности одному пользователю
получить полномочия другого при случайном
совпадении их паролей, т.к. хеш-значения
одинаковых паролей будут разными.

Учетные
записи групп

Для
удобства назначения полномочий
пользователям
КС они могут объединяться в группы в
соответствии с должностным положением
пользователей в организации и (или) их
принадлежностью одному из ее структурных
подразделений.

Информация
о группах пользователей также может
размещаться в регистрационной базе
данных КС.

Предопределенные
учетные записи

Создаются
автоматически при установке системы
(их имена фиксированы, но в некоторых
системах могу быть изменены).

Гримерами
являются учетные записи администратора
(суперпользователя), группы администраторов,
гостя (анонимного пользователя), а также
учетные записи псевдопользователей.

Псевдопользователи

Учетные
записи могут создаваться и для компонентов
самой системы (ее ядра или отдельных
служб)

Такие
учетные записи, которым не соответствуют
пользователи-физические лица или их
группы, принято называть псевдопользователями.

Доступ
к регистрационной базе данных

Доступ
к базе данных учетных записей КС как
по чтению, так и по записи должен быть
разрешен только привилегированному
пользователю (администратору).

Если
разрешен доступ по записи (без права
добавления
данных), то тогда возможна такая ситуация.
Пользователь i
после входа в КС изменяет аутентифицирующую
информацию в учетной записи пользователя
j
на
аутентифицирующую информацию из своей
учетной записи, сохраняя при этом
«старую» информацию из учетной записи
j,
после чего завершает сеанс работы с КС
и возобновляет его уже как пользователь
j.
Применив полномочия другого пользователя,
нарушитель восстанавливает аутентифицирующую
информацию в учетной записи j,
после чего завершает сеанс работы с КС.

Если
к регистрационной базе данных КС разрешен
доступ по чтению, то пользователь-нарушитель
сможет скопировать ее на собственный
носитель или просто в другой файл и
осуществить попытку подбора
аутентифицирующей информации (например,
пароля) привилегированного пользователя
для осуществления несанкционированного
доступа с помощью «маскарада».

Протокол
идентификации пользователя
при его входе в КС

U:
ввод идентификатора (ID).

U:
ввод аутентифицирующей информации (P).

Хранение
паролей в ОС Unix

Учетные
записи пользователей операционных
систем клона Unix

Хранятся
в текстовом файле /
etc
/ passwd
в виде отдельных строк и имеют следующий
формат:

логическое
имя пользователя
ID
: хеш-значение
его пароля
H
( P
) : системный
идентификатор пользователя
UID
: системный
идентификатор первичной группы
пользователя
GID
: полное
имя и должность пользователя
D
: домашний
(рабочий) каталог пользователя
HD
: командный
процессор (оболочка), применяемый
пользователем,
SH

Привилегии
пользователей в ОС Unix

Определяются
полями учетной записи UID,
GID,
HD
и SH.

При
работе в системе пользователь полностью
идентифицируется
своим системным идентификатором UID,
поэтому два пользователя с одинаковым
идентификатором, будут обладать
совершенно одинаковыми правами в
системе.

В
учетных записях псевдопользователей
в поле хеш-значения
пароля помещается *, что не позволяет
применять эти логические имена для
входа в систему.

Поскольку
привилегии пользователя в КС
определяются не его логическим именем,
а значением UID
, вход в систему пользователя с именем
root
и с системным идентификатором, отличным
от нуля, не обеспечит ему привилегий
суперпользователя.

С
другой стороны, вход в систему
пользователя с произвольным логическим
именем и с UID
, равным нулю, даст ему все полномочия
суперпользователя.

Алгоритм
хеширования паролей

На
основе времени суток генерируется
случайное значение S
( 12 битов), которое затем преобразуется
в строку из двух символов и запоминается
в файле учетных записей как первые два
символа поля с хеш-значением пароля.

Магическое
значение
M
длиной 64 бита, состоящее из нулей или
пробелов, зашифровывается по алгоритму
DES
, причем в качестве ключа шифрования
длиной 56 бит используется пароль
пользователя P
, а S
применяется для модификации алгоритма
шифрования.

Полученное
значение длиной 64 бита
вновь зашифровывается на том же ключе
(общее число повторений равно 25);

Полученное
окончательное значение
преобразуется в 11 символов (каждым 6
битам соответствует один символ из
множества {‘.’, ‘/’, ‘0’-‘9’, ‘A’-‘Z’,
‘a’-‘z’});

Полученная
строка символов записывается
в файл учетных записей после случайного
значения.

В
современных версиях
Unix
на шагах 2 и 3 вместо функции шифрования
DES
используется функция хеширования MD5.

Минимальная
длина пароля

Поскольку
пароль используется в
алгоритме хеширования в качестве ключа
DES
-шифрования длиной 56 бит, его минимальную
длину целесообразно выбирать равной
восьми символам (56 бит в кодировке
ASCII
).

Затенение
паролей

По
умолчанию к файлу /
etc
/ passwd
разрешен доступ по чтению для всех
пользователей КС. Это необходимо,
поскольку сведения об идентификаторах
пользователя и группы, домашнем каталоге
и логическом имени пользователя из
этого файла должны быть доступны
различным программам.

Для
защиты хеш-значений паролей от
чтения непривилегированными пользователями
выполняется процедура «затенения» (
shadow
) паролей.

Хеш-значения
паролей перемещаются из
файла / etc
/ passwd
в файл / etc
/ shadow
(/ etc
/ security
/ passwd
. adjunct
или / etc
/ master
. passwd
в других операционных системах).

В
исходном файле учетных записей при
использовании «затенения» паролей в
поле хеш-значения пароля помещаются
специальные символы (например, x)
или случайная строка символов (для
усложнения задачи подбора паролей).
Доступ к файлу теневых паролей имеет
только привилегированный пользователь.

Учетные
записи групп

Информация
о группах пользователей в операционных
системах семейства Unix
помещается в файл / etc
/ group.
Каждая запись в этом файле имеет следующий
формат:

имя
группы
: пароль
группы
: системный
идентификатор группы
GID
: список
разделенных запятыми логических имен
пользователей-членов группы

При
использовании паролей групп следует
применять
«затенение» паролей групп, аналогичное
созданию теневых паролей пользователей
(в этом случае хеш-значения паролей
групп перемещаются в файл / etc
/ gshadow
или аналогичный).

Хранение
паролей в ОС Windows

База
данных учетных записей содержится в
разделе реестра HKEY _ LOCAL _ MACHINE SAM (в
файле Windows System 32 Config SAM ). К базе
данных SAM не может быть получен доступ
для чтения или изменения с помощью
штатных средств операционной системы
даже администратором ( она открывается
ядром операционной системы во время
ее загрузки в монопольном режиме). Для
ее редактирования предназначены
специальные функции из набора Windows API
и специальные системные приложения.

Хранение
паролей в ОС Windows.

Пароль
пользователя в базе данных SAM
хранится в виде двух хеш-значений, каждое
из которых имеет длину 128 бит. Первое из
этих хеш-значений формируется по
алгоритму Windows
NT:

Строка
символов пароля P
усекается до 14 знаков (при необходимости)
и преобразуется в кодировку Unicode,
в которой каждый символ представляется
двумя байтами.

Вычисляется
хеш-значение преобразованного пароля
H(P)
длиной 128 бит (используется функция
хеширования MD4).

Алгоритм

Windows
NT

Полученное
хеш-значение
зашифровывается по алгоритму DES
с помощью ключа, равного относительному
номеру учетной записи пользователя,
E_RID
( H
( P
)).

Полученный
результат шифрования
записывается в базу данных учетных
записей.

Хранение
паролей в ОС Windows

Второе
хеш-значение пароля пользователя
вычисляется
по алгоритму LAN
Manager:

Все
буквенные символы (латинского алфавита)
строки
пароля P
преобразуются к верхнему регистру.

Строка
символов пароля дополняется нулями,
если
она короче 14 байтов, и делится на две
семибайтовые половины P₁
и P₂.

Каждое
из значений P₁
и P₂
используется в качестве ключа для
шифрования по алгоритму DES
магической строки M=”KGS!@#$%”,
в результате которого получаются два
значения из 64 бит каждое – H₁=E_P₁(M)
и H₂=E_P₂(M).

Алгоритм

LAN
Manager

Выполняется
шифрование по алгоритму DES
на ключе, равном относительному номеру
учетной записи, результата сцепления
H₁
и H₂
– E_RID(H₁
|| H₂).

Полученный
результат шифрования помещается в
базу данных SAM.

Алгоритм
LAN
Manager
является мене стойким (искусственно
уменьшается мощность алфавита, из
которого выбираются символы пароля, а
разделение пароля на две половинки
облегчает его подбор в том случае, если
длина пароля не превышает семи знаков,
так как результат шифрования магической
строки на нулевом ключе заранее известен
нарушителю).

Сложность
паролей в ОС Windows

Требования
к паролям при включении специального
параметра безопасности:

длина
не менее 6 символов;

включение
символов хотя бы из трех подмножеств
(строчные буквы, прописные буквы, цифры,
специальные знаки);

Несовпадение
с именем ученой записи или его
частью.

Программа

syskey

Обеспечит
шифрование хеш-значений
паролей с помощью первичного ключа
длиной 128 бит, хранящегося в реестре
также в зашифрованном виде.

После
запуска программы
syskey
администратор должен выбрать способ
хранения системного ключа длиной 128
бит, который будет использован для
шифрования первичного ключа.

Способы
хранения системного ключа

в
системном реестре (преимущество этого
варианта
в отсутствии необходимости присутствия
привилегированного пользователя при
перезагрузке операционной системы, а
недостаток – в наименьшей защищенности
хранения системного ключа);

в
файле startup.key
(длиной 16 байт) в корневом каталоге
специальной дискеты (в этом случае
придется отдельно позаботиться о
защищенном хранении этой дискеты и ее
резервной копии);

без
физического сохранения системного
ключа, который
будет генерироваться из специальной
парольной фразы Альтернатива
использованию программы
syskey

Включение
параметра безопасности
«Сетевая безопасность: не хранить хеш-
значений Lan
Manager
при следующей смене пароля».

База
данных
SAM

Содержит
учетные записи пользователей и
групп.

Права
учетной записи в системе
определяются ее уникальным идентификатором
безопасности SID
( security
identifier
).

Идентификатор
безопасности представляет
собой структуру переменной длины,
которая однозначно определяет
пользователя или группу.

Аутентификация
пользователей на основе
модели «рукопожатия»

Пользователь

U

и система S

согласовывают при регистрации
пользователя в КС функцию f
, известную только им. Протокол
аутентификации пользователя в этом
случае выглядит так:

S
: генерация случайного значения x
(запроса); вычисление y
= f
( x
); вывод x
.

U
: вычисление отклика y
’= f
’( x
); ввод y
’.

S
: если y
и y
’ совпадают, то пользователь авторизуется
в системе, иначе попытка входа в систему
отклоняется.

К
функции f
предъявляется требование, чтобы по
известным x
и f(x)
нельзя было «угадать» f.
Преимущества аутентификации на основе
модели «рукопожатия» перед парольной
аутентификацией:

между
пользователем и системой не передается
никакой
конфиденциальной информации;

каждый
следующий сеанс входа пользователя в
систему
отличен от предыдущего, поэтому даже
длительное наблюдение за этими сеансами
ничего не даст нарушителю.

К
недостаткам аутентификации на основе
модели
«рукопожатия» относится большая
длительность этой процедуры по сравнению
с парольной аутентификацией.

Аутентификация
пользователей на основе модели
«рукопожатие».

Взаимная
аутентификация

Парольная
аутентификация совершенно неприменима
в случае взаимного подтверждения
подлинности пользователей компьютерной
сети. Действительно, пусть А
и
Б
обозначают
двух пользователей сети, имеющих
соответственно пароли P_А
и P_Б.
Тогда протокол взаимной аутентификации
А
и
Б
мог
бы выглядеть так:

А->Б:
А, запрос P_Б.

Б->А:
Б, запрос P_А.

А->Б:
А, P_А.

Б->А:
Б, P_Б.

Но
в момент отправки своего пароля (неважно,
в открытой или защищенной форме) А
не
может быть уверении в подлинности Б,
который может воспользоваться паролем
А,
чтобы выдать себя за А
при
взаимодействии с еще одним пользователем
компьютерной сети В.

Модель
«рукопожатия» вполне приемлема для
взаимной аутентификации:

Взаимная
аутентификация по модели
«рукопожатия»

А
: выбор значения x
; вычисление y
= f
( x
).

А
— >Б
: А, x.

Б
: вычисление y
’= f
( x
).

Б
— >А
: Б, y’.

А
: если y
и y
’ совпадают, то А

может доверять Б
.

Затем
процедура аутентификации
повторяется с переменой «ролей» (теперь
Б

начинает процесс и выбирает значение
x
′ ), чтобы Б

мог также быть уверен в подлинности А
.

Аутентификация
пользователей на основе
модели «рукопожатия»

При
локальном доступе пользователя к
системе функция f
может быть задана таблицей своих
значений (ля возможности ее запоминания
и вычисления отклика) или вычисляться
с помощью специального устройства,
имеющегося у пользователя.

Но
в основном модель «рукопожатия»
применяется при удаленной аутентификации.

Программно-аппаратная
защита от локального НСД.

Программно-аппаратная
защита от локального
НСД

Порядок
активизации программ после
включения питания компьютера и до
загрузки операционной системы:

программа
самопроверки устройств
компьютера POST
( Power
On
– Self
Test
);

программа

BIOS
Setup
(может быть вызвана пользователем во
время выполнения программы POST
, обычно для этого необходимо нажать
клавишу Delete
),

программы

BIOS;

Порядок
активизации программ

программы
расширения BIOS
(BIOS
Extension),
если соответствующая плата установлена
на компьютере;

программа
начальной загрузки, которая размещается
в первом секторе нулевой головки нулевого
цилиндра жесткого диска компьютера
(Master
Boot
Record,
MBR)
и функции которой входит определение
активного раздела жесткого диска и
вызов программы загрузки операционной
системы;

программа
загрузки операционной системы, которая
размещается в первом секторе активного
раздела жесткого диска, загрузочного
компакт-диска или загрузочной дискеты;

оболочка
операционной системы.

Невозможность
надежной аутентификации
только программными средствами

Если
программа начальной загрузки содержит
вредоносный код, то и загруженная затем
операционная система будет фактически
функционировать под управлением
программы нарушителя.

Если
нарушитель получит доступ к коду
процедуры
хеширования пароля пользователя и его
хеш-значению, он сможет подобрать пароль
любого пользователя КС и осуществить
несанкционированный доступ к информации.

