Для обеспечения защиты от сетевых атак наиболее широко используемым и эффективным является установка :

1. Комплексных систем защиты класса ЗАСТАВА , обеспечивающих защиту корпоративных информационных систем на сетевом уровне с помощью технологий виртуальных частных сетей (Virtual Private Networks - VPN) и распределенного межсетевого экранирования (МЭ, FW).

2. Широкополосный аппаратный IP-шифратор класса "Заслон" - это отечественный магистральный широкополосный аппаратный IP-шифратор, предназначенный для криптографической защиты информации в современных телекоммуникационных системах.

3. Средств комплексной защиты информации - СЗИ ОТ НСД Secret Net 7 .

Рассмотрим данные продукты более подробно.

Продукты ЗАСТАВА работают на различных аппаратных платформах, под управлением многих популярных операционных систем. Они используются как в крупных, территориально распределенных системах, где одновременно работают тысячи агентов ЗАСТАВА, так и в системах малого и среднего бизнеса, где необходима защита всего для нескольких компьютеров. Программный комплекс "VPN/FW "ЗАСТАВА", версия 5.3, обеспечивает защиту корпоративных информационно-вычислительных ресурсов на сетевом уровне с помощью технологий виртуальных частных сетей (Virtual Private Networks - VPN) и распределенного межсетевого экранирования (МЭ).

ЗАСТАВА 5.3 обеспечивает:

· защиту отдельных компьютеров, в том числе мобильных, от атак из сетей общего пользования и Интернет;

· защиту корпоративной информационной системы или ее частей от внешних атак;

Сертифицированная ФСБ РФ версия продукта предоставляет заказчикам готовое решение, позволяющее органично интегрировать продукт в любые информационные системы без необходимости получения дополнительных заключений о правильности встраивания и обеспечивающее полную легитимность его использования для защиты конфиденциальной информации, включая персональные данные. Срок действия сертификатов с 30 марта 2011 г. по 30 марта 2014 г.

Шифратор Заслон - это полностью аппаратное решение. Все криптографические функции и сетевое взаимодействие реализованы в нём схемотехническими, а не программными методами. Выбор аппаратной реализации, в отличие от распространенных устройств (криптомаршрутизаторов), базирующихся на ПЭВМ общего назначения, обусловлен необходимостью преодоления ограничений архитектуры таких ЭВМ. Это, в первую очередь, ограничения общей шины, к которой подключаются сетевые интерфейсные карты. Несмотря на высокую скорость работы современных шин PCI и PCI-X, особенности работы сетевых шифраторов (коррелированные во времени прием и передача пакета со сдвигом на время зашифрования/расшифрования) не позволяют использовать всю их пропускную способность.

В общем, если требуется объединить локальные вычислительные сети незащищенными каналами связи, не опасаясь нарушения конфиденциальности данных при передаче и не тратя значительных усилий на обеспечение совместимости приложений при работе по шифрованным каналам. Заслон выполнен в виде "прозрачного" с точки зрения сети устройства. По этой причине в большинстве случаев достаточно только сконфигурировать шифратор и включить его "в разрыв" соединения защищаемой локальной сети с внешним каналом связи.

СЗИ ОТ НСД Secret Net 7 предназначена для предотвращения несанкционированного доступа к рабочим станциям и серверам, работающим в гетерогенных локальных вычислительных сетях . Система дополняет своими защитными механизмами стандартные защитные средства операционных систем и тем самым повышает защищенность всей автоматизированной информационной системы предприятия в целом, обеспечивая решение следующих задач:

v управление правами доступа и контроль доступа субъектов к защищаемым информационным, программным и аппаратным ресурсам;

v управление доступом к конфиденциальной информации, основанное на категориях конфиденциальности;

v шифрование файлов, хранящихся на дисках;

v контроль целостности данных;

v контроль аппаратной конфигурации;

v дискреционное управление доступом к устройствам компьютера;

v регистрация и учет событий, связанных с информационной безопасностью;

v мониторинг состояния автоматизированной информационной системы;

v ролевое разделение полномочий пользователей;

v аудит действий пользователей (в том числе администраторов и аудиторов);

v временная блокировка работы компьютеров;

v затирание остаточной информации на локальных дисках компьютера.

