PPt4Web Хостинг презентаций

Главная / Информатика / Методы и средства защиты информации
X Код для использования на сайте:

Скопируйте этот код и вставьте его на свой сайт

X

Чтобы скачать данную презентацию, порекомендуйте, пожалуйста, её своим друзьям в любой соц. сети.

После чего скачивание начнётся автоматически!

Кнопки:

Презентация на тему: Методы и средства защиты информации


Скачать эту презентацию

Презентация на тему: Методы и средства защиты информации


Скачать эту презентацию



№ слайда 1 Информационная безопасность Обзорная лекция к междисциплинарному экзамену (специ
Описание слайда:

Информационная безопасность Обзорная лекция к междисциплинарному экзамену (специализация «Информационная безопасность в коммерческих структурах»)

№ слайда 2 Классификация угроз информационной безопасности Угроза информационной безопаснос
Описание слайда:

Классификация угроз информационной безопасности Угроза информационной безопасности (ИБ) – потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам. Попытка реализации угрозы называется атакой. Классификация угроз ИБ можно выполнить по нескольким критериям: по аспекту ИБ (доступность, целостность, конфиденциальность); по компонентам ИС, на которые угрозы нацелены (данные, программа, аппаратура, поддерживающая инфраструктура); по способу осуществления (случайные или преднамеренные действия природного или техногенного характера); по расположению источника угроз (внутри или вне рассматриваемой ИС).

№ слайда 3 Классификация угроз ИБ по базовым свойствам информации Вне зависимости от конкре
Описание слайда:

Классификация угроз ИБ по базовым свойствам информации Вне зависимости от конкретных видов угроз информационная система должна обеспечивать базовые свойства информации и систем ее обработки. Для автоматизированных ИС рассматриваются три основных вида угроз: угроза нарушения конфиденциальности; угроза нарушения целостности; угроза отказа служб (отказа в доступе).

№ слайда 4 Примеры реализации угроз (угроза нарушения конфиденциальности) Предметная Предме
Описание слайда:

Примеры реализации угроз (угроза нарушения конфиденциальности) Предметная Предметная информация содержит информацию, раскрытие которой может привести к ущербу (экономическому, моральному) организации или лица. Часть информации, хранящейся и обрабатываемой в ИС, должна быть сокрыта от посторонних. Передача данной информации может нанести ущерб как организации, так и самой информационной системе.

№ слайда 5 Примеры реализации угроз (угроза нарушения конфиденциальности) Средствами атаки
Описание слайда:

Примеры реализации угроз (угроза нарушения конфиденциальности) Средствами атаки могут служить различные технические средства (подслушивание разговоров, сети), другие способы (несанкционированная передача паролей доступа и т.п.). Важный аспект при предотвращении угрозы конфиденциальности – непрерывность защиты данных на всем жизненном цикле ее хранения и обработки. Пример реализации угрозы – доступное хранение резервных копий данных.

№ слайда 6 Примеры реализации угроз (угроза нарушения целостности данных) Одними из наиболе
Описание слайда:

Примеры реализации угроз (угроза нарушения целостности данных) Одними из наиболее часто реализуемых угроз ИБ являются кражи и подлоги. Целостность информации может быть разделена на статическую и динамическую. Примерами нарушения статической целостности являются: ввод неверных данных; несанкционированное изменение данных; изменение программного модуля вирусом; Примеры нарушения динамической целостности: нарушение атомарности транзакций; дублирование данных; внесение дополнительных пакетов в сетевой трафик.

№ слайда 7 Примеры реализации угроз (угроза отказа доступа) Отказ служб (отказа в доступе к
Описание слайда:

Примеры реализации угроз (угроза отказа доступа) Отказ служб (отказа в доступе к ИС) относится к одним из наиболее часто реализуемых угроз ИБ. Относительно компонент ИС данный класс угроз может быть разбит на следующие типы: отказ пользователей (нежелание, неумение работать с ИС); внутренний отказ информационной системы (ошибки при переконфигурировании системы, отказы программного и аппаратного обеспечения, разрушение данных); отказ поддерживающей инфраструктуры (нарушение работы систем связи, электропитания, разрушение и повреждение помещений).

№ слайда 8 Основные принципы обеспечения информационной безопасности Информационная безопас
Описание слайда:

Основные принципы обеспечения информационной безопасности Информационная безопасность может быть обеспечена при соблюдении следующих принципов: Системности; Комплексности; Непрерывности защиты; Разумной достаточности; Гибкости управления и применения; Открытости алгоритмов и механизмов защиты; Простоты применения защитных мер и средств.

