Nivel de protecție software și hardware

Asigurarea securității informațiilor este o sarcină foarte dificilă care are mai multe niveluri.

Nivel software și hardware.

Dintr-un punct de vedere modern, sistemele informatice ar trebui să aibă acces la următoarele mecanisme de securitate:

controlul accesului,
ecranare,
autentificarea și identificarea utilizatorilor,
înregistrare și auditare,
asigurarea unei disponibilitati ridicate,
criptografie.

Nivel procedural.

Include măsuri implementate de oameni. Experiența acumulată în organizațiile naționale în implementarea măsurilor procedurale provine din trecutul precalculator și trebuie revizuită semnificativ.
Există următoarele grupuri de măsuri organizatorice (procedurale):

Pentru fiecare grup, trebuie să existe reguli care să guverneze acțiunile personalului. Ele trebuie să fie stabilite în fiecare organizație specifică și elaborate în practică.

Nivel administrativ.

Politica de securitate întreprinsă de conducerea organizației stă la baza măsurilor la nivel administrativ. Acesta este un set de decizii de management documentate care au ca scop protejarea informațiilor, precum și a resurselor asociate acestora. Politica de securitate se bazează pe o analiză a riscurilor reale care amenință sistemul informațional al unei anumite organizații. În urma analizei, se elaborează o strategie de protecție. Acesta este un program pentru care se alocă bani, se desemnează persoane responsabile, se stabilește o procedură de monitorizare a implementării acestuia etc.
Deoarece fiecare organizație are specificul ei, nu are sens să transferăm practicile întreprinderilor controlate de stat către structuri comerciale, sisteme de calculatoare personale sau instituții de învățământ. Este mai indicat să folosiți principiile de bază pentru dezvoltarea politicilor de securitate sau șabloane gata făcute pentru principalele tipuri de organizații.

Nivel legislativ.

Acesta este cel mai important nivel de securitate a informațiilor. Acesta include un set de măsuri menite să creeze și să mențină o atitudine negativă în societate față de infractorii și încălcările în acest domeniu. Este necesar să se creeze un mecanism care să permită coordonarea dezvoltării legilor cu îmbunătățirea constantă a tehnologiei informației. Statul trebuie să joace un rol de coordonare și de îndrumare în această chestiune, standardele rusești de tehnologie a informației și securitatea informației trebuie să respecte nivelul internațional. Acest lucru va facilita interacțiunea cu companii străine și sucursale străine ale companiilor naționale. Acum această problemă este rezolvată prin permise unice, ocolind adesea legislația actuală.

Doar interacțiunea tuturor nivelurilor de securitate a informațiilor o va face cât mai eficientă posibil.

Măsurile software și hardware care vizează controlul echipamentelor informatice, a programelor și a datelor stocate formează ultima, dar nu mai puțin importantă frontieră a securității informațiilor. La acest nivel, nu numai consecințele pozitive, ci și negative ale progresului rapid al tehnologiei informației devin evidente. În primul rând, apar oportunități suplimentare nu numai pentru specialiștii în securitatea informațiilor, ci și pentru atacatori. În al doilea rând, sistemele informaționale sunt în mod constant modernizate, reconstruite și acestora li se adaugă componente insuficient testate (în primul rând software), ceea ce face dificilă respectarea regimului de securitate.

Conceptul de serviciu de securitate este central la nivel de software și hardware. Aceste servicii pentru instituții și companii din sectorul public includ:

identificare și autentificare;
controlul accesului;
logare și auditare;
criptare;
controlul integritatii;
ecranare;
analiza de securitate;
asigurarea toleranței la erori;
asigurarea recuperării în siguranță;
tunelare;
Control.

În prezent, creșterea nivelului de securitate a informațiilor întreprinderilor de stat poate fi realizată prin introducerea unor tehnologii moderne de securitate, caracterizate prin creșterea funcționalității, versatilității și capacitatea de a fi portate pe orice platformă. În domeniul protecției tehnice a resurselor informaționale, pot fi identificate trei domenii principale în care operează întreprinderile de stat rusești:

protecția rețelei interne;
protecția accesului la internet și schimbul internațional de informații;
protecția interacțiunii cu unitățile de la distanță.

În același timp, ne amintim că agențiile guvernamentale și organizațiile guvernamentale folosesc doar instrumente de securitate a informațiilor certificate de FSTEC sau FSB al Federației Ruse. Pentru a proteja resursele interne, majoritatea agențiilor guvernamentale federale și regionale folosesc mecanisme de autentificare și autorizare a utilizatorilor încorporate în sistemele de operare. Unele departamente au sisteme certificate speciale pentru protejarea împotriva accesului neautorizat și încuietori electronice, cum ar fi Labyrinth-M, Accord, SecretNet. De regulă, cheile secrete de protecție a informațiilor „CryptoPro” sau sistemele cunoscute și încă populare din familia „Verba” sunt instalate ca mijloace de criptare.

Pentru a proteja stațiile de lucru și serverele de rețea interne de programele rău intenționate (viruși, viermi, cai troieni), marea majoritate a organizațiilor guvernamentale utilizează software antivirus. Cel mai adesea acestea sunt Kaspersky Anti-Virus rusești sau Dr.Web. Există însă și soluții de la Trend Micro, Symantec, McAfee, Eset.

Împărțirea rețelei în segmente cu cerințe diferite de securitate a informațiilor se realizează folosind mecanisme de filtrare a adreselor MAC și IP pe echipamentele de rețea active și mecanismele VLAN. Foarte rar sunt utilizate sisteme de control al politicii de securitate care compară setările actuale ale mecanismelor și subsistemelor de protecție cu valorile de referință (Cisco, Uryadnik).

Pentru a proteja perimetrul rețelei, agențiile guvernamentale folosesc de obicei diverse firewall-uri certificate. Acestea sunt în principal soluții de la Cisco, Aladdin și Check Point. Există însă și produse de la alți producători, în special, Novell Border Manager, Microsoft ISA Server, SSPT-1 și SSPT-1M de la Institutul Central de Cercetare al RTK, Zastava de la Elvis-Plus.

Sistemele de detectare și prevenire a atacurilor (așa-numitele HIPS) au fost implementate până acum în foarte puține organizații guvernamentale. De obicei, soluțiile de la Symantec, S.N. se găsesc aici. Safe'n'Software și Cisco. În guvernul federal, diferite sisteme de monitorizare a traficului de e-mail și web, cum ar fi eSafe Gateway, MAILsweeper, WEBsweeper și Websense, oferă protecție împotriva spam-ului și abuzului pe Internet.

În canalele de comunicare cu unități la distanță, sunt utilizate doar sistemele rusești de protecție a informațiilor criptografice și VPN - Zastava, VipNet sau Continent.

11. Cadrul legal pentru protecția organizațională. Izvoare de drept în domeniul securității informațiilor. Tipuri de documente de reglementare. Exemple de acte legislative interne și străine.

În Federația Rusă, actele juridice de reglementare în domeniul securității informațiilor includ:

· Acte ale legislației federale:

· Tratatele internaționale ale Federației Ruse;

· Constituția Federației Ruse;

· Legile la nivel federal (inclusiv legile constituționale federale, codurile);

· Decrete ale Președintelui Federației Ruse;

· Decrete ale Guvernului Federației Ruse;

· Acte juridice de reglementare ale ministerelor și departamentelor federale;

· Acte juridice de reglementare ale entităților constitutive ale Federației Ruse, guvernelor locale etc.

Documentele de reglementare și metodologice includ

1. Documente metodologice ale organismelor guvernamentale din Rusia:

· Doctrina securității informațiilor a Federației Ruse;

· Documente directoare ale FSTEC (Comisia Tehnică de Stat a Rusiei);

· comenzi FSB;

2. Standarde de securitate a informațiilor, dintre care se disting următoarele:

· Standarde internaționale;

· Standardele de stat (naționale) ale Federației Ruse;

· Instructiuni metodologice.