Система Secret Net 7 состоит из трех функциональных частей:

· защитные механизмы, которые устанавливаются на все защищаемые компьютеры автоматизированной системы (АС) и представляют собой набор дополнительных защитных средств, расширяющих средства безопасности ОС Windows.

· средства управления защитными механизмами, которые обеспечивают централизованное и локальное управление системой.

· средства оперативного управления, которые выполняют оперативный контроль (мониторинг, управление) рабочими станциями, а также централизованный сбор, хранение и архивирование системных журналов.

Secret Net 7 состоит из трёх компонентов:

1. СЗИ Secret Net 7 - Клиент. Устанавливается на все защищаемые компьютеры. В состав этого ПО входят следующие компоненты:

· Защитные механизмы - совокупность настраиваемых программных и аппаратных средств, обеспечивающих защиту информационных ресурсов компьютера от несанкционированного доступа, злонамеренного или непреднамеренного воздействия.

· Модуль применения групповых политик.

· Агент сервера безопасности.

· Средства локального управления - это штатные возможности операционной системы, дополненные средствами Secret Net 7 для управления работой компьютера и его пользователей, а также для настройки защитных механизмов.

2. СЗИ Secret 7 - Сервер безопасности. Включает в себя:

· Собственно сервер безопасности.

· Средства работы с базой данных (БД).

3. СЗИ Secret Net 7 - Средства управления. Включает в себя:

· Программу "Монитор". Эта программа устанавливается на рабочем месте администратора оперативного управления - сотрудника, уполномоченного контролировать и оперативно корректировать состояние защищаемых компьютеров в режиме реального времени.

В фирме требуется внедрение аналогичных технологий.

Программно-технические меры, направленные на контроль компьютерного оборудования, программ и хранящихся данных, образуют последний, но не менее важный рубеж информационной безопасности. На этом уровне становятся очевидными не только позитивные, но и негативные последствия быстрого прогресса информационных технологий. Во-первых, дополнительные возможности появляются не только у специалистов по ИБ, но и у злоумышленников. Во-вторых, информационные системы все время модернизируются, перестраиваются, к ним добавляются недостаточно проверенные компоненты (в первую очередь программные), что затрудняет соблюдение режима безопасности.

Центральным для программно-технического уровня является понятие сервиса безопасности. В число таких сервисов для учреждений и компаний государственного сектора входят:

• идентификация и аутентификация;
• управление доступом;
• протоколирование и аудит;
• шифрование;
• контроль целостности;
• экранирование;
• анализ защищенности;
• обеспечение отказоустойчивости;
• обеспечение безопасного восстановления;
• туннелирование;
• управление.

В настоящее время повышение уровня информационной безопасности госпредприятий может достигаться путем внедрения современных технологий защиты, отличающихся все большей функциональностью, универсальностью и возможностью портирования на любые платформы. В области технической защиты информационных ресурсов можно выделить три основных направления, по которым действуют российские госпредприятия:

• защита внутренней сети;
• защита выхода в Интернет и международного информационного обмена;
• защита взаимодействия с удаленными подразделениями.

При этом мы помним, что в госструктурах и государственных организациях используются только сертифицированные во ФСТЭК или ФСБ РФ средства обеспечения информационной безопасности. Для защиты внутренних ресурсов большинство федеральных и региональных органов государственной власти применяют встроенные в операционные системы механизмы аутентификации и авторизации пользователей. Некоторые ведомства имеют специальные сертифицированные системы защиты от несанкционированного доступа и электронные замки, такие как «Лабиринт-М», «Аккорд», SecretNet. В качестве средств шифрования, как правило, устанавливаются секретные ключи защиты информации «КриптоПро» или давно известные и до сих пор популярные системы семейства «Верба».

Для защиты рабочих станций и серверов внутренней сети от вредоносных программ (вирусов, червей, троянских коней) абсолютное большинство государственных организаций использует антивирусное программное обеспечение. Чаще всего это российские «Антивирус Касперского» или Dr.Web. Однако встречаются и решения Trend Micro, Symantec, McAfee, Eset.