№ слайда 9 Понятие политики безопасности Политика безопасности – совокупность документирова
Описание слайда:

Понятие политики безопасности Политика безопасности – совокупность документированных решений, принимаемых на разных уровнях управления и направленных на защиту информации и ассоциированных с ней ресурсов. ИС предприятия и связанные с ней субъекты представляют собой сложную систему, для рассмотрения которой рекомендуют применять объектно-ориентированный подход и понятие уровней детализации. При формировании документированных решений разделяют несколько уровней управления: верхний – выносится управление защитными ресурсами и координация использования данных ресурсов; средний – выносятся вопросы, касающиеся отдельных аспектов информационной безопасности; нижний – вопросы относящиеся к конкретным сервисам ИС.

№ слайда 10 Рекомендации к составу политики безопасности "Общие критерии оценки безопасности
Описание слайда:

Рекомендации к составу политики безопасности "Общие критерии оценки безопасности информационных технологий", версия 2.0 от 22 мая 1998 г. Британского стандарта BS7799:1995. рекомендует включать в документ, характеризующий политику информационной безопасности организации, следующие пункты: вводный, подтверждающий заинтересованность высшего руководства проблемами информационной безопасности; организационный, содержащий описание подразделений, комиссий, групп и т.д., отвечающих за работы в области информационной безопасности; классификационный, описывающий имеющиеся на предприятии материальные и информационные ресурсы и необходимый уровень их защиты; штатный, характеризующий меры безопасности, применяемые к персоналу (описание должностей с точки зрения информационной безопасности, организация обучения, порядок реагирования на нарушение режима и т.д.);

№ слайда 11 Рекомендации к составу политики безопасности (продолжение) "Общие критерии оценк
Описание слайда:

Рекомендации к составу политики безопасности (продолжение) "Общие критерии оценки безопасности информационных технологий", версия 2.0 от 22 мая 1998 г. Британского стандарта BS7799:1995. рекомендует включать в документ, характеризующий политику информационной безопасности организации, следующие пункты: раздел, освещающий вопросы физической защиты информации; раздел управления, описывающий подход к управлению компьютерами и сетями передачи данных; раздел, описывающий правила разграничения доступа к производственной информации; раздел, описывающий порядок разработки и внедрения систем; раздел, описывающий меры, направленные на обеспечение непрерывной работы организации (доступности информации); юридический раздел, подтверждающий соответствие политики информационной безопасности текущему законодательству.

№ слайда 12 Административный уровень защиты информации Под административным уровнем информац
Описание слайда:

Административный уровень защиты информации Под административным уровнем информационной безопасности относятся действия общего характера, предпринимаемые руководством организации к обеспечению защиты информации. Главная цель – формирование политики безопасности, отражающей подход организации к защите данных. Политика безопасности административного уровня – совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов. Выработку политики безопасности и ее содержание рассматривают на трех горизонтальных уровнях детализации: Верхний уровень, относящийся к организации в целом Средний уровень – вопросы, касающиеся отдельных аспектов ИБ Низкий уровень – вопросы относящиеся к конкретным сервисам

№ слайда 13 Политика безопасности (верхний уровень) Решения принимаемые на верхнем уровне оп
Описание слайда:

Политика безопасности (верхний уровень) Решения принимаемые на верхнем уровне определяют наиболее общие подходы к защите информации и исходят, как правило, от руководства организации. Типовой список решений: Формирование или изменение комплексной программы обеспечения безопасности Формулирование целей организации в области ИБ, определение направлений в достижении данных целей Обеспечение документальной базы для соблюдения законов и правил Формулирование административных решений по вопросам реализации программы безопасности В политике верхнего уровня определяются обязанности должностных лиц по выработке программы безопасности и проведению ее в жизнь.

№ слайда 14 Политика безопасности (средний уровень) К данному уровню относятся вопросы отдел
Описание слайда:

Политика безопасности (средний уровень) К данному уровню относятся вопросы отдельных аспектов информационной безопасности, например, определение политики доступа к ресурсам Интернет, использование неофициального ПО. Политика среднего уровня для каждого аспекта определяет: Описание аспекта Область применения Позиция организации по данному вопросу Роли и обязанности Законопослушность Точки контакта

№ слайда 15 Политика безопасности (нижний уровень) Политика безопасности организации на нижн
Описание слайда:

Политика безопасности (нижний уровень) Политика безопасности организации на нижнем уровне относится к конкретным информационным сервисам. Она включает два аспекта – цели и правила их достижения. На данном уровне политика безопасности должна быть прописана наиболее формально и детализировано. Формулирование целей политики безопасностей нижнего уровня исходят из соображений целостности, доступности и конфиденциальности данных. Из целей безопасности выводятся правила безопасности, описывающие условия, объекты и средства защиты.

№ слайда 16 Административный уровень защиты информации После формулирования политики безопас
Описание слайда:

Административный уровень защиты информации После формулирования политики безопасности, составляется программа обеспечения информационной безопасности. Программа безопасности также структурируется по уровням. В простом случае достаточно двух уровней: верхнего (центрального) – охватывающего всю организацию; нижнего (служебного) – относящегося к отдельным услугам или группам однородных сервисов.