Программно-аппаратная
защита от локального
НСД

Для
гарантированной работы программно-аппаратного
средства защиты от несанкционированной
загрузки операционной системы достаточно,
чтобы программа защиты и хеш-значения
паролей пользователей были аппаратно
защищены от чтения программными
средствами во время сеанса работы
пользователя (после загрузки ОС).

Модель
(возможности) нарушителя

установка
системы защиты производится в его
отсутствие;

нарушитель
не может вскрыть системный блок
компьютера;

нарушитель
не может перезаписать информацию в ПЗУ
BIOS
при работающем компьютере;

нарушитель
не имеет пароля установки системы
защиты;

нарушитель
не имеет пароля пользователя КС;

нарушитель
не имеет копии ключевой информации
пользователя,
хранящейся в элементе аппаратного
обеспечения (например, в элементе Touch
Memory).

Программно-аппаратная
защита от локального
НСД

Программные
средства системы защиты
должны быть записаны на плате расширения
BIOS
, для каждой из которых определен
уникальный пароль установки. Установка
системы защиты производится на
компьютере, свободном от вредоносных
программ типа закладок и вирусов. После
установки платы расширения BIOS
выполняется процедура установки системы
защиты.

Установка
системы защиты

После
включения питания компьютера программа,
записанная на плате расширения BIOS,
выдает запрос на ввод пароля.

После
ввода пароля установки P_S
(как правило, администратором системы)
происходит загрузка операционной
системы и запуск собственно программы
установки (проверочные функции системы
защиты при этом отключаются).

По
запросу программы установки вводятся
пароль
пользователя P,
ключевая информация с элемента аппаратного
обеспечения (например, серийный номер
элемента Touch
Memory)
KI
и имена подлежащих проверке системных
и пользовательских файлов F₁,
F₂,
… , F_n.

Для
каждого указанного файла
F_i
вычисляется и сохраняется проверочная
информация в виде

E_k
(H(P_S
, P,
KI,
F_i
)) ( E
– функция шифрования, k
– ключ шифрования, H
– функция хеширования).

Проверочная
информация сохраняется в
скрытых областях жесткого диска.

Вход
пользователя в КС

После
включения питания компьютера программа
на плате расширения BIOS
запрашивает имя и пароль пользователя
и просит установить элемент аппаратного
обеспечения с его ключевой информацией.

Осуществляется
проверка целостности выбранных
при установке системы защиты файлов
путем вычисления хеш-значения для них
по приведенному выше правилу и сравнения
с расшифрованными эталонными
хеш-значениями;

В
зависимости от результатов проверки
выполняется
либо загрузка операционной системы,
либо запрос на повторны

Программно-аппаратная
защита от локального
НСД

После
завершения работы пользователя
элемент аппаратного обеспечения с его
ключевой информацией изымается из
компьютера. Доступ же к хеш-значению
пароля фактически заблокирован, так
как программное обеспечение для его
вычисления и сравнения с эталоном
«исчезает» из адресного пространства
компьютера и не может быть прочитано
никакими программными средствами без
извлечения платы расширения BIOS
.

Если
у нарушителя нет пароля пользователя
или копии
элемента аппаратного обеспечения с его
ключевой информацией, то он не сможет
выполнить загрузку операционной системы.

Если
у нарушителя есть пароль установки
системы защиты,
что позволит ему загрузить операционную
систему без проверочных функций, или
он получил доступ к терминалу с уже
загруженной операционной системой, то
он сможет осуществить несанкционированный
доступ (НСД) к информации, но не сможет
внедрить программные закладки для
постоянного НСД.

Наличие
пароля установки без знания пароля
пользователя
или его ключевой информации не позволит
нарушителю переустановить систему
защиты для постоянного НСД.

Аутентификация
пользователей по их биометрическим
характеристикам.

Биометрические
характеристики

Физические
характеристики
человека (статические).
Поведенческие
характеристики
(динамические).

Максимальная
уникальность
(в т.ч. для близнецов), постоянство в
течение длительного периода, отсутствие
воздействия состояния человека или
косметики.

Не
требуется измерение одного
и того же параметра для снижения риска
воспроизведения.

Возможные
статистические аутентификации:

Аутентификация
по отпечаткам пальцев
Аутентификация
по геометрической
форме руки
Аутентификация
по радужной оболочке
глаза
Аутентификация
по форме
лица
Аутентификация
по термограмме лица (схема расположения
кровеносных
сосудов лица). Используется
специально разработанная инфракрасная
камера.
Аутентификация
по фрагментам генетического кода (ДНК)
— в настоящее
время эти средства применяются редко
по причине их сложности и высокой
стоимости.

Динамические
биометрические характеристики

Голос.
Рукописная
подпись.
Темп
работы с клавиатурой (клавиатурный
«почерк»).
Темп
работы с мышью («роспись» мышью).

Зависят
от физического и психического состояния
человека (в определенных случаях может
являться преимуществом).

Создание
биометрического эталона

Требуется
достаточное количество
измерений (для исключения естественных
расхождений в измерениях и получения
достоверного эталона ) .

Возможно
снятие нескольких подписей
(например, отпечатков нескольких пальцев)
для снижения риска ошибочного отказа.

Иногда
может потребоваться обучение
пользователя, если снимаемая характеристика
подвержена большим вариациям.

Проверка
биометрической подписи

В
отличие от проверки паролей не требуется
точное
совпадение считанной биометрической
подписи и эталона, сравниваются
округленные значения.

Для
хранения биометрического эталона не
может
применяться хеширование.

Оценка
точности биометрической аутентификации

Две
оценки: вероятность ошибочного отказа

(ошибки 1-го рода, FRR) и вероятность
ошибочного допуска (ошибки 2-го рода,
FAR).

Необходимо
достижения компромисса между
уровнем безопасности и удобством
использования.

Уменьшение
порога допустимого отклонения от
эталона снижает риск ошибочного допуска,
но увеличивает риск ошибочного отказа.

Т.к. FRR
и FAR зависят от порога, для объективной
оценки точности биометрической системы
используется коэффициент ERR.

Чем
меньше ERR,
тем выше обеспечиваемый уровень
безопасности.

Достоинства и
недостатки биометрической
аутентификации

трудность
фальсификации
этих признаков;
высокая
достоверность аутентификации
из-за уникальности таких признаков;
неотделимость
биометрических
признаков от личности пользователя.

более
высокая стоимость
по сравнению с другими средствами
аутентификации;
возможность
отказа легальному
пользователю;
возможность
утечки персональных
данных и нарушения тайны частной жизни.

Аутентификация
при удаленном доступе.

Аутентификация
при удаленном доступе

Аутентифицирующая
информация передается
по открытым каналам связи.
Угроза
перехвата и воспроизведения нарушителем
аутентифицирующей информации (паролей
в открытом или хешированном виде,
биометрических данных) для «маскарада».
Угроза
подмены ответа выделенного сервера
аутентификации.

Прямая
аутентификация

Существует
одна точка обслуживания (сервер)
или каждая точка обслуживания
самостоятельно аутентифицирует своих
пользователей (имеет свою базу учетных
записей).

Протокол
CHAP

Challenge
Handshake Authentication Protocol

Идеей
протокола
CHAP
является передача клиентом пароля в
хешированном виде с использованием
полученного от сервера случайного
числа.

Сервер
аутентификации AS:
генерация случайного числа N.

AS->Клиент
C:
идентификатор сервера ID_S,
N
и его длина в байтах (вызов).

Пользователь
U->C:
пароль P.

C:
вычисление хеш-значения R=H(ID_S,
N,
P).

C->AS:
ID_U,
R (отклик).

AS:
извлечение из регистрационной базы
данных соответствующего ID_U
значения P,
вычисление хеш-значения H(ID_S,
N,
P)
и сравнение его с R.

AS->C:
если хеш-значения совпадают, то авторизация
U,
иначе отказ в доступе и разрыв соединения.

Протокол

S/Key

Идея
протокола
S
/ Key
основывается на модели одноразовых
паролей, получаемых последовательным
применением необратимой (односторонней)
функции (например, функции хеширования).

Протокол

S
/ Key
состоит из двух частей – генерации
списка одноразовых паролей (парольной
инициализации) и собственно аутентификации.

Процедура
парольной инициализации

Сервер
аутентификации AS
вычисляет предварительный одноразовый
пароль Y_M₊₁=H⁽^M⁺¹⁾(N,P)=H(H(…(H(N,P))…))
(M+1
раз выполняется хеширование) и сохраняет
N
(случайное число), M
(количество неиспользованных одноразовых
паролей), Y_M₊₁
вместе с ID
и P
(именем и секретным паролем пользователя)
в регистрационной базе данных.

N
используется
для исключения передачи по сети секретного
пароля пользователя P
для генерации нового списка одноразовых
паролей.

Непрямая
аутентификация

Решение
проблемы масштабируемости КС.
Механизм
аутентификации реализован на отдельном
сервере, а все другие серверы связываются
с сервером аутентификации.

Используются
более сложные протоколы (RADIUS,
Kerberos),
выполнение которых начинается после
попытки входа на какой-либо сервер
пользователя с удаленной клиентской
РС.

Дополнительная
угроза – подделка ответов сервера
аутентификации
или сервера обслуживания.

Для
повышения отказоустойчивости
поддерживается автоматическая
репликация базы учетных записей для
распределения нагрузки между несколькими
серверами аутентификации (могут
появляться проблемы при объединении
КС разных организаций).

Протокол
RADIUS

Remote
Authentication Dial In User Service.

Сервер
доступа (NAS,
Network
Access
Server)
выступает в качестве агента RADIUS.
Агент отвечает за передачу сведений о
пользователе заданным серверам RADIUS
и дальнейшие действия в зависимости от
возвращенной сервером информации.

Серверы
RADIUS
отвечают за прием запросов агента,
идентификацию и аутентификацию
пользователей и возврат агенту всех
конфигурационных параметров, требуемых
для предоставления пользователю
соответствующих услуг.

Аутентификация
транзакций между агентом и
сервером RADIUS
осуществляется с использованием
разделяемого ключа K_R
(ключа RADIUS),
который никогда не передается через
сеть. В дополнение к этому пользовательские
пароли между агентами и серверами RADIUS
передаются в зашифрованном виде во
избежание перехвата паролей при их
передаче через незащищенные сети.

Недостаток
– при любом обращении
пользователя к серверу удаленного
доступа (агенту RADIUS)
требуется проведение аутентификации
пользователя с помощью сервера RADIUS,
что увеличивает сетевой трафик и
усложняет масштабирование компьютерной
сети.

Управление
сетевыми ресурсами внутри
одной организации (протокол Kerberos)т
ой
– KDC
и клиен

Получение
мандата

Пользователь
вводит свой пароль только для расшифровки
начального билета, после чего он уже не
должен находиться на его рабочей станции.
Для защиты от повтора в мандатах
используются метки времени, имена
пользователей (серверов) и сетевые
адреса компьютеров.

Виртуальные
частные сети и способы их построения.

Виртуальные
частные сети

Типовые
угрозы безопасности открытых сетей
передачи
данных (типа Интернета):
Анализ
сетевого трафика.
Подмена
субъекта или объекта соединения.
Внедрение
ложного объекта (угроза «человек
посередине»).
Отказ
в обслуживании.

Технология
предназначена для защиты от
перечисленных выше угроз и включает в
себя следующие этапы:

Согласование
параметров защищенной
связи (криптографических алгоритмов
и ключей).
Шифрование
исходного
IP- пакета.
Инкапсуляция
его в блок данных нового
IP-
пакета.
Добавление
заголовка к новому
IP-
пакету.

Способы
построения
VPN

Программные.
Программно-аппаратные.

На
канальном уровне модели OSI
(протоколы L2TP,
PPTP,
L2F)
– обеспечивается независимость от
протоколов сетевого уровня, но сложность
конфигурирования при соединении двух
ЛВС.

На
сетевом уровне (IPSec,
SKIP)
– хорошая масштабируемость.

На
сеансовом уровне (SSL,
TLS,
SOCKS)
– независимое управление передачей
данных в обоих направлениях, возможность
сочетания с VPN
других типов.

Протокол

IPSec

Протокол
аутентифицирующего заголовка (AH)
предназначен для защиты от атак, связанных
с несанкционированным изменением
содержимого пакета, в том числе от
подмены адреса отправителя сетевого
уровня.

Протокол
инкапсуляции зашифрованных данных
(ESP)
предназначен для обеспечения
конфиденциальности данных. Необязательная
опция аутентификации в этом протоколе
может обеспечить контроль целостности
зашифрованных данных.

Режимы
протокола IPSec

Транспортный
режим используется для шифрования
поля данных IP
пакета, содержащего протоколы транспортного
уровня (TCP,
UDP,
ICMP),
которое, в свою очередь, содержит
информацию прикладных служб.

Туннельный
режим предполагает шифрование всего
пакета, включая заголовок сетевого
уровня. Туннельный режим применяется
в случае необходимости скрытия
информационного обмена организации с
внешним миром. При этом, адресные поля
заголовка сетевого уровня пакета,
использующего туннельный режим,
заполняются межсетевым экраном
организации и не содержат информации
о конкретном отправителе пакета.

Модель
(возможности) нарушителя

знает
топологию всей сети;
знает
IP-адреса
хостов защищаемых подсетей (ЛВС
организации);
имеет
образцы программного и аппаратного
обеспечения
установленных в подсетях рабочих
станций и серверов;
владеет
сведениями о внедренных в стандартное
программное
обеспечение рабочих станций и серверов
закладках, случайно или намеренно
оставленной отладочной информации,
ключах шифрования и т.п.;
не
знает сеансовых и базовых ключей
шифрования,
используемых специализированными
криптомаршрутизаторами;
не
имеет возможности осуществить локальный
несанкционированный
доступ к информации.

Характеристики
криптомаршрутизатора

физическое
разделение внешних (с сетью Интернет)
и внутренних (с хостами обслуживаемой
подсети) интерфейсов (например, с помощью
двух разных сетевых карт);
возможность
шифрования всех исходящих (в
другие ЛВС организации) и расшифрования
всех входящих (из этих ЛВС) пакетов
данных.

Алгоритм
работы криптомаршрутизатора
CR₁

По
таблице маршрутов ищется адрес
криптомаршрутизатора,
который обслуживает подсеть, содержащую
получателя пакета (AD(CR₂)).

Определяется
интерфейс, через который доступна
подсеть, содержащая CR₂.

Шифруется
весь пакет от A
(вместе с его заголовком) на сеансовом
ключе связи CR₁
и CR₂,
извлеченном из таблицы маршрутов.

К
полученным данным добавляется заголовок,
содержащий
AD(CR₁)
в качестве адреса отправителя и AD(CR₂)
в качестве адреса получателя нового
пакета.