Деление сети на сегменты с разными требованиями по информационной безопасности осуществляется при помощи механизмов фильтрации MAC- и IP-адресов на активном сетевом оборудовании и механизмов VLAN. Очень редко применяются системы контроля политики безопасности, которые сравнивают текущие настройки защитных механизмов и подсистем с эталонными значениями (Cisco, «Урядник»).

С целью защиты периметра сети госучреждения обычно используют различные сертифицированные межсетевые экраны. В основном это решения Cisco, Aladdin и Check Point. Но встречаются и продукты других производителей, в частности, Novell Border Manager, Microsoft ISA Server, ССПТ-1 и ССПТ-1М от ЦНИИ РТК, «Застава» от «Элвис-Плюс».

Системы обнаружения и предотвращения атак (так называемые HIPS) пока внедрены в очень немногих государственных организациях. Обычно здесь встречаются решения Symantec, S.N. Safe’n’Software и Cisco. В федеральных органах государственной власти защиту от спама и злоупотреблений в Интернете обеспечивают различные системы мониторинга электронной почты и веб-трафика, например eSafe Gateway, MAILsweeper, WEBsweeper и Websense.

В каналах связи с удаленными подразделениями применяются только российские системы криптографической защиты информации и VPN - «Застава», VipNet или «Континент».

11. Нормативно-правовая база организационной защиты. Источники права в области информационной безопасности. Типы нормативных документов. Примеры отечественных и зарубежных законодательных документов.

В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:

· Акты федерального законодательства:

· Международные договоры РФ;

· Конституция РФ;

· Законы федерального уровня (включая федеральные конституционные законы, кодексы);

· Указы Президента РФ;

· Постановления правительства РФ;

· Нормативные правовые акты федеральных министерств и ведомств;

· Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.

К нормативно-методическим документам можно отнести

1. Методические документы государственных органов России:

· Доктрина информационной безопасности РФ;

· Руководящие документы ФСТЭК (Гостехкомиссии России);

· Приказы ФСБ;

2. Стандарты информационной безопасности, из которых выделяют:

· Международные стандарты;

· Государственные (национальные) стандарты РФ;

· Методические указания.

Типы нормативных документов:

· Нормативные правовые акты: Законы РФ (О безопасности), Федеральные законы (О персональных данных, Об информации и информационных технологиях, Об электронно цифровой подписи), Указ Президента РФ (Об утверждении перечня сведений конфиденциального характера), Постановление правительства (О сертификации средств защиты информации, О лицензировании);

· Нормативно-методические и методические документы: Доктрина, Приказы ФСТЭК, Положения о сертификации средств защиты по требованиям безопасности, Положение по аттестации объектов, Типовые положения, Руководящие документы, Методики (оценки защищенности), Нормативно-методический документ;

· Стандарты: ГОСТ, РД, СанПин (Гигиенические требования к видеодисплейным терминалам), СНиП (защита от шума).

Пример иностранных законодательных документов:

Соединённые Штаты Америки

По состоянию на сегодняшний день США - юрисдикция с наибольшим количеством документов в Системе (более 12 000 документов).

В базу входят документы из двух основных американских федеральных правовых источников: Свода законов США (US Code, USC) и Кодекса федерального регулирования (Code of Federal Regulations, CFR). Первый представляет собой систематизированный свод федерального статутного законодательства и состоит из 52 разделов, посвященных регулированию тех или иных правовых отраслей или институтов.

В Систему включены три раздела Свода законов США: Раздел 26 - Налоговый кодекс США (US Internal Revenue Code), Раздел 12 - Банки и банковская деятельность (Banks and Banking) и Раздел 15 - Коммерция и торговля (Commerce and Trade), включающий законодательные акты, регулирующие деятельность на рынке ценных бумаг. Свод законов переиздаётся Конгрессом каждые 6 лет и публикуется Службой Свода законов (US Code Service). В отличие от большинства общедоступных источников, в системе WBL приведен не только текст данных документов, но и история всех вносимых в них поправок, а также примечания и наиболее значимые судебные прецеденты в данной области.