№ слайда 17 Программа верхнего уровня Программу верхнего уровня возглавляет лицо, отвечающее
Описание слайда:

Программа верхнего уровня Программу верхнего уровня возглавляет лицо, отвечающее за информационную безопасность организации. Цели такой программы: Управление рисками (оценка рисков, выбор эффективных решений); Координация деятельности в области информационной безопасности Стратегическое планирование Контроль деятельности в области информационной безопасности. Контроль деятельности в области ИБ должен гарантировать, во-первых, что действия организации не противоречат законам, во-вторых, что состояние безопасности в организации соответствует требованиям и реагировать на случаи нарушений.

№ слайда 18 Программы служебного уровня Цель программы нижнего уровня – обеспечить надежную
Описание слайда:

Программы служебного уровня Цель программы нижнего уровня – обеспечить надежную и экономичную защиту конкретного сервиса или группы однородных сервисов. На нижнем уровне осуществляется выбор механизмов защиты, технических и программных средств. Ответственность за реализацию программ нижнего уровня обычно несут администраторы соответствующих сервисов.

№ слайда 19 Синхронизация программы безопасности с жизненным циклом системы В жизненном цикл
Описание слайда:

Синхронизация программы безопасности с жизненным циклом системы В жизненном цикле информационного сервиса можно выделить следующие этапы: инициация, определяются потребности в новом сервисе, документируется его назначение; приобретение (разработка), составляется спецификация, варианты приобретения или разработки, собственно приобретение; установка (внедрение), сервис устанавливается, конфигурируется, тестируется и вводится в эксплуатацию; эксплуатация, работа в штатном и регламентном режиме; утилизация (выведение из эксплуатации). Для обеспечения безопасной работы сервиса в рамках информационной системы на всех этапах жизненного цикла должны быть рассмотрены вопросы: Какая информация предназначена для обслуживания? Какие возможные последствия от реализации угроз ИБ а данном сервисе? Каковы особенности данного сервиса? Каковы характеристики персонала, имеющие отношения к информационной безопасности?

№ слайда 20 Управление доступом К числу мер обеспечения безопасности относится управление до
Описание слайда:

Управление доступом К числу мер обеспечения безопасности относится управление доступом. Управление доступом позволяет разграничить доступ субъектов к информационным объектам системы.

№ слайда 21 Основные типы политики управления доступом. Одним из сужений политики безопаснос
Описание слайда:

Основные типы политики управления доступом. Одним из сужений политики безопасности является политика безопасности при управлении доступом к информационным объектам. Политика безопасности на уровне управления доступом включает: Множество объектов системы Oj – пассивных сущностей и субъектов системы Sj – активных сущностей Множество возможных действий над объектами R Для каждой пары «объект, субъект» (Sj, Oj) множество разрешенных операций, являющееся подмножеством множества возможных операций.

№ слайда 22 Модель произвольного доступа (дискреционная модель) В основе дискреционной модел
Описание слайда:

Модель произвольного доступа (дискреционная модель) В основе дискреционной модели управления доступом лежат следующие положения: Все субъекты и объекты должны быть идентифицированы; Права доступа субъекта к объекту системы определяются на основании некоторого внешнего правила. Отношения «субъекты-объекты» можно представить в виде матрицы доступа, в строках которой перечислены субъекты, в столбцах объекты ИС, а в клетках, на пересечении строк и столбцов, записаны дополнительные условия и разрешенные виды доступа. Достоинство модели — относительно простая реализация соответствующих механизмов защиты. Недостаток — статичность модели. Кроме того, возникает вопрос определения правил распространения прав доступа и анализа их влияния на безопасность ИС.

№ слайда 23 Модель принудительного доступа (мандатная модель) Мандатное управление доступом,
Описание слайда:

Модель принудительного доступа (мандатная модель) Мандатное управление доступом, включает следующие требования: Все субъекты и объекты ИС должны быть однозначны идентифицированы; Задан линейно упорядоченный набор меток секретности; Каждому объекту системы присвоена метка секретности, определяющая ценность содержащей в ней информации — уровень секретности; Каждому субъекту системы присвоена метка секретности, определяющая уровень к нему ИС — максимальное значение метки секретности объектов, к которым субъект имеет доступ; метка секретности субъекта называется его уровнем доступа.

№ слайда 24 Модель принудительного доступа (мандатная модель) Основная цель мандатной полити
Описание слайда:

Модель принудительного доступа (мандатная модель) Основная цель мандатной политики — предотвращение утечки информации от объектов с высоким доступа к объектам низким уровнем доступа. Важное достоинство мандатной модели – формальное доказательство утверждения: если начальное состояние системы безопасно, и все переходы системы из состояния в состояние не нарушает ограничений, сформулированных политикой безопасности, то любое состояние системы безопасно. Недостаток мандатной модели – сложность реализации. Множество операций ограничивается операциями чтения (поток данных направлен от объекта к субъекту) и записи (поток направлен от субъекта к объекту).