Сформированный
пакет отправляется через сеть Интернет.

Алгоритм
работы криптомаршрутизатора
CR₂

Из
таблицы маршрутов извлекается сеансовый
ключ
связи CR₁
и CR_2.

Выполняется
расшифрование данных полученного
пакета.

Если
после расшифрования структура «вложенного»
пакета некорректна или адрес его
получателя не соответствует обслуживаемой
CR₂
подсети (не совпадает с AD(X)),
то полученный пакет уничтожается;

Расшифрованный
пакет, содержащий AD(A)
в поле отправителя и AD(X)
в поле получателя, передается X
через внутренний интерфейс ЛВС.

Объединение
нескольких ЛВС

При
работе с большим количеством защищаемых
подсетей необходимо выделение специального
криптомаршрутизатора с функциями центра
распределения ключей шифрования для
связи между парами криптомаршрутизаторов,
которые в этом случае могут работать в
двух режимах (загрузки конфигурации и
основном) и имеют на защищенном носителе
один маршрут и один ключ шифрования для
связи с центром распределения ключей.

После
успешной установки соединения центра
распределения ключей с одним из
криптомаршрутизаторов ему высылается
его таблица маршрутов, зашифрованная
общим с центром ключом. После получения
и расшифрования таблицы маршрутов
криптомаршрутизатор переходит в основной
режим работы.

Межсетевые экраны.

Реализуют
набор правил, которые определяют
условия прохождения пакетов данных из
одной части распределенной компьютерной
системы (открытой) в другую (защищенную).
Обычно межсетевые экраны (МСЭ)
устанавливаются между сетью Интернет
и локальной вычислительной сетью
организации, но могут устанавливаться
и на каждый хост локальной сети
(персональные МСЭ).

В
зависимости от уровня взаимодействия

объектов сети основными разновидностями
МСЭ являются:

фильтрующие
(экранирующие)
маршрутизаторы,
шлюзы
сеансового уровня (экранирующие
транспорты),
шлюзы
прикладного уровня,
МСЭ
экспертного уровня, работающие на
разных уровнях модели OSI .

Фильтрующие
маршрутизаторы

При
фильтрации используется информация из

заголовков IP-
пакетов:

IP-
адрес отправителя пакета;
IP-
адрес получателя пакета;
порт
отравителя пакета;
порт
получателя пакета;
тип
протокола;
флаг
фрагментации пакета.

Достоинства:

простота
их создания,
установки и конфигурирования,
прозрачность
для приложений
пользователей КС и минимальное влияние
на их производительность,
невысокая
стоимость.

Недостатки
:

отсутствие
аутентификации на уровне
пользователей КС;
уязвимость
для подмены IP-адреса
в заголовке пакета;
незащищенность
от угроз нарушения
конфиденциальности и целостности
передаваемой информации;
сильная
зависимость эффективности
набора правил фильтрации от уровня
знаний администратора МСЭ конкретных
протоколов;
открытость
IP-адресов
компьютеров защищенной части сети.

Шлюзы
сеансового уровня

Основные функции:

контроль
виртуального соединения между
рабочей станцией защищенной части сети
и хостом ее незащищенной части;
трансляция

IP
-адресов компьютеров защищенной части
сети (технология Network
Address
Translation,
NAT)
.

Устанавливает
соединение с внешним хостом от имени
авторизованного клиента из защищенной
части сети, создает виртуальный канал
по протоколу TCP,
после чего копирует пакеты данных в
обоих направлениях без их фильтрации.
Когда сеанс связи завершается, МСЭ
разрывает установленное соединение с
внешним хостом.

К
достоинствам относятся
также их простота и надежность программной
реализации.

К
недостаткам – отсутствие возможности
проверять содержимое передаваемой
информации, что позволяет нарушителю
пытаться передать пакеты с вредоносным
программным кодом через подобный МСЭ
и обратиться затем напрямую к одному
из серверов (например, Web-серверу)
атакуемой КС.

Шлюзы
прикладного уровня

Не
только исключают прямое взаимодействие
между
авторизованным клиентом из защищенной
части сети и хостом из ее открытой части,
но и фильтрует все входящие и исходящие
пакеты данных на прикладном уровне
(т.е. на основе анализа содержания
передаваемых данных).

К
основным функциям относятся:

идентификация
и аутентификация пользователя КС
при попытке установить соединение;
проверка
целостности передаваемых данных;
разграничение
доступа к ресурсам защищенной и открытой
частей распределенной КС;
фильтрация
и преобразование передаваемых сообщений
(обнаружение вредоносного программного
кода, шифрование и расшифрование и
т.п.);
регистрация
событий в специальном журнале;
кэширование
запрашиваемых извне данных, размещенных
на компьютерах внутренней сети (для
повышения производительности КС).

Достоинства:

наиболее
высокая степень защиты
КС от удаленных атак,
скрытость
структуры защищенной
части сети для остальных хостов,
надежная
аутентификация и
регистрация проходящих сообщений,
возможность
реализации дополнительных
проверок.

Недостатки:

более
высокая стоимость,
сложность
разработки,
установки и конфигурирования,
снижение
производительности
КС,
«непрозрачность»
для
приложений пользователей КС.

Общие
недостатки МСЭ

В
принципе не могут предотвратить многих
видов
атак (например, угрозы несанкционированного
доступа к информации с использованием
ложного сервера службы доменных имен
сети Интернет, угрозы анализа сетевого
трафика, угрозы отказа в обслуживании)

Средства анализа
защищенности, обнаружения атак и
контроля содержания.

Сканеры
уязвимости

Основные
функции:

проверка
используемых в системе средств
идентификации
и аутентификации, разграничения доступа,
аудита и правильности их настроек с
точки зрения безопасности информации
в КС;
контроль
целостности системного и прикладного
программного обеспечения КС;
проверка
наличия известных, но неустраненных
уязвимостей в системных и прикладных
программах, используемых в КС и др.

Работают
на основе сценариев проверки,
хранящихся в специальных базах данных,
и выдают результаты своей работы в виде
отчетов, которые могут быть конвертированы
в различные форматы (электронных таблиц
Microsoft
Excel,
баз данных Microsoft
Access
и т.п.)..

Классификация
сканеров уязвимости

Уровня
хоста (анализируют защищенность
конкретного компьютера «изнутри»).
Уровня
сети (анализируют защищенность
компьютерной системы «извне»).

Недостатки:

зависимость
от конкретных систем;
недостаточная
надежность (их применение может
иногда вызывать сбои в работе анализируемых
систем);
малый
срок эффективной эксплуатации (не
учитываются
новые обнаруженные уязвимости, которые
и являются наиболее опасными);
возможность
использования нарушителями в
целях подготовки к атаке на КС.

Системы
обнаружения атак

Уровня
хоста (обнаружение признаков атак на
основе анализа журналов безопасности
операционной системы, журналов МСЭ и
других системных и сетевых служб).
Уровня
сети (инспекция пакетов данных
непосредственно
в каналах связи), которые могут размещаться
последовательно или параллельно с
межсетевым экраном, маршрутизатором,
коммутатором или концентратором.

Как
работают:

Используют
базы данных с зафиксированными
сетевыми событиями и шаблонами известных
атак.
Работают
в реальном масштабе времени и реагируют
на попытки использования известных
уязвимостей КС или несанкционированного
исследования защищенной части сети
организации.
Ведут
журнал регистрации зафиксированных
событий для последующего анализа.

Недостатки:

неспособность
эффективно функционировать
в высокоскоростных сетях;
возможность
пропуска неизвестных атак;
необходимость
постоянного обновления базы
данных с шаблонами атак;
сложность
определения реакции этих средств
на обнаруженные попытки атаки.

Системы
контроля содержания

Предотвращаемые
угрозы:

Увеличение
расходов на оплату личных Интернет-услуг
сотрудников организации.
Снижение
производительности труда сотрудников.
Снижение
пропускной способности сети организации
для деловых нужд.
Утечки
конфиденциальной информации.
Репутационный
ущерб для организации.

Основные
функции:

Анализ
входящего и исходящего трафика.
Контроль
утечки конфиденциальной информации.
Поддержка
и анализ различных форматов представления
данных.
Возможность
построения гибкой политики безопасности
на уровне отдельных пользователей и
групп.
Сбор
статистики (при необходимости руководство
может
получить практически любую информацию:
кто и когда посещал какие сайты и
Web-страницы, отсылал почту через
Web-интерфейс, какие файлы какого объема
закачивал и пр.).

Защита от
несанкционированной загрузки ОС.

Защита
от загрузки ОС неуполномоченным лицом.
Защита
от загрузки другой ОС со съемного
носителя.
Защита
от загрузки ОС в нештатном режиме.

Защита
от загрузки ОС неуполномоченным
лицом

На
основе пароля, устанавливаемого
программой BIOS
Setup
с помощью функции Set
User
Password
(или аналогичной ей) при выбранном для
параметра Security
Option
(или аналогичного ему) значении System
в окне настроек функции Advanced
BIOS
Features
(или аналогичной ей).

Максимальная
длина пароля,
устанавливаемого программой BIOS
Setup
, равна 8 символам.

При
использовании этой возможности перед

загрузкой операционной системы или при
попытке вызвать программу BIOS
Setup
пользователю будет предложено ввести
пароль.

Достоинства:

простота
установки,
надежность
защиты
(число попыток ввода пароля перед
загрузкой операционной системы
ограничено тремя, что делает практически
невозможным подбор пароля).

Недостатки:

один
пароль для всех пользователей,
работающих на этом компьютере;
сложность
замены пароля, если он забыт
пользователем;
поскольку
хеш-значение пароля сохраняется
в CMOS-памяти
компьютера, нарушитель может прочитать
его с помощью специальной программы
после получения доступа к компьютеру
после загрузки операционной системы;
существование
так называемых «технических»
паролей программы BIOS
Setup.

Защита
от загрузки другой ОС со съемного
носителя

Отмена
такой возможности с помощью программы
BIOS
Setup:

Функция
Advanced
BIOS
Features
(или аналогичная в программах других
производителей) позволяет установить
порядок применения устройств при
загрузке операционной системы.

Для
обеспечения наибольшей безопасности
загрузка
должна всегда начинаться (First
Boot
Device)
с жесткого диска (HDD-0),
а при невозможности загрузки с жесткого
диска продолжаться (Second
Boot
Device)
с дискеты (Floppy)
или компакт-диска (CDROM).

Доступ
к изменению настроек,
устанавливаемых программой BIOS
Setup
, должен быть разрешен только
администратору КС:

С
помощью функции
Set
Supervisor
Password
этой программы (или аналогичной)
необходимо установить пароль
администратора.

Безопасность информации | Вопросы с ответами

Вопросы с ответами по дисциплине «Безопасность информации».