В Систему также включены подзаконные акты, изданные федеральными органами исполнительной власти и включенные в Кодекс федерального регулирования Они публикуются Федеральном реестре (Federal Register) - органе Национального управления по делам архивов.

12. Разработка политики безопасности. Основные положения информационной безопасности. Область применения. Цели и задачи обеспечения информационной безопасности. Распределение ролей и ответственности. Общие обязанности.

Разработка.

Вначале необходимо провести аудит информационных процессов фирмы, выявить критически важную информацию, которую необходимо защищать. Аудит информационных процессов должен заканчиваться определением перечня конфиденциальной информации предприятия, участков, где эта информация обращается, допущенных к ней лиц, а также последствий утраты (искажения) этой информации. После реализации этого этапа становится ясно, что защищать, где защищать и от кого: ведь в подавляющем большинстве инцидентов в качестве нарушителей будут выступать - вольно или невольно - сами сотрудники фирмы. И с этим ничего нельзя поделать: придется принять как данность. Различным угрозам безопасности можно присвоить значение вероятности их реализации. Умножив вероятность реализации угрозы на причиняемый этой реализацией ущерб, получим риск угрозы. После этого следует приступать к разработке политики безопасности.

Политика безопасности - документ «верхнего» уровня, в котором должны быть указаны:

· лица, ответственные за безопасность функционирования фирмы;

· полномочия и ответственность отделов и служб в отношении безопасности;

· организация допуска новых сотрудников и их увольнения;

· правила разграничения доступа сотрудников к информационным ресурсам;

· организация пропускного режима, регистрации сотрудников и посетителей;

· использование программно-технических средств защиты;

· другие требования общего характера.

Затраты на обеспечение безопасности информации должны быть не больше, чем величина потенциального ущерба от ее утраты. Анализ рисков, проведенный на этапе аудита, позволяет ранжировать их по величине и защищать в первую очередь не только наиболее уязвимые, но и обрабатывающие наиболее ценную информацию участки. Стандарт ISO 17799 позволяет получить количественную оценку комплексной безопасности:

Разработка политики безопасности предполагает осуществление ряда предварительных шагов:

· оценку личного (субъективного) отношения к рискам предприятия его собственников и менеджеров, ответственных за функционирование и результативность работы предприятия в целом или отдельные направления его деятельности;

· анализ потенциально уязвимых информационных объектов;

· выявление угроз для значимых информационных объектов (сведений, информационных систем, процессов обработки информации) и оценку соответствующих рисков.

При разработке политик безопасности всех уровней необходимо придерживаться следующих основных правил:

· Политики безопасности на более низких уровнях должны полностью подчиняться соответствующей политике верхнего уровня, а также действующему законодательству и требованиям государственных органов.

· Текст политики безопасности должен содержать только четкие и однозначные формулировки, не допускающие двойного толкования.

· Текст политики безопасности должен быть доступен для понимания тех сотрудников, которым он адресован.

Общий жизненный цикл политики информационной безопасности включает в себя ряд основных шагов.

· Проведение предварительного исследования состояния информационной безопасности.

· Собственно разработку политики безопасности.

· Внедрение разработанных политик безопасности.

· Анализ соблюдения требований внедренной политики безопасности и формулирование требований по ее дальнейшему совершенствованию (возврат к первому этапу, на новый цикл совершенствования).

Политика безопасности организации (англ. organizational security policies ) - совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.

В общем случае такой набор правил представляет собой некий функционал программного продукта, который необходим для его использования в конкретной организации. Если подходить к политике безопасности более формально, то она есть набор неких требований к функционалу системы защиты, закрепленных в ведомственных документах.

Политика безопасности зависит:

• от конкретной технологии обработки информации;
• от используемых технических и программных средств;
• от расположения организации;

Защиту большой информационной системы невозможно решить без грамотно разработанной документации по информационной безопасности - Политики безопасности помогает

· убедиться в том, что ничто важное не упущено из виду;

· установить четкие правила обеспечения безопасности.