№ слайда 25 Контроль прав доступа При реализации политики безопасности на уровне доступа в и
Описание слайда:

Контроль прав доступа При реализации политики безопасности на уровне доступа в информационной системе должен существовать модуль, обеспечивающий выполнение операций доступа на основе построенной политики безопасности – монитор безопасности. Задача монитора безопасности – контролировать выполнение операций в соответствии с определенной политикой безопасности.

№ слайда 26 Процедурный уровень информационной безопасности совокупность организационных мер
Описание слайда:

Процедурный уровень информационной безопасности совокупность организационных мер безопасности, ориентированных на людей и направленных на обеспечение заданного уровня информационной безопасности

№ слайда 27 Основные классы мер процедурного уровня Управление персоналом Физическая защита
Описание слайда:

Основные классы мер процедурного уровня Управление персоналом Физическая защита Поддержание работоспособности ИС Реагирование на нарушения режима безопасности Планирование восстановительных работ

№ слайда 28 Управление персоналом Комплекс мер, направленных на взаимодействие с сотрудникам
Описание слайда:

Управление персоналом Комплекс мер, направленных на взаимодействие с сотрудниками организации, обеспечивающее заданный уровень безопасности. Основные принципы: Разделение обязанностей Минимизация привилегий

№ слайда 29 Управление персоналом Принцип разделения обязанностей предписывает распределить
Описание слайда:

Управление персоналом Принцип разделения обязанностей предписывает распределить роли и ответственности между участниками таким образом, чтобы один человек не мог нарушить критически важный процесс. Разделение выполнения критически важных действий позволяет уменьшить вероятность ошибок и злоупотреблений Минимизация привилегий предполагает выделение пользователю только тех прав, что необходимы ему для выполнения служебных обязанностей. Задача данного принципа уменьшить ущерб от случайных или умышленных некорректных операций

№ слайда 30 Физическая защита Основной принцип физической защиты – ее непрерывность в простр
Описание слайда:

Физическая защита Основной принцип физической защиты – ее непрерывность в пространстве и во времени. Для физической защиты не должно существовать «окон опасности» Включает в себя несколько направлений: Физическое управление доступом Противопожарные меры Защита поддерживающей инфраструктуры Защита от перехвата данных Защита мобильных систем

№ слайда 31 Физическая защита Меры физического управления доступом позволяют контролировать
Описание слайда:

Физическая защита Меры физического управления доступом позволяют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей. Противопожарные меры позволяют избежать потерь при предупреждении, возникновении и ликвидации пожаров Поддерживающая инфраструктура – электро-, водо- и теплоснабжение, кондиционеры и средства коммуникаций. К данным системам применимы те же требования целостности и доступности, что и для информационных систем

№ слайда 32 Поддержка работоспособности ИС Выделяется несколько направлений работы системных
Описание слайда:

Поддержка работоспособности ИС Выделяется несколько направлений работы системных администраторов для поддержания работоспособности ИС: Поддержка пользователей Поддержка программного обеспечения Конфигурационное управление Резервное копирование Управление носителями Документирование Регламентные работы

№ слайда 33 Поддержка работоспособности Поддержка пользователей – консультирование и помощь
Описание слайда:

Поддержка работоспособности Поддержка пользователей – консультирование и помощь пользователям в процессе выполнения работы Поддержка программного обеспечения – организация работ по контролю за используемым ПО, его своевременное обновление, контроль за неавторизованным изменением ПО и доступа к ним Конфигурационное управление – контроль за изменениями вносимыми в программную конфигурацию

№ слайда 34 Поддержка работоспособности Резервное копирование – необходимо для восстановлени
Описание слайда:

Поддержка работоспособности Резервное копирование – необходимо для восстановления данных в случае аварии или другой причины Управление носителями – обеспечивает физической защиты и учета дискет, лент, выдачи печатных форм и т.п. Обеспечивает конфиденциальность, целостность и доступность информации. Управление носителями должно охватывать весь жизненный цикл.

№ слайда 35 Поддержка работоспособности Документирование – описание выполняемых процедурных,
Описание слайда:

Поддержка работоспособности Документирование – описание выполняемых процедурных, административных или иных мер по обеспечению ИБ. Регламентные работы – одна из возможных угроз ИБ. Сотрудник, выполняющий регламентные работы, получает исключительный доступ к ИС. Проведение регламентных работ должно выполняться под контролем со стороны службы ИБ.

