Концептуальное проектирование. Концептуальное проектирование с использованием методологии IDEF1X
Основные положения концепции инженерно-технической защиты информации
Лекция 1.2
Москва, 2011
Введение
1. Принципы инженерно-технической защиты информации (как процесса)
2. Принципы построения системы инженерно- технической защиты информации
3. Основные положения концепции инженерно-технической защиты информации
Литература (Сл.3):
1. Ожегов С. И. Словарь русского языка. - М.: Советская энциклопедия, 1968.
2. Оптнер С. Л. Системный анализ для решения деловых и промышленных проблем. - М.: Советское радио, 1969.
3. Расторгуев С. П. Абсолютная система защиты // Системы безопасности, связи и телекоммуникаций. - 1996. - Июнь-июль.
5. Торокин А. А. Инженерно-техническая защита информации.
М.: Гелиос АРВ, 2005.
Введение (Сл.4)
Основу концепции инженерно-технической защиты информации составляют постановка задачи и определения принципов ее решения.
Постановка задачи инженерно-технической защиты представляет собой четкое и конкретное описание того, что надо сделать для достижения цели защиты информации .
Сформулировать задачи можно только тогда, когда определена защищаемая информация и угрозы ей. В постановке задачи указывается необходимость определения рациональных мер для конкретной защищаемой информации и угрозы ей с учетом имеющегося ресурса.
Если цель отвечает на вопрос, что надо достичь в результате инженерно-технической защиты информации, а задачи - что надо сделать для этого, то принципы дают общее представление о подходах к решению поставленных задач. Принципы можно разделить на принципы инженерно-технической защиты информации как процесса и принципы построения системы инженерно-технической защиты информации.
1. Принципы инженерно-технической защиты информации (как процесса) (Сл.5)
Любая технология, в том числе защиты информации, должна соответствовать набору определенных общих требований, которые можно рассматривать как общие принципы защиты информации. К ним относятся(Сл.6):
Надежность защиты информации;
Непрерывность защиты информации;
Скрытность защиты информации;
Целеустремленность защиты информации;
Рациональность защиты;
Активность защиты информации;
Гибкость защиты информации;
Многообразие способов защиты;
Комплексное использование различных способов и средств защиты информации;
Экономичность защиты информации.
Надежность защиты информации (Сл.7) предусматривает обеспечение требуемого уровня ее безопасности независимо от внешних и внутренних факторов, влияющих на безопасность информации. При рациональной защите на ее уровень не должны влиять как преднамеренные действия злоумышленника, например выключение электропитания, так и стихийные силы, например пожар.
Непрерывность защиты информации характеризует постоянную готовность системы защиты к отражению угроз информации. Так как место и время угрозы информации априори неизвестны, то в инженерно-технической защите не может быть перерывов в работе, в том числе в ночное время.
Затраты на изменения системы защиты минимизируются в случае скрытности защиты информации. Чем выше скрытность, тем больше неопределенность исходных данных у злоумышленника и тем меньше у него возможностей по добыванию информации. Скрытность защиты информации достигается скрытным (тайным) проведением мер по защите информации и существенным ограничением допуска сотрудников организации (предприятия, учреждения) к информации о конкретных способах и средствах инженерно-технической защиты информации в организации.
Так как ресурса на нейтрализацию всех угроз, как правило, не хватает, то целеустремленность защиты информации предусматривает сосредоточение усилий по предотвращению угроз наиболее ценной информации.
В то же время инженерно-техническая защита информации должна быть рациональной, которая предполагает минимизацию ресурса, расходуемого на обеспечение необходимого уровня безопасности информации.
Недостоверность и недостаточность информации об угрозах информации может быть в какой-то степени компенсированы ее поиском. Поговорка «пока гром не грянет, мужик не перекрестится» не приемлема для обеспечения защиты информации. Необходимым условием эффективной защиты информации является ее активность, которая обеспечивается, прежде всего, прогнозированием угроз и созданием превентивных мер по их нейтрализации. Активность защиты соответствует активности обороны - одному из важнейших принципов ведения оборонительных войсковых операций. Опыт их ведения позволяет утверждать, что даже очень мощная, но пассивная оборона в конце концов может быть разрушена и завершиться поражением. Только постоянные контратаки, не дающие противнику возможность хорошо подготовиться к наступлению, могут привести к победе в обороне.
Добывание и защита информации - это процесс борьбы противоположных сил. Учитывая, что основным источником угроз является человек - злоумышленник, победа в ней возможна при гибкости защиты информации. Необходимость ее обусловлена, прежде всего, свойством информации к растеканию в пространстве. Со временем все больше деталей системы защиты становятся известны большему числу сотрудников и, следовательно, будут более доступными и злоумышленнику. Гибкость защиты предполагает возможность оперативно изменять меры защиты, особенно в случае, если принимаемые меры станут известны злоумышленнику. Гибкость защиты информации можно обеспечить, если система имеет набор разнообразных мер защиты, из которого можно оперативно выбрать эффективные для конкретных угроз и условий. Гибкость обеспечивается многообразием способов и средств инженерно-технической защиты информации.
Так как нет универсальных методов и средств защиты информации, то существует необходимость в их таком комплексном применении, при котором недостатки одних компенсируются достоинствами других.
Наконец, защита информации должна быть экономичной. Это значит, что затраты на защиту информации не должны превышать возможный ущерб от реализации угроз.
Рассмотренные общие принципы инженерно-технической защиты информации не дают конкретных рекомендаций по инженерно-технической защите информации. Однако они ориентируют специалиста на требования, которым должна соответствовать инженерно-техническая защита информации.
2. Принципы построения системы инженерно- технической защиты информации (Сл.8)
При разработке принципов построения системы инженерно- технической защиты информации учитывались рассмотренные принципы, принципы обеспечения безопасности живых существ, используемых природой, и известные пути нейтрализации различных угроз человеком.
Так как информационная безопасность является частью предметной области, определяемой общим понятием «безопасность», включающей и безопасность живых существ, то полезную подсказку по мерам обеспечения информационной безопасности можно получить в результате анализа решений этой проблемы природой. Проблема безопасности в живой природе крайне важна, так как от эффективности ее решения зависит сохранение видов живых существ. Способы защиты в живой природе доказали свою эффективность за длительный период эволюции и могут быть полезными для обеспечения информационной безопасности. Они рассмотрены С. П. Расторгуевым в и приведены на рис. 2.1. (Сл.9)
Для защиты от хищников некоторые живые существа создают механические преграды («броню»), которые надевают на себя (черепахи, ежи, раки и др.), или в виде своего «дома» (пчелы, осы, норковые животные и др.). Другие, не имеющие такой «брони», имеют длинные ноги, развитые крылья или плавники и спасаются от врага бегством (изменением местоположения) или обеспечивают сохранение вида интенсивным размножением. Например, многие насекомые и даже растения выживают благодаря своей плодовитости, которая компенсирует массовую гибель беззащитных особей. Третья группа живых существ снабжена мощными клыками, когтями, рогами и другими средствами защиты, способными отогнать или уничтожить нападающего. Наконец, четвертая группа, не имеющая указанных средств защиты," выживает путем маскировки себя (мимикрии) под окружающую среду, изменения характеристик окружающей среды с целью дезориентации хищника (хамелеон, осьминог и др.), а также миметизма (отпугивания грозным внешним видом). Например, бабочка «вицерой» принимает окраску ядовитой бабочки «монарх», безвредная «змеиная» гусеница имитирует движение змеи и т. д.
Против угроз воздействий различных сил человечество за свою историю выработало достаточно эффективные меры в виде различных естественных и искусственных рубежей защиты. В средние века человек надевал на себя металлические или кожаные доспехи (сейчас - бронежилеты), окружал дома и города высокими и мощными стенами и заборами, что продолжает делать и сейчас. Наиболее распространенный способ защиты преступников от органов правосудия"- убегание. Наконец, возможности человека по изменению своего внешнего вида или окружающей среды существенно превосходят все то, на что способна «неразумная» природа.