Только всесторонняя и экономически целесообразная система защиты будет эффективной, а сама информационная система в этом случае - защищенной.

В документе политики безопасности следует описать цели и задачи информационной безопасности, а также ценные активы компании, которые требуют защиты. Целями обеспечения информационной безопасности , как правило, является обеспечение конфиденциальности, целостности и доступности информационных активов, а также обеспечение непрерывности ведения бизнеса компании.

Задачами обеспечения информационной безопасности являются все действия, которые необходимо выполнить для достижения поставленных целей. В частности, необходимо решать такие задачи, как анализ и управление информационными рисками, расследование инцидентов информационной безопасности, разработка и внедрение планов непрерывности ведения бизнеса, повышение квалификации сотрудников компании в области информационной безопасности и пр.

3) Требование безопасности повторного использования объектов противоречит:
инкапсуляции +
наследованию
полиморфизму

4) Предположим, что при разграничении доступа учитывается семантика программ. В таком случае на игровую программу могут быть наложены следующие ограничения:
запрет на чтение каких-либо файлов, кроме конфигурационных
запрет на изменение каких-либо файлов, кроме конфигурационных +
запрет на установление сетевых соединений

5)Необходимость объектно-ориентированного подхода к информационной безопасности является следствием того, что:
это простой способ придать информационной безопасности научный вид
объектно-ориентированный подход - универсальное средство борьбы со сложностью современных информационных систем +
в информационной безопасности с самого начала фигурируют понятия объекта и субъекта

6)В число граней, позволяющих структурировать средства достижения информационной безопасности, входят:
меры обеспечения целостности
административные меры +
меры административного воздействия

2Контейнеры в компонентных объектных средах предоставляют:
общий контекст взаимодействия с другими компонентами и с окружением +
средства для сохранения компонентов
механизмы транспортировки компонентов

Дублирование сообщений является угрозой:
доступности
конфиденциальности
целостности +

Melissa подвергает атаке на доступность:
системы электронной коммерции
геоинформационные системы
системы электронной почты +

Выберите вредоносную программу, которая открыла новый этап в развитии данной области:
Melissa +
Bubble Boy
ILOVEYOU

Самыми опасными источниками внутренних угроз являются:
некомпетентные руководители +
обиженные сотрудники
любопытные администраторы

5. Среди нижеперечисленных выделите главную причину существования многочисленных угроз информационной безопасности:
просчеты при администрировании информационных систем
необходимость постоянной модификации информационных систем
сложность современных информационных систем +

Агрессивное потребление ресурсов является угрозой: доступности конфиденциальности целостности

Melissa - это:
бомба
вирус +
червь

Для внедрения бомб чаще всего используются ошибки типа:
отсутствие проверок кодов возврата
переполнение буфера +
нарушение целостности транзакций

Окно опасности появляется, когда:
становится известно о средствах использования уязвимости
появляется возможность использовать уязвимость +
устанавливается новое П

Среди нижеперечисленного выделите троянские программы:
ILOVEYOU
Back Orifice +
Netbus +

1. Уголовный кодекс РФ не предусматривает наказания за:
создание, использование и распространение вредоносных программ
ведение личной корреспонденции на производственной технической базе +
нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети

В законопроекте "О совершенствовании информационной безопасности" (США, 2001 год) особое внимание обращено на: смягчение ограничений на экспорт криптосредств
разработку средств электронной аутентификации +
создание инфраструктуры с открытыми ключами

4. Под определение средств защиты информации, данное в Законе "О государственной тайне", подпадают:
средства выявления злоумышленной активности
средства обеспечения отказоустойчивости
средства контроля эффективности защиты информации +

1. Уровень безопасности B, согласно "Оранжевой книге", характеризуется:
принудительным управлением доступом +
верифицируемой безопасностью

3. В число классов требований доверия безопасности "Общих критериев" входят:
разработка +
оценка профиля защиты +
сертификация

4. Согласно "Оранжевой книге", политика безопасности включает в себя следующие элементы:
периметр безопасности
метки безопасности +
сертификаты безопасности