Как называется умышленно искаженная информация?
+ Дезинформация
— Информативный поток
— Достоверная информация
— Перестает быть информацией
Как называется информация, к которой ограничен доступ?
+ Конфиденциальная
— Противозаконная
— Открытая
— Недоступная
Какими путями может быть получена информация?
+ проведением, покупкой и противоправным добыванием информации научных исследований
— захватом и взломом ПК информации научных исследований
— добыванием информации из внешних источников и скремблированием информации научных исследовании
— захватом и взломом защитной системы для информации научных исследований
Как называются компьютерные системы, в которых обеспечивается безопасность информации?
+ защищенные КС
— небезопасные КС
— Само достаточные КС
— Саморегулирующиеся КС
Основной документ, на основе которого проводится политика информационной безопасности?
+ программа информационной безопасности
— регламент информационной безопасности
— политическая информационная безопасность
— Протекторат
В зависимости от формы представления информация может быть разделена на?
+ Речевую, документированную и телекоммуникационную
— Мысль, слово и речь
— цифровая, звуковая и тайная
— цифровая, звуковая
К каким процессам относят процессы сбора, обработки, накопления, хранения, поиска и распространения информации
+ Информационным процессам
— Мыслительным процессам
— Машинным процессам
— Микропроцессам
Что называют защитой информации?
+ Все ответы верны
— Называют деятельность по предотвращению утечки защищаемой информации
— Называют деятельность по предотвращению несанкционированных воздействий на защищаемую информацию
— Называют деятельность по предотвращению непреднамеренных воздействий на защищаемую информацию
Под непреднамеренным воздействием на защищаемую информацию понимают?
+ Воздействие на нее из-за ошибок пользователя, сбоя технических или программных средств и воздействие природных явлений
— Процесс ее преобразования, при котором содержание информации изменяется на ложную
— Возможности ее преобразования, при котором содержание информации изменяется на ложную информацию
— Не ограничения доступа в отдельные отрасли экономики или на конкретные производства
Шифрование информации это
+ Процесс ее преобразования, при котором содержание информации становится непонятным для не обладающих соответствующими полномочиями субъектов
— Процесс преобразования, при котором информация удаляется
— Процесс ее преобразования, при котором содержание информации изменяется на ложную
— Процесс преобразования информации в машинный код
Основные предметные направления Защиты Информации?
+ охрана государственной, коммерческой, служебной, банковской тайн, персональных данных и интеллектуальной собственности
— Охрана золотого фонда страны
— Определение ценности информации
— Усовершенствование скорости передачи информации
Государственная тайна это
+ защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности страны
— ограничения доступа в отдельные отрасли экономики или на конкретные производства
— защищаемые банками и иными кредитными организациями сведения о банковских операциях
— защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей
Коммерческая тайна это….
— защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности страны
+ ограничения доступа в отдельные отрасли экономики или на конкретные производства
— защищаемые банками и иными кредитными организациями сведения о банковских операциях
— защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей
Банковская тайна это….
— защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности страны
— ограничения доступа в отдельные отрасли экономики или на конкретные производства
+ защищаемые банками и иными кредитными организациями сведения о банковских операциях
— защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей
Профессиональная тайна
— защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности страны
— ограничения доступа в отдельные отрасли экономики или на конкретные производства
— защищаемые банками и иными кредитными организациями сведения о банковских операциях
+ защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей
К основным объектам банковской тайны относятся следующие:
+ Все ответы верны
— Тайна банковского счета
— Тайна операций по банковскому счету
— Тайна банковского вклада
Как называется тайна переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений?
+ Тайна связи
— Нотариальная тайна
— Адвокатская тайна
— Тайна страхования
Как называются сведения, доверенные нотариусу в связи с совершением нотариальных действий?
+ Нотариальная тайна
— Общедоступные сведения
— Нотариальный секрет
— Нотариальное вето
Элемент аппаратной защиты, где используется установка источников бесперебойного питания (UPS)?
+ защита от сбоев в электропитании
— защита от сбоев серверов, рабочих станций и локальных компьютеров
— защита от сбоев устройств для хранения информации
— защита от утечек информации электромагнитных излучений
Функция защиты информационной системы, гарантирующая то, что доступ к информации, хранящейся в системе может быть осуществлен только тем лицам, которые на это имеют право
— управление доступом
+ конфиденциальность
— аутентичность
— целостность
— доступность
Элемент аппаратной защиты, где используется резервирование особо важных компьютерных подсистем
— защита от сбоев в электропитании
+ защита от сбоев серверов, рабочих станций и локальных компьютеров
— защита от сбоев устройств для хранения информации
— защита от утечек информации электромагнитных излучений
Элемент аппаратной защиты, где используется организация надежной и эффективной системы резервного копирования и дублирования данных
— защита от сбоев в электропитании
— защита от сбоев серверов, рабочих станций и локальных компьютеров
+ защита от сбоев устройств для хранения информации
— защита от утечек информации электромагнитных излучений
Элемент аппаратной защиты, где используется экранирование, фильтрацию, заземление, электромагнитное зашумление, а также средства ослабления уровней нежелательных электромагнитных излучений.
— защита от сбоев в электропитании
— защита от сбоев серверов, рабочих станций и локальных компьютеров
— защита от сбоев устройств для хранения информации
+ защита от утечек информации электромагнитных излучений
Какая из перечисленных атак на поток информации является пассивной:
+ перехват.
— имитация.
— модификация.
— фальсификация.
— прерывание.
К открытым источникам информация относятся.
+ Газеты, Радио, Новости
— Информация украденная у спецслужб
— Из вскрытого сейфа
— Украденная из правительственной организации
Технические каналы утечки информации делятся на…
+ Все перечисленное
— Акустические и виброакустические
— Электрические
— Оптические
Какой технический канал утечки отвечает за распространение звуковых колебаний в любом звукопроводящем материале или среде?
+ Акустические и виброакустические
— Электрические
— Оптические
— Радиоканалы
Какой технический канал утечки отвечает за напряжение и токи в различных токопроводящих коммуникациях?
— Акустические и виброакустические
+ Электрические
— Оптические
— Радиоканалы
Какой технический канал утечки отвечает за электромагнитные излучения радиодиапазона?
— Акустические и виброакустические
— Электрические
— Оптические
+ Радиоканалы
Какой технический канал утечки отвечает за электромагнитные излучения в видимой, инфракрасной и ультрафиолетовой частях спектра?
— Акустические и виброакустические
— Электрические
+ Оптические
— Радиоканалы
По сведениям Media и Pricewaterhouse Coopers, на чью долю приходится 60% всех инцидентов IT-безопасности?
— Хакерские атаки
— Различные незаконные проникновения
+ Инсайдеры
— Технические компании
Учет всех возможных коммуникационных каналов, обеспечения физической безопасности, шифрования резервных копий и информации, покидающей корпоративный периметр, и других организационных мероприятий это?
— Индивидуальный подход к защите
+ Комплексный подход к защите
— Смешанный подход к защите
— Рациональный подход к защите
Меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе
+ Информационная безопасность
— Защитные технологии
— Заземление
— Конфиденциальность
Можно выделить следующие направления мер информационной безопасности
— Правовые
— Организационные
+ Все ответы верны
— Технические
Что можно отнести к правовым мерам ИБ?
+ Разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства
— охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра итд
— Защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое
— охрану вычислительного центра, установку сигнализации и многое другое
Что можно отнести к организационным мерам ИБ?
— Разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства.
+ Охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра и т.д.
— Защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем.
— Охрану работоспособности отдельных звеньев и организацию вычислительных сетей с возможностью перераспределения ресурсов.
— Принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.
Что можно отнести к техническим мерам ИБ?
— Разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства
— Охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра и т.д.
+ Защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев и многое другое
— Простые и доступные меры защиты от хищений, саботажа, диверсий, взрывов
— В административных местах установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.
Потенциальные угрозы, против которых направлены технические меры защиты информации
+ Потери информации из-за сбоев оборудования, некорректной работы программ и ошибки обслуживающего персонала и пользователей
— Потери информации из-за халатности обслуживающего персонала и не ведения системы наблюдения
— Потери информации из-за не достаточной установки резервных систем электропитании и оснащение помещений замками.
— Потери информации из-за не достаточной установки сигнализации в помещении.
— Процессы преобразования, при котором информация удаляется
Шифрование информации это
+ Процесс ее преобразования, при котором содержание информации становится непонятным для не обладающих соответствующими полномочиями субъектов
— Процесс преобразования, при котором информация удаляется
— Процесс ее преобразования, при котором содержание информации изменяется на ложную
— Процесс преобразования информации в машинный код
Какие сбои оборудования бывают?
+ сбои работы серверов, рабочих станций, сетевых карт и тд
— потери при заражении системы компьютерными вирусами
— несанкционированное копирование, уничтожение или подделка информации
— ознакомление с конфиденциальной информацией
Какие сбои оборудования, при которых теряется информация, бывают?
— случайное уничтожение или изменение данных
+ перебои электропитания
— некорректное использование программного и аппаратного обеспечения, ведущее к уничтожению или изменению данных
— несанкционированное копирование, уничтожение или подделка информации
Какие потери информации бывают из-за некорректной работы программ?
— сбои работы серверов, рабочих станций, сетевых карт и тд
— перебои электропитания
+ потеря или изменение данных при ошибках ПО
— ознакомление с конфиденциальной информацией
Какие потери информации бывают из-за некорректной работы программ?
+ потери при заражении системы компьютерными вирусами
— сбои дисковых систем
— перебои электропитания
— сбои работы серверов, рабочих станций, сетевых карт и тд
Какие потери информации, связанные с несанкционированным доступом, бывают?
+ несанкционированное копирование, уничтожение или подделка информации
— потери при заражении системы компьютерными вирусами
— случайное уничтожение или изменение данных
— сбои дисковых систем
Потери из-за ошибки персонала и пользователей бывают?
— несанкционированное копирование, уничтожение или подделка информации
— потери при заражении системы компьютерными вирусами
+ случайное уничтожение или изменение данных
— сбои дисковых систем
Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии?
+ установка источников бесперебойного питания (UPS)
— Такого средства не существует
— Каждую минуту сохранять данные
— Перекидывать информацию на носитель, который не зависит от энергии
Способ защиты от сбоев процессора?
— установка источников бесперебойного питания (UPS)
+ симметричное мультипроцессирование
— Каждую минуту сохранять данные
— Перекидывать информацию на носитель, который не зависит от энергии
Симметричное мультипроцессирование
+ Способ защиты от сбоев процессора
— Способ защиты от сбоев устройств
— Каждую минуту копирование данных
— Не каждую минуту сохранение данных
Способ защиты от сбоев устройств для хранения информации?
— установка источников бесперебойного питания (UPS)
— симметричное мультипроцессирование
— Каждую минуту сохранять данные
+ Организация надежной и эффективной системы резервного копирования и дублирования данных
Средства защиты данных, функционирующие в составе программного обеспечения.
+ Программные средства защиты информации
— Технические средства защиты информации
— Источники бесперебойного питания (UPS)
— Смешанные средства защиты информации
Программные средства защиты информации.
+ средства архивации данных, антивирусные программы
— Технические средства защиты информации
— Источники бесперебойного питания (UPS)
— Смешанные средства защиты информации
Программное средство защиты информации.
+ криптография
— источник бесперебойного питания
— резервное копирование
— дублирование данных
Обеспечение достоверности и полноты информации и методов ее обработки.
— Конфиденциальность
+ Целостность
— Доступность
— Целесообразность
Обеспечение доступа к информации только авторизованным пользователям?
+ Конфиденциальность
— Целостность
— Доступность
— Целесообразность
Тональный сигнал — …?
+это сигнал, вызываемый колебанием, совершающимся по синусоидальному закону
-сигнал данных, у которого каждый из представляющих параметров описывается функцией времени и непрерывным множеством возможных значений
-сигнал данных, у которого каждый из представляющих параметров описывается функцией дискретного времени и конечным множеством возможных значений
-являются искусственными, те их можно получить только путем преобразования аналогового электрического сигнала
Телефонный радио ретранслятор большой мощности обеспечивает дальность действия до?
+300 м
-400 м
-500 м
-600 м
-200 м
Телефонный радио ретранслятор с AM работает диапазоне частот
-25-26 МГц
-20-21 МГц
+27-28 МГц
-20-21 МГц
-22-23 МГц
Группа Аdmins в MS Access это ?
+стандартная учётная запись пользователя Данные записи являются одинаковыми для всех экземпляров Мs Ассеss;
-учётная запись группы администратора — является уникальной в каждом файле рабочей группы;
-база учётных записи пользователей
-приложение, которое используется для управления базой данных
-тип для хранения данных переменной длиной
Учётная запись группы администратора — является уникальной в каждом файле рабочей группы.
+ группа Admin в MS Acces
— учётная запись пользователя в Мs Ассеss;
-тип для хранения данных переменной длиной
-база учётных записи пользователей
-приложение, которое используется для управления базой данных
Файл рабочей группы MS Ассеss содержит следующие встроенные учётные записи:
-System, Window, Help
-Search, View, Copy
-Run, Project, Tools
-Database, Win32, Standart
+Admins, Admin, Users
Для создания новой рабочей группы в MS Access запускаем программу
+wrkgadmexe
-wrkgadmmdw
-wrkgadmmdb
-wrkgadmcpp
-wrkgadmdoc
Как называется документ в программе MS Access?
-таблица
+база данных
-книга
-форма
Телефонный радио ретранслятор большой мощности работает в диапазоне?
+65-108 МГц
-65-80 Мгц
-27-28 МГц
-88-108МГц
-30 МГц
Речевой сигнал находится в диапазоне…
+200300 Гц до 46 кГц
-200…400 Гц до 2…6 кГц
-100…300 Гц до 4…6 кГц
-200…300 Гц до 2…6 кГц
-200…400 Гц до 4…6 кГц
Телефонный ретранслятор с питанием от телефонной линии имеет выходную мощность
-10 мВт
-5 мВт
+20 мВт
-30 мВт
-15 мВт
Телефонный радио ретранслятор с ЧМ на одном транзисторе обеспечивает дальность передачи
-До 100 м
+До 200м
-До 300м
-До 50м
-До 400м
Телефонный ретранслятор УКВ диапазона с ЧМ его дальность действия передатчика
+Около 100м
-Около 200м
-Около 300м
-Около 400м
-Около 50м
Отличие конвертера от Миниатюрного конвертера на частоте 430 МГц.
+Позволяет принимать сигнал с частотой до 1 ГГц
-Емкостью С1 до 15 пФ
-Способу подсоединения к телефонной линии
-Позволяет прослушивать телефонный разговор в диапазона 27-28 МГц
Первичными источниками акустических колебаний являются.
+механические колебательные системы
-вертикальные колебания
-короткие временные колебания
— длинные временные колебания
— временные колебания и потоки
Способы перехвата акустической утечки
-визуальные методы, фотографирование, видео съемка, наблюдение;
-Прямое копирование
-Утечка информации вследствие несоблюдения коммерческой тайны;
-информация на бумаге или других физических носителях информации
+запись звука, подслушивание и прослушивание
Узконаправленные микрофон.
— микрофон, действие которого основано на использовании свойств электрического конденсатора
+разновидность конденсаторного микрофона
— студийный микрофон
— процессный преобразователь микрофона
— процессный преобразователь микрофона электрического конденсатора
Виды защиты БД
+ защита паролем, защита пользователем,
— учётная запись группы администратора
— приложение, которое используется для управления базой данных
— группа Users
Виды защиты БД
+защита всех учетных записей, защита идентифицированных объектов
— защита учётной записи группы администратора
— приложение, которое используется для управления базой данных
— защита группы Users
Что содержит группа Users в БД MS Access?
— стандартную запись пароля пользователей
— одинаковые для всех пользователей экземпляры групп
— учётную запись группы администратора
— уникальную в каждом файле группу данных и зписей
+ учётные записи пользователей
Наибольшую угрозу для безопасности сети представляют.
+несанкционированный доступ, электронное подслушивание и преднамеренное или неумышленное повреждение
— вскрытие стандартной учётной записи пользователя
— вскрытие стандартной учётной группы администратора
— копирование файлов, которые были изменены в течение дня, без отметки о резервном копировании
Защита через права доступа заключается.
+присвоении каждому пользователю определенного набора прав
-запереть серверы в специальном помещении с ограниченным доступом
-присвоить пароль каждому общедоступному ресурсу
— в наличии преобразователья микрофона
Дифференцированное резервное копирование это
-Копирование только тех файлов, которые были изменены в течение дня, без отметки о резервном копировании
-Копирование всех выбранных файлов без отметки о резервном копировании
-Копирование и маркировка выбранных файлов, только если они были изменены со времени последнего копирования
+Копирование выбранных файлов, только если они были изменены со времени последнего резервного копирования, без отметки о резервном копировании
Полное копирование данных это
+Копирование и маркировка выбранных файлов, вне зависимости от того, изменялись ли они со времени последнего резервного копирования
-Копирование всех выбранных файлов без отметки о резервном копировании
-Копирование только тех файлов, которые были изменены в течение дня, без отметки о резервном копировании
-Копирование и маркировка выбранных файлов, только если они были изменены со времени последнего копирования
Disk mirroring – это
+дублирование раздела и запись его копии на другом физическом диске
-это пара зеркальных дисков, каждым из которых управляет отдельный контроллер
-При записи данных делится на части и распределяется по серверу
— Копирование только тех файлов, которые были изменены в течение дня, без отметки о резервном копировании
Наиболее распространенный криптографический код
+Код Хэмминга
-код Рида-Соломона
-код Морзе
-итеративный код
Помехоустойчивый код характеризуется тройкой чисел
+ n,k,d0
-h,k,d0
-a,b,c
-x,y,z
Функция технологии RAID 4
-дисковый массив повышенной производительности с чередованием, без отказоустойчивости;
-зарезервирован для массивов, которые применяют код Хемминга
+хранит блок четности на одном физическом диске
-распределяет информацию о четности равномерно по всем дискам
Функция технологии RAID 5
-дисковый массив повышенной производительности с чередованием, без отказоустойчивости
-зарезервирован для массивов, которые применяют код Хемминга;
-хранит блок четности на одном физическом диске
+распределяет информацию о четности равномерно по всем дискам
Наиболее простой и недорогой метод предотвратить катастрофическую потерю данных
+Резервное копирование на магнитную ленту
-Шифрование данных
-Бездисковые компьютеры
-Все ответы верны
Право Execute дает вам возможность
+Запуск (выполнение) программ из каталога
-Создание новых файлов в каталоге
-Запрещение на доступ к каталогу, файлу, ресурсу
-Чтение и копирование файлов из совместно используемого каталога
Право No Access дает вам возможность
-Удаление файлов в каталоге
+Запрещение на доступ к каталогу, файлу, ресурсу
-Запуск (выполнение) программ из каталога
-Создание новых файлов в каталоге
Право Read дает вам возможность
-Удаление файлов в каталоге
-Запуск (выполнение) программ из каталога
-Запрещение на доступ к каталогу, файлу, ресурсу
+Чтение и копирование файлов из совместно используемого каталога
Право Write дает вам возможност
-Удаление файлов в каталоге
-Запрещение на доступ к каталогу, файлу, ресурсу
+Создание новых файлов в каталоге
-Чтение и копирование файлов из совместно используемого каталога
Какой способ защиты информации присваивает значение каждому пользователю соответствующие права доступа к каждому ресурсу
+Права группы
-Аудит
-Шифрование данных
-Модели защиты
Методы сохранение данных при чрезвычайных ситуаций
-резервное копирование на магнитную ленту;
-источники бесперебойного питания (UPS);
-отказоустойчивые системы
+Все ответы верны
Какой способ данные, дублируя и размещая их на различных физических носителях (например, на разных дисках).
-Журнал резервного копирования
+Отказоустойчивые системы
-Метод резервного копирования
-Шифрование данных
Disk duplexing это?
-дублирование раздела и запись его копии на другом физическом диске
+это пара зеркальных дисков, каждым из которых управляет отдельный контроллер
-При записи данных делится на части и распределяется по серверу
-Все ответы верны
Пароль доступа к ресурсам
+Доступ только для чтения
— такой пароль не существует
-Отказоустойчивые системы
-Метод резервного копирования
-Шифрование данных
Пароль доступа к ресурсам
+ Полный доступ и доступ в зависимости от пароля (
— такой пароль не существует
-Отказоустойчивые системы
-Метод резервного копирования
-Шифрование данных
Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии?
+ установка источников бесперебойного питания (UPS)
— Такого средства не существует
— Каждую минуту сохранять данные
— Перекидывать информацию на носитель, который не зависит от энергии
Ежедневное копирование данных это
+Копирование только тех файлов, которые были изменены в течение дня, без отметки о резервном копировании
-Копирование всех выбранных файлов без отметки о резервном копировании
-Копирование и маркировка выбранных файлов, вне зависимости от того, изменялись ли они со времени последнего резервного копирования
-Копирование выбранных файлов, только если они были изменены со времени последнего резервного копирования, без отметки о резервном копировании
Способ защиты от сбоев процессора?
— установка источников бесперебойного питания (UPS)
+ симметричное мультипроцессирование
— Каждую минуту сохранять данные
— Перекидывать информацию на носитель, который не зависит от энергии
Способ защиты от сбоев устройств для хранения информации?
— установка источников бесперебойного питания (UPS)
— симметричное мультипроцессирование
— Каждую минуту сохранять данные
+ Организация надежной и эффективной системы резервного копирования и дублирования данных
Средства защиты данных, функционирующие в составе программного обеспечения.
+ Программные средства защиты информации
— Технические средства защиты информации
— Источники бесперебойного питания (UPS)
— Смешанные средства защиты информации
Средством предотвращения потерь информации при кратковременном отключении электроэнергии является?
+источник бесперебойного питания (UPS)
-источник питания
-электро-переключатель
-все перечисленное
Что такое Информационная безопасность?
+ меры по защите информации от неавторизованного доступа
-меры по защите ПК
-безопасность личной информации
-все перечисленное
Целью информационной безопасности является?
+ все перечисленное
— обезопасить ценности системы
— защитить и гарантировать точность и целостность информации
— минимизировать разрушения
Укажите направления мер информационной безопасности.
+правовые, организационные, технические
-правовые, аппаратные, программные
-личные, организационные
-технические
Технические меры защиты можно разделить на:
+ средства аппаратной защиты, включающие средства защиты кабельной системы, систем электропитания, и тд
-правовые, организационные, технические
-правовые, аппаратные, программные
-личные, организационные
Программные средства защиты можно разделить на:
+криптография, антивирусные программы, системы разграничения полномочий, средства контроля доступа и тд
— административные меры защиты, включающие подготовку и обучение персонала, организацию тестирования и приема в эксплуатацию программ, контроль доступа в помещения и тд
-правовые, организационные, технические
-правовые, аппаратные, программные
К наиболее важному элементу аппаратной защиты можно отнести?
+ защита от сбоев серверов, рабочих станций и локальных компьютеров
-защиту от вирусов
-защиту от хакеров
-все перечисленное
Как связаны ключи шифрования между собой?
+математической функцией
-связкой
-шифром
-специальным паролем
Международным стандартным кодом является
+ Unicode.
— CP866.
— ASCII.
— DOS.
— Altair.
Что относится к возможным сигнатурам?
+ длина незаписанных участков магнитной ленты и неиспользованные дорожки на дискете
— дорожки дискеты и линии связи
— источник бесперебойного питания (UPS)
— источник питания и использованные дорожки на дискете
В чем заключается уникальность гибких дисков?
+в форматировании
— в быстродействии
— их защищенность
— в простоте обработки данных
При каком случае срабатывает сигнал самоуничтожения программы
+при несанкционированном копировании программы из ПЗУ в ОЗУ
-при несанкционированном копировании программы из ОЗУ в ПЗУ
— при непредвиденном включении преобразователья микрофона
-при непредвиденном отключении ПК
Что такое пароль?
+механизм управления доступом
-средство защиты
-безопасность личной информации
— Безопасность людей
Меры по защите информации от неавторизованного доступа называется
+Информационной безопасностью
-Безопасностью ПК
-Личной безопасностью
— Безопасностью группы админстратора
Средства аппаратной защиты, включающие средства защиты кабельной системы, систем электропитания относится к?
+техническим мерам защиты
— не правовым мерам защиты
-организационным мерам защиты
-программным средствам защиты
Защита от сбоев серверов, рабочих станций и локальных компьютеров относится к?
+аппаратным средствам защиты
-программным средствам защиты
-техническим средствам защиты
-правовым средствам защиты
Для чего служат телефоны BF1, BF2?
+служат для преобразования электрических колебаний в звуковые
-служат для преобразования звуковых колебаний в электрические
-служат для преобразования магнитных колебаний в простые сигналы
— служат для преобразования магнитных колебаний в звуковые волны
Для чего служат микрофоны ВМ1, ВМ2?
+служат для преобразования звуковых колебаний в электрические
-служат для преобразования электрических колебаний в звуковые
-служат для преобразования магнитных колебаний в звуковые
— служат для преобразования магнитных колебаний в звуковые сигналы
Для осуществления телефонной связи в цепь микрофона необходимо включить?
+ источник постоянного тока и подключить кабель связи
— источник переменного тока и программные средства защиты
— полевые телефонные аппараты и источник постоянного тока
— источник постоянного тока и полевые телефонные аппараты
Питание от местной батареи осуществляется в основном в?
+ радио телефонах и полевых телефонных аппаратах
— городских АТС и ЛВС
— передатчиках П1,П2
— передатчиках П1,П2 и городских АТС
При наличии хорошего электромагнитного детектора, оптимальный перехват иной раз удается выполнять на расстоянии?
+10—80 см от телефонной линии
-20-80 см от телефонной линии
-30-70 см от телефонной линии
-0-100 см от телефонной линии
Как еще называют радиомикрофон с дистанционным (кодовым) включением через любой телефон?
+«электронное ухо»
-«электронный микрофон»
-«громкоговоритель»
-«электронный приемник»
Для развязки цепей микрофона и телефона по постоянному току служат?
+трансформаторы Т1,Т2
-передатчики П1,П2
-транзисторы
— ре трансляторы
К программным средствам защиты можно отнести?
+ средства идентификации и аутентификации пользователей
— средства защиты авторских прав программистов
-неиспользованные дорожки на дискете
-дорожки дискеты
Защищаемые программы для ПК находятсяв?
+ ОЗУ и ЖМД
— ПЗУ и МГД
— МГД и Оп
— ПК и НГМД
К правовым мерам следует отнести?
+ разработку норм, устанавливающих ответственность за компьютерные преступления и защиту авторских прав программистов
-охрану вычислительного центра и аппаратуры связи
— проектирование ЛВС и ГБС
— средства идентификации и аутентификации пользователей
Сбои дисковых систем относится к?
+ техническим и организационным мерам защиты
— правовым мерам защиты
— мерам защиты от НДС и кражи
— к средствам идентификации и аутентификации
Потеря или изменение данных при ошибках ПО относится к
+ техническим и правовым мерам защиты
-организационным мерам защиты
— правовым мерам защиты
— мерам защиты от НДС и кражи
— к средствам идентификации и аутентификации
Защита от сбоев серверов, рабочих станций и локальных компьютеров относится к?
+Аппаратным и техническим средствам защиты
-Программным средствам защиты
-Средствам защиты идентификации и аутентификации
— Организационным и общим средствам защиты
Криптографические средства относится к?
+Программным средствам
-Аппаратным средствам
-Организационным средствам защиты
-Захвату данных
Запуск утилиты Setuр выполняется нажатием кнопки?
+Delete
-Alt
-Tab
-F2
Чтобы установить парольную защиту в ОС Windows , необходимо выполнить следующую процедуру?
+Пуск->Панель управления->Учетные записи->Изменение пароля
-Пуск->Учетные записи->Изменение пароля
-Пуск->Справка->Учетные записи->Изменение пароля
-Пуск->Панель управления->Пароли и данные->Изменение пароля
Утилита Setuр это — ?
+утилита входящая в состав ВIOS
-утилита содержащее в себе BIOS
-BIOS не содержит ее
-настройка системы BIOS
При вводе пароля с клавиатуры его длина может достигать до?
+64 символов
-128 символов
-32 символов
-512 символов
С помощью каких клавиш можно переключать регистры?
+ F1,F2, F3
— F1,F5, F8
— F2,F5, F8
— F1,F4, F5
— F3,F4, F9
При формировании трудно запоминаемого пароля большой длины используется система?
+Кобра
-Змея
-Ниндзя
-ЩИТ
Служат обеспечению сохранения целостности программного обеспечения в составе вычислительной системы
+пароль
-корпус вычислительной системы
-шифры
-сигналы
Устройство, которое генерирует последовательности чисел или букв в зависимости от данных, которые задает пользователь.
+преобразователь информации
-генератор
-взломщик пароля
-хакер
В каких случаях криптография неэффективна?
+ когда элементы текста известны в зашифрованном и исходном виде
— когда элементы текста известны в открытом и активном виде
— если есть пароль и логин
— когда элементы текста представлены в открытом и не полном виде
В каком случае надежнее шифр?
+короткий зашифрованный текст
-длинный зашифрованный текст
-зашифрованный текст среднего размера
-зашифрованный текст не влияет на надежность шифра
Как связаны ключи шифрования между собой?
+математической функцией
-связкой
-шифром
-специальным паролем
В каких случаях возможно вычисление одного ключа с помощью другого
+ Использованием только ЭВМ
— Ни в каких случаях невозможна
— Использованием математической функцией
— Использованием только ЛВС
Что относится к возможным сигнатурам?
+ длина незаписанных участков магнитной ленты и неиспользованные дорожки на дискете
— дорожки дискеты и участков магнитной ленты
— форматирование участков магнитной ленты и использованные дорожки на дискете
— копирование участков магнитной ленты из ОЗУ в ПЗУ
— копирование участков магнитной ленты из ПЗУ на диск
В чем заключается уникальность гибких дисков?
+форматировании
-быстродействии
-защищенность
-все перечисленное
Случай, когда срабатывает сигнал самоуничтожения программы
+при несанкционированном копировании программы из ПЗУ в ОЗУ
-при несанкционированном копировании программы из ОЗУ в ПЗУ
-при непредвиденном отключении ПК
-копирование участков магнитной ленты из ОЗУ в ПЗУ
Назначение пароля в ИС?
+ механизм управления доступом, средство защиты и безопасность личной информации
— скрытие копирования участков магнитной ленты из ОЗУ в ПЗУ
— технические меры защиты и средство защиты данных
— участки магнитной ленты скрытые шифром
— механизм управления средствами защиты и безопасность доступа к ОЗУ в ПЗУ
Меры по защите информации от неавторизованного доступа называется
+Информационной безопасностью
-Безопасностью ПК
-Личной безопасностью
-Средства защиты
-Меры скрытия копирования
Средства аппаратной защиты, включающие средства защиты кабельной системы, систем электропитания относится к?
+ техническим мерам защиты и правовым мерам защиты
-организационным мерам защиты
— меры скрытия копирования участков магнитной ленты из ОЗУ в ПЗУ
Защита от сбоев серверов, рабочих станций и локальных компьютеров относится к?
+аппаратным средствам защиты
-программным средствам защиты
-техническим средствам защиты
-правовым средствам защиты
Для чего служат телефоны BF1, BF2?
+служат для преобразования электрических колебаний в звуковые
-служат для преобразования звуковых колебаний в электрические
-служат для преобразования магнитных колебаний в звуковые
— все перечисленное
Для чего служат микрофоны ВМ1, ВМ2?
+служат для преобразования звуковых колебаний в электрические
-служат для преобразования электрических колебаний в звуковые
-служат для преобразования магнитных колебаний в звуковые
-все перечисленное
Для осуществления телефонной связи в цепь микрофона необходимо включить?
+ источник постоянного и переменного тока
— подключить источник общего тока
— подключить кабель связи
— преобразователь магнитных колебаний
— преобразования прямых колебаний
При наличии хорошего электромагнитного детектора, оптимальный перехват иной раз удается выполнять на расстоянии?
+10—80 см от телефонной линии
-20-80 см от телефонной линии
-30-70 см от телефонной линии
-0-100 см от телефонной линии
Радио микрофон с дистанционным (кодовым) включением через любой телефон?
+«электронное ухо»
-«электронный микрофон»
-«громкоговоритель»
-«электронный приемник»
Для развязки цепей микрофона и телефона по постоянному току служат?
+трансформаторы Т1,Т2
-передатчики П1,П2
-транзисторы
-резисторы Р1, р2
-диоды
Как можно настраивать детектор поля при поиске ультра коротко волновых передатчиков?
+ изменение длины телескопической антенны
-увеличение длины телескопической антенны
-уменьшение длины телескопической антенны
-изменение ширины телескопической антенны
-уменьшение ширины телескопической антенны
Какие колебания воспринимает телескопическая антенна?
+высокочастотные электромагнитные
-низкочастотные электромагнитные
-среднечастотные электромагнитные
-низкочастотные магнитные
-среднечастотные магнитные
Какие атакующие средства включены в современные способы несанкционированного доступа?
+активные и пассивные
-положительные и отрицательные
-большие и маленькие
-объединенные и разъединенные
-односторонние и разносторонние
Какой скремблер обеспечивает более низкую степень защиты?
+статический
-аналоговый
-цифровой
-динамический
-блочный
В каком диапазоне работает простейший детектор радиоволн?
+ до 500 мГц
-свыше 500 мГц
-от 100 до 300 мГц
-от 300 до 500 мГц
-от 500 до 600 мГц
Что относится к пассивным средствам защиты информации?
+Фильтры
-Детекторы поля
-Сканирующие приемники
-Комплекс радио контроля
-Нелинейные локаторы
Надежная защита от утечек информации за счет влияния побочных электромагнитных излучений и наводок (ПЭМИН) через цепи электропитания, заземления или по радио эфиру это?
+генераторы белого шума
-излучатели белого шума
-блокираторы белого шума
-кодеры
-декодеры
Широкополосные генераторы радиошума, предназначенные для защиты от утечки информации за счет побочных электромагнитных излучений и наводок, а также подавления радио микрофонов и видео передатчиков ?
+штора
-SEL SP
-Октава
-Гром ЗИ
-Соната
Генераторы белого шума, предназначенные для маскировки побочных электромагнитных излучений и наводок на линии электропитания и телефонной линии.
+Гром ЗИ
-Штора
-SEL SP
-Октава
-Соната
Система технических средств и среда распространения сигналов для односторонней передачи данных от источника к получателю.
+канал связи
-канал передачи
-средства защиты
-блокиратор связи
-де блокиратор связи
Представляет собой диэлектрический слоистый цилиндрический волновод круглого сечения, как правило, он находится внутри защитной оболочки
+оптическое волокно
-тонкий коаксиал
-толстый коаксиал
-витая пара
-дуга
Какой вид защищен от помех, создаваемых источниками электромагнитного излучения, стойки к колебаниям температуры и влажности?
+оптическое волокно
-тонкий коаксиал
-толстый коаксиал
-витая пара
-дуга
Какой канал утечки акустической информации образуется при облучении лазерным лучом вибрирующих под действием акустического речевого сигнала отражающих поверхностей помещений?
+оптико-электронный (лазерный) канал
-оптический (лазерный) канал
-электронный канал
-дуговой канал
-блочный — лазерный канал
Какой метод основан на регистрации излучения, выводимого через боковую поверхность волокна с помощью специальных средств
+активный метод
-пассивный метод
-компенсационный метод
-базовый метод
-комплексный метод
Какой метод основан на регистрации излучения с боковой поверхности волокна?
+ пассивный метод
— активный метод
-компенсационный метод
-базовый метод
-комплексный метод
Какой метод базируются на регистрации излучения, выводимого через боковую поверхность с помощью специальных средств, с последующим формированием излучения и ввода его в волокно, которое скомпенсирует потери мощности при выводе излучения
+ компенсационный метод
— активный метод
— комплексный метод
-базовый метод
— пассивный метод