Учитывая, что угрозы воздействия на информацию (Сл.10) представляют собой силы различной физической природы (механической, электрической, электромагнитной, тепловой и др.), система защиты должна создавать вокруг носителей информации с локальными размерами преграды - рубежи защиты от этих сил.
В отличие от сил воздействий, направленных на источники информации, утечка информации происходит при распространении носителей с защищаемой информацией от ее источников. Мерами защиты от утечки являются также преграды, создаваемые вокруг источников информации. Но эти преграды должны задержать не силы воздействий, а носителей информации.
На источник информации как объект защиты могут быть распространены принципы и способы защиты, используемые природой и созданные человеком, в том числе подходы к созданию абсолютной системы защиты, рассмотренные в .
Под абсолютной системой (Сл.11) понимается система, обеспечивающая полную (гарантированную) защиту при любых угрозах. Абсолютная система определена как система, обладающая всеми возможными способами защиты и способная в любой момент своего существования спрогнозировать наступление угрожающего события за время, достаточное для приведения в действия адекватных мер по нейтрализации угроз.
Абсолютная система является гипотетической, идеальной, так как любая реальная система защиты не может в принципе обладать всеми характеристиками и свойствами абсолютной. Механизмы прогнозирования и принятия решений в процессе функционировании допускают ошибки. Кроме того, следует иметь в виду, что органы разведки и подготовленные злоумышленники хорошо осведомлены о современных способах защиты и активны в поиске нетиповых вариантов обмана механизма прогнозирования и обхода мер защиты. Однако реализация механизмов абсолютной системы в реальной системе позволит приблизиться к возможностям идеальной защиты.
Следовательно, система защиты информации должны содержать(Сл.12):
Рубежи вокруг источников информации, преграждающих распространение сил воздействия к источникам информации и ее носителей от источников;
Силы и средства достоверного прогнозирования и обнаружения угроз;
Механизм принятия решения о мерах по предотвращению или нейтрализации угроз;
Силы и средства нейтрализации угроз, преодолевших рубежи защиты.
Основу построения такой системы составляют следующие принципы:
Многозональность пространства, контролируемого системой инженерно-технической защиты информации;
Многорубежность системы инженерно-технической защиты информации;
Равнопрочность рубежа контролируемой зоны;
Надежность технических средств системы защиты информации;
Ограниченный контролируемый доступ к элементам системы защиты информации;
Адаптируемость (приспособляемость) системы к новым угрозам;
Согласованность системы защиты информации с другими системами организации.
Многозональность защиты (Сл.13) предусматривает разделение (территории государства, организации, здания) на отдельные контролируемые зоны, в каждой из которых обеспечивается уровень безопасности, соответствующий цене находящейся там информации. На территории Советского Союза создавались зоны, закрытые для иностранцев, приграничные зоны, закрытые города. Уровень безопасности в любой зоне должен соответствовать максимальной цене находящейся в ней информации. Если в ней одновременно размещены источники информации с меньшей ценой, то для этой информации уровень безопасности, а следовательно, затраты будут избыточными. Так как уровень безопасности в каждой зоне определяется исходя из цены находящейся в ней информации, то многозональность позволяет уменьшить расходы на инженерно-техническую защиту информации. Чем больше зон, тем более рационально используется ресурс системы, но при этом усложняется организация защиты информации. Зоны могут быть независимыми, пересекающимися и вложенными (рис. 2.2)(Сл.14).
Для независимых зон уровень безопасности информации в одной зоне не зависит от уровня безопасности в другой. Они создаются для разделения зданий и помещений, в которых выполняются существенно отличающиеся по содержанию и доступу работы. Например, администрация организации размещается в одном здании, научно-исследовательские лаборатории -■ в другом, а производственные подразделения - в третьем.
Примером пересекающихся зон является приемная руководителя организации, которая, с одной стороны, принадлежит зоне с повышенными требованиями к безопасности информации, источниками которой являются руководящий состав организации и соответствующие документы в кабинете, а с другой стороны, в приемную имеют доступ все сотрудники и посетители организации. Требования к безопасности информации в пересекающейся зоне являются промежуточными между требованиями к безопасности в пересекающихся зонах. Например, уровень безопасности в приемной должен быть выше, чем в коридоре, но его нельзя практически обеспечить на уровне безопасности информации в кабинете.
Вложенные зоны наиболее распространены, так как позволяют экономнее обеспечивать требуемый уровень безопасности информации. Безопасность информации i-й вложенной зоны определяется не только ее уровнем защиты, но и уровнями защиты в предшествующих зонах, которые должен преодолеть злоумышленник для проникновения в i-ю зону.
Каждая зона (Сл.15) характеризуется уровнем безопасности находящейся в ней информации. Безопасность информации в зоне зависит от:
Расстояния от источника информации (сигнала) до злоумышленника или его средства добывания информации;
Количества и уровня защиты рубежей на пути движения злоумышленника или распространения иного носителя информации (например, поля);
Эффективности способов и средств управления допуском людей и автотранспорта в зону;
Мер по защите информации внутри зоны.
Чем больше удаленность источника информации от места нахождения злоумышленника или его средства добывания и чем больше рубежей защиты, тем большее время движения злоумышленника к источнику и ослабление энергии носителя в виде поля или электрического тока. Количество и пространственное расположение зон и рубежей выбираются таким образом, чтобы обеспечить требуемый уровень безопасности защищаемой информации как от внешних (находящихся вне территории организации), так и внутренних (проникших на территорию злоумышленников и сотрудников). Чем более ценной является защищаемая информация, тем большим количеством рубежей и зон целесообразно окружать ее источник и тем сложнее злоумышленнику обеспечить разведывательный контакт с ее носителями. Вариант классификация зон по условиям доступа приведен в табл. 2.1 . (Сл.16)
Таблица 2.1
|
Из анализа этой таблицы следует, что по мере увеличения категории зоны усложняются условия допуска как сотрудников, так и посетителей.
На границах зон и особо опасных направлений (Сл.17) создаются рубежи защиты. Очевидно, что чем больше рубежей защиты и чем они надежнее (прочнее), чем больше времени и ресурса надо потратить злоумышленнику или стихийным силам на их преодоления. Рубежи защиты создаются и внутри зоны на пути возможного движения злоумышленника или распространения иных носителей, прежде всего, электромагнитных и акустических полей. Например, для защиты акустической информации от подслушивания в помещении может быть установлен рубеж защиты в виде акустического экрана.
Типовыми зонами организации, указанными на рис. 2.3, являются:
Территория, занимаемая организацией и ограничиваемая забором или условной внешней границей;
Здание на территории;
Коридор или его часть;
Помещение (служебное, кабинет, комната, зал, техническое помещение, склад и др.); шкаф, сейф, хранилище.
Соответственно, рубежи защиты (Сл.19):
Стены,двери, окна здания;
Двери, окна (если они имеются), стены, пол и потолок (перекрытия) коридора;
Двери, окна, стены, пол и потолок (перекрытия) помещения;
Стены и двери шкафов, сейфов, хранилищ.
Необходимым условием (Сл.20) и принципом эффективной инженерно-технической защиты информации является равнопрочность рубежа контролируемой зоны. Наличие бреши в защите может свести на нет все затраты. В качестве классического примера последствий невыполнения этого требования можно привести линию Мажино, образованную накануне Второй мировой войны мощеными французскими оборонительными укреплениями возле границ с Германией, которая, по мнению руководства Франции, должна была надежно защитить ее от агрессии. Но немцы без особенных усилий обошли эту линию через Бельгию и вошли в Париж. Выполнение принципа равнопрочности рубежа требует выявления и анализа всех потенциальных угроз с последующей нейтрализацией угроз с уровнем выше допустимого.