Tipuri de documente de reglementare:

· Acte juridice de reglementare: Legile Federației Ruse (Cu privire la securitate), Legile federale (Cu privire la datele personale, Cu privire la informațiile și tehnologiile informaționale, Cu privire la semnăturile digitale electronice), Decretul Președintelui Federației Ruse (Cu privire la aprobarea listei confidențiale informaţii), Hotărâre de Guvern (Cu privire la certificarea informaţiilor despre echipamentele de protecţie, Despre licenţiere);

· Documente normative, metodologice și metodologice: Doctrină, Ordine ale FSTEC, Reglementări privind certificarea echipamentelor de protecție conform cerințelor de siguranță, Reglementări privind certificarea obiectelor, Prevederi model, Documente directoare, Metode (evaluarea securității), Document normativ și metodologic;

· Standarde: GOST, RD, SanPin (Cerințe igienice pentru terminalele de afișare video), SNiP (protecție împotriva zgomotului).

Exemplu de documente legislative străine:

STATELE UNITE ALE AMERICII

Începând de astăzi, Statele Unite sunt jurisdicția cu cel mai mare număr de documente din Sistem (mai mult de 12.000 de documente).

Baza de date include documente din două surse legale federale americane principale: Codul SUA (USC) și Codul Regulamentelor Federale (CFR). Primul este un set sistematic de legislație statutară federală și constă din 52 de secțiuni dedicate reglementării anumitor ramuri sau instituții juridice.

Sistemul include trei secțiuni ale Codului SUA: Titlul 26 - Codul fiscal al SUA, Titlul 12 - Bănci și servicii bancare și Titlul 15 - Comerț și comerț, care include legislația care reglementează activitățile de pe piața valorilor mobiliare. Codul legilor este reeditat de Congres la fiecare 6 ani și publicat de Serviciul de Cod al SUA. Spre deosebire de majoritatea surselor disponibile public, sistemul WBL oferă nu numai textul acestor documente, ci și istoricul tuturor modificărilor aduse acestora, precum și note și cele mai semnificative precedente judiciare în acest domeniu.

Sistemul include, de asemenea, regulamente emise de autoritățile executive federale și incluse în Codul Regulamentelor Federale, care sunt publicate de Registrul Federal, o agenție a Administrației Naționale a Arhivelor.

12. Elaborarea unei politici de securitate. Prevederi de bază pentru securitatea informațiilor. Zona de aplicare. Scopuri și obiective de asigurare a securității informațiilor. Repartizarea rolurilor și responsabilităților. Responsabilitati generale.

Dezvoltare.

În primul rând, este necesar să se efectueze un audit al proceselor informaționale ale companiei pentru a identifica informațiile critice care trebuie protejate. Un audit al proceselor informaționale ar trebui să se încheie cu determinarea listei de informații confidențiale ale întreprinderii, a zonelor în care aceste informații sunt accesate, a persoanelor cărora li se permite accesul la acestea, precum și a consecințelor pierderii (distorsiunii) acestor informații. După implementarea acestei etape, devine clar ce să protejăm, unde să protejăm și de cine: la urma urmei, în majoritatea covârșitoare a incidentelor, infractorii vor fi - vrând sau fără voie - angajații companiei înșiși. Și nu se poate face nimic în privința asta: trebuie să iei de la sine înțeles. Diverselor amenințări de securitate li se poate atribui o valoare de probabilitate pentru apariția lor. Înmulțind probabilitatea ca o amenințare să fie realizată cu daunele cauzate de această implementare, obținem riscul amenințării. După aceasta, ar trebui să începeți să dezvoltați o politică de securitate.

Politica de securitate este un document de nivel „superior”, care ar trebui să indice:

· persoanele responsabile de siguranța companiei;

· competențele și responsabilitățile departamentelor și serviciilor în materie de securitate;

· organizarea admiterii noilor salariați și concedierea acestora;

· reguli pentru limitarea accesului angajaților la resursele informaționale;

· organizarea controlului accesului, înregistrarea angajaților și vizitatorilor;

· utilizarea instrumentelor de protecție software și hardware;

· alte cerințe generale.

Costurile de asigurare a securității informațiilor nu ar trebui să fie mai mari decât valoarea potențialelor daune din pierderea acesteia. Analiza de risc efectuată în etapa de audit ne permite să le ierarhizăm după mărime și să protejăm, în primul rând, nu doar zonele cele mai vulnerabile, ci și acele zone care procesează cele mai valoroase informații. Standardul ISO 17799 vă permite să obțineți o evaluare cantitativă a siguranței integrate:

Elaborarea unei politici de securitate implică o serie de pași preliminari:

· evaluarea atitudinii personale (subiective) față de riscurile întreprinderii a proprietarilor și managerilor săi responsabili de funcționarea și performanța întreprinderii în ansamblu sau a domeniilor individuale de activitate ale acesteia;

· analiza obiectelor informaționale potențial vulnerabile;

· identificarea amenințărilor la adresa obiectelor informaționale semnificative (informații, sisteme informaționale, procese de prelucrare a informațiilor) și evaluarea riscurilor corespunzătoare.

Când dezvoltați politici de securitate la toate nivelurile, trebuie să respectați următoarele reguli de bază:

· Politicile de securitate la nivelurile inferioare trebuie să fie pe deplin în concordanță cu politicile corespunzătoare de la nivelul superior, precum și cu legile aplicabile și cu cerințele guvernamentale.

· Textul politicii de securitate ar trebui să conțină doar un limbaj clar și fără ambiguități, care să nu permită o dublă interpretare.

· Textul politicii de securitate trebuie să fie de înțeles acelor angajați cărora le este adresată.

Ciclul de viață general al politicii de securitate a informațiilor include o serie de pași de bază.

· Efectuarea unui studiu preliminar al stării securității informațiilor.

· Dezvoltarea efectivă a unei politici de securitate.

· Implementarea politicilor de securitate dezvoltate.

· Analiza conformității cu cerințele politicii de securitate implementate și formularea cerințelor pentru îmbunătățirea ulterioară a acesteia (revenirea la prima etapă, la un nou ciclu de îmbunătățire).

Politica de securitate organizațională(Engleză) politici de securitate organizațională) - un set de linii directoare, reguli, proceduri și practici de securitate care guvernează gestionarea, protecția și distribuirea informațiilor valoroase.

În general, un astfel de set de reguli reprezintă o anumită funcționalitate a unui produs software care este necesară pentru utilizarea sa într-o anumită organizație. Dacă abordam politica de securitate mai formal, atunci este vorba de un set de anumite cerințe pentru funcționalitatea sistemului de securitate, consacrate în documentele departamentale.

Politica de securitate depinde de:

dintr-o tehnologie specifică de prelucrare a informațiilor;
din hardware-ul și software-ul utilizat;
de la locația organizației;

Protecția unui sistem informațional mare nu poate fi rezolvată fără o documentație de securitate a informațiilor bine dezvoltată - Politica de securitate ajută

· asigurați-vă că nimic important nu este trecut cu vederea;

· stabiliți reguli clare de siguranță.

Doar un sistem de protecție cuprinzător și fezabil din punct de vedere economic va fi eficient, iar sistemul informațional însuși în acest caz va fi sigur.

Documentul de politică de securitate ar trebui să descrie scopurile și obiectivele securității informațiilor, precum și activele valoroase ale companiei care necesită protecție. Obiectivele de securitate a informațiilor, de regulă, este de a asigura confidențialitatea, integritatea și disponibilitatea activelor informaționale, precum și asigurarea continuității activității companiei.