Генератор шума, корреляционные характеристики которого могут динамически меняться во время переговоров это?
+маскиратор речи
-блокатор сигнала
-кодер сигнала
-изолятор
-декодер сигнала
Различные по типу устройства (механические, электромеханические, электронные и др.), которые на уровне оборудования решают задачи информационной защиты это?
+аппаратные (технические) средства защиты
-смешанные аппаратно-программные средства защиты
-организационные средства защиты
-классические средства защиты
-механические средства защиты
Что из ниже перечисленного работает по принципу подавления радиоканала между трубкой и базой?
+блокираторы сотовой связи
-генераторы белого шума
-излучатели
-кодеры
-волоконно-оптические каналы
Какой блокиратор утечки информации работает в диапазоне подавляемого канала?
+технический
-динамический
-статический
-цифровой
-аналоговый
Какие колебания воспринимает телескопическая антенна?
+высокочастотные электромагнитные
-низкочастотные электромагнитные
-среднечастотные электромагнитные
-низкочастотные магнитные
-среднечастотные магнитные
Каким диодом детектируются электромагнитные колебания?
+германиевым
-алюминиевым
-медным
-стальным
-пластиковым
С каким количеством вольт используется батарея для антенны?
+9
-10
-11
-12
-13
Через что низкочастотный сигнал поступает на базу транзистора?
+резистор
-конденсатор
-катушку индуктивности
-сигнализатор
-диод
С помощью чего удобно проверять частотный диапазон и примерную чувствительность детектора радиоволн?
+генератор высокой частоты
-генератор низкой частоты
-генератор средней частоты
-стабилизатор высокой частоты
-стабилизатор низкой частоты
Как располагается подключенный к выходу генератора изолированный провод и антенна детектора?
+параллельно
-перпендикулярно
-сверху
-снизу
-в центре
Какой тип имеет диод VD1?
+Д9Б
-Д9С
-Д9Д
-Д9У
Какой тип у пьезоэлектрического преобразователя, который является нагрузкой?
+ЗП-1
-ЗП-2
-ЗП-3
-ЗП-4
-ЗП-5
Что означает ЗП-1
+ тип пьезоэлектрического преобразователя, который является нагрузкой
— тип двойного преобразователя, который является нагрузкой
— пьезоэлектрический преобразователя, который является источником питания
— преобразователь напряжения тока, который является нагрузкой
Что означает Д9Б в схемах генератора преобразования данных
+ тип вакуумного диода VD1
— преобразователь напряжения тока
— диод любого типа
— преобразователь тока
— вакуумный диод VD1D2
Какой категории относятся вирусы, не изменяющие заражаемых файлов. Алгоритм работы этих вирусов состоит в том, что для заражаемого файла создается файл-двойник, причем при запуске зараженного файла управление получает именно этот двойник, т. е. вирус.
+ companion
— рarasitic
— сryptor
— exploit
— exp
Самый известный в России производитель систем защиты от вирусов, спама и хакерских атак.
+лаборатория Касперского
-Российский центр по защите от вредоносных программ
-компания McAfee Security
-лаборатория доктора Веб
-компания Тумар
Запись определенных событий в журнал безопасности (security log) сервера.
+аудит
-журнал безопасности
-серверный журнал
-учет
-регистрация
Традиционный стандарт шифрования в сети
+ Data Encryption Standard
— Data Standard
-Data Security
-Security Standard
-Security Encryption Standard
Метод резервного копирования, когда копирование и маркировка выбранных файлов, производится вне зависимости от того, изменялись ли они со времени последнего резервного копирования
+Полное копирование
-Копирование
-Ежедневное копирование
-Дифференцированное резервное копирование
-Резервное копирование с приращением
Метод резервного копирования когда, копирование всех выбранных файлов производится без отметки о резервном копировании
-Полное копирование
+Копирование
-Ежедневное копирование
-Дифференцированное резервное копирование
-Резервное копирование с приращением
Метод резервного копирования, когда копирование и маркировка выбранных файлов, производится, только если они были изменены со времени последнего копирования
-Полное копирование
-Копирование
-Ежедневное копирование
-Дифференцированное резервное копирование
+Резервное копирование с приращением
Копирование только тех файлов, которые были изменены в течение дня, без отметки о резервном копировании
-Полное копирование
-Копирование
+Ежедневное копирование
-Дифференцированное резервное копирование
-Резервное копирование с приращением
Копирование выбранных файлов, только если они были изменены со времени последнего резервного копирования, без отметки о резервном копировании
-Полное копирование
-Копирование
-Ежедневное копирование
+Дифференцированное резервное копирование
-Резервное копирование с приращением
Что определяют в вычислительной системе, пять основных средств секретности: конфиденциальность, аутентификация, лостность, управление доступом и контроль участников взаимодействия (nonrepudiation).
+архитектуру секретности
-конфиденциальность данных
-управление данными при защите ВС
-архитектуру конфендинциальности
-защитный модуль
Один из механизмов защиты использующих в сети для обеспечения конфиденциальности
+управление маршрутизацией
-генерация трафика
-защитный канал
-защитный механизм
-генерация данных
Механизм защиты, который обычно реализуются, используя асимметричную криптографию, хотя был разработан ряд технологий, использующих симметричную криптографию.
+цифровая сигнатура
-управление маршрутизацией
-генерация трафика
-защитный канал
-защитный механизм
Развитие современных средств безбумажного документооборота, средств электронных платежей немыслимо без развития средств доказательства подлинности и целостности документа. Таким средством является
+ электронно-цифровая подпись
-протокол секретности
-аутентификация
-биометрия
-идентификация пользователя
-водяные знаки
При генерации электронно – цифровой подписи используются…
+общие параметры, секретный ключ и открытый ключ
-открытый ключ, закрытый ключ
-общие параметры, секретный ключ и закрытый ключ
-общие параметры, секретный ключ и конверт защиты
-один секретный ключ
Главный ресурс научно-технического и социального развития мирового общества
+информация
-книги
-сообщения
-материальная ценность
-оборудование
Информация основной объект защиты, ее сохранность и конфиденциальность это основа
+информационной безопасности
-информационной защищенности
-объективность защищенности
-информатики и компьютерных сетей