1. Уровень безопасности A, согласно "Оранжевой книге", характеризуется:
произвольным управлением доступом
принудительным управлением доступом
верифицируемой безопасностью +

решение сформировать или пересмотреть комплексную программу безопасности +

обеспечение конфиденциальности почтовых сообщений

4. В число целей программы безопасности верхнего уровня входят:
управление рисками +
определение ответственных за информационные сервисы
определение мер наказания за нарушения политики безопасности

5. В рамках программы безопасности нижнего уровня осуществляются:
стратегическое планирование
повседневное администрирование +
отслеживание слабых мест защиты +

"1. Политика безопасности строится на основе:
общих представлений об ИС организации
изучения политик родственных организаций
анализа рисков +

2. В число целей политики безопасности верхнего уровня входят:
формулировка административных решений по важнейшим аспектам реализации программы безопасности +
выбор методов аутентификации пользователей
обеспечение базы для соблюдения законов и правил +

1. Риск является функцией:

1. Риск является функцией: размера возможного ущерба числа уязвимостей в системе уставного капитала организации

3. В число этапов управления рисками входят: идентификация активов+ ликвидация пассивов выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это: идентификация угроз+ аутентификация угроз ликвидация угроз

Определение ответственных за анализ рисков измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности: определение ответственных за анализ рисков- измерение рисков выбор эффективных защитных средств

6. Оценка рисков позволяет ответить на следующие вопросы: чем рискует организация, используя информационную систему? чем рискуют пользователи информационной системы? чем рискуют системные администраторы?-

1. В число классов мер процедурного уровня входят: поддержание работоспособности+ поддержание физической формы физическая защита+

2. В число принципов управления персоналом входят: минимизация привилегий+ минимизация зарплаты максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят: выявление критически важных функций организации+ определение перечня возможных аварий+ проведение тестовых аварий

5. В число направлений повседневной деятельности на процедурном уровне входят: ситуационное управление конфигурационное управление оптимальное управление-

1. Протоколирование и аудит могут использоваться для: предупреждения нарушений ИБ+ обнаружения нарушений+ восстановления режима ИБ

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС: низкая пропускная способность большинства коммуникационных каналов сложность администрирования пользовательских компьютеров отсутствие достаточного набора криптографических аппаратно-программных продуктов

Применение наиболее передовых технических решений применение простых, апробированных решений+ сочетание простых и сложных защитных средств

Выработка и проведение в жизнь единой политики безопасности+ унификация аппаратно-программных платформ минимизация числа используемых приложений

1. Экранирование может использоваться для: предупреждения нарушений ИБ обнаружения нарушений локализации последствий нарушений

3. В число основных принципов архитектурной безопасности входят: следование признанным стандартам применение нестандартных решений, не известных злоумышленникам- разнообразие защитных средств

3. В число основных принципов архитектурной безопасности входят: усиление самого слабого звена+ укрепление наиболее вероятного объекта атаки эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: использование собственных линий связи обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ полный анализ сетевого трафика

Управление доступом+ управление информационными системами и их компонентами управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации разделение статических и динамических данных формирование составных сервисов по содержательному принципу +

1. Контроль целостности может использоваться для: предупреждения нарушений ИБ обнаружения нарушений+ локализации последствий нарушений

4. В число универсальных сервисов безопасности входят: средства построения виртуальных локальных сетей экранирование + протоколирование и аудит+

Кардиограмма субъекта+ номер карточки пенсионного страхования результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от: перехвата воспроизведения+ атак на доступность+

Роль+ исполнитель роли пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе: шифрование не применяется- применяется симметричное шифрование применяется асимметричное+ шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда учитывается иногда не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться: год рождения субъекта фамилия субъекта секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода: инкапсуляция наследование+ полиморфизм

4. Сервер аутентификации Kerberos: не защищает от атак на доступность+ частично защищает от атак на доступность- полностью защищает от атак на доступность

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде правила разграничения доступа задаются в виде: матрицы субъекты/объекты - предикатов над объектами списков доступа к методам объектов

3. В число основных понятий ролевого управления доступом входит: объект+ субъект метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов методам объектов (с учетом значений фактических параметров вызова) классам объектов