№ слайда 36 Планирование восстановительных работ В любой организации возможны аварии, вызван
Описание слайда:

Планирование восстановительных работ В любой организации возможны аварии, вызванные естественными причинами, халатностью или некомпетентностью персонала или действиями злоумышленника. В любой организации существуют критически важные процессы, которые должны быть восстановлены в первую очередь. В организации должен существовать план выполнения восстановительных работ при реализации угроз, препятствующих выполнению критически важных функций

№ слайда 37 Планирование восстановительных работ Этапы планирования восстановительных работ:
Описание слайда:

Планирование восстановительных работ Этапы планирования восстановительных работ: Выявление критически важных функций организации, выставление приоритетов Идентификация ресурсов, для выполнения критически важных функций Определение перечня возможных аварий Разработка стратегии восстановительных работ Подготовка к реализации выбранной стратегии Проверка стратегии

№ слайда 38 Идентификация и аутентификация пользователей Идентификация субъекта в ИС — устан
Описание слайда:

Идентификация и аутентификация пользователей Идентификация субъекта в ИС — установление соответствия между множеством сущностей системы и множеством идентификаторов. Аутентификации — процесс проверки подлинности предъявленного идентификатора. Аутентификация бывает односторонней и двусторонней (взаимной). При двусторонней аутентификации выделяют: Аутентификации субъекта решает задачу установления подлинности идентификатора, предъявляемого субъектом взаимодействия и используется при доступе к ресурсам. Аутентификация объекта устанавливает подлинность идентификатора некоторого объекта. В качестве доказательства подлинности обычно используется подтверждением того, что источником данного объекта является владелец указанного идентификатора.

№ слайда 39 Системы аутентификации Различают три группы методов аутентификации: Индивидуальн
Описание слайда:

Системы аутентификации Различают три группы методов аутентификации: Индивидуального объекта заданного типа (удостоверения, пропуска, магнитные карты, токены и т.п.); Знание некоторой известной только ему и проверяющей стороне информации (парольные схемы); Индивидуальных биометрических характеристик пользователя (использование отпечатков пальцев, радужной оболочки глаза и т.п.). Если в процедуре аутентификации участвуют две стороны, то такая схема называется непосредственной аутентификацией. Если же в процессе участвуют вспомогательные стороны, говорят об аутентификации с участием доверенной стороны. Третью сторону называют сервером аутентификации.

№ слайда 40 Парольные схемы аутентификации Классическое средство аутентификации субъекта — п
Описание слайда:

Парольные схемы аутентификации Классическое средство аутентификации субъекта — парольные схемы. В данной схеме претендент предъявляет пароль, а верификатор сравнивает этот пароль с имеющимся у него множеством паролей. Достоинство парольной аутентификации – простота применения и понятность для пользователя. Недостаток парольной схемы — возможность несанкционированного доступа к паролям, хранимым в памяти компьютера и большая вероятность подбора пароля. Один из способов защиты при передаче пароля — криптографическое преобразование перед передачей, например, с помощью хэш-фукнции.

№ слайда 41 Основные компоненты парольной схемы Основными компонентами парольной схемы являю
Описание слайда:

Основные компоненты парольной схемы Основными компонентами парольной схемы являются: Интерфейс пользователя; Интерфейс администратора; Модуль сопряжения с другими подсистемами безопасности; База данных учетных записей. Хранение паролей может быть осуществлено в виде: В открытом виде; В виде сверток (хеширование) Зашифрованном на некотором ключе.

№ слайда 42 Использование одноразовых паролей В современных распределенных системах требуетс
Описание слайда:

Использование одноразовых паролей В современных распределенных системах требуется передача пароля по сети. Если информация не будет защищена, то возникает угроза ее перехвата и использования злоумышленником. Один из вариантов защиты – использование одноразовых паролей (схема S/Key): В процессе аутентификации используется односторонняя функция f, данная функция известна пользователю и серверу аутентификации Задан ключ K, известный только пользователю На этапе начального администрирования функция f применяется к ключу K n раз, результат сохраняется на сервер Во время аутентификации сервер присылает на пользовательскую систему число (n-1) Пользователь применяет функцию f к секретному числу (n-1) раз и отправляет результат серверу Сервер применяет функцию f к полученному от пользователя значению и сравнивает с ранее сохраненной величиной. В случае совпадения подлинность считается установленной, сервер запоминает присланное значение и уменьшает на единицу счетчик.

№ слайда 43 Схемы аутентификации с третьей доверенной стороной В распределенных многопользов
Описание слайда:

Схемы аутентификации с третьей доверенной стороной В распределенных многопользовательских ИС использование криптографических методов при аутентификации субъектов затруднено в силу того, что каждый верификатор (сервер, хост и т.д.) должен иметь копию ключа и информацию о пользователе данного ключа. Эта проблема устраняется за счет использования специального сервера аутентификации – третьей доверенной стороны, с которой разделяют ключи шифрования каждый пользователь и каждый верификатор. Пример схемы аутентификации с третьей доверенной стороной – схема Kerberos.