Непрерывность защиты информации может быть обеспечена при условии безотказной работы сил и средств системы защиты. Надежность любого технического средства всегда ниже 100%. Поэтому через некоторое время, усредненное значение которого называется временем безотказной работы, в нем возникает неисправность. Ущерб от неисправности технических средств защиты может быть очень высокий, равный цене информации. Если техническое средство охраны своевременно не среагирует на угрозу, например пожара в помещении ночью, то за время, когда его обнаружит дежурная смена в другом конце здания или посторонние лица за забором, могут сгореть все документы, находящиеся в этом помещении. Ложные срабатывания средств защиты при отсутствии угроз менее опасны, но они способствуют формированию у охраны психологической установки на то, что причиной срабатывания средства защиты является его неисправность. Такая установка увеличивает время реакции сотрудника охраны на угрозу.
Этим пользуются иногда преступники, которые перед проникновением в контролируемую зону вызывают многократные срабатывания средств защиты, в результате которых сотрудники охраны перестают на них реагировать. Поэтому к надежности технических средств защиты предъявляются повышенные, по сравнению с другими средствами, требования, а сами средства многократно дублируются. Например, в помещении устанавливается, как правило, несколько датчиков (извещателей) пожарной сигнализации.
Необходимым условием обеспечения скрытности защиты информации (Сл.21) является жесткий контроль и управление допуском к элементам системы защиты, в том числе к ее техническим средствам. Выполнение этого принципа построения системы защиты требует скрытности и дополнительной укрепленности мест размещения технических средств защиты информации.
Гибкость защиты информации обеспечивается адаптируемостью системы к новым угрозам и изменением условий ее функционирования. Для оперативной адаптации необходимы механизмы быстрого изменения структуры системы и резерв ее сил и средств.
Система защиты информации (Сл.22) функционирует совместно с другими системами государства и организации любого уровня. Поэтому она должна функционировать согласованно с другими сис темами. В противном случае эти системы будут мешать друг другу. Можно в интересах инженерно-технической защиты информации настолько ужесточить режим безопасности в организации* что ее сотрудникам будет сложно выполнять свою основную работу. Например, в некоторых режимных организациях разрешают размножать (печатать) закрытые документы только в машинописном бюро, небольшое количество сотрудников-машинисток которого не справляется с работой в конце года, когда резко возрастает число отчетных документов. В результате этого организацию периодически лихорадит. Следовательно, необходимы иные решения по обеспечению безопасности информации, существенно не затрудняющие работу организации по иным видам деятельности. Конечно, меры по защите информации в той или иной степени ужесточают режим организации, но чем незаметнее система защиты информации решает свои задачи, тем более она рациональна. Следовательно, рационально построенная система инженерно- технической защиты информации должна минимизировать дополнительные задачи и требования, вызванные мерами по защите информации, к сотрудникам организации.
Чем более универсальной (Сл.23)является любая система, тем она менее эффективно решает конкретные задачи по сравнению с узко специализированной системой. «Плату» за универсальность можно снизить введением в систему механизма адаптации ее конфигурации и алгоритма функционирования ее к изменившимся условиям. Этот принцип широко используется в современном строительстве: сигнальные (для передачи информационных сигналов) кабели и кабели электропитания размещаются не в железобетонных стенах, а в предусмотренном проектами пространстве с легким доступом между межэтажными перекрытиями и потолком или полом. Конечно, в этом случае несколько ухудшается пожароустойчивость помещения, но обеспечивается возможность экономичного и быстрого изменения схемы коммуникаций.
Адаптируемость (Сл.23) системы защиты информации достигается прогнозированием угроз и заложенной при ее создании возможности производить без капитальных вложений изменения элементов как физической защиты, так и скрытия источников информации.
Кроме защиты информации в любой организации решается множество других задач по безопасности сотрудников не только на рабочем месте, но и в иных местах, по защите материальных ценностей, размещенных в разных местах ее территории (во дворе, на складах, в помещениях и др.). Поэтому наряду с системой защиты информации в организации создаются и иные системы. Автономное их функционирование распыляет средства, что в условиях их ограниченности снижает эффективность любой из этих систем.
Основные положения раздела I (Сл.24)
1. Инженерно-техническая защита информации (Сл.25) является одним из основных направлений обеспечения информационной безопасности. Технический прогресс способствует повышению роли инженерно-технической защиты. Она охватывает большое количество областей знаний и сфер практической деятельности, при ее обеспечении необходимо учитывать большое число факторов, информация о которых недостаточная и часто недостоверная. Определяющую роль при инженерно-технической защите играет человек, действия которого пока не поддаются формализации. Задачи инженерно-технической защиты информации относятся к так называемым слабоформализуемым задачам, не имеющим формальных (строго математических) методов решения. Получение рациональных (удовлетворяющих поставленным требованиям) результатов при решении слабоформализуемых задач достигается на основе системного подхода.
2. Системный подход представляет собой обобщение опыта человечества по решению задач, прежде всего, слабоформализуемых. Эти задачи характеризуются большим числом факторов, влияющих на результат решения задачи, информация о которых Недостоверная и недостаточная, и отсутствием формальных методов решения, учитывающих эти факторы. Отсутствие формального математического аппарата оптимизации решения слабоформализуемых задач не позволяет находить оптимальные решения. Результаты решения, удовлетворяющие требованиям, образуют область рациональных решений, внутри которых находится оптимальный результат.
Системный подход предусматривает представление совокупности сил, средств и методов, обеспечивающих решение задач, в виде открытой системы, являющейся подсистемой более сложной системы и одновременно гиперсистемой для систем (подсистем) более низкого уровня. Система защиты не имеет юридически оформленной организационно-штатной структуры, а является моделью для анализа и разработки эффективной инженерно-технической защиты информации. Система защиты информации описывается пятью параметрами: целью и задачами защиты информации, ресурсами, угрозами - входами, мерами по защите информации - выходами и процессом преобразования входов в выходы. Системный подход требует полноты и достоверности описания параметров, в противном случае возможны грубые ошибки. Кроме того, при анализе системы надо учитывать появление в системе системных свойств, отсутствующих у ее элементов. Задачи защиты информации, как любые иные слабоформализуемые задачи, решаются путем выбора специалистом рациональных вариантов решения на основе результатов системного анализа. Основным аппаратом системного анализа является аппарат исследования операций - совокупность математических методов оптимизации решений сложных задач: теории массового обслуживания, линейного, нелинейного, динамического программирования, игр и др. Рациональный вариант выбирается по значениям показателей эффективности защиты информации. В зависимости от вида защищаемой информации и условий обеспечения безопасности информации применяются соответствующие показатели эффективности.
3. Основной целью (Сл.26) инженерно-технической защиты информации является обеспечение ее безопасности, при которой риск изменения, уничтожения или хищения информации не превышает допустимого значения. Риск характеризуется вероятностью реализации угроз и зависит от ресурса - прямых расходов на защиту информации. Сумма прямых расходов на защиту информации и косвенных расходов, соответствующих ущербу от реализации угроз, определяет расходы на информацию. Значения прямых расходов, при которых суммарные расходы на информацию минимизируются, образуют область рациональной защиты информации. Для оценки риска необходимо определить источники информации и цену содержащейся в них информации, угрозы ее безопасности и возможность (вероятность) их реализации.
Задачи инженерно-технической защиты информации определяют то, что надо выполнить с учетом данного ресурса для предотвращения (нейтрализации) конкретных угроз в интересах поставленных целей.