Комментарии:

Добавить комментарий

Источник

1. Установите соответствие между правом и определением:

Право

1) право распоряжения
2) право владения
3) право пользования

Определение

2. Заполните пропуски в предложении.

3. Лицензия на программное обеспечение — это …

4. К показателям «Информационной безопасности» относятся

1) дискретность
2) целостность
3) конфиденциальность
4) актуальность
5) доступность

Ответы на тест по информатике Информационное право и безопасность 11 класс
1. 1Б 2В 3А
2. 4
3. 5
4. 235
5. Непреднамеренным

Источник

Информатика. 11 класса. Босова Л.Л. Оглавление

§ 18. Информационное право и информационная безопасность

18.1. Правовое регулирование в области информационных ресурсов

¹⁾ ГК РФ. Статья 209. Содержание права собственности.

Собственнику информационного объекта, как и собственнику материального объекта, принадлежат:

В статье 8 утверждается право граждан на доступ без ограничений к:

3. Какие права и обязанности имеет обладатель информации?

5. Распространение какой информации запрещено законом?

6. С какой целью создаётся реестр российского программного обеспечения?

8. Распространение какой информации в нашей стране запрещено?

18.2. Правовые нормы использования программного обеспечения

Рис. 5.6. Виды лицензий на использование ПО

К условно-бесплатному ПО относятся:

18.3. О наказаниях за информационные преступления

18.4. Информационная безопасность

18.5. Защита информации

¹⁾ ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения».

Различают несанкционированное и непреднамеренное воздействие на информацию.

Меры, принимаемые для защиты информации, прежде всего зависят от уровня её использования.

САМОЕ ГЛАВНОЕ

В нашей стране разработан ряд законов, обеспечивающих правовое регулирование в информационной сфере.

Отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации, регулируются Федеральным законом «Об информации, информационных технологиях и о защите информации».

Вопросы и задания

1. Какие права принадлежат собственнику информационного объекта?

2. Кто считается владельцем информации?

3. Кто считается потребителем информации?

6. В каком случае использование программного обеспечения является законным?

8. Какие деяния Уголовный кодекс РФ классифицирует как преступления в сфере компьютерной информации?

9. Зачем нужны законодательные акты в информационной сфере?

10. Что такое информационная безопасность информационной системы? За счёт чего она достигается?

11. Что понимается под доступностью информации? Приведите пример, когда это условие нарушается.

12. Что понимается под целостностью информации? Приведите пример, когда это условие нарушается.

13. Что понимается под конфиденциальностью информации? Приведите пример, когда это условие нарушается.

14. В чём, на ваш взгляд, проявляются доступность, целостность и конфиденциальность при взаимодействии:

16. Что относится к национальным интересам Российской Федерации в информационной сфере?

18. В чём заключается защита информации?

20. Какие меры следует принимать для защиты информации на своём личном компьютере?

21. Какие меры по защите информации принимаются в вашей школе?

Дополнительные материалы к главе смотрите в авторской мастерской.

Оглавление

§ 17. Информационное общество

§ 18. Информационное право и информационная безопасность

Экзаменационные вопросы по дисциплине «Методы и средства защиты компьютерной информации»

Современное
состояние информационных технологий.
Проблема защиты информации и подходы
к ее возможному решению.

Особенности
современных информационных технологий

увеличение
количества автоматизированных процедур
в системах обработки данных и важности
принимаемых на их основе решений;
территориальная
распределенность компонентов компьютерных
систем и передача информации между
этими компонентами;

усложнение
используемых программных и накопление
и долговременное хранение больших
массивов данных на электронных носителях,
зачастую не имеющих твердых копий;
интеграция
в единых базах данных информации
различного назначения и различных
режимов доступа;
непосредственный
доступ к ресурсам компьютерных систем
большого количества пользователей
различных категорий и с различными
полномочиями в системе;
рост
стоимости ресурсов компьютерных систем.

Подходы
к защите компьютерной информации

Основные
понятия информационной безопасности.

Информация

Формы
представления информации

Информационные
процессы, технологии и системы

Компьютерная
система

Виды
информации

служебная
тайна (например, тайна суда и следствия);
профессиональная
тайна (врачебная, адвокатская и т.п.);
коммерческая
тайна;
персональные
данные (сведения о фактах, событиях и
обстоятельствах жизни гражданина,
позволяющие идентифицировать его
личность).

Обладатель
информации

Защищаемая
информация

утечки
защищаемой информации,
несанкционированных
и
непреднамеренных
воздействий на защищаемую информацию.

Характеристики
защищенности информации

Доступность
(способность обеспечения беспрепятственного
доступа субъектов к интересующей их
информации).

Утечка
(копирование) информации

Несанкционированный
доступ

Получение
защищаемой информации заинтересованным
субъектом с нарушением правил доступа
к ней.

Воздействие
на информацию (модификация, подмена,
уничтожение)

Цель
и объекты защиты

Информационная
безопасность и политика безопасности

Угрозы безопасности
и каналы утечки информации.

Угрозы
безопасности

Атака
на компьютерную систему

Цели
угроз безопасности информации

Нарушение
конфиденциальности (перехват, утечка
или копирование информации).
Нарушение
целостности (разрушение, модификация
или подделка информации).
Нарушение
доступности (блокирование информации
или отказ в обслуживании).

Угроза
раскрытия параметров

Искусственные
угрозы

ошибки
в проектировании КС;
ошибки
в разработке программных средств КС;
случайные
сбои в работе аппаратных средств КС,
линий связи, энергоснабжения;
ошибки
пользователей КС;
воздействие
на аппаратные средства КС физических
полей других электронных устройств
(при несоблюдении условий их
электромагнитной совместимости) и др.

