Аналитическая часть. 
Проектирование системы безопасности автоматизированных систем обработки информации

КОНЦЕПЦИЯ ПОСТРОЕНИЯ СИСТЕМЫ БИ В АС

Концепция построения системы безопасности в АС включает постановку задачи, концептуальный подход, основные направления и принципы ее решения.

Предметом защиты в АС является информация. Ресурсы АС защищаются только тогда, когда информацию непосредственно защитить сложно, и только те, через которые возможен доступ к информации, а также те, НСД к которым отрицательно влияет на право собственника или его доверенного лица беспрепятственно работать со своей информацией (юридическую ответственность за информацию и за ресурсы, как правило, несут разные должностные лица).

Критериями при принятии решения о защите являются право владения и важность информации. Рекомендуется следующая классификация информации по ее важности:

• 1) жизненно важная незаменимая информация, наличие которой необходимо для функционирования организации, утечка, модификация или утрата которой связана с существованием организации;
• 2) важная информация — информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами, утечка, модификация или утрата которой могут привести к большим потерям в организации;
• 3) полезная информация — информация, которая используется в работе, которую при утрате трудно восстановить, а также утечка, модификация или утрата которой существенно не влияет на функционирование организации;
• 4) несущественная информация — информация, не представляющая серьезного интереса для нарушителей, но ее утрата не желательна для ее владельца.

Перед проектированием системы должны быть известны перечень, важность (цена), время жизни, владельцы (или ответственные должностные лица), места сосредоточения и циркуляции в ней сведений, подлежащих защите.

В качестве объектов обработки и передачи информации рассматриваются типовые виды АС по нижеследующей классификации.

АРМ — работающая автономно или в составе вычислительной сети или вычислительного комплекса АС, представляющая собой персональную ЭВМ с прикладными программами или специально разработанный аппаратно-программный комплекс, построенный на базе стандартных вычислительных блоков и нестандартного прикладного ПО.

Рабочая станция — работающая в составе вычислительной сети или вычислительного комплекса стандартная персональная ЭВМ с сетевым аппаратным и ПО, а также пакетом прикладных программ.

Информационно-вычислительный комплекс — АС, состоящая из мощного универсального вычислителя с централизованной обработкой данных и внешних устройств, в числе которых могут быть рабочие станции, АРМ, принтеры, табло отображения и т. д.

ЛВС — АС, состоящая из группы рабочих станций (АРМ) и вспомогательных ТС (серверов, общего принтера, коммутатора и др.), соединенных между собой линиями связи и объединенных сетевым аппаратным и ПО в целях выполнения общей задачи.

Комплекс средств автоматизации — территориально сосредоточенная или распределенная автономная или являющаяся элементом региональной или глобальной вычислительной сети (АСУ) АС, состоящая из одного или нескольких объединенных линиями связи и общими задачами вышеуказанных видов АС: АРМ, рабочая станция, информационно-вычислительный комплекс, ЛВС.

Телекоммуникационная вычислительная сеть — территориально распределенная региональная или глобальная вычислительная сеть, состоящая из нескольких узлов коммутации, выполняющих задачи маршрутизации сообщений, каналов связи между ними и аппаратуры передачи данных комплексов средств автоматизации, являющихся ее абонентами. Данная сеть выполняет услуги по обмену данными и предоставлению своих данных.

Сеть передачи данных — территориально распределенная региональная или глобальная вычислительная сеть, состоящая из одного или нескольких узлов коммутации, выполняющих задачи маршрутизации сообщений, каналов связи между ними и аппаратуры передачи данных комплекса средств автоматизации, являющиеся одновременно ее абонентами и элементами АСУ.

АСУ или корпоративная вычислительная сеть — территориально распределенная региональная или глобальная вычислительная структура, состоящая из сети передачи данных и ее абонентов — комплекса средств автоматизации с иерархической системой отношений. В глобальную АСУ может входить несколько региональных.