Obiectivele de securitate a informațiilor sunt toate acțiunile care trebuie efectuate pentru atingerea scopurilor. În special, este necesar să se rezolve probleme precum analiza și managementul riscurilor informaționale, investigarea incidentelor de securitate a informațiilor, elaborarea și implementarea planurilor de continuitate a afacerii, pregătirea avansată a angajaților companiei în domeniul securității informațiilor etc.

Măsurile software și hardware vizează monitorizarea echipamentelor, programelor, datelor și formează ultima frontieră a securității informațiilor. Conceptul de serviciu de securitate este central la nivel de software și hardware. Există următoarele servicii:
1) Identificare și autentificare
2) Controlul accesului
3) Înregistrare și auditare
4) Criptare
5) Controlul integrității
6) Ecranarea
7) Analiza de securitate
8) Asigurarea toleranței la erori
9) Asigurați o recuperare sigură
10) Tunele
11) Management
Combinația de servicii enumerate mai sus poate fi numită un set complet și este considerată a fi suficientă pentru a oferi protecție fiabilă la nivel de software. Serviciile de securitate sunt clasificate în anumite tipuri.
Identificare și autentificare. Identificarea permite subiectului să se numească. Autentificarea se asigură că subiectul este cine spune că este (autentificare). Autentificarea poate fi unidirecțională - atunci când clientul își dovedește autenticitatea, sau bidirecțională. Serviciul în cauză are 2 aspecte: 1) ce servește ca autentificator 2) și cum este protejat schimbul de date de autentificare și identificare.
Un autentificator de utilizator poate fi una dintre următoarele entități: 1) ceva pe care el știe (parolă, cheie); 2) ceva ce detine (carte de acces); 3) ceva care face parte din el însuși (amprentele digitale).
Autentificare prin parolă.
Cea mai ușoară formă de protecție. Există o serie de tehnici standard utilizate de un atacator pentru a ocoli protecția prin parolă. Pentru fiecare dintre aceste tehnici a fost dezvoltată o contramăsură. Pe baza acestor mecanisme, pot fi formulate reguli pentru alegerea unei parole sigure și lucrul cu aceasta.
Metode de atac cu parole:
1) exagerat. Cel mai simplu atac asupra unei parole, încercând toate combinațiile și caracterele posibile. Instrumentele moderne pot încerca să ghicească o parolă de 5-6 caractere în câteva secunde. Unele sisteme nu permit efectuarea unui astfel de atac deoarece reacţionează la mai multe încercări incorecte de parolă.
Mecanism de securitate: lungimea parolei. O parolă modernă trebuie să aibă cel puțin 12 caractere.
2) Căutați într-un interval limitat. Se știe că mulți utilizatori, atunci când aleg o parolă, folosesc caractere care se află în același interval. O astfel de parolă este mult mai ușor de reținut, dar sarcina inamicului este mult simplificată. Fie n=70 numărul de caractere care pot fi folosite în parolă. Dintre acestea, 10 sunt numere. 30 – litere ale alfabetului rus 30 – litere ale altui alfabet. Fie lungimea parolei m=4. Atunci numărul de combinații este 70^4 = 24010000.
10^4+30^4+30^4= 1630000.
Astfel, dacă atacatorul s-a dovedit a avea dreptate, atunci numărul de combinații a scăzut de 140 de ori. Programele de ghicire a parolei includ o opțiune care vă permite să utilizați numere atunci când ghiciți o parolă.
Mecanism de securitate: Folosiți caractere din diferite game.
3) Atacul de dicționar. O parolă lipsită de sens, complet aleatorie este greu de reținut și, pentru mulți utilizatori, este mai probabil să uite parola decât să fie atacată. Prin urmare, un cuvânt este adesea ales. În acest caz, sarcina de forță brută este mult simplificată pentru atacator, deoarece programul de selecție automată poate selecta cuvintele conținute în fișierul dicționar. Există un număr mare de dicționare de diferite tipuri, în diferite limbi. Un dicționar și 200 de mii de cuvinte sunt verificate în câteva secunde. Mulți utilizatori cred că dacă aplicați niște transformări simple unui cuvânt (scrieți înapoi, cu litere rusești într-un aspect englezesc), acest lucru va crește securitatea, dar, în comparație cu forța brută simplă, selectarea cuvintelor cu transformări face ca sarcina să fie realizabilă.
O parolă puternică - nu ar trebui să se bazeze pe cuvinte din limbaj natural
4) Atacul de dicționar personal. Un atacator poate profita de faptul că, pentru a fi mai ușor de reținut, unii utilizatori selectează datele personale. Dacă un atacator trebuie să ocolească o parolă, el poate compila un dicționar de date personale.
O parolă puternică ar trebui să fie complet lipsită de sens.
5) Colectarea parolelor stocate în zone accesibile publicului. În multe organizații, parolele sunt create și distribuite de administrator. Cu toate acestea, deoarece parola este greu de reținut, utilizatorii o păstrează adesea scrisă la îndemână. Problema este că de multe ori utilizatorii nu iau în serios securitatea parolei de serviciu. Ei cred că, deoarece fiecare din organizație este al lor, depozitarea neglijentă nu va cauza rău.
Parola nu ar trebui să fie stocată într-un loc accesibil publicului. Opțiunea ideală este să-l amintiți și să nu îl stocați nicăieri.
6) Inginerie socială. Manipularea oamenilor pentru a pătrunde în sistemele protejate. Dacă o parolă nu poate fi ghicită sau furată, un atacator poate încerca să forțeze utilizatorul să dezvăluie singur parola. O tactică clasică de inginerie socială: apelarea victimei în numele cuiva care are dreptul să cunoască informațiile solicitate. Prin metoda socială inginerie este: atragerea către un site fals, deschiderea unui link. Tehnicile pe care le folosesc atacatorii pot fi foarte diferite.
Reguli de securitate: nu vă puteți dezvălui parola unor persoane neautorizate, chiar dacă acea persoană are dreptul să o cunoască.
7) Phishing. Procedura de extragere a parolei utilizatorilor de Internet aleatoriu. De obicei, implică crearea de site-uri false care păcălesc utilizatorul să-și introducă parola. De exemplu, pentru a obține o parolă pentru un cont bancar, poate fi creat un site web cu același design de site. Pot fi trimise și e-mailuri cu conținut, cum ar fi verificarea contului, care conține un link către un site fals. Când un client ajunge pe site-ul web al atacatorului, i se solicită, de asemenea, să introducă un nume de utilizator și o parolă. Aceste informații sunt stocate în baza de date a atacatorului. După care clientul este trimis pe pagina principală a acestui site.
Mulți utilizatori folosesc aceeași parolă pentru resurse diferite. Drept urmare, efectuând un atac asupra unei resurse mai puțin protejate, puteți obține acces la una mai protejată. De exemplu, se creează un site web care este interesant pentru un anumit cerc de utilizatori. Informațiile despre acest site sunt comunicate potențialelor victime. Utilizatorul se înregistrează și vine cu o parolă. Apoi atacatorul trebuie să vadă dacă această parolă este potrivită pentru alte resurse.
Pentru a combate amenințările de phishing, trebuie să verificați adresele site-urilor web înainte de a vă introduce parola. Este mai bine să marcați adresa și să nu faceți clic pe linkurile din e-mailuri. Este recomandat să folosiți parole diferite pentru a accesa diferite servicii.
Astfel, indicăm măsuri de creștere a fiabilității protecției:
1) Impunerea de restricții tehnice. Despre lungimea și conținutul parolei
2) Gestionarea expirării parolei și schimbarea periodică.
3) Restricționarea accesului în ceea ce privește parola.
4) Număr crescut de conectări eșuate
5) Instruirea utilizatorilor
6) Utilizarea generatoarelor de parole software.
Parolele discutate mai sus pot fi numite reutilizabile. Dezvăluirea lor permite unui atacator să acționeze în numele unui utilizator legitim. Parolele unice sunt un instrument mai puternic din punct de vedere al securității.