4. Входы системы (Сл.27)представляют собой угрозы безопасности информации. Угрозы проявляются в виде угроз преднамеренных и случайных (непреднамеренных) воздействий на источники информации и угроз утечки информации. Угрозы воздействий создают условия и действия, которые могут привести к непосредственному или дистанционному контакту сил человека и природы с источником информации, в результате которого информация может быть изменена, уничтожена, похищена или блокирована. Случайные воздействия в отличие от преднамеренных возникают в результате непреднамеренных (случайных) воздействий на источники информации людей, технических средств и стихийных сил.
5. Выходы системы защиты информации (Сл.28) - меры по обеспечению инженерно-технической защиты. Меры инженерно-технической защиты информации представляют собой совокупность технических средств и способов их использования, которые обеспечивают требуемый уровень безопасности информации при минимуме ресурса. Каждому набору угроз соответствует рациональный набор мер защиты. Определение такого набора является основной задачей инженерно-технической защиты информации. При отсутствии формальных методов определение набора средств задача решается путем Выбора этих мер специалистами по локальным и глобальным показателям эффективности.
6. Основу концепции (Сл.29) инженерно-технической защиты информации составляют принципы ее защиты и построения системы инженерно-технической защиты информации.
Основными принципами инженерно-технической защиты информации являются:
Надежность, предусматривающая обеспечение требуемого уровня безопасности защищаемой информации;
Непрерывность защиты во времени и пространстве, характеризующая постоянную (в любое время) готовность системы защиты к предотвращению (нейтрализации) угроз информации;
Активность, предусматривающая упреждающее предотвращение (нейтрализация) угроз;
Скрытность, исключающая возможность ознакомления лиц с информацией о конкретных способах и средствах защиты в рассматриваемой структуре в объеме, превышающем служебную необходимость;
Целеустремленность, предполагающая расходование ресурса на предотвращение угроз с максимальным потенциальным ущербом;
Рациональность, требующая минимизации расходования ресурса на обеспечение необходимого уровня безопасности информации;
Комплексное использование различных способов и средств защиты информации, позволяющее компенсировать недостатки одних способов и средств достоинствами других;
Экономичность защиты, предусматривающая, что расходы на защиту не превысят ущерба от реализации угроз.
7. Принципы построения (Сл.30) системы защиты информации учитывают рассмотренные принципы, способы безопасности живых существ, отобранные природой в процессе ее эволюции, способы, которые создали люди и механизмы гипотетической абсолютной системы обеспечения безопасности.
К основным принципам построения инженерно-технической защиты информации относятся:
Многозональность пространства, контролируемого системой инженерно-технической защиты информации, позволяющая обеспечить согласование затрат на защиту и цены информации;
Многорубежность системы инженерно-технической защиты информации, увеличивающей время движения источников угроз и уменьшающей энергию сил воздействия и носителей информации при ее утечке;
Равнопрочность рубежей контролируемой зоны, исключающая появление в них «дырок», через которые возможно проникновение источников угроз и утечки информации;
Надежность технических средств системы защиты, обеспечивающая их постоянную работоспособность;
Ограниченный контролируемый доступ к элементам системы защиты информации, исключающий «растекание» информации о способах и средствах защиты;
Адаптируемость (приспосабливаемость) системы к новым угрозам и изменениям условий ее функционирования;
Согласованность системы защиты информации с другими системами, минимизирующая дополнительные задачи и требования к сотрудникам организации, вызванные необходимостью защиты информации.
Вопросы для самопроверки
1. Принципы обеспечения инженерно-технической "защиты информации.
2. Почему защита информации должна проводиться скрытно?
3. Что значит экономичность защиты информации?
4. Природные способы защиты живых существ.
5. Какие механизмы должна иметь абсолютная система защиты?
6. Принципы построения системы инженерно-технической защиты информации.
7. Сущность принципа адаптируемости системы защиты информации.
8. Что обеспечивает многозональность защиты информации?
9. Преимущества вложенных зон защиты информации.
10. Типовые контролируемые зоны организации.
11. Назначение рубежей защиты информации.
12. Типовые рубежи инженерно-технической защиты информации.
Множество и разнообразие возможных средств защиты информации определяется прежде всего возможными способами воздействия на дестабилизирующие факторы или порождающие их причины, причем воздействия в направлении, способствующем повышению значений показателей защищенности или (по крайней мере) сохранению прежних (ранее достигнутых) их значений. Рассмотрим содержание представленных способов и средств обеспечения безопасности. Препятствие заключается в создании на пути возникновения или распространения дестабилизирующего фактора некоторого барьера, не позволяющего соответствующему фактору принять опасные размеры. Типичными примерами препятствий являются блокировки, не позволяющие техническому устройству или программе выйти за опасные границы; создание физических препятствий на пути злоумышленников, экранирование помещений и технических средств и т. и. Управление есть определение на каждом шаге функционирования систем обработки информации таких управляющих воздействий на элементы системы, следствием которых будет решение (или способствование решению) одной или нескольких задач защиты информации. Например, управление доступом на объект включает следующие функции защиты: идентификацию лиц, претендующих на доступ, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора); опознавание (установление подлинности) объекта или субъекта по предъявленному идентификатору; проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту); регистрацию (протоколирование) обращений к защищаемым ресурсам; реагирование (сигнализация, отключение, задержка работ, отказ в процессе) при попытках несанкционированных действий. Маскировка предполагает такие преобразования информации, вследствие которых она становится недоступной для злоумышленников или такой доступ существенно затрудняется, а также комплекс мероприятий по уменьшению степени распознавания самого объекта. К маскировке относятся криптографические методы преобразования информации, скрытие объекта, дезинформация и легендирование, а также меры по созданию шумовых полей, маскирующих информационные сигналы. Регламентация как способ защиты информации заключается в разработке и реализации в процессе функционирования объекта комплекса мероприятий, создающих такие условия, при которых существенно затрудняются проявление и воздействие угроз. К регламентации относится разработка таких правил обращения с конфиденциальной информацией и средствами ее обработки, которые позволили бы максимально затруднить получение этой информации злоумышленником. Принуждение - такой метод защиты, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности. Побуждение есть способ защиты информации, при котором пользователи и персонал объекта внутренне (т. е. материальными, моральными, этическими, психологическими и другими мотивами) побуждаются к соблюдению всех правил обработки информации. Как отдельный, применяемый при ведении активных действий противоборствующими сторонами можно выделить такой способ, как нападение. При этом подразумевается как применение информационного оружия при ведении информационной войны, так и непосредственное физическое уничтожение противника (при ведении боевых действий) или его средств разведки. Рассмотренные способы обеспечения защиты информации реализуются с применением различных методов и средств. При этом различают формальные и неформальные средства. К формальным относятся такие средства, которые выполняют свои функции по защите информации формально, т. е. преимущественно без участия человека. К неформальным относятся средства, основу которых составляет целенаправленная деятельность людей. Формальные средства делятся на физические, аппаратные и программные. Физические средства - механические, электрические, электромеханические и т. и. устройства и системы, которые функционируют автономно, создавая различного рода препятствия на пути дестабилизирующих факторов. Аппаратные средства - различные электронные и электронномеханические и т. и. устройства, схемно встраиваемые в аппаратуру системы обработки данных или сопрягаемые с ней специально для решения задач защиты информации. Например, для защиты от утечки по техническим каналам используются генераторы шума. Физические и аппаратные средства объединяются в класс технических средств защиты информации. Программные средства - специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения автоматизированных систем с целью решении задач защиты информации. Это могут быть различные программы по криптографическому преобразованию данных, контролю доступа, защиты от вирусов и др. Неформальные средства делятся на