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов+ методам объектов (с учетом значений фактических параметров вызова)+ классам объектов

Протоколирование и аудит, шифрование, контроль целостности:

Сигнатурный метод выявления атак хорош тем, что он: поднимает мало ложных тревог+ способен обнаруживать неизвестные атаки прост в настройке и эксплуатации+

3. Цифровой сертификат содержит: открытый ключ пользователя+ секретный ключ пользователя имя пользователя+

4. Реализация протоколирования и аудита преследует следующие главные цели: обнаружение попыток нарушений информационной безопасности+ недопущение попыток нарушений информационной безопасности недопущение атак на доступность

2. Пороговый метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки- прост в настройке и эксплуатации+

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем

2. Статистический метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки+ прост в настройке и эксплуатации-

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем+

5. Криптография необходима для реализации следующих сервисов безопасности: контроль защищенности контроль целостности+ контроль доступа

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение возможности воспроизведения последовательности событий обеспечение возможности реконструкции последовательности событий+ недопущение попыток воспроизведения последовательности событий

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация, как правило, имеет низкоуровневый характер, а неотказуемость относится к действиям прикладного уровня регистрационная информация имеет специфический формат, непонятный человеку регистрационная информация имеет слишком большой объем+

5. Криптография необходима для реализации следующих сервисов безопасности: идентификация экранирование аутентификация+

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация может быть рассредоточена по разным сервисам и разным компонентам распределенной ИС+ целостность регистрационной информации может быть нарушена должна соблюдаться конфиденциальность регистрационной информации, а проверка неотказуемости нарушит конфиденциальность

Идентификация и аутентификация, управление доступом

1. В качестве аутентификатора в сетевой среде могут использоваться:
кардиограмма субъекта+
номер карточки пенсионного страхования
результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от:
перехвата
воспроизведения+
атак на доступность+

3. В число основных понятий ролевого управления доступом входит:
роль+
исполнитель роли
пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе:
шифрование не применяется-
применяется симметричное шифрование
применяется асимметричное шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда
учитывается иногда
не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться:
год рождения субъекта
фамилия субъекта
секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода:
инкапсуляция
наследование+
полиморфизм

4. Сервер аутентификации Kerberos:
не защищает от атак на доступность+
частично защищает от атак на доступность
полностью защищает от атак на доступность

3. В число основных понятий ролевого управления доступом входит:
объект+
субъект
метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к:
интерфейсам объектов +
методам объектов (с учетом значений фактических параметров вызова) +
классам объектов

Основные программно-технические меры:

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС:
низкая пропускная способность большинства коммуникационных каналов +
сложность администрирования пользовательских компьютеров
отсутствие достаточного набора криптографических аппаратно-программных продуктов+

3. В число основных принципов архитектурной безопасности входят:
применение наиболее передовых технических решений
применение простых, апробированных решений+
сочетание простых и сложных защитных средств

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
выработка и проведение в жизнь единой политики безопасности+
унификация аппаратно-программных платформ
минимизация числа используемых приложений

3. В число основных принципов архитектурной безопасности входят:
следование признанным стандартам +
применение нестандартных решений, не известных злоумышленникам-
разнообразие защитных средств+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации- разделение статических и динамических данных формирование составных сервисов по содержательному принципу+

3. В число основных принципов архитектурной безопасности входят:
усиление самого слабого звена+
укрепление наиболее вероятного объекта атаки
эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
использование собственных линий связи
обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ п
олный анализ сетевого трафика

4. В число универсальных сервисов безопасности входят:
управление доступом+
управление информационными системами и их компонентами
управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
шифрование всей информации
разделение статических и динамических данных
формирование составных сервисов по содержательному принципу +

4. В число универсальных сервисов безопасности входят:
средства построения виртуальных локальных сетей
экранирование + протоколирование и аудит+

Процедурный уровень информационной безопасности

1. В число классов мер процедурного уровня входят:
поддержание работоспособности+
поддержание физической формы
физическая защита+