№ слайда 44 Аутентификация Kerberos Схема Kerberos предназначена для решения задачи аутентиф
Описание слайда:

Аутентификация Kerberos Схема Kerberos предназначена для решения задачи аутентификации в открытой сети с использованием третьей доверенной стороны. Чтобы получить доступ к серверу S, клиент C посылает Kerberos запрос, содержащий сведения о клиенте и запрашиваемой услуге. В ответ Kerberos возвращает так называемый билет, зашифрованный секретным ключом сервера и копию части информации из билета, зашифрованного секретным ключом клиента. Клиент расшифровывает вторую порцию данных и пересылает ее вместе с билетом серверу. Сервер, расшифровав билет, сравнивает с дополнительной информацией, присланной клиентом. Совпадение будет свидетельствовать о том, что клиент смог расшифровать данные присланные ему Kerberos и тем подтверждает знание секретного ключа и свою подлинность. В схеме Kerberos сами секретные ключи не передаются по сети, они используются только в процессе шифрования.

№ слайда 45 Аутентификация Kerberos Клиент C -> Kerberos: c, s, … клиент направляет Kerberos
Описание слайда:

Аутентификация Kerberos Клиент C -> Kerberos: c, s, … клиент направляет Kerberos сведения о себе и запрашиваемом сервере Kerberos -> клиент С: {d1}Kc, {Tc.s} Ks Kerberos возвращает билет, зашифрованный ключом сервера и дополнительную информацию, зашифрованную ключом клиента Клиент C -> сервер S: d2, {Tc.s} Ks клиент направляет на сервер билет и дополнительную информацию

№ слайда 46 Аудит в информационных системах Для обеспечения защиты данных ИС используются по
Описание слайда:

Аудит в информационных системах Для обеспечения защиты данных ИС используются подходы, основанные на фиксации и анализе событий, происходящих в информационной системе. Протоколирование – сбор и накопление информации о событиях ИС (внешних, внутренних, клиентских) Аудит – анализ накопленной информации, проводимый оперативно или периодически.

№ слайда 47 Функции и назначение аудита Аудит в ИС позволяет решить следующие задачи: Обеспе
Описание слайда:

Функции и назначение аудита Аудит в ИС позволяет решить следующие задачи: Обеспечение подотчетности пользователей и администраторов ИС; Обеспечение реконструкции последовательности событий; Обнаружение попыток нарушений ИБ; Предоставление информации для выявления и анализа проблем.

№ слайда 48 Протоколирование и аудит При выполнении протоколирования рекомендуется фиксирова
Описание слайда:

Протоколирование и аудит При выполнении протоколирования рекомендуется фиксировать следующие события (согласно «Оранжевой книге»): Вход в систему Выход из системы Обращение к удаленной системе Операции с файлами Смена привилегий или иных атрибутов безопасности В базу данных фиксируемых событий записывается следующая информация: Дата и время события Уникальный идентификатор субъекта – инициатора события Результат события Источник запроса Имена объектов Описание изменений, внесенных в базу данных защиты

№ слайда 49 Активный аудит Выделяют активный аудит – выявление подозрительной активности и у
Описание слайда:

Активный аудит Выделяют активный аудит – выявление подозрительной активности и управление средствами автоматического реагирования на нее Активность противоречащую политике безопасности разделяют: Атаки, направленные на незаконное получение полномочий Действия, выполняемые в рамках полномочий, но нарушающие политику безопасности (злоупотребление полномочиями)

№ слайда 50 Активный аудит Разделяют ошибки активного аудита первого и второго рода: Ошибки
Описание слайда:

Активный аудит Разделяют ошибки активного аудита первого и второго рода: Ошибки первого рода – пропуск атак Ошибки второго рода – ложные срабатывания Методы активного аудита: Сигнатурный – на основе определения сигнатуры атаки (совокупность условий при которых считается, что атака имеет место) – велики ошибки первого рода (неумение обнаруживать неизвестные атаки) Статистический – на основе анализа выполняемых действий субъектов – велики ошибки второго рода

№ слайда 51 Понятие цифровой подписи Использование цифровой подписи в электронных документах
Описание слайда:

Понятие цифровой подписи Использование цифровой подписи в электронных документах призвано обеспечить ей ту же роль, что и обычная подпись на бумажных документах – подтверждение подлинности и актуальности передаваемых сообщений. Получатель сообщения (или третья доверенная сторона) с помощью существующего ключа может удостоверится в подлинности автора сообщений. При разработке алгоритма цифровой подписи решаются две основных задачи: механизм формирования подпись должна гарантировать невозможность подделки; должен существовать механизм проверки принадлежности подписи указанному владельцу.