организационные, законодательные и морально-этические. Организационные средства - специально предусматриваемые в технологии функционирования объекта организационно-технические мероприятия для решения задач защиты информации, осуществляемые в виде целенаправленной деятельности людей. Законодательные средства - существующие в стране или специально издаваемые нормативно-правовые акты, с помощью которых регламентируются права и обязанности, связанные с обеспечением защиты информации, всех лиц и подразделений, имеющих отношение к функционированию системы, а также устанавливается ответственность за нарушение правил обработки информации, следствием чего может быть нарушение защищенности информации. Морально-этические нормы - сложившиеся в обществе или данном коллективе моральные нормы или этические правила, соблюдение которых способствует защите информации, а нарушение их приравнивается к несоблюдению правил поведения в обществе или коллективе. Именно человек, сотрудник предприятия или учреждения, допущенный к секретам и накапливающий в своей памяти колоссальные объемы информации, в том числе секретной, нередко становится источником утечки этой информации или по его вине соперник получает возможность несанкционированного доступа к носителям защищаемой информации. Морально-нравственные методы защиты информации предполагают прежде всего воспитание сотрудника, допущенного к секретам, т. е. проведение специальной работы, направленной на формирование у него системы определенных качеств, взглядов и убеждений (патриотизма, понимания важности и полезности защиты информации и для него лично) и обучение сотрудника, осведомленного в сведениях, составляющих охраняемую тайну, правилам и методам зашиты информации, привитие ему навыков работы с носителями секретной и конфиденциальной информации. Интересный подход к формированию множества способов защиты предлагает член-корреспондент Академии криптографии С. П. Расторгуев. В основу названной им «абсолютной системы защиты», обладающей всеми возможными способами защиты, положены основные принципы защиты, реализуемые в живой природе. Развивая этот подход, можно выделить следующие основные способы защиты животного мира в сравнении с рассмотренными способами защиты информации. 1. Пассивная защита. Перекрывает все возможные каналы воздействия угроз и предполагает «надевание брони» на себя и создание терри- ш ториальных препятствий. Налицо полное соответствие такому способу защиты информации, как препятствие. 2. Изменение местоположения. Желание спрятаться можно соотнести с таким способом, как сокрытие. 3. Изменение собственной внешности, мимикрия - слияние с ландшафтом и т. п. Цель - представиться объектом неинтересным или незаметным для нападающей стороны. Аналогичную функцию защиты информации реализуют ее маскировкой. 4. Нападение с целью уничтожения нападающего. Выше был рассмотрен соответствующий способ защиты информации. 5. Воспитание навыков безопасности у потомства, доведение этих навыков до уровня инстинкта. Для систем защиты информации аналогичные навыки у обслуживающего персонала формируются принуждением и побуждением. 6. Выработка определенных правил жизнедеятельности, способствующих выживанию и сохранению рода. К таким правилам, выработанным природой, можно отнести мирное существование особей одного вида, жизнь в стаях (стадах) и т. д. Другими словами, природа регламентирует необходимые для безопасности правила жизни. Таким образом, анализ присущих животному миру защитных свойств, положенный в основу так называемой «абсолютной системы защиты», показывает, что все они соответствует рассмотренным способам защиты информации, что подтверждает полноту их формирования. Продам таблицу умножения без чисел. Объявление 9.
3.4.1. Основные термины и определения
Современная криптография включает в себя следующие основные разделы:
- криптосистемы с секретным ключом (классическая криптография);
- криптосистемы с открытым ключом;
- криптографические протоколы.
Введем некоторые понятия, необходимые в дальнейшем:
алфавит | - | конечное множество используемых для шифрования информации знаков; |
текст | - | упорядоченный набор из элементов алфавита; |
шифр | - | совокупность обратимых преобразований множества открытых данных на множество зашифрованных данных, заданных алгоритмом криптографического преобразования (криптоалгоритмом); |
ключ | - | сменный элемент шифра, применяемый для закрытия отдельного сообщения, т.е. конкретное секретное состояние параметров криптоалгоритма, обеспечивающее выбор одного варианта преобразования из совокупности возможных; именно ключом определяется в первую очередь безопасность защищаемой информации и поэтому применяемые в надежных шифрах преобразования в большой степени зависят от ключа; |
зашифрование | - | преобразование открытых данных в закрытые (зашифрованные) с помощью определенных правил, содержащихся в шифре; |
расшифрование | - | обратный процесс; |
шифрование | - | процесс зашифрования или расшифрования; |
криптосистема | - | состоит из пространства ключей, пространства открытых текстов, пространства шифротекстов и алгоритмов зашифрования и расшифрования; |
дешифрование | - | процесс преобразования закрытых данных в открытые при неизвестном ключе и (или) неизвестном алгоритме (вскрытие или взлом шифра); |
синхропосылка | - | исходные параметры криптоалгоритма; |
раскрытие криптоалгоритма | - | результат работы криптоаналитика, приводящий к возможности эффективного определения любого зашифрованного с помощью данного алгоритма открытого текста; |
стойкость криптоалгоритма | - | способность шифра противостоять всевозможным попыткам его раскрытия, т.е. атакам на него. |
3.4.2. Оценка надежности криптоалгоритмов
Все современные шифры базируются на принципе Кирхгофа, согласно которому секретность шифра обеспечивается секретностью ключа, а не секретностью алгоритма шифрования. В некоторых ситуациях (например, в военных, разведывательных и дипломатических ведомствах) нет никаких причин делать общедоступным описание сути криптосистемы. Сохраняя такую информацию в тайне, можно дополнительно повысить надежность шифра. Однако полагаться на секретность этой информации не следует, так как рано или поздно она будет скомпрометирована. Поэтому анализ надежности таких систем всегда должен проводиться исходя из того, что противник имеет всю информацию о применяемом криптоалгоритме, ему неизвестен только реально использованный ключ . В связи с вышеизложенным можно сформулировать общее правило: при создании или при анализе стойкости криптосистем не следует недооценивать возможностей противника. Их лучше переоценить, чем недооценить.
Стойкость криптосистемы зависит от сложности алгоритмов преобразования, длины ключа, а точнее от объема ключевого пространства, метода реализации: при программной реализации необходимо дополнительно защищаться от разрушающих программных воздействий (вирусов, червей, троянских программ). Хотя понятие стойкости шифра является центральным в криптографии, количественная оценка криптостойкости - проблема до сих пор не решенная.
Методы оценки качества криптоалгоритмов , используемые на практике:
- всевозможные попытки их вскрытия;
- анализ сложности алгоритма дешифрования;
- оценка статистической безопасности шифра.
В первом случае многое зависит от квалификации, опыта, интуиции криптоаналитиков и от правильной оценки возможностей противника. Обычно считается, что противник знает шифр, имеет возможность его изучения, знает некоторые характеристики открытых защищаемых данных, например тематику сообщений, их стиль, стандарты, форматы и т.п.
Во втором случае оценку стойкости шифра заменяют оценкой минимальной сложности алгоритма его вскрытия. Однако получение строгих доказуемых оценок нижней границы сложности алгоритмов рассматриваемого типа проблематично. Иными словами, всегда возможна ситуация, когда алгоритм вскрытия шифра, сложность которого анализируется, оказывается вовсе не самым эффективным.
Сложность вычислительных алгоритмов можно оценивать числом выполняемых элементарных операций, при этом необходимо учитывать их стоимость и затраты на их выполнение. В общем случае это число должно иметь строгую нижнюю оценку и выходить за пределы возможностей современных компьютерных систем. Качественный шифр невозможно раскрыть способом более эффективным, нежели полный перебор по всему ключевому пространству, при этом криптограф должен рассчитывать только на то, что у противника не хватит времени и ресурсов, чтобы это сделать.
В третьем случае можно сформулировать следующие необходимые условия стойкости криптосистемы, проверяемые статистическими методами:
- должна отсутствовать статистическая зависимость между входной и выходной последовательностями;
- выходная последовательность по своим статистическим свойствам должна быть похожа на истинно случайную последовательность;
- при неизменной входной информационной последовательности незначительное изменение ключа должно приводить к непредсказуемому изменению выходной последовательности;
- при неизменном ключе незначительное изменение входной последовательности должно приводить к непредсказуемому изменению выходной последовательности;
- не должно быть зависимостей между ключами, последовательно используемыми в процессе шифрования.