Умышленные
угрозы

К
умышленным угрозам относятся:

несанкционированные
действия обслуживающего персонала КС
(например, ослабление политики
безопасности администратором, отвечающим
за безопасность КС);
несанкционированный
доступ к ресурсам КС со стороны
пользователей КС и посторонних лиц,
ущерб от которого определяется
полученными нарушителем полномочиями

Построение
модели угроз

Комплексный подход
к защите информации. Организационно-правовое
и инженерно-техническое обеспечение
информационной безопасности.

Роль
правового обеспечения

Уровни
правового обеспечения информационной
безопасности.

международные
(всемирные) конвенции об охране
промышленной
собственности, об охране интеллектуальной
собственности, об авторском праве;
Конституция
РФ (статья 23 определяет право граждан
на тайну переписки, телефонных,
телеграфных и иных сообщений);
Гражданский
кодекс РФ (в статье 139 устанавливается
право на возмещение убытков от утечки
с помощью незаконных методов информации,
относящейся к служебной и коммерческой
тайне);
Уголовный
кодекс РФ (статья 272 устанавливает
ответственность
за неправомерный доступ к компьютерной
информации, статья 273 – за создание,
использование и распространение
вредоносных программ для ЭВМ, статья
274 – за нарушение правил эксплуатации
ЭВМ, систем и сетей);
федеральный
закон «Об информации, информационных
технологиях и о защите информации»;
федеральные
законы «О государственной тайне»,
«О коммерческой тайне», «О персональных
данных»;
федеральные
законы «О лицензировании отдельных
видов деятельности», «О связи», «Об
электронной цифровой подписи»;
четвертая
часть Гражданского кодекса РФ (охрана
интеллектуальной собственности).

Инженерно-технические
средства защиты
информации

Назначение
инженерно-технических средств
защиты информации

защита
территории и помещений КС от проникновения
нарушителей;
защита
аппаратных средств КС и носителей
информации
от хищения;
предотвращение
возможности удаленного (из-за
пределов охраняемой территории)
видеонаблюдения (подслушивания) за
работой персонала и функционированием
технических средств КС;
предотвращение
возможности перехвата ПЭМИН, вызванных
работающими техническими средствами
КС и линиями передачи данных;
организация
доступа в помещения КС сотрудников
организации;
контроль
над режимом работы персонала КС;
контроль
над перемещением сотрудников КС в
различных
производственных зонах;
противопожарная
защита помещений КС;
минимизация
материального ущерба от потерь
информации,
возникших в результате стихийных
бедствий и техногенных аварий.

Технические
средства охраны

Образуют
первый рубеж защиты КС и
включают в себя:

средства
контроля и управления доступом
(СКУД);
средства
охранной сигнализации;
Средства
видеонаблюдения (охранного
телевидения, CCTV).
Основы
криптографической защиты информационных
ресурсов
К
открытому тексту применяется функция
шифрования, в результате чего получается
шифротекст (или криптограмма).

Криптографическая
защита информации.

Применение
криптографических методов
защиты информации

Обеспечение
конфиденциальности информации,
передаваемой по открытым линиям связи
или хранящейся на открытых носителях
информации.
Аутентификация,
обеспечение целостности и
неоспоримости передаваемой информации.
Защита
информационных ресурсов от
несанкционированного
использовани

Шифрование
и расшифрование

Для
восстановления открытого текста из
шифротекста к последнему применяется
функция расшифрования.

E_k

P
(открытый
текст)—> C
(шифротекст)

D_к′

C
(шифротекст)
—> P
(открытый текст)

C=E_k
(P);
P=D_k_′
(C)

Виды
криптографических систем

Ключ
симметричного шифрования
обычно называют сеансовым ( session
key).

Криптография
и криптоанализ

Науку
о защите информации с помощью шифрования
называют криптографией.

Совместным
изучением методов криптографии
и криптоанализа занимается криптология.

Криптостойкость

Хеширование
информации

Понятие
функции хеширования

Односторонняя
функция

Для
любого документа
M
длина его хеш-значения H(M)
постоянна.

Минимальная
вероятность
коллизий

Сложность
нахождения
другого документа с тем же хеш-значением.

Применение
функций хеширования

Хранение
образов паролей пользователей компьютерных
систем в регистрационных базах данных.

Генерация
одноразовых паролей и откликов на
случайные запросы службы аутентификации.

Обеспечение
подлинности и целостности электронных
документов.

Программно-аппаратная
защита информации.

Аппаратные
средства защиты информации

Основные
аппаратные средства защиты
информации

устройства
для ввода идентифицирующей пользователя
информации (магнитных и пластиковых
карт, отпечатков пальцев и т.п.);
устройства
для хранения идентифицирующей
пользователя
информации (карты, генераторы одноразовых
паролей, элементы Touch
Memory
и т.п.);
устройства
для шифрования информации;
устройства
для воспрепятствования несанкционированному
включению рабочих станций и серверов
(электронные замки и блокираторы).

Вспомогательные
аппаратные средства
защиты информации

устройства
уничтожения информации на магнитных
носителях;
устройства
сигнализации о попытках несанкционированных
действий пользователей КС и др.

Программные
средства защиты информации

программы
идентификации и аутентификации
пользователей
КС;
программы
разграничения доступа пользователей
к
ресурсам КС;
программы
шифрования информации;
программы
защиты информационных ресурсов
(системного
и прикладного программного обеспечения,
баз данных, компьютерных средств
обучения и т.п.) от несанкционированного
изменения, использования и копирования.

Идентификация
и аутентификация

Вспомогательные
программные средства
защиты информации

программы
уничтожения остаточной информации (в
блоках оперативной памяти, временных
файлах и т.п.);

программы
аудита (ведения регистрационных
журналов)
событий, связанных с безопасностью КС,
для обеспечения возможности восстановить
и доказать факт происшествия этих
событий;
программы
имитации работы с нарушителем (отвлечения
его на получение якобы конфиденциальной
информации);
программы
тестового контроля защищенности КС и
др.

Преимущества
и недостатки программных
средств защиты информации

Простота
тиражирования.
Гибкость.
Простота
использования.
Неограниченные
возможности
развития.
Расходование
ресурсов компьютерных
систем.
Возможность
обхода (из-за
«пристыкованности»).
Возможность
злоумышленного
изменения.

Способы
несанкционированного доступа к
информации и защиты от него

Основные
способы несанкционированного
доступа к информации в КС

непосредственное
обращение к объекту с конфиденциальной
информацией (например, с помощью
управляемой пользователем программы,
читающей данные из файла или записывающей
их в него);
создание
программных и технических средств,
выполняющих
обращение к объекту в обход средств
защиты (например, с использованием
случайно или намеренно оставленных
разработчиком этих средств так называемых
«люков»);
модификация
средств защиты для осуществления
несанкционированного доступа (например,
внедрение программных закладок);
внедрение
в аппаратные средства КС программных
или аппаратных механизмов, нарушающих
структуру и функции этих средств для
осуществления несанкционированного
доступа (например, путем загрузки на
компьютере иной, незащищенной операционной
системы).

Вспомогательные
способы НСД к информации
в КС

«ручной»
или программный подбор паролей путем
их
полного перебора или при помощи
специального словаря («взлом» КС);
подключение
к КС в момент кратковременного прекращения
работы легального пользователя,
работающего в интерактивном режиме и
не заблокировавшего свой терминал;
подключение
к линии связи и перехват доступа к КС
после отправки пакета завершения сеанса
легального пользователя, работающего
в удаленном режиме;
выдача
себя за легального пользователя с
применением
похищенной у него или полученной
обманным путем (с помощью так называемой
«социальной инженерии») идентифицирующей
информации («маскарад»);
создание
условий для связи по компьютерной
сети легального пользователя с терминалом
нарушителя, выдающего себя за легального
объекта КС (например, один из ее серверов),
«мистификация»;
создание
условий для возникновения в работе
КС сбоев, которые могут повлечь за собой
отключение средств защиты информации
или нарушение правил политики
безопасности;
тщательное
изучение подсистемы защиты КС
и используемой в ней политики безопасности,
выявление уязвимостей в программных
средствах защиты информации в КС,
внедрение программных закладок,
разрешающих доступ нарушителю.

Основные
способы защиты от НСД к компьютерной
информации

Аутентификация
субъектов КС (пользователей
и процессов);

аудит
всех
потенциально опасных действий субъектов
в КС (их учет и регистрация в специальном
журнале).

Каналы
утечки информации

Каналы
утечки информации (способы
несанкционированного
ее получения) могут быть разделены на:

косвенные
или общедоступные (не связанные
с физическим доступом к элементам КС);
непосредственные
или узкодоступные (связанные
с физическим доступом к элементам КС).

Косвенные
каналы

использование
подслушивающих (радиозакладных)
устройств;
дистанционное
видеонаблюдение;
перехват
побочных электромагнитных излучений
и наводок (ПЭМИН).

ПЭМИН

Непосредственные
каналы

Непосредственные
каналы утечки, не требующие
изменения элементов КС (без оставления
следов)

хищение
носителей информации;
сбор
производственных отходов с информацией;
намеренное
копирование файлов других пользователей
КС;
чтение
остаточной информации после выполнения
заданий
других пользователей (областей
оперативной памяти, удаленных файлов,
ошибочно сохраненных временных файлов);
копирование
носителей информации;
намеренное
использование для несанкционированного
доступа к информации незаблокированных
терминалов других пользователей КС;
маскировка
под других пользователей путем похищения
их идентифицирующей информации (паролей,
карт и т.п.);
обход
средств разграничения доступа к
информационным
ресурсам вследствие недостатков в их
программном обеспечении и др.
незаконное
подключение специальной регистрирующей
аппаратуры к устройствам или линиям
связи (пассивное для фиксации и сохранения
передаваемых данных или активное для
их уничтожения, искажения или подмены);
злоумышленное
изменение программ для выполнения
ими несанкционированного копирования
информации при ее обработке;
злоумышленный
вывод из строя средств защиты информации.

Пассивное
и активное подключение

Необходимость
комплексного подхода
к защите информации

Защита
информации в КС не может быть абсолютной.

Основные
группы методов и средств защиты
информации

методы
и средства организационно-правовой
защиты информации;
методы
и средства инженерно-технической защиты
информации;
криптографические
методы и средства защиты
информации;
программно-аппаратные
методы и средства защиты
информации.

Аутентификация
пользователей на основе паролей.

Аутентификация
пользователей на основе
паролей

Оценка
сложности подбора паролей

Другие
требования к паролям

максимальный
срок действия пароля (любой секрет
не может сохраняться в тайне вечно);
несовпадение
пароля с идентификатором пользователя,
под которым он зарегистрирован в КС;
неповторяемость
паролей одного пользователя.

Неповторяемость
паролей

Назначение
и смена пароля

Противодействие
попыткам подбора паролей

учет
всех попыток (успешных и неудачных)
входа
в систему в журнале аудита

Реакция
на попытки подбора паролей

нарастающее
увеличение временной задержки
перед предоставлением пользователю
следующей попытки входа.

Правила
ввода пароля

Символы
вводимого пароля не отображаются
на экране.

Хранение
паролей в регистрационной
базе данных

Недостатки
парольной аутентификации

Возможность
перехвата пароля в открытом виде
или его подбора по хеш-значению.

Возможность
поучения или смены пароля в результате
обмана.

Необходимость
ведения регистрационной
базы данных

Протокол
идентификации пользователя
при его входе в КС

U:
ввод идентификатора (ID).

U:
ввод аутентифицирующей информации (P).

Организация и
хранение базы данных учетных записей
пользователей.

Хранение
паролей в регистрационной
базе данных

Недостатки
парольной аутентификации

Возможность
перехвата пароля в открытом виде
или его подбора по хеш-значению.

Возможность
поучения или смены пароля в результате
обмана.

Необходимость
ведения регистрационной
базы данных

Типичная
структура учетной записи i
в
регистрационной базе данных

имя
(идентификатор) пользователя
ID_i
;

полное
имя пользователя и его должность в
организации D_i
;

аутентифицирующая
пользователя
информация P_i
(например, хеш-значение его пароля) ;

информация
о правах пользователя в КС
G_i
.

Причины
использования
S_i
( RID_i
)

Применяются
при вычислении хеш-значения пароля
пользователя для:

Учетные
записи групп

Информация
о группах пользователей также может
размещаться в регистрационной базе
данных КС.

Предопределенные
учетные записи

Псевдопользователи

Учетные
записи могут создаваться и для компонентов
самой системы (ее ядра или отдельных
служб)

Доступ
к регистрационной базе данных

Протокол
идентификации пользователя
при его входе в КС

U:
ввод идентификатора (ID).

U:
ввод аутентифицирующей информации (P).

Хранение
паролей в ОС Unix

Учетные
записи пользователей операционных
систем клона Unix

Хранятся
в текстовом файле /
etc
/ passwd
в виде отдельных строк и имеют следующий
формат:

Привилегии
пользователей в ОС Unix

Определяются
полями учетной записи UID,
GID,
HD
и SH.

Алгоритм
хеширования паролей

Полученное
значение длиной 64 бита
вновь зашифровывается на том же ключе
(общее число повторений равно 25);

Полученная
строка символов записывается
в файл учетных записей после случайного
значения.

В
современных версиях
Unix
на шагах 2 и 3 вместо функции шифрования
DES
используется функция хеширования MD5.

Минимальная
длина пароля

Затенение
паролей

Учетные
записи групп

Хранение
паролей в ОС Windows

Хранение
паролей в ОС Windows.

Вычисляется
хеш-значение преобразованного пароля
H(P)
длиной 128 бит (используется функция
хеширования MD4).

Алгоритм

Windows
NT

Полученный
результат шифрования
записывается в базу данных учетных
записей.

Хранение
паролей в ОС Windows

Второе
хеш-значение пароля пользователя
вычисляется
по алгоритму LAN
Manager:

Все
буквенные символы (латинского алфавита)
строки
пароля P
преобразуются к верхнему регистру.

Алгоритм

LAN
Manager

Полученный
результат шифрования помещается в
базу данных SAM.

Сложность
паролей в ОС Windows

Требования
к паролям при включении специального
параметра безопасности:

длина
не менее 6 символов;

включение
символов хотя бы из трех подмножеств
(строчные буквы, прописные буквы, цифры,
специальные знаки);

Несовпадение
с именем ученой записи или его
частью.

Программа

syskey

Способы
хранения системного ключа

База
данных
SAM

Содержит
учетные записи пользователей и
групп.

Права
учетной записи в системе
определяются ее уникальным идентификатором
безопасности SID
( security
identifier
).

Аутентификация
пользователей на основе
модели «рукопожатия»

Пользователь

S
: генерация случайного значения x
(запроса); вычисление y
= f
( x
); вывод x
.