Parole unice. Parole unice – parole valabile pentru o singură sesiune de autentificare. Valabilitatea unei parole unice poate fi limitată la o anumită perioadă de timp. Avantajul unei astfel de parole este că nu poate fi reutilizată. O persoană nu își poate aminti parolele unice, așa că sunt necesare tehnologii suplimentare pentru a implementa acest mecanism.
Metode pentru crearea și distribuirea parolelor unice:
Algoritmii pentru crearea de parole unice folosesc numere aleatorii. Acest lucru este necesar, astfel încât să fie imposibil să preziceți următoarea parolă. Algoritmii specifici pentru crearea unor astfel de parole pot varia semnificativ în detaliu.
Pentru a crea parole unice, se pot distinge următoarele abordări principale:
1) Algoritmi care utilizează algoritmi matematici pentru a crea o nouă parolă.
2) Abordări bazate pe sincronizarea timpului între server și client.
3) Parole care utilizează algoritmi mat, unde noua parolă se bazează pe o solicitare sau contor.
Există diferite moduri de a spune utilizatorului următoarea parolă. Unele sisteme folosesc jetoane electronice speciale pe care utilizatorii le poartă cu ele. Sistemele pot folosi și programe pe care utilizatorul le lansează de pe un telefon mobil. Unele sisteme generează parole unice pe server, apoi le trimit utilizatorului folosind canale terțe, cum ar fi SMS-urile.
Crearea de parole unice bazate pe algoritmi matematici.
Să considerăm o abordare folosind o funcție unidirecțională f. Sistemul începe să funcționeze de la numărul inițial s. Se generează parola f(s), f(f(s)), f(f(f(s))). Fiecare parolă este distribuită în ordine inversă, începând cu ultima și terminând cu f(s). Dacă un atacator reușește să obțină o parolă unică, atunci pentru a calcula următoarea parolă din lanț, este necesar să se găsească o modalitate de a calcula funcția inversă. Și pentru că f a fost unilateral, atunci acest lucru este imposibil. Dacă f este o funcție cache criptografică, care este cea care este folosită în mod obișnuit, atunci aceasta ar fi o sarcină imposibilă din punct de vedere tehnic.
Sincronizarea timpului.
Asociat cu jetoane hardware fizice. În interiorul jetonului este construit un ceas precis, care este sincronizat cu ceasul de pe server. Și în astfel de sisteme, timpul este o parte importantă a algoritmului de generare a parolei unice, deoarece generarea parolei se bazează pe ora curentă. Telefoanele mobile pot fi folosite și pentru parole unice sincronizate. Utilizarea parolelor unice cu o provocare necesită ca utilizatorul să ofere o provocare sincronizată în timp.
Serviciu de autentificare Kerberos.
Serverul este proiectat să rezolve următoarea problemă: Există o rețea deschisă, nesecurizată în nodurile căreia există subiecți. Fiecare subiect are o cheie secretă. Pentru ca subiectul A să-și demonstreze autenticitatea subiectului B, el nu trebuie doar să se identifice, ci și să demonstreze cunoașterea cheii secrete. A nu poate spune pur și simplu lui B cheia sa secretă, deoarece rețeaua este deschisă și A nu o știe. Este necesar un mod de a demonstra cunoașterea cheii secrete. Iar sistemul Kerberos este o terță parte care deține cheile secrete ale tuturor directorilor și îi ajută în autentificarea în perechi.
Pentru a avea acces la B, A trimite o solicitare care conține informații despre el și serviciul solicitat. Ca răspuns, Kerberos trimite un așa-zis bilet, criptat cu cheia privată a serverului și o copie a unei părți a biletului, criptată cu cheia privată a lui A. A trebuie să decripteze 2 bucăți de date și să le trimită la server. Serverul, după ce a decriptat biletul, poate compara conținutul acestuia cu informații suplimentare trimise de clientul A. O potrivire indică faptul că A a fost capabil să decripteze datele destinate lui, adică a demonstrat cunoașterea cheii secrete. Aceasta înseamnă, și anume, cine pretinde că este. Cheile secrete aici nu au fost transmise prin rețea, ci au fost folosite doar pentru verificare.
Autentificare și identificare folosind date biometrice.
Biometria este un set de autentificare și identificare bazat pe caracteristicile lor fiziologice și comportamentale. Caracteristicile fiziologice includ: amprentele digitale, retina. Caracteristicile comportamentale includ: semnătura manuală, stilul de lucru cu tastatura. La intersecția dintre fiziologie și comportament se află caracteristicile recunoașterii vocii și a vorbirii.
În general, lucrul cu datele biometrice este organizat după cum urmează: În primul rând, este creată și menținută o bază de date cu caracteristicile potențialilor utilizatori. Pentru a face acest lucru, caracteristicile biometrice sunt preluate, procesate, iar rezultatele sunt introduse în baza de date. Pe viitor, pentru autentificare, procesul de colectare și prelucrare a datelor se repetă, după care are loc o căutare în baza de date șablon. Dacă căutarea are succes, identitatea este stabilită. Metodele biometrice nu sunt mai fiabile decât bazele de date șablon. Datele biometrice ale unei persoane se modifică și baza de date șablon trebuie menținută.

Modele de control acces
Modelul de securitate joacă un rol major în metoda de dezvoltare formală a sistemului. Acesta definește fluxul de informații permis în sistem și regulile de accesare a acestor informații.
Să luăm în considerare 3 modele:
1) Model de acces discreționar. În cadrul acestui model, accesul subiecților (utilizatori, aplicații) la obiecte (fișiere, aplicații) este controlat. Pentru fiecare obiect există un subiect proprietar, care determină cine are acces la obiect, precum și drepturile permise. Principalele operațiuni de acces sunt de citire, scriere și execuție. Astfel, modelul de acces discreționar pentru fiecare pereche subiect-obiect stabilește un set de operațiuni permise. Când se solicită accesul la un obiect, sistemul caută subiectul în lista de drepturi de acces a obiectului și permite accesul dacă subiectul este prezent în listă și tipul de acces permis include tipul necesar. Sistemul clasic de acces discreționar este închis, adică. obiectul nu este inițial accesibil nimănui, iar lista de acces descrie un set de permisiuni. Acest model de acces poate fi găsit în sistemele de operare Windows și Linux. Unul dintre dezavantajele modelului este că nu fiecărui obiect i se poate atribui un proprietar. De asemenea, cu un număr mare de obiecte subiect în sistem, se administrează un număr mare de astfel de perechi, ceea ce complică munca.
2) Model Bell-LaPadula (control acces obligatoriu). Acest model oferă definiții ale unui obiect, subiect și drepturi de acces, precum și aparatul matematic pentru descrierea acestora. Acest model este cunoscut în principal pentru 2 reguli de securitate, una legată de citire și cealaltă de scriere a datelor. Să existe 2 tipuri de fișiere în sistem: secrete și non-secrete. Iar utilizatorul aparține la 2 categorii: cu nivelul de acces la fișiere non-secrete (nu secrete), la secrete (secrete). Regula 1: Un utilizator non-secret sau un proces care rulează în numele său nu poate citi date dintr-un fișier secret.
Regula 2: Un utilizator cu acces secret la fișiere nu poate scrie date în fișiere non-secrete.
Regulile luate în considerare sunt ușor de distribuit într-un sistem în care există mai mult de 2 niveluri de acces.
Regula generală: utilizatorii pot citi doar documente al căror nivel de securitate este sub nivelul lor de securitate și nu pot crea documente sub nivelul lor de securitate.
Acest model este matematic. Accentul principal este pus pe confidențialitate.
3) Model de control al accesului bazat pe roluri. Metoda bazată pe roluri controlează accesul utilizatorilor la informații în funcție de tipul de activitate pe care îl au în sistem (roluri). Un rol este înțeles ca un ansamblu de acțiuni și responsabilități asociate unui anumit tip de activitate. Exemple de roluri: contabil, administrator etc. Fiecare utilizator are propriile roluri configurate. Obiect-rol. În unele cazuri, unui utilizator i se permite să îndeplinească mai multe roluri simultan. În acest caz, rolurile au o structură ierarhică. Principalele avantaje ale modelului de rol: A) ușurință în administrare, nu este nevoie să se prescrie reguli pentru fiecare obiect al subiectului; în schimb, se prescrie un obiect de rol. Când responsabilitățile unui utilizator se schimbă, rolul acestuia se schimbă și el. O ierarhie a rolurilor simplifică administrarea. B) Principiul cel mai mic privilegiu. Înregistrați-vă în sistem cu rolul minim necesar pentru îndeplinirea sarcinilor.