Существует много различных криптоалгоритмов, при этом нет ни одного, подходящего для всех случаев. В каждой конкретной ситуации выбор криптоалгоритма определяется следующими факторами:
- особенностью защищаемой информации (документы, исходные тексты программ, графические файлы и т.п.);
- особенностями среды хранения или передачи информации;
- ценностью информации, характером защищаемых секретов, временем обеспечения секретности;
- объемами информации, скоростью ее передачи, степенью оперативности ее предоставления пользователю;
- возможностями собственников информации, владельцев средств сбора, обработки, хранения и передачи информации по ее защите;
- характером угроз, возможностями противника.
3.4.3. Классификация методов шифрования информации
Основные объекты изучения классической криптографии показаны на рис. 3.4 , где А и В - законные пользователи, W - противник или криптоаналитик. Учитывая что схема на рис. 3.4 а фактически является частным случаем схемы на рис. 3.4 б при В = А, в дальнейшем будет рассматриваться только она.
Процедуры зашифрования E (encryption) и расшифрования D (decryption) можно представить в следующем виде:
Функции за- и расшифрования взаимно обратные, иначе говоря, для любого текста X справедливо:
Рис. 3.9.
Гаммированием называют процедуру наложения на входную информационную последовательность гаммы шифра, т.е. последовательности с выходов генератора псевдослучайных последовательностей (ПСП) G. Последовательность называется псевдослучайной, если по своим статистическим свойствам она неотличима от истинно случайной последовательности, но в отличие от последней является детерминированной, т.е. знание алгоритма ее формирования дает возможность ее повторения необходимое число раз. Если символы входной информационной последовательности и гаммы представлены в двоичном виде, наложение чаще всего реализуется с помощью операции поразрядного сложения по модулю 2. Надежность шифрования методом гаммирования определяется качеством генератора гаммы.
3.4.5. Генераторы псевдослучайных последовательностей
Качественные ПСП, являясь по своей сути детерминированными, успешно заменяют во многих приложениях (в первую очередь связанных с защитой информации) случайные последовательности, которые чрезвычайно сложно формировать.
Можно выделить следующие задачи, требующие решения при организации защиты информационных систем:
- обеспечение работоспособности компонентов и системы в целом при наличии случайных и умышленных деструктивных воздействий;
- обеспечение секретности и конфиденциальности информации или наиболее важной ее части;
- защита от НСД;
- обеспечение аутентичности информации (целостности, подлинности и пр.);
- обеспечение аутентичности участников информационного обмена;
- обеспечение юридической значимости пересылаемых электронных документов;
- обеспечение неотслеживаемости информационных потоков в системе;
- защита прав собственников информации.
Во всех рассмотренных случаях генераторы ПСП применяются либо непосредственно, либо косвенно, когда на их основе строятся генераторы случайных последовательностей, генераторы контрольных кодов и хеш-генераторы. Во всех случаях требуются последовательности с равномерным законом распределения.
Можно выделить следующие функции генераторов ПСП в системах защиты информации:
- формирование гаммы при шифровании информации в режимах гаммирования и гаммирования с обратной связью;
- формирование ключей и паролей пользователей;
- формирование случайных запросов при аутентификации удаленных абонентов;
- формирование затемняющих множителей при слепом шифровании;
- формирование контрольных кодов целостности информации;
- хеширование информации при организации парольных систем, построении протоколов электронной подписи, аутентификации по принципу запрос-ответ и др.
Требования к качественному генератору ПСП:
- непредсказуемость;
- определенные статистические свойства;
- большой период формируемых последовательностей;
- эффективная реализация.
Непредсказуемость. Данное требование означает, что для противника, имеющего возможность анализировать фрагмент ПСП конечной длины, три задачи вычислительно неразрешимы:
- предсказание следующего элемента последовательности;
- определение предыдущего элемента последовательности;
- определение использованной при генерации ключевой информации.
В первых двух случаях самая эффективная возможная стратегия - бросание жребия, в третьем - полный перебор по всему ключевому пространству.
Определенные статистические свойства. Это требование означает, что ни один из существующих статистических тестов не в состоянии обнаружить на выходе генератора какие-либо закономерности статистических зависимостей между различными последовательностями, формируемыми при инициализации генератора случайными значениями.
Принципы построения генераторов ПСП. Можно выделить два подхода при использовании в составе генераторов ПСП нелинейных функций: это использование нелинейной функции непосредственно в цепи обратной связи и двухступенчатая схема, в которой задача первой ступени (по сути счетчика) заключается всего лишь в обеспечении максимально большого периода при данном числе N элементов памяти Q. Во втором случае нелинейная функция является функцией выхода . На
По совокупности вышеперечисленных требований наиболее приемлемое решение - генераторы ПСП, использующие многораундовые преобразования при построении функций или .
Наиболее обоснованными математически следует признать генераторы с использованием односторонних функций. Непредсказуемость данных генераторов основывается на сложности решения ряда математических задач (например, задачи дискретного логарифмирования или задачи разложения больших чисел на простые множители). Существенным недостатком генераторов этого класса является низкая производительность.
3.4.6. Поточные шифры
Шифр Вернама можно считать исторически первым поточным шифром. Так как поточные шифры в отличие от блочных осуществляют поэлементное шифрование потока данных без задержки в криптосистеме, их важнейшим достоинством является высокая скорость преобразования, соизмеримая со скоростью поступления входной информации. Таким образом обеспечивается шифрование практически в реальном масштабе времени вне зависимости от объема и разрядности потока преобразуемых данных.
В синхронных поточных шифрах (см. рис. 3.9) гамма формируется независимо от входной последовательности, каждый элемент (бит, символ, байт и т.п.) которой таким образом шифруется независимо от других элементов. В синхронных поточных шифрах отсутствует эффект размножения ошибок, т.е. число искаженных элементов в расшифрованной последовательности равно числу искаженных элементов зашифрованной последовательности, пришедшей из канала связи. Вставка или выпадение элемента зашифрованной последовательности недопустимы, так как из-за нарушения синхронизации это приведет к неправильному расшифрованию всех последующих элементов.
В самосинхронизирующихся поточных шифрах осуществляется гаммирование с обратной связью - гамма зависит от открытого текста, иначе говоря, результат шифрования каждого элемента зависит не только от позиции этого элемента (как это происходит в случае синхронного поточного шифрования), но и от значения всех предыдущих элементов открытого текста. Свойство самосинхронизации объясняется отсутствием обратной связи на принимающей стороне, в то время как в случае синхронного поточного шифрования схемы за- и расшифрования абсолютно идентичны.
При разработке принципов построения системы инженерно-технической защиты информации учитывались рассмотренные принципы, принципы обеспечения безопасности живых существ, используемых природой, и известные пути нейтрализации различных угроз человеком.
Так как информационная безопасность является частью предметной области, определяемой общим понятием «безопасность», включающей и безопасность живых существ, то полезную подсказку по мерам обеспечения информационной безопасности можно получить в результате анализа решений этой проблемы природой. Проблема безопасности в живой природе крайне важна, так как от эффективности ее решения зависит сохранение видов живых существ. Способы защиты в живой природе доказали свою эффективность за длительный период эволюции и могут быть полезными для обеспечения информационной безопасности. Они рассмотрены С. П. Расторгуевым в и приведены на рис. 2.1.