Данные виды АС могут быть не только законченными самостоятельными структурами, способными выполнять свои задачи, но и быть элементами более сложной АС. Кроме того, в состав АС с распределенной обработкой данных в зависимости от выполняемых задач может входить группа не имеющая самостоятельного применения вспомогательных ТС с автоматической обработкой данных:

• · вычислительные комплексы (комплекс ЭВМ без внешних устройств);
• · серверы;
• · табло коллективного использования;
• · аппаратура передачи данных, модемы;
• · коммутаторы;
• · концентраторы;
• · маршрутизаторы;
• · мосты;
• · шлюзы и другие подобные ТС.

Перечисленные ТС во время нормального функционирования АС не требуют вмешательства человека. Поэтому с позиций БИ достаточно того, что доступ к ним (кроме табло) будет закрыт механически корпусом и крышками с датчиками вскрытия, находящимися под централизованным контролем службы безопасности. В ТС, имеющих дистанционное управление, в ответственных АС рекомендуется его отключить. Среди них с позиций БИ необходимо выделить вычислительные комплексы, серверы и табло.

Вычислительные комплексы могут решать некоторое множество специальных функциональных задач. Серверы являются накопителями больших объемов данных различного назначения и важности. С вычислительными комплексами и серверами может работать некоторое множество пользователей, обращаясь к ним по линиям связи, что потребует создания на программном уровне соответствующей системы контроля и разграничения доступа. Табло по определению является средством коллективного отображения информации, доступ к которой может быть ограничен только отдельным помещением.

Потенциальные угрозы информации определяются условиями сохранения права собственности на нее. Если защита отсутствует, то могут произойти утечка, модификация и (или) утрата информации. При этом под утечкой информации понимается несанкционированное ознакомление с ней постороннего лица. Под модификацией — несанкционированное изменение информации на корректную по форме и содержанию, но другую по смыслу. Под утратой — хищение, искажение с потерей смысла, уничтожение, недоведение информации до адресата или блокировка доступа к ней ее владельца или его доверенного лица.

Все остальные угрозы — способы достижения целей, которые в конечном итоге сводятся к этим трем событиям. Эти события могут произойти случайно по причине ошибок пользователя, сбоев или отказов аппаратуры, алгоритмических или программных ошибок, аварийных ситуаций, стихийных бедствий и т. д. или созданы нарушителем преднамеренно. Техника исполнения вторжений последним имеет множество вариантов.

Случайные воздействия возможны в любой точке системы, т. е. на всей ее «площади». Время их наступления определяется законами случайных чисел. Средства защиты от них связаны с обеспечением надежности функционирования АС.

Преднамеренные действия человека-нарушителя начинаются на «периметре» системы. Под «периметром» АС понимается ее внешняя физическая оболочка, элементами которой являются корпуса, крышки, дверцы, свободные внешние соединители ТС, средства управления, отображения, печати, ввода и вывода, носители информации, кабельные соединения, каналы и линии связи.

Нарушением считается попытка доступа к любой части информации, подлежащей защите. Предсказать время и характер возможных действий нарушителя невозможно. Поэтому целесообразно предположить наиболее опасную для системы модель его возможного поведения:

• 1) нарушитель может появиться в любое время и в любой точке «периметра» системы;
• 2) для достижения своей цели он выберет наиболее слабое звено в защите;
• 3) квалификация и осведомленность нарушителя будет соответствовать важности защищаемой информации;
• 4) постоянно хранимая информация о принципах работы системы нарушителю известна;
• 5) нарушителем может быть не только постороннее лицо, но и законный пользователь системы;
• 6) нарушитель действует в единственном числе, однако нарушителей может быть несколько, но их действия не согласованы между собой, а также на неконтролируемых средствах хранения и передачи данных возможны действия организованной группы нарушителей.

Из данных условий вытекают следующие исходные положения.

Согласно п. 1 вокруг предмета защиты необходимо строить замкнутую оболочку (контур) защиты.

Согласно п. 2 прочность защиты должны определяться ее слабым звеном.

Согласно п. 3 прочность защиты должна соответствовать квалификации потенциального нарушителя.

Согласно п. 4 информация для входа в систему должна быть не только закрытой, но и изменяемой.