Inregistrare si auditare.
Înregistrarea se referă la colectarea și acumularea de informații care au avut loc în sistem. În acest caz, evenimentele fiecărui serviciu pot fi împărțite în: extern, intern și client.
Un audit este o analiză a informațiilor acumulate, efectuată prompt în timp real sau periodic. Un document operațional cu un răspuns automat la situațiile neobișnuite identificate se numește activ.
Înregistrarea și auditarea rezolvă următoarele probleme: Asigurarea răspunderii utilizatorilor și administratorului. Oferind capacitatea de a reconstrui succesiunea evenimentelor. Detectarea încercărilor de încălcare a securității informațiilor. Furnizarea de informații pentru identificarea și analiza problemelor.
Înregistrarea necesită bun simț pentru a decide ce evenimente de sistem să înregistreze și în ce detaliu, îndeplinind în același timp obiectivele de securitate și fără a risipi resurse. Nu există un răspuns universal, dar unele recomandări pot fi evidențiate. În ceea ce privește sistemul de operare, se recomandă înregistrarea evenimentelor: autentificarea în sisteme, deconectarea, accesarea unui sistem de la distanță, operațiuni cu fișiere, modificarea privilegiilor și alte atribute de securitate. La înregistrare, se recomandă să se înregistreze: tatuaj și ora, ID-ul utilizatorului și acțiunea, tipul de eveniment, rezultatul acțiunii, sursa solicitării, numele obiectelor afectate și descrierea modificărilor. Asigurarea responsabilității este importantă ca factor de descurajare. Detectarea încercărilor de încălcare a securității informațiilor este o funcție activă de audit. Auditul regulat poate detecta atacurile cu întârziere.
*Audit activ. Activitatea suspectă este comportamentul unui utilizator sau al unei componente de sistem care este suspect din punctul de vedere al anumitor reguli sau nu este tipic. Scopul auditării active este de a identifica rapid activitățile suspecte și de a oferi instrumente de răspuns automat. În acest caz, se recomandă împărțirea activității în atacuri care vizează obținerea ilegală a autorității. Pentru a descrie și identifica atacurile, se folosește metoda semnăturii. O semnătură de atac este un set de condiții în care are loc un atac care declanșează un răspuns. Acțiunile care sunt efectuate în sfera de aplicare a autorității, dar încalcă politica de securitate se numesc abuz de autoritate. Comportamentul netipic este de obicei identificat folosind metode statistice. Se folosește un sistem de praguri, al căror exces este suspect. În ceea ce privește instrumentele active de audit, se face o distincție între erorile de tip 1 și tip 2: atacuri ratate și alarme false. Avantajul metodei semnăturii este numărul mic de erori de tip 2 (număr mic de alarme false). Dezavantajul este incapacitatea de a detecta noi atacuri. Avantajul metodei statistice este versatilitatea sa, capacitatea de a detecta atacuri necunoscute. Dezavantajul este o proporție mare de erori de tip 2.

Criptare.
Criptarea este o transformare reversibilă a textului simplu (original) bazată pe un algoritm sau o cheie secretă în text criptat (închis). Criptarea este un mijloc de a asigura confidențialitatea informațiilor.
Algoritmii de criptare sunt împărțiți în 2 grupuri:
1) Algoritmi simetrici. Aceeași cheie K este folosită pentru criptare și decriptare. Funcția de criptare M'=EnGrypt(M,K) M=Decriptare DeCrypt(M',K).
Toți algoritmii de criptare simetrică pot fi împărțiți în 3 grupuri:
A) Înlocuire B) Permutare C) Cifre bloc.
*Algoritmi de înlocuire. Ele funcționează pe următorul principiu: fiecare caracter al textului sursă este înlocuit cu un alt caracter sau secvență de caractere. În acest caz, pot fi folosite caractere din diferite alfabete. Dacă sunt folosite caractere dintr-un alfabet pentru înlocuire, înlocuirea se numește monoalfabetică. Mai multe caractere – substituție polialfabetică.
- Cea mai simplă înlocuire este cifrurile Caesar. Fiecare literă a mesajului original este înlocuită cu litera situată la 3 poziții după ea în alfabet. Particularitatea cifrurilor Caesar este că nu există o cheie; numărul 3 nu este o cheie, ci face parte din algoritm. În prezent, prima regulă a criptografiei este: puterea oricărui cifru constă în faptul că adversarul cunoaște pe deplin mecanismul de criptare și singura informație pe care nu o deține este cheia. Cifrul Caesar devine un cifr cu drepturi depline cu o cheie dacă numărul 3 nu este specificat, dar ales în mod arbitrar, conform unui acord. Doar numerele de la 1 la 32 pot fi selectate ca tastă. Astfel, cifrul Caesar modificat nu este rezistent la cracare folosind o metodă cheie de forță brută.
- Cifru de înlocuire simplu. Fiecărui caracter al alfabetului text simplu i se atribuie un caracter corespunzător al aceluiași alfabet sau al altui alfabet. Cheia acestui cifr va fi tabelul de corespondență. Numărul total de taste este egal cu permutările puterii alfabetului 33! Acest cifru este destul de ușor de adaptat criptoanalizei prin determinarea frecvenței de apariție a simbolurilor. Astfel, cifrurile monoalfabetice au o slăbiciune gravă bazată pe caracteristicile statistice ale textului original, care moștenește textul cifrat.
- Un exemplu de substituție multi-alfabetică a cifrului Gronsfeld. Este o modificare a cifrului Caesar. O secvență de cifre de o lungime fixă arbitrară este folosită ca cheie. M=INFORMATICA K=123. Fiecare caracter cheie este scris sub textul sursă; dacă lungimea cheii este mai mică decât textul sursă, se repetă ciclic. K=12312312. M'=YPCHTPLBALLV. Acest cifru aparține familiei de cifruri multi-alfabetice. Astfel, caracteristicile statistice ale acestui text vor apărea cu ciclicitate lungime n-cheie (=3). În acest caz, tabelul de frecvență dă o eroare, iar recuperarea textului devine imposibilă.
*Algoritmi de permutare. Caracterele text simplu își schimbă ordinea în funcție de regulă și cheie.
- Un exemplu clasic este rearanjarea literelor după o anumită regulă într-un tabel de o dimensiune dată. Textul este scris pe coloane și citit pe rânduri.
*Cifuri bloc. Criptarea simetrică utilizează atât substituția, cât și permutarea. Standardul practic este mai multe runde de criptare cu chei diferite care sunt generate de la o cheie partajată. Majoritatea algoritmilor moderni au o structură similară cu cea a rețelei Feistel (bazată pe Chenon). Un algoritm de criptare puternic trebuie să îndeplinească 2 proprietăți: difuzie și confuzie. Difuzie - Fiecare fragment de text simplu trebuie să influențeze fiecare fragment de text cifrat. Esența difuzării este dispersarea caracteristicilor statistice ale textului simplu în textul cifrat. Confuzia este absența unei relații statistice între cheie și text cifrat. Chiar dacă inamicul determină caracteristicile statistice ale textului, acestea nu ar trebui să fie suficiente pentru a decripta.
Să luăm în considerare structura rețelei Feistel.
2) Algoritmi cu cheie publică.