Рис. 2.1. Природные способы защиты живых существ
Для защиты от хищников некоторые живые существа создают механические преграды («броню»), которые надевают на себя (черепахи, ежи, раки и др.), или в виде своего «дома» (пчелы, осы, норковые животные и др.). Другие, не имеющие такой «брони», имеют длинные ноги, развитые крылья или плавники и спасаются от врага бегством (изменением местоположения) или обеспечивают сохранение вида интенсивным размножением. Например, многие насекомые и даже растения выживают благодаря своей плодовитости, которая компенсирует массовую гибель беззащитных особей. Третья группа живых существ снабжена мощными клыками, когтями, рогами и другими средствами защиты, способными отогнать или уничтожить нападающего. Наконец, четвертая группа, не имеющая указанных средств защиты, выживает путем маскировки себя (мимикрии) под окружающую среду, изменения характеристик окружающей среды с целью дезориентации хищника (хамелеон, осьминог и др.), а также миметизма (отпугивания грозным внешним видом). Например, бабочка «вицерой» принимает окраску ядовитой бабочки «монарх», безвредная «змеиная» гусеница имитирует движение змеи и т. д.
Против угроз воздействий различных сил человечество за свою 1: историю выработало достаточно эффективные меры в виде раз-| личных естественных и искусственных рубежей защиты. В средние века человек надевал на себя металлические или кожаные доспехи (сейчас -- бронежилеты), окружал дома и города высокими и мощными стенами и заборами, что продолжает делать и сейчас. Наиболее распространенный способ защиты преступников от органов правосудия - убегание. Наконец, возможности человека по изменению своего внешнего вида или окружающей среды существенно превосходят все то, на что способна «неразумная» природа. Учитывая, что угрозы воздействия на информацию представляют собой силы различной физической природы (механической, электрической, электромагнитной, тепловой и др.), система защиты должна создавать вокруг носителей информации с локальными размерами преграды - рубежи защиты от этих сил.
В отличие от сил воздействий, направленных на источники информации, утечка информации происходит при распространении носителей с защищаемой информацией от ее источников. Мерами защиты от утечки являются также преграды, создаваемые вокруг источников информации. Но эти преграды должны задержать не силы воздействий, а носителей информации.
На источник информации как объект защиты могут быть распространены принципы и способы защиты, используемые природой и созданные человеком, в том числе подходы к созданию абсолютной системы защиты, рассмотренные в . Под абсолютной системой понимается система, обеспечивающая полную (гарантированную) защиту при любых угрозах. Абсолютная система определена как система, обладающая всеми возможными способами защиты и способная в любой момент своего существования спрогнозировать наступление угрожающего события за время, достаточное для приведения в действия адекватных мер по нейтрализации угроз.
Абсолютная система является гипотетической, идеальной, так как любая реальная система защиты не может в принципе обладать всеми характеристиками и свойствами абсолютной. Механизмы прогнозирования и принятия решений в процессе функционировании допускают ошибки. Кроме того, следует иметь в виду, что органы разведки и подготовленные злоумышленники хорошо осведомлены о современных способах защиты и активны в поиске нетиповых вариантов обмана механизма прогнозирования и обхода мер защиты. Однако реализация механизмов абсолютной системы в реальной системе позволит приблизиться к возможностям идеальной защиты.
Следовательно, система защиты информации должны содержать:
Рубежи вокруг источников информации, преграждающих распространение сил воздействия к источникам информации и ее носителей от источников;
Силы и средства достоверного прогнозирования и обнаружения угроз;
Механизм принятия решения о мерах по предотвращению или нейтрализации угроз;
Силы и средства нейтрализации угроз, преодолевших рубежи защиты.
Основу построения такой системы составляют следующие принципы:
Многозональность пространства, контролируемого системой инженерно-технической защиты информации;
Многорубежность системы инженерно-технической защиты информации;
Равнопрочность рубежа контролируемой зоны;
Надежность технических средств системы защиты информации;
Ограниченный контролируемый доступ к элементам системы защиты информации;
Адаптируемость (приспособляемость) системы к новым угрозам;
Согласованность системы защиты информации с другими системами организации.
Многозональность защиты предусматривает разделение (территории государства, организации, здания) на отдельные контролируемые зоны, в каждой из которых обеспечивается уровень безопасности, соответствующий цене находящейся там информации. На территории Советского Союза создавались зоны, закрытые для иностранцев, приграничные зоны, закрытые города. Уровень безопасности в любой зоне должен соответствовать максимальной цене находящейся в ней информации. Если в ней одновременно размещены источники информации с меньшей ценой, то для этой информации уровень безопасности, а следовательно, затраты будут избыточными. Так как уровень безопасности в каждой зоне определяется исходя из цены находящейся в ней информации, то многозональность позволяет уменьшить расходы на инженерно-техническую защиту информации. Чем больше зон, тем более рационально используется ресурс системы, но при этом усложняется организация защиты информации. Зоны могут быть независимыми, пересекающимися и вложенными (рис. 2.2).
Для независимых зон уровень безопасности информации в одной зоне не зависит от уровня безопасности в другой. Они создаются для разделения зданий и помещений, в которых выполняются существенно отличающиеся по содержанию и доступу работы. Например, администрация организации размещается в одном здании, научно-исследовательские лаборатории - в другом, а производственные подразделения - в третьем.
Примером пересекающихся зон является приемная руководителя организации, которая, с одной стороны, принадлежит зоне с повышенными требованиями к безопасности информации, источниками которой являются руководящий состав организации и соответствующие документы в кабинете, а с другой стороны, в приемную имеют доступ все сотрудники и посетители организации. Требования к безопасности информации в пересекающейся зоне являются промежуточными между требованиями к безопасности в пересекающихся зонах. Например, уровень безопасности в приемной должен быть выше, чем в коридоре, но его нельзя практически обеспечить на уровне безопасности информации в кабинете.
Вложенные зоны наиболее распространены, так как позволяют экономнее обеспечивать требуемый уровень безопасности информации. Безопасность информации i-й вложенной зоны определяется не только ее уровнем защиты, но и уровнями защиты в предшествующих зонах, которые должен преодолеть злоумышленник для проникновения в i-ю зону.
Каждая зона характеризуется уровнем безопасности находящейся в ней информации. Безопасность информации в зоне зависит от:
Расстояния от источника информации (сигнала) до злоумышленника или его средства добывания информации;
Количества и уровня защиты рубежей на пути движения злоумышленника или распространения иного носителя информации (например, поля);
Эффективности способов и средств управления допуском людей и автотранспорта в зону;
Мер по защите информации внутри зоны.
Рис. 2,2. Виды конролируемых зон
Чем больше удаленность источника информации от места нахождения злоумышленника или его средства добывания и чем больше рубежей защиты, тем большее время движения злоумышленника к источнику и ослабление энергии носителя в виде поля или электрического тока. Количество и пространственное расположение зон и рубежей выбираются таким образом, чтобы обеспечить требуемый уровень безопасности защищаемой информации как от внешних (находящихся вне территории организации), так и внутренних (проникших на территорию злоумышленников и сотрудников). Чем более ценной является защищаемая информация, тем большим количеством рубежей и зон целесообразно окружать ее источник и тем сложнее злоумышленнику обеспечить разведывательный контакт с ее носителями. Вариант классификация зон по условиям доступа приведен в табл. 2.1 .
С.П.Расторгуев
Абсолютная система защиты. Попытка определения.
В статье сделана попытка определить абсолютную систему защиты, относительно которой могут быть оценены любые другие, в том числе и программные системы защиты АИС.
Прежде чем синтезировать абсолютную систему защиты попробуем кратко охарактеризовать основные способы защиты, реализуемые в живой природе. Результаты анализа известных в природе способов защиты схематично могут быть представлены в виде рис. 1.
Рис. 1. Способы защиты.
Способ 1.
Средства пассивной защиты полностью перекрывают все возможные каналы воздействия угроз извне. Это главное требование способа N 1. Обратная сторона данного способа защиты - накладные расходы на поддержание "брони". Так как "броня" является частью всей системы, то её крепость уже оказывает значительное влияние на вес системы и на ее жизнедеятельность.