U
: вычисление отклика y
’= f
’( x
); ввод y
’.

S
: если y
и y
’ совпадают, то пользователь авторизуется
в системе, иначе попытка входа в систему
отклоняется.

между
пользователем и системой не передается
никакой
конфиденциальной информации;

Аутентификация
пользователей на основе модели
«рукопожатие».

Взаимная
аутентификация

А->Б:
А, запрос P_Б.

Б->А:
Б, запрос P_А.

А->Б:
А, P_А.

Б->А:
Б, P_Б.

Модель
«рукопожатия» вполне приемлема для
взаимной аутентификации:

Взаимная
аутентификация по модели
«рукопожатия»

А
: выбор значения x
; вычисление y
= f
( x
).

А
— >Б
: А, x.

Б
: вычисление y
’= f
( x
).

Б
— >А
: Б, y’.

А
: если y
и y
’ совпадают, то А

может доверять Б
.

Аутентификация
пользователей на основе
модели «рукопожатия»

Но
в основном модель «рукопожатия»
применяется при удаленной аутентификации.

Программно-аппаратная
защита от локального НСД.

Программно-аппаратная
защита от локального
НСД

Порядок
активизации программ после
включения питания компьютера и до
загрузки операционной системы:

программа
самопроверки устройств
компьютера POST
( Power
On
– Self
Test
);

программа

программы

BIOS;

Порядок
активизации программ

программы
расширения BIOS
(BIOS
Extension),
если соответствующая плата установлена
на компьютере;

оболочка
операционной системы.

Невозможность
надежной аутентификации
только программными средствами

Программно-аппаратная
защита от локального
НСД

Модель
(возможности) нарушителя

установка
системы защиты производится в его
отсутствие;

нарушитель
не может вскрыть системный блок
компьютера;

нарушитель
не может перезаписать информацию в ПЗУ
BIOS
при работающем компьютере;

нарушитель
не имеет пароля установки системы
защиты;

нарушитель
не имеет пароля пользователя КС;

Программно-аппаратная
защита от локального
НСД

Установка
системы защиты

Для
каждого указанного файла
F_i
вычисляется и сохраняется проверочная
информация в виде

E_k
(H(P_S
, P,
KI,
F_i
)) ( E
– функция шифрования, k
– ключ шифрования, H
– функция хеширования).

Проверочная
информация сохраняется в
скрытых областях жесткого диска.

Вход
пользователя в КС

Программно-аппаратная
защита от локального
НСД

Аутентификация
пользователей по их биометрическим
характеристикам.

Биометрические
характеристики

Физические
характеристики
человека (статические).
Поведенческие
характеристики
(динамические).

Не
требуется измерение одного
и того же параметра для снижения риска
воспроизведения.

Возможные
статистические аутентификации:

Аутентификация
по отпечаткам пальцев
Аутентификация
по геометрической
форме руки
Аутентификация
по радужной оболочке
глаза
Аутентификация
по форме
лица
Аутентификация
по термограмме лица (схема расположения
кровеносных
сосудов лица). Используется
специально разработанная инфракрасная
камера.
Аутентификация
по фрагментам генетического кода (ДНК)
— в настоящее
время эти средства применяются редко
по причине их сложности и высокой
стоимости.

Динамические
биометрические характеристики

Голос.
Рукописная
подпись.
Темп
работы с клавиатурой (клавиатурный
«почерк»).
Темп
работы с мышью («роспись» мышью).

Создание
биометрического эталона

Проверка
биометрической подписи

Для
хранения биометрического эталона не
может
применяться хеширование.

Оценка
точности биометрической аутентификации

Две
оценки: вероятность ошибочного отказа

(ошибки 1-го рода, FRR) и вероятность
ошибочного допуска (ошибки 2-го рода,
FAR).

Необходимо
достижения компромисса между
уровнем безопасности и удобством
использования.

Чем
меньше ERR,
тем выше обеспечиваемый уровень
безопасности.

Достоинства и
недостатки биометрической
аутентификации

трудность
фальсификации
этих признаков;
высокая
достоверность аутентификации
из-за уникальности таких признаков;
неотделимость
биометрических
признаков от личности пользователя.

более
высокая стоимость
по сравнению с другими средствами
аутентификации;
возможность
отказа легальному
пользователю;
возможность
утечки персональных
данных и нарушения тайны частной жизни.

Аутентификация
при удаленном доступе.

Аутентификация
при удаленном доступе

Аутентифицирующая
информация передается
по открытым каналам связи.
Угроза
перехвата и воспроизведения нарушителем
аутентифицирующей информации (паролей
в открытом или хешированном виде,
биометрических данных) для «маскарада».
Угроза
подмены ответа выделенного сервера
аутентификации.

Прямая
аутентификация

Протокол
CHAP

Challenge
Handshake Authentication Protocol

Сервер
аутентификации AS:
генерация случайного числа N.

AS->Клиент
C:
идентификатор сервера ID_S,
N
и его длина в байтах (вызов).

Пользователь
U->C:
пароль P.

C:
вычисление хеш-значения R=H(ID_S,
N,
P).

C->AS:
ID_U,
R (отклик).

AS->C:
если хеш-значения совпадают, то авторизация
U,
иначе отказ в доступе и разрыв соединения.

Протокол

S/Key

Протокол

Процедура
парольной инициализации

Непрямая
аутентификация

Решение
проблемы масштабируемости КС.
Механизм
аутентификации реализован на отдельном
сервере, а все другие серверы связываются
с сервером аутентификации.

Дополнительная
угроза – подделка ответов сервера
аутентификации
или сервера обслуживания.

Протокол
RADIUS

Remote
Authentication Dial In User Service.

Управление
сетевыми ресурсами внутри
одной организации (протокол Kerberos)т
ой
– KDC
и клиен

Получение
мандата

Виртуальные
частные сети и способы их построения.

Виртуальные
частные сети

Типовые
угрозы безопасности открытых сетей
передачи
данных (типа Интернета):
Анализ
сетевого трафика.
Подмена
субъекта или объекта соединения.
Внедрение
ложного объекта (угроза «человек
посередине»).
Отказ
в обслуживании.

Технология
предназначена для защиты от
перечисленных выше угроз и включает в
себя следующие этапы:

Согласование
параметров защищенной
связи (криптографических алгоритмов
и ключей).
Шифрование
исходного
IP- пакета.
Инкапсуляция
его в блок данных нового
IP-
пакета.
Добавление
заголовка к новому
IP-
пакету.

Способы
построения
VPN

Программные.
Программно-аппаратные.

На
сетевом уровне (IPSec,
SKIP)
– хорошая масштабируемость.

Протокол

IPSec

Режимы
протокола IPSec

Модель
(возможности) нарушителя

знает
топологию всей сети;
знает
IP-адреса
хостов защищаемых подсетей (ЛВС
организации);
имеет
образцы программного и аппаратного
обеспечения
установленных в подсетях рабочих
станций и серверов;
владеет
сведениями о внедренных в стандартное
программное
обеспечение рабочих станций и серверов
закладках, случайно или намеренно
оставленной отладочной информации,
ключах шифрования и т.п.;
не
знает сеансовых и базовых ключей
шифрования,
используемых специализированными
криптомаршрутизаторами;
не
имеет возможности осуществить локальный
несанкционированный
доступ к информации.

Характеристики
криптомаршрутизатора

физическое
разделение внешних (с сетью Интернет)
и внутренних (с хостами обслуживаемой
подсети) интерфейсов (например, с помощью
двух разных сетевых карт);
возможность
шифрования всех исходящих (в
другие ЛВС организации) и расшифрования
всех входящих (из этих ЛВС) пакетов
данных.

Алгоритм
работы криптомаршрутизатора
CR₁

Определяется
интерфейс, через который доступна
подсеть, содержащая CR₂.

Сформированный
пакет отправляется через сеть Интернет.

Алгоритм
работы криптомаршрутизатора
CR₂

Из
таблицы маршрутов извлекается сеансовый
ключ
связи CR₁
и CR_2.

Выполняется
расшифрование данных полученного
пакета.

Объединение
нескольких ЛВС

Межсетевые экраны.

В
зависимости от уровня взаимодействия

объектов сети основными разновидностями
МСЭ являются:

фильтрующие
(экранирующие)
маршрутизаторы,
шлюзы
сеансового уровня (экранирующие
транспорты),
шлюзы
прикладного уровня,
МСЭ
экспертного уровня, работающие на
разных уровнях модели OSI .

Фильтрующие
маршрутизаторы

При
фильтрации используется информация из

заголовков IP-
пакетов:

IP-
адрес отправителя пакета;
IP-
адрес получателя пакета;
порт
отравителя пакета;
порт
получателя пакета;
тип
протокола;
флаг
фрагментации пакета.

Достоинства:

простота
их создания,
установки и конфигурирования,
прозрачность
для приложений
пользователей КС и минимальное влияние
на их производительность,
невысокая
стоимость.

Недостатки
:

отсутствие
аутентификации на уровне
пользователей КС;
уязвимость
для подмены IP-адреса
в заголовке пакета;
незащищенность
от угроз нарушения
конфиденциальности и целостности
передаваемой информации;
сильная
зависимость эффективности
набора правил фильтрации от уровня
знаний администратора МСЭ конкретных
протоколов;
открытость
IP-адресов
компьютеров защищенной части сети.

Шлюзы
сеансового уровня

Основные функции:

контроль
виртуального соединения между
рабочей станцией защищенной части сети
и хостом ее незащищенной части;
трансляция

IP
-адресов компьютеров защищенной части
сети (технология Network
Address
Translation,
NAT)
.

К
достоинствам относятся
также их простота и надежность программной
реализации.

Шлюзы
прикладного уровня

К
основным функциям относятся:

идентификация
и аутентификация пользователя КС
при попытке установить соединение;
проверка
целостности передаваемых данных;
разграничение
доступа к ресурсам защищенной и открытой
частей распределенной КС;
фильтрация
и преобразование передаваемых сообщений
(обнаружение вредоносного программного
кода, шифрование и расшифрование и
т.п.);
регистрация
событий в специальном журнале;
кэширование
запрашиваемых извне данных, размещенных
на компьютерах внутренней сети (для
повышения производительности КС).

Достоинства:

наиболее
высокая степень защиты
КС от удаленных атак,
скрытость
структуры защищенной
части сети для остальных хостов,
надежная
аутентификация и
регистрация проходящих сообщений,
возможность
реализации дополнительных
проверок.

Недостатки:

более
высокая стоимость,
сложность
разработки,
установки и конфигурирования,
снижение
производительности
КС,
«непрозрачность»
для
приложений пользователей КС.

Общие
недостатки МСЭ

Средства анализа
защищенности, обнаружения атак и
контроля содержания.

Сканеры
уязвимости

Основные
функции:

проверка
используемых в системе средств
идентификации
и аутентификации, разграничения доступа,
аудита и правильности их настроек с
точки зрения безопасности информации
в КС;
контроль
целостности системного и прикладного
программного обеспечения КС;
проверка
наличия известных, но неустраненных
уязвимостей в системных и прикладных
программах, используемых в КС и др.

Классификация
сканеров уязвимости

Уровня
хоста (анализируют защищенность
конкретного компьютера «изнутри»).
Уровня
сети (анализируют защищенность
компьютерной системы «извне»).

Недостатки:

зависимость
от конкретных систем;
недостаточная
надежность (их применение может
иногда вызывать сбои в работе анализируемых
систем);
малый
срок эффективной эксплуатации (не
учитываются
новые обнаруженные уязвимости, которые
и являются наиболее опасными);
возможность
использования нарушителями в
целях подготовки к атаке на КС.

Системы
обнаружения атак

Уровня
хоста (обнаружение признаков атак на
основе анализа журналов безопасности
операционной системы, журналов МСЭ и
других системных и сетевых служб).
Уровня
сети (инспекция пакетов данных
непосредственно
в каналах связи), которые могут размещаться
последовательно или параллельно с
межсетевым экраном, маршрутизатором,
коммутатором или концентратором.

Как
работают:

Используют
базы данных с зафиксированными
сетевыми событиями и шаблонами известных
атак.
Работают
в реальном масштабе времени и реагируют
на попытки использования известных
уязвимостей КС или несанкционированного
исследования защищенной части сети
организации.
Ведут
журнал регистрации зафиксированных
событий для последующего анализа.

Недостатки:

неспособность
эффективно функционировать
в высокоскоростных сетях;
возможность
пропуска неизвестных атак;
необходимость
постоянного обновления базы
данных с шаблонами атак;
сложность
определения реакции этих средств
на обнаруженные попытки атаки.

Системы
контроля содержания

Предотвращаемые
угрозы:

Увеличение
расходов на оплату личных Интернет-услуг
сотрудников организации.
Снижение
производительности труда сотрудников.
Снижение
пропускной способности сети организации
для деловых нужд.
Утечки
конфиденциальной информации.
Репутационный
ущерб для организации.

Основные
функции:

Анализ
входящего и исходящего трафика.
Контроль
утечки конфиденциальной информации.
Поддержка
и анализ различных форматов представления
данных.
Возможность
построения гибкой политики безопасности
на уровне отдельных пользователей и
групп.
Сбор
статистики (при необходимости руководство
может
получить практически любую информацию:
кто и когда посещал какие сайты и
Web-страницы, отсылал почту через
Web-интерфейс, какие файлы какого объема
закачивал и пр.).

Защита от
несанкционированной загрузки ОС.

Защита
от загрузки ОС неуполномоченным лицом.
Защита
от загрузки другой ОС со съемного
носителя.
Защита
от загрузки ОС в нештатном режиме.

Защита
от загрузки ОС неуполномоченным
лицом

Максимальная
длина пароля,
устанавливаемого программой BIOS
Setup
, равна 8 символам.

При
использовании этой возможности перед

Достоинства:

простота
установки,
надежность
защиты
(число попыток ввода пароля перед
загрузкой операционной системы
ограничено тремя, что делает практически
невозможным подбор пароля).

Недостатки:

один
пароль для всех пользователей,
работающих на этом компьютере;
сложность
замены пароля, если он забыт
пользователем;
поскольку
хеш-значение пароля сохраняется
в CMOS-памяти
компьютера, нарушитель может прочитать
его с помощью специальной программы
после получения доступа к компьютеру
после загрузки операционной системы;
существование
так называемых «технических»
паролей программы BIOS
Setup.

Защита
от загрузки другой ОС со съемного
носителя

Отмена
такой возможности с помощью программы
BIOS
Setup:

Безопасность информации | Вопросы с ответами

Вопросы с ответами по дисциплине «Безопасность информации».

Комментарии:

Добавить комментарий

Источник