Clasificarea măsurilor de protecție poate fi prezentată sub forma a trei Niveluri.

Nivel legislativ. Codul penal al Federației Ruse are capitolul 28. Infracțiuni în domeniul informațiilor informatice. Conține următoarele trei articole:

Articolul 272. Accesul ilegal la informații informatice;

Articolul 273. Crearea, utilizarea și distribuirea de programe de calculator rău intenționate;

Articolul 274. Încălcarea regulilor de operare a calculatoarelor, sistemelor informatice sau a rețelelor acestora.

Niveluri administrative și procedurale. La nivel administrativ și procedural se formează o politică de securitate și un set de proceduri care determină acțiunile personalului în situații normale și critice. Acest nivel este înregistrat în orientările emise de Comisia Tehnică de Stat a Federației Ruse și FAPSI.

Nivel software și hardware. Acest nivel include software și hardware care alcătuiesc tehnologia de securitate a informațiilor. Acestea includ identificarea utilizatorului, controlul accesului, criptografia, ecranarea și multe altele.

Iar dacă nivelurile legislative și administrative de protecție nu depind de utilizatorul specific al echipamentelor informatice, atunci fiecare utilizator poate și ar trebui să organizeze un nivel software și tehnic de protecție a informațiilor pe propriul computer.

1.3. Nivel de protecție software și hardware

Nu vom lua în considerare sistemele criptografice software și hardware complexe existente care limitează accesul la informații prin cifruri, precum și programele secrete de scriere care pot „dizolva” materiale confidențiale în fișiere grafice și sonore voluminoase. Utilizarea unor astfel de programe poate fi justificată doar în cazuri excepționale.

Un utilizator obișnuit, ca tine și mine, de regulă, nu este un criptator sau programator profesionist, așa că ne interesează instrumentele de securitate a informațiilor „improvizate”. Să ne uităm la instrumentele de securitate a informațiilor și să încercăm să le evaluăm fiabilitatea. La urma urmei, cunoașterea punctelor slabe de apărare ne poate salva de multe necazuri.

Primul lucru pe care îl face de obicei un utilizator de computer personal este să seteze două parole: una în setările BIOS și cealaltă în economizorul de ecran. Protecția la nivelul BIOS vă va cere să introduceți o parolă atunci când porniți computerul, iar protecția de pe screen saver va bloca accesul la informații după ce a trecut o anumită perioadă de timp pe care ați setat-o când computerul este inactiv.

Setarea unei parole la nivel de BIOS este un proces destul de delicat care necesită anumite abilități în lucrul cu setările computerului, așa că este indicat să o setați cu un coleg care are suficientă experiență în astfel de activități. Setarea unei parole pentru economizorul de ecran nu este atât de dificilă, iar utilizatorul o poate seta singur.

Pentru a seta o parolă pentru screensaver, trebuie să efectuați următorii pași: faceți clic pe butonul Start, selectați Setări și Control Panel, faceți dublu clic pe pictograma Screen și în fereastra Display Properties care se deschide, selectați fila Screensaver. Setați tipul de economizor de ecran, setați intervalul de timp (presupunând 1 minut), bifați caseta de selectare Parolă și faceți clic pe butonul Modificare.

În fereastra Schimbați parola care se deschide, introduceți parola pentru economizorul de ecran, apoi introduceți-o din nou pentru a confirma și faceți clic pe OK.

Dacă decideți să eliminați singur parola pentru screensaver, atunci urmați toate procedurile de mai sus, doar în fereastra Schimbare parolă nu trebuie să tastați nimic, ci pur și simplu faceți clic pe butonul OK. Parola va fi eliminată.

Prima modalitate este de a folosi una dintre lacunele furnizate adesea de producătorii de plăci de bază, așa-numita „parolă universală pentru oamenii uituci”. Un utilizator obișnuit, care suntem, de regulă, nu îl știe.

Puteți folosi a doua metodă de a pirata secretul: îndepărtați carcasa computerului, scoateți bateria cu litiu de pe placa de sistem timp de aproximativ 20...30 de minute, apoi introduceți-o înapoi. După această operațiune, BIOS-ul va uita în proporție de 99% toate parolele și setările utilizatorului. Apropo, dacă tu însuți ai uitat parola, ceea ce se întâmplă destul de des în practică, atunci poți folosi această metodă.

A treia modalitate prin care un străin poate afla informațiile noastre protejate este să scoată hard disk-ul din computer și să îl conecteze la un alt computer ca un al doilea dispozitiv. Și apoi puteți citi și copia secretele altor oameni fără probleme. Cu o anumită îndemânare, această procedură durează 15...20 de minute.

Așadar, în timpul absenței îndelungate, încercați să împiedicați pur și simplu persoane neautorizate să intre în camera în care se află computerul.

3) Cerința privind siguranța reutilizarii obiectului contrazice:
încapsulare +
moştenire
polimorfism

4) Să presupunem că semantica programelor este luată în considerare la delimitarea accesului. În acest caz, programului de joc pot fi impuse următoarele restricții:
interzicerea citirii oricăror fișiere, cu excepția celor de configurare
interzicerea modificării oricăror fișiere cu excepția celor de configurare +
interzicerea stabilirii conexiunilor la rețea

5) Necesitatea unei abordări orientate pe obiect a securității informațiilor este o consecință a faptului că:
este o modalitate simplă de a da o întorsătură științifică securității informațiilor
abordarea orientată pe obiect este un mijloc universal de a face față complexității sistemelor informaționale moderne +
În securitatea informației apar încă de la început conceptele de obiect și subiect

6) Fațetele care permit structurarea mijloacelor de realizare a securității informațiilor includ:
măsuri de integritate
masuri administrative +
măsuri administrative

2 Containerele din cadrele de obiecte componente oferă:
context general de interacţiune cu alte componente şi cu mediul +
mijloace pentru conservarea componentelor
mecanismele de transport ale componentelor

Mesajele duplicate reprezintă o amenințare:
accesibilitate
intimitate
integritate +

Melissa atacă accesibilitatea:
sisteme de comert electronic
sisteme informatice geografice
sisteme de e-mail +

Selectați un program rău intenționat care a deschis o nouă etapă în dezvoltarea acestei zone:
Melissa +
Bubble Boy
TE IUBESC

Cele mai periculoase surse de amenințări interne sunt:
manageri incompetenți +
angajații jigniți
administratori curioși

5. Dintre următoarele, evidențiați motivul principal al existenței a numeroase amenințări la adresa securității informațiilor:
greşeli de calcul în administrarea sistemelor informaţionale
nevoia de modificare constantă a sistemelor informaţionale
complexitatea sistemelor informatice moderne +

Consumul agresiv de resurse este o amenințare pentru: Disponibilitate, Confidențialitate, Integritate

Melissa este:
bombă
virus +
vierme

Cele mai frecvente erori folosite la plantarea bombelor sunt:
nu se verifică codurile de returnare
depășirea tamponului +
încălcarea integrității tranzacției

Fereastra de pericol apare atunci când:
devin cunoscute mijloacele de exploatare a vulnerabilității
devine posibilă exploatarea vulnerabilității +
noul P este instalat

Dintre următoarele, evidențiați programele troiene:
TE IUBESC
Orificiul spate +
Netbus +

1. Codul penal al Federației Ruse nu prevede pedepse pentru:
crearea, utilizarea și distribuirea de malware
menţinerea corespondenţei personale la baza tehnică de producţie +
încălcarea regulilor de funcționare a unui computer, a unui sistem informatic sau a rețelei acestora