Способ 2.
Второй способ предполагает отказ от крепкой "брони", отдавая предпочтение изменению расположения в пространстве и во времени.
Размножение (создание собственной копии) также относится ко второму способу защиты с ориентацией на временную координату, представляя собой своего рода передачу эстафетной палочки во времени.
Способ 3.
Девизом этого способа является утверждение, что лучшая защита - это нападение.
Способ 4.
В основе этого способа лежит возможность изменения самого себя. Это приемы типа; слиться с ландшафтом, стать похожим на лист дерева и т.п. Данный способ позволяет стать другим, неинтересным для нападающего объектом.
Важно и то, что, собственное изменение неизбежно отражается на окружающей среде, тем самым изменяя и ее. Можно не пользоваться способом N 3, если хватит ума изменить агрессора так, чтобы он превратился в раба или занялся самоуничтожением. Именно на этом пути в качестве главного оружия выступают инфекции, аналогом которых в кибернетическом пространстве являются, на мой взгляд, компьютерные вирусы. Подробнее данная тема рассмотрена в работе , где показана алгоритмическая общность биологических, социальных, психических и компьютерных инфекций.
Все перечисленные способы прошли тысячелетнюю опытную эксплуатацию и реально существуют в живой природе. Заяц поняв, что убежать от лисы ему не удалось (изменить месторасположение в пространстве относительно нападающего объекта) пытается уничтожить нападающего. Ящерица замирает в неподвижности сливаясь с ландшафтом (изменение самого себя) и т.п..
Все то же самое мы видим и в социальном мире. Бронежилеты и бункеры, выступающие в качестве брони, реализуют первый способ защиты. Быстрые ноги и мощные двигатели - второй. Огнестрельное оружие - третий. Наложение грима или изменение мировоззрения - четвертый.
Безусловно, в идеале, хотелось бы определить влияние каждого из способов на уровень защищенности или на качество функционирования защитного механизма. Понятно, что для каждого набора входных данных существует своя оптимальная стратегия защиты. Проблема в том, чтобы узнать - каким именно будет этот входной набор данных.
Поэтому, защищающемуся субъекту для того, чтобы уцелеть недостаточно владеть всеми четырьмя способами. Ему надо уметь грамотно сочетать все названные способы с теми входными событиями, которые на него обрушиваются или способны обрушиться. Таким образом, мы выходим на постановку задачи по организации защиты со следующими входными данными:
1) способы защиты,
2) методы прогнозирования;
3) механизм принятия решения, использующий результаты прогнозирования и имеющиеся способы защиты.
Определив для себя исходные данные можно дать определение абсолютной системе защиты.
Абсолютной системой защиты назовем систему, обладающую всеми возможными способами защиты и способную в любой момент своего существования спрогнозировать наступление угрожающего события за время, достаточное для приведения в действие адекватных способов защиты.
Вернемся к определению системы защиты и попробуем его формализовать, определив систему защиты в виде тройки
(Z,P,F)....................... (1)
где Z = (Z 1 .Z 2 .Z 3 .Z 4) - способы защиты, Р - прогнозный механизм. Результат работы механизма прогнозирования - представляющее опасность событие, которое должно произойти в момент времени t 1 (t 1 >t), и оценка вероятности, что оно произойдет, т.е.
Р = (Sob, t 1),
t - текущее время. F - функция от Z и Р, принимающая значение больше 0, если за время t 1 система способна применить адекватный угрозе имеющийся у нее способ защиты.
Тогда, если F(Z,P)>0 для любого t. система защиты (Z,P,F) является абсолютной системой защиты.
Абсолютная система защиты лежит на пересечении методов прогнозирования и способов защиты; чем хуже работает механизм прогнозирования, тем более развитыми должны быть способы защиты и наоборот.
Схематично алгоритм функционирования абсолютной системы защиты можно попытаться представить в виде рис. 2.
По алгоритму схемы рис. 2 защищается любая система: отдельно взятый человек, государство, мафиозная структура, банк и т.п.. При этом, безусловно, что полнота реализации блоков и наполненность баз данных для каждой системы свои.
Рис. 2. Алгоритм работы абсолютной системы защиты.
Спроецировать приведенную схему в практические системы защиты государства и/или человека не сложно, аналогии напрашиваются сами собой. В частности, для государства:
прогнозирование внешних событий - разведка:
прогнозирование внутренних событий - министерство внутренних дел;
способы защиты:
первый способ (броня) - граница (пограничные войска);
второй способ (изменение места) - исход народа на другую землю;
третий способ (уничтожение) - армия;
четвертый (внесение изменений) - пропаганда, диверсии, террор (МИД, СМО и т.п.);
блок принятия решений - правительство;
блок занесения информации в БД - аналитические службы.
Более интересно, так как никто этого еще не пробовал, попытаться перенести основные принципы построения абсолютной системы защиты в область защиты программного обеспечения и предложить функциональную структуру для программных систем защиты АИС.
В приложение к проектированию программных системы защиты АИС сказанное означает, что данная система должна состоять из следующих блоков:
1) контроля окружающей среды и самой системы защиты. При этом контроль должен быть направлен не на контролирование текущего состояния системы, типа просчета контрольных сумм и т.п. Контролироваться должны команды, выполнение которых предполагается в ближайшем будущем (контроль должен осуществляться в режиме эмуляции команд, на которые предполагается передать управление) ;
2) парольной защиты всей системы и отдельных ее элементов, криптографические способы защиты (способ 1), в том числе контроль целостности;
3) периодического изменения месторасположения элементов защитного механизма в АИС (способ 2). Предполагается, что основные исполняемые файлы, ответственные за реализацию механизма прогнозирования и всех способов защиты, должны самостоятельно мигрировать в вычислительной среде (менять диски, директории, компьютеры) и изменять свои имена;
4) уничтожения "незнакомых" программных объектов. Тем самым осуществляется восстановление заданной среды (способ 3 - "убить незнакомца"). Вырожденный вариант этого способа -всем хорошо известные механизмы принудительного восстановления целостности среды;
5) самомодификации исполняемого алгоритма и кода (подробнее см. ). В данном блоке реализуется периодическая смена алгоритма путем выбора алгоритма из множества равносильных алгоритмов (способ 4). Кроме того, данный способ предполагает использование программных закладок и вирусов для влияния на "недружественную" внешнюю среду. Распространяемые (может быть и умышленно) программные закладки и вирусы постепенно подготавливают вычислительную среду для новых программно-аппаратных платформ.
В качестве примера можно остановиться на программной закладке Микрософт в WINDOWS 3.1, подробно описанной Э.Шулманом в журнале д-ра Добба ("Исследуя AARD-код системы Windows", N 3-4, 1994), цель которой заключается в дискредитации программных продуктов конкурирующих фирм. При этом в "жучке" использованы все возможные средства его собственной защиты: XOR-кодирование, динамическая самомодификация, специальные приемы защиты от отладчиков. Надо признать, что появление данной закладки столь же неизбежно, как и появление биологических вирусов в живой природе. Было бы удивительно, если бы нечто подобное не возникло именно в тот момент, когда "сражение программных продуктов за свое место под процессором" в самом разгаре.
Определив таким образом структуру защитного механизма можно перейти к его количественной оценке согласно (1) и определению места конкретной системы защиты относительно абсолютной. На мой взгляд, предложенный подход, позволяет осуществлять какое-то сравнение систем защиты друг с другом через сопоставление их абсолютной защитной системе, являющейся в данном случае недостижимым идеалом. Но это уже другая тема.
Литература
1. С.П.Расторгуев. "Программные методы защиты информации в компьютерах и сетях". М.: Агентство "Яхтсмен". 1993 г.