Согласно п. 5 при наличии некоторого множества пользователей необходимо обеспечить разграничение доступа.

Согласно п. 6 в расчете прочности защиты должны быть учтены количество и возможное взаимодействие нарушителей.

Однако для различной по назначению, виду и ценности обрабатываемой информации в АС «опасная» квалификация потенциального нарушителя будет также отличаться.

В выборе исходной модели потенциального нарушителя целесообразен дифференцированный подход в соответствии с назначением АС и ценностью информации, обрабатываемой в ней. Поскольку модель нарушителя — понятие относительное и приближенное, рекомендуется за основу принять четыре класса потенциальных нарушителей:

• 1) высококвалифицированный нарушитель-профессионал (специалист по ВТ, специально подготовленный к НСД к информации);
• 2) квалифицированный нарушитель-непрофессионал (специалист по ВТ, не подготовленный к НСД к информации);
• 3) неквалифицированный нарушитель-непрофессионал;
• 4) прочие нарушители.

В соответствии с данной классификацией и классификацией информации по степени важности рекомендуется ввести классификацию уровней БИ в создаваемых АС.

I класс — рекомендуется для защиты жизненно важной информации. Прочность ее защиты должна быть рассчитана на нарушителя-профессионала.

II класс — рекомендуется использовать для защиты важной информации. Прочность ее защиты должна быть рассчитана на нарушителя высокой квалификации, но не на взломщика-профессионала.

III класс — рекомендуется для защиты относительно ценной информации, утечка, модификация или утрата которой может привести к незначительным потерям для ее владельца или постоянный НСД к которой путем ее накопления может привести к утечке и более ценной информации. Прочность защиты при этом должна быть рассчитана на относительно квалифицированного нарушителя-непрофессионала.

IV класс — рекомендуется для защиты прочей информации, не представляющей интереса для серьезных нарушителей. Однако необходимость его диктуется соблюдением технологической дисциплины учета и обработки информации служебного пользования в целях защиты от случайных нарушений и подстраховки от случаев преднамеренных НСД.

БИ в АС заключается в создании условий ее ввода (вывода), хранения, обработки и передачи, при которых обеспечивается защита от ее утечки, модификации и утраты, а также гарантируется свободный доступ к ней ее владельца или его доверенного лица.

Стратегия и тактика при построении защиты заключается в применении на возможных каналах НСД к информации средств контроля и предупреждения событий. При этом средства контроля устанавливаются на каналах, технически или организационно позволяющих это реализовать, а средства предупреждения устанавливаются на каналах, выходящих за пределы возможностей контроля событий.

Средства контроля должны обеспечивать периодичность контроля и время передачи сигнала НСД на АРМ службы безопасности в сумме, меньшей ожидаемого времени, затрачиваемого нарушителем на НСД. В случаях обратного соотношения стойкость данного средства защиты определяется вероятностной величиной.

Величина вероятности непреодоления нарушителем средства защиты в течение времени его эксплуатации называется прочностью защиты.

Реализация заданных уровней безопасности должна обеспечиваться совокупностью средств защиты, перекрывающих возможные каналы НСД в АС со стороны ее «периметра» в количестве, соответствующем ожидаемой модели поведения потенциального нарушителя. Данная совокупность средств, связанных расчетными соотношениями прочности, должна образовать виртуальную оболочку защиты. Уровень безопасности защиты внутри класса должен обеспечиваться количественной оценкой прочности защитного контура (оболочки).

Модель ЗИ должна соответствовать рис. 2.1. В модели представлены комплексы средств автоматизации, соединенные каналами связи, и ТС, соединенные линиями связи. Первый вариант представляет собой фрагмент структуры глобальной (региональной) АС, второй — ЛВС.

Средства ЗИ в АС без каналов (линий связи) образуют одну защитную оболочку, в каналах связи (линиях связи) — другую.

Рис. 2.1 Модель ЗИ по предлагаемой концепции:

КСА — комплекс средств автоматизации обработки информации, ТС — техническое средство обработки информации.