Proiectul de lege „On Improving Information Security” (SUA, 2001) acordă o atenție deosebită: reducerea restricțiilor la exportul de criptomonede
dezvoltarea instrumentelor electronice de autentificare +
crearea unei infrastructuri cu cheie publică

4. Definiția mijloacelor de protecție a informațiilor dată în Legea „Cu privire la secretele de stat” include:
mijloace de detectare a activităților rău intenționate
mijloace de asigurare a toleranței la erori
mijloace de monitorizare a eficacității protecției informațiilor +

1. Nivelul de securitate B, conform Cartei Portocalii, se caracterizează prin:
control acces forțat +
securitate verificabilă

3. Clasele de cerințe de asigurare a securității din „Criteriile generale” includ:
dezvoltare +
evaluarea profilului de protecție +
certificare

4. Potrivit Orange Book, politica de securitate include următoarele elemente:
perimetrul de securitate
etichete de securitate +
certificate de securitate

1. Nivelul de securitate A, conform Cartei Portocalii, se caracterizează prin:
control ale accesului aleatoriu
controlul accesului forțat
securitate verificabilă +

decizia de a formula sau revizui un program cuprinzător de securitate +

asigurarea confidentialitatii mesajelor de email

4. Obiectivele programului de securitate de nivel superior includ:
managementul riscurilor +
determinarea responsabililor pentru serviciile de informare
stabilirea sancțiunilor pentru încălcarea politicii de securitate

5. Ca parte a programului de securitate de nivel inferior, se realizează următoarele:
planificare strategica
administrare zilnică +
urmărirea punctelor slabe de securitate +

„1. Politica de securitate se bazează pe:
idei generale despre IP-ul organizației
studierea politicilor organizațiilor conexe
analiza riscului +

2. Obiectivele de nivel superior ale politicii de securitate includ:
formularea deciziilor administrative privind cele mai importante aspecte ale implementării programului de securitate +
selectarea metodelor de autentificare a utilizatorului
oferind o bază pentru respectarea legilor și reglementărilor +

1. Riscul este o funcție a:

1. Riscul este o funcție de: cantitatea posibilelor daune, numărul de vulnerabilități din sistemul de capital autorizat al organizației

3. Etapele managementului riscului includ: identificarea activelor + lichidarea pasivelor, selectarea obiectelor analizate +

4. Primul pas în analiza amenințărilor este: identificarea amenințărilor + autentificarea amenințărilor eliminarea amenințărilor

Identificarea responsabililor pentru analiza riscurilor, măsurarea riscurilor, selectarea echipamentelor de protecție eficiente;

5. Managementul riscului include următoarele activități: identificarea responsabililor pentru analiza riscurilor, măsurarea riscurilor, selectarea echipamentului de protecție eficient;

6. Evaluarea riscurilor vă permite să răspundeți la următoarele întrebări: ce riscă organizația prin utilizarea sistemului informațional? Care sunt riscurile pentru utilizatorii sistemului informatic? Care sunt riscurile pentru administratorii de sistem?

1. Clasele de măsuri la nivel procedural includ: menținerea performanței + menținerea aptitudinii fizice protecție fizică +

2. Principiile managementului personalului includ: minimizarea privilegiilor + minimizarea salariilor maximizarea salariilor

3. Etapele procesului de planificare a recuperării includ: identificarea funcțiilor critice ale organizației + determinarea unei liste de posibile accidente + efectuarea de accidente de testare

5. Domeniile de activitate zilnică la nivel procedural includ: managementul situațional managementul configurației managementul optim

1. Înregistrarea și auditarea pot fi folosite pentru a: prevenirea încălcărilor securității informațiilor + detectarea încălcărilor + restabilirea regimului de securitate a informațiilor

2. Indicați cele mai semnificative caracteristici ale sistemelor informatice moderne rusești din punct de vedere al securității: lățime de bandă redusă a majorității canalelor de comunicație, dificultate în administrarea computerelor utilizatorului, lipsa unui set suficient de hardware și software criptografic;

Aplicarea celor mai avansate soluții tehnice; aplicarea soluțiilor simple, dovedite + combinație de echipamente de protecție simple și complexe

Dezvoltarea și implementarea unei politici de securitate unificate + unificarea platformelor hardware și software, minimizând numărul de aplicații utilizate

1. Ecranarea poate fi utilizată pentru: a preveni încălcările securității informațiilor detectarea încălcărilor localizarea consecințelor încălcărilor

3. Principiile de bază ale securității arhitecturale includ: aderarea la standarde recunoscute, utilizarea unor soluții non-standard necunoscute atacatorilor - o varietate de mijloace de protecție

3. Principiile de bază ale securității arhitecturale includ: întărirea verigii celei mai slabe + întărirea țintei celei mai probabile de atac, stratificarea apărării +

5. Pentru a asigura securitatea informațiilor configurațiilor de rețea, ar trebui să vă ghidați după următoarele principii: folosirea propriilor linii de comunicație asigurând confidențialitatea și integritatea în timpul interacțiunilor cu rețea + analiza completă a traficului de rețea

Controlul accesului + gestionarea sistemelor informatice si a componentelor acestora management media

Pentru a asigura securitatea informațiilor configurațiilor de rețea, trebuie să ne ghidăm după următoarele principii: criptarea tuturor informațiilor separarea datelor statice și dinamice formarea datelor compozite în conformitate cu principiul conținutului +

1. Monitorizarea integrității poate fi utilizată pentru a: prevenirea încălcărilor securității informațiilor detectarea încălcărilor + localizarea consecințelor încălcărilor

4. Serviciile universale de securitate includ: instrumente pentru construirea de rețele locale virtuale, ecranare + înregistrare și auditare +

Cardiograma subiectului + numărul cardului de asigurări de pensie rezultat al generatorului de parole unice +

2. Autentificarea bazată pe o parolă transmisă prin rețea în formă criptată este proastă deoarece nu oferă protecție împotriva: interceptarea reluării+ atacurile de accesibilitate+

Rol+ deținător de rol utilizator de rol

4. Când utilizați versiunea serverului de autentificare Kerberos descrisă în curs: nu se utilizează criptare - se folosește criptare simetrică, se folosește criptare asimetrică +

5. Atunci când se utilizează abordarea controlului accesului în mediul obiect descris în curs, moștenirea: întotdeauna luată în considerare uneori nu luată în considerare +

1. Următoarele pot fi folosite ca autentificator într-un mediu de rețea: anul nașterii subiectului, numele subiectului, cheia criptografică secretă+

3. Controlul accesului bazat pe roluri folosește următoarea abordare orientată pe obiecte: moștenirea încapsulării + polimorfism

4. Server de autentificare Kerberos: nu protejează împotriva atacurilor de disponibilitate + protejează parțial împotriva atacurilor de disponibilitate - protejează complet împotriva atacurilor de disponibilitate

5. Atunci când se utilizează abordarea controlului accesului într-un mediu obiect descrisă în curs, regulile de control al accesului sunt specificate sub forma: o matrice de subiecte/obiecte - predicate peste obiecte, liste de acces la metode obiect

3. Conceptele de bază ale controlului accesului bazat pe rol includ: metoda obiect + subiect

5. Atunci când se folosește abordarea controlului accesului în mediul obiect descris în curs, accesul la: interfețe obiect, metode obiect (ținând cont de valorile parametrilor efectivi de apel) clase de obiect este limitat

5. Atunci când se utilizează abordarea controlului accesului descrisă în curs în mediul obiect, accesul la: interfețe obiect + metode obiect (ținând cont de valorile parametrilor efectivi de apel) + clase de obiect este limitat

Înregistrare și auditare, criptare, control al integrității:

Metoda semnăturii de detectare a atacurilor este bună deoarece: declanșează câteva alarme false+ este capabilă să detecteze atacuri necunoscute este ușor de configurat și de operat+