№ слайда 52 Механизм формирования электронной цифровой подписи Электронная цифровая подпись
Описание слайда:

Механизм формирования электронной цифровой подписи Электронная цифровая подпись (ЭЦП) выполняет роль обычной подписи в электронных документах для подтверждения подлинности сообщений – данные присоединяются к передаваемому сообщению, подтверждая подлинность отправителя сообщения При формировании цифровой подписи по классической схеме отправитель: Применяет к исходному тексту хэш-функцию Дополняет хэш-образ до длины, требуемой в алгоритме создания ЭЦП Вычисляет ЭЦП по хэш-образу с использованием секретного ключа создания подписи Получатель, получив подписанное сообщение, отделяет цифровую подпись от основного текста и выполняет проверку: Применяет к тексту полученного сообщения хэш-функцию Дополняет хэш-образ до требуемой длины Проверяет соответствие хэш-образа сообщения полученной цифровой подписи с использованием открытого ключа проверки подписи

№ слайда 53 Законодательный уровень применения цифровой подписи 10 января 2002 года был подп
Описание слайда:

Законодательный уровень применения цифровой подписи 10 января 2002 года был подписан закон «Об электронной цифровой подписи». Статья 1. Цель и сфера применения настоящего Федерального закона 1. Целью настоящего Федерального закона является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе. 2. Действие настоящего Федерального закона распространяется на отношения, возникающие при совершении гражданско - правовых сделок и в других предусмотренных законодательством Российской Федерации случаях. Действие настоящего Федерального закона не распространяется на отношения, возникающие при использовании иных аналогов собственноручной подписи.

№ слайда 54 Основные понятия закона электронный документ - документ, в котором информация пр
Описание слайда:

Основные понятия закона электронный документ - документ, в котором информация представлена в электронно - цифровой форме; электронная цифровая подпись - реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе; владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы); средства электронной цифровой подписи - аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной; сертификат средств электронной цифровой подписи ; закрытый ключ электронной цифровой подписи; открытый ключ электронной цифровой подписи; сертификат ключа подписи; подтверждение подлинности электронной цифровой подписи в электронном документе; пользователь сертификата ключа подписи - физическое лицо, использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи; информационная система общего пользования; корпоративная информационная система.

№ слайда 55 Условия использования электронной цифровой подписи В законе определены условия р
Описание слайда:

Условия использования электронной цифровой подписи В законе определены условия равнозначности ЭЦП в электронных документах собственноручной подписи на бумажном носителе, содержание сертификата ЭЦП, сроки и порядок хранения сертификатов. Закон определяет задачи и функции удостоверяющих центров, требования к их функционированию. В законе определены особенности использования ЭЦП в сфере государственного управления, в корпоративных информационных системах.

№ слайда 56 Основные этапы разработки защищенной системы Процесс разработки защищенной инфор
Описание слайда:

Основные этапы разработки защищенной системы Процесс разработки защищенной информационной системы включает в себя следующие этапы: определение политики безопасности; проектирование модели ИС; разработка кода ИС; обеспечение гарантий соответствия реализации заданной политике безопасности.

№ слайда 57 Определение политики безопасности При разработке защищенной информационной систе
Описание слайда:

Определение политики безопасности При разработке защищенной информационной системы в соответствии с требованиями «Единых критериев безопасности информационных технологий» необходимо формирование следующих документов: Задачи защиты – потребности потребителей ИТ-продукта в противостоянии к заданному множеству угроз безопасности; Профиль защиты – специальный нормативный документ, представляющий собой совокупность задач защиты, функциональных требований, требований адекватности и их обоснование; Проект защиты – специальный нормативный документ, представляющий собой совокупность задач защиты, функциональных требований, общих спецификаций средств защиты и их обоснование.

№ слайда 58 Проектирование модели ИС При проектировании ИС можно выделить следующие методоло
Описание слайда:

Проектирование модели ИС При проектировании ИС можно выделить следующие методологии построения ИС: Иерархический метод разработки; Исследование корректности и верификации. Иерархический метод разработки на основе принципа абстракции предполагает ведение разработки двумя путями: «Снизу-вверх» - проектирование от аппаратуры к виртуальной машине; «сверху - вниз» - проектирование от виртуальной машины, представляющей ИС, с требуемыми свойствами, и последовательно разрабатываются слои виртуальной системы вплоть до аппаратуры. Структурный принцип Принцип модульного проектирования заключается в разделении программ на функционально самостоятельные части, обеспечивающие заменяемость, кодификацию и т.д.