3. Certificatul digital conține: cheie publică utilizator + cheie privată utilizator nume utilizator +

4. Implementarea logging-ului și auditului are următoarele obiective principale: detectarea încercărilor de încălcare a securității informațiilor + prevenirea încercărilor de încălcare a securității informațiilor, prevenirea atacurilor la disponibilitate

2. Metoda pragului de detectare a atacurilor este bună pentru că: declanșează puține alarme false; este capabilă să detecteze atacuri necunoscute; este ușor de configurat și de operat +

4. Implementarea logging-ului și auditului are următoarele obiective principale: asigurarea răspunderii administratorilor față de utilizatori asigurarea răspunderii utilizatorilor și administratorilor + furnizarea de informații pentru identificarea și analiza problemelor

2. Metoda statistică de identificare a atacurilor este bună pentru că: declanșează puține alarme false, este capabilă să detecteze atacuri necunoscute, este ușor de configurat și de operat;

5. Criptografia este necesară pentru implementarea următoarelor servicii de securitate: controlul securității controlul integrității + controlul accesului

4. Implementarea logging-ului și auditului are următoarele obiective principale: asigurarea posibilității de reproducere a succesiunii evenimentelor, asigurarea posibilității de reconstrucție a succesiunii evenimentelor + prevenirea încercărilor de reproducere a succesiunii evenimentelor

1. Înregistrarea în sine nu poate asigura nerepudierea, deoarece: informațiile de înregistrare, de regulă, sunt de natură la nivel scăzut, iar nerepudierea se referă la acțiuni la nivel de aplicație; informațiile de înregistrare au un format specific care este de neînțeles pentru oameni ; informațiile de înregistrare sunt prea mari +

5. Criptografia este necesară pentru implementarea următoarelor servicii de securitate: identificare, ecranare, autentificare+

1. Înregistrarea în sine nu poate asigura nerepudierea, deoarece: informațiile de înregistrare pot fi dispersate în diferite servicii și diferite componente ale unui IS distribuit + integritatea informațiilor de înregistrare poate fi încălcată, confidențialitatea informațiilor de înregistrare trebuie menținută și verificarea non- repudierea va încălca confidențialitatea

Identificare si autentificare, control acces

1. Următoarele pot fi utilizate ca autentificator într-un mediu de rețea:
cardiograma subiectului+
numărul cardului de asigurări de pensie
rezultatul generatorului de parole unice+

2. Autentificarea bazată pe o parolă transmisă prin rețea în formă criptată este proastă deoarece nu oferă protecție împotriva:
interceptare
redare+
atacuri de accesibilitate+

3. Conceptele de bază ale controlului accesului bazat pe rol includ:
rol+
jucator de rol
utilizator de rol

4. Când utilizați versiunea serverului de autentificare Kerberos descrisă în curs:
criptarea nu este folosită -
se utilizează criptarea simetrică
se utilizează criptarea asimetrică

5. Atunci când se utilizează abordarea controlului accesului în mediul obiect descris în curs, moștenirea este întotdeauna luată în considerare
luate în considerare uneori
neluat în considerare+

1. Următoarele pot fi utilizate ca autentificator într-un mediu de rețea:
anul de naștere al subiectului
numele de familie al subiectului
cheie criptografică secretă+

3. Controlul accesului bazat pe roluri utilizează următoarea abordare orientată pe obiecte:
încapsulare
moștenire+
polimorfism

4. Server de autentificare Kerberos:
nu protejează împotriva atacurilor de disponibilitate+
protejează parțial împotriva atacurilor de disponibilitate
protejează complet împotriva atacurilor de disponibilitate

3. Conceptele de bază ale controlului accesului bazat pe rol includ:
obiect+
subiect
metodă

5. Când utilizați abordarea controlului accesului descrisă în curs în mediul obiect, accesați:
interfețe obiect +
metode obiect (ținând cont de valorile parametrilor efectivi de apel) +
clase de obiecte

Măsuri de bază software și hardware:

2. Indicați cele mai semnificative caracteristici ale IS rusesc modern din punct de vedere al securității:
lățime de bandă redusă a majorității canalelor de comunicație +
complexitatea administrării computerelor utilizatorului
lipsa unui set suficient de produse hardware și software criptografice+

3. Principiile de bază ale securității arhitecturale includ:
aplicarea celor mai avansate solutii tehnice
aplicarea de soluții simple, dovedite+
combinație de echipamente de protecție simple și complexe

5. Pentru a asigura securitatea informațiilor configurațiilor de rețea, trebuie respectate următoarele principii:
dezvoltarea și implementarea unei politici de securitate unificate+
unificarea platformelor hardware și software
minimizarea numărului de aplicații utilizate

3. Principiile de bază ale securității arhitecturale includ:
respectarea standardelor recunoscute +
utilizarea de soluții non-standard necunoscute atacatorilor -
varietate de echipamente de protecție+

5. Pentru a asigura securitatea informațiilor configurațiilor de rețea, trebuie să ne ghidăm după următoarele principii: criptarea tuturor informațiilor; separarea datelor statice și dinamice; formarea de servicii compozite conform principiului conținutului +

3. Principiile de bază ale securității arhitecturale includ:
întărirea verigii celei mai slabe+
întărirea țintei cel mai probabil de atac
eşalon de apărare+

5. Pentru a asigura securitatea informațiilor configurațiilor de rețea, trebuie respectate următoarele principii:
utilizarea liniilor de comunicare proprii
asigurarea confidențialității și integrității în interacțiunile în rețea+ p
Analiza completă a traficului de rețea

4. Serviciile de securitate universală includ:
control acces+
managementul sistemelor informatice si componentelor acestora
managementul mass-media

Pentru a asigura securitatea informațiilor configurațiilor rețelei, trebuie respectate următoarele principii:
criptarea tuturor informațiilor
separarea datelor statice și dinamice
formarea serviciilor compozite după principiul conţinutului +

4. Serviciile de securitate universală includ:
instrumente pentru construirea de rețele locale virtuale
ecranare + logare și auditare +

Nivel procedural de securitate a informațiilor

1. Clasele de măsuri la nivel procedural includ:
menținerea performanței+
Mentinandu-te in forma
protectie fizica+

2. Principiile managementului personalului includ:
minimizarea privilegiilor + minimizarea salariilor
maximizarea salariului

3. Pașii din procesul de planificare a recuperării includ:
identificarea funcţiilor organizaţionale critice+
stabilirea unei liste de posibile accidente + efectuarea accidentelor de test

4. Domeniile de protecție fizică includ:
protectia fizica a utilizatorilor -
protecția infrastructurii suport+
protecție împotriva interceptării datelor+

5. Activitățile de zi cu zi la nivel procedural includ:
management situațional
managementul configurației
control optim-

Managementul riscurilor

1. Riscul este o funcție a:
cantitatea de daune posibile +
numărul de vulnerabilități din sistem
capitalul autorizat al organizației

3. Etapele managementului riscului includ:
identificarea bunurilor+
lichidarea datoriilor
selectarea obiectelor analizate+

4. Primul pas în analiza amenințărilor este:
identificarea amenințărilor+
autentificarea amenințărilor
eliminarea amenințărilor

5. Managementul riscului include următoarele activități:
identificarea celor responsabili de analiza riscurilor
măsurarea riscului selectarea echipamentului de protecție eficient

5. Managementul riscului include următoarele activități:
determinarea responsabililor cu analiza riscului -
măsurarea riscului +
selectarea echipamentului de protecție eficient+

6. Evaluarea riscurilor vă permite să răspundeți la următoarele întrebări:
Ce riscă o organizație prin utilizarea unui sistem informațional? +
Care sunt riscurile pentru utilizatorii sistemului informatic? +
Care sunt riscurile pentru administratorii de sistem?