№ слайда 59 Системы криптографической защиты информации Задача средств криптографической защ
Описание слайда:

Системы криптографической защиты информации Задача средств криптографической защиты информации — преобразование информационных объектов с помощью некоторого обратимого математического алгоритма. Процесс шифрования использует в качестве входных параметров объект – открытый текст и объект – ключ, а результат преобразования — объект – зашифрованный текст. При дешифровании выполняется обратный процесс. Криптографическому методу в ИС соответствует некоторый специальный алгоритм. При выполнении данного алгоритма используется уникальное числовое значение – ключ. Знание ключа позволяет выполнить обратное преобразование и получить открытое сообщения. Стойкость криптографической системы определяется используемыми алгоритмами и степенью секретности ключа.

№ слайда 60 Криптографические средства защиты данных Для обеспечения защиты информации в рас
Описание слайда:

Криптографические средства защиты данных Для обеспечения защиты информации в распределенных информационных системах активно применяются криптографические средства защиты информации. Сущность криптографических методов заключается в следующем: Отправитель Получатель

№ слайда 61 Использование средств криптографической защиты для предотвращения угроз ИБ Обесп
Описание слайда:

Использование средств криптографической защиты для предотвращения угроз ИБ Обеспечение конфиденциальности данных. Использование криптографических алгоритмов позволяет предотвратить утечку информации. Отсутствие ключа у «злоумышленника» не позволяет раскрыть зашифрованную информацию; Обеспечение целостности данных. Использование алгоритмов несимметричного шифрования и хэширования делает возможным создание способа контроля целостности информации. Электронная цифровая подпись. Позволяет решить задачу отказа от информации. Обеспечение аутентификации. Криптографические методы используются в различных схемах аутентификации в распределенных системах (Kerberos, S/Key и др.).

№ слайда 62 Требования к системам криптографической защиты Криптографические требования Эффе
Описание слайда:

Требования к системам криптографической защиты Криптографические требования Эффективность применения злоумышленником определяется средней долей дешифрованной информации, являющейся средним значением отношения количества дешифрованной информации к общему количеству шифрованной информации, подлежащей дешифрованию, и трудоемкостью дешифрования единицы информации, измеряемой Q числом элементарных опробований. Под элементарными опробованиями понимается операция над двумя n-разрядными двоичными числами. При реализации алгоритма дешифрования может быть использован гипотетический вычислитель, объем памяти которого не превышает M двоичных разрядов. За одно обращение к памяти может быть записано по некоторому адресу или извлечено не более n бит информации. Обращение к памяти по трудоемкости приравнивается к элементарному опробованию. За единицу информации принимается общий объем информации обработанной на одном средстве криптографической защиты в течении единицы времени. Атака злоумышленника является успешной, если объем полученной открытой информации больше некоторого заданного объема V.

№ слайда 63 Требования к системам криптографической защиты Требования надежности. Средства з
Описание слайда:

Требования к системам криптографической защиты Требования надежности. Средства защиты должны обеспечивать заданный уровень надежности применяемых криптографических преобразований информации, определяемый значением допустимой вероятности неисправностей или сбоев, приводящих к получению злоумышленником дополнительной информации о криптографических преобразованиях. Ремонт и сервисное обслуживание средств криптографической защиты не должно приводить к ухудшению свойств средств в части параметров надежности.

№ слайда 64 Требования к системам криптографической защиты Требование по защите от несанкцио
Описание слайда:

Требования к системам криптографической защиты Требование по защите от несанкционированного доступа для средств криптографической информации в составе информационных систем. В автоматизированных информационных системах, для которых реализованы программные или аппаратные средства криптографических защиты информации, при хранении и обработке информации должны быть предусмотрены следующие основные механизмы защиты: идентификация и аутентификация пользователей и субъектов доступа; управление доступом; обеспечения целостности; регистрация и учет.

№ слайда 65 Требования к системам криптографической защиты Требование по защите от несанкцио
Описание слайда:

Требования к системам криптографической защиты Требование по защите от несанкционированного доступа для средств криптографической информации в составе информационных систем. В автоматизированных информационных системах, для которых реализованы программные или аппаратные средства криптографических защиты информации, при хранении и обработке информации должны быть предусмотрены следующие основные механизмы защиты: идентификация и аутентификация пользователей и субъектов доступа; управление доступом; обеспечения целостности; регистрация и учет.

№ слайда 66 Требования к системам криптографической защиты Требования к средствам разработки
Описание слайда:

Требования к системам криптографической защиты Требования к средствам разработки, изготовления и изготовления и функционирования средств криптографической защиты информации. Аппаратные и программные средства, на которых ведется разработка систем криптографической защиты информации, не должны содержать явных или скрытых функциональных возможностей, позволяющих: модифицировать или изменять алгоритм работы средств защиты информации в процессе их разработки, изготовления и эксплуатации; модифицировать или изменять информационные или управляющие потоки, связанные с функционированием средств; осуществлять доступ посторонних лиц к ключам идентификационной и аутентификационной информации; получать доступ к конфиденциальной информации средств криптографической защиты информации.

Скачать эту презентацию


Презентации по предмету
Презентации из категории
Лучшее на fresher.ru