2. В число принципов управления персоналом входят:
минимизация привилегий+ минимизация зарплаты
максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят:
выявление критически важных функций организации+
определение перечня возможных аварий+ проведение тестовых аварий

4. В число направлений физической защиты входят:
физическая защита пользователей-
защита поддерживающей инфраструктуры+
защита от перехвата данных+

5. В число направлений повседневной деятельности на процедурном уровне входят:
ситуационное управление
конфигурационное управление
оптимальное управление-

Управление рисками

1. Риск является функцией:
размера возможного ущерба +
числа уязвимостей в системе
уставного капитала организации

3. В число этапов управления рисками входят:
идентификация активов+
ликвидация пассивов
выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это:
идентификация угроз+
аутентификация угроз
ликвидация угроз

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков
измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков-
измерение рисков +
выбор эффективных защитных средств+

6. Оценка рисков позволяет ответить на следующие вопросы:
чем рискует организация, используя информационную систему? +
чем рискуют пользователи информационной системы? +
чем рискуют системные администраторы?-

Основные программно-технические меры безопасности информации 1

Источник 1

1. Основные понятия программно-технического уровня информационной безопасности 1

2. Особенности современных информационных систем, существенные с точки зрения безопасности 4

3. Архитектурная безопасность 6

(3.1) принципы архитектурной безопасности: 7

(3.2) Для обеспечения высокой доступности (непрерывности функционирования) 8

Литература 9

Источник

Основы информационной безопасности. В.А. Галатенко. Основные программно-технические меры [http://www.intuit.ru/department/security/secbasics/class/free/9/ ]

1. Основные понятия программно-технического уровня информационной безопасности

Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности.Напомним, чтоущерб наносят в основном действия легальных пользователей, по отношению к которым процедурные регуляторы малоэффективны. Главные враги -некомпетентностьинеаккуратностьпривыполнении служебных обязанностей, итолько программно-технические меры способны им противостоять.

Компьютеры помогли автоматизировать многие области человеческой деятельности. Вполне естественным представляется желание возложить на них иобеспечение собственной безопасности.Дажефизическую защиту все чаще поручают не охранникам, а интегрированным компьютерным системам,что позволяет одновременноотслеживать перемещения сотрудников и по организации, и по информационному пространству.

Это вторая причина, объясняющая важность программно-технических мер.

Следует, однако, учитывать, что быстроеразвитие информационных технологийне толькопредоставляет обороняющимся новые возможности, но и объективнозатрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня.Причинтому несколько:

повышениебыстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяетметодом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналоврасширяют круг злоумышленников, имеющих техническую возможность организовывать атаки;

появление новых информационных сервисов ведет и к образованиюновых уязвимых мест как "внутри" сервисов, так ина их стыках;

конкуренция среди производителей программного обеспечениязаставляет сокращать сроки разработки, что приводит кснижению качества тестированияи выпуску продуктовс дефектами защиты;

навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспеченияне позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Перечисленные соображения лишний раз подчеркиваютважность комплексного подхода к информационной безопасности, а также необходимостьгибкой позиции при выборе и сопровождении программно-технических регуляторов.

Центральным для программно-технического уровня являетсяпонятиесервиса безопасности.

Следуя объектно-ориентированному подходу, при рассмотренииинформационной системыс единичным уровнем детализации мы увидимсовокупностьпредоставляемых еюинформационных сервисов. Назовем ихосновными. Чтобы они могли функционировать и обладали требуемыми свойствами,необходимонесколько уровнейдополнительных(вспомогательных)сервисов- отСУБД и мониторов транзакций до ядра операционной системы и оборудования.

К вспомогательным относятся сервисы безопасности (мы уже сталкивались с ними при рассмотрении стандартов и спецификаций в области ИБ); среди них нас в первую очередь будут интересоватьуниверсальные,высокоуровневые, допускающиеиспользование различными основными и вспомогательными сервисами. Далее мы рассмотрим следующиесервисы:

идентификация и аутентификация;

управление доступом;

протоколирование и аудит;

шифрование;

контроль целостности;

экранирование;

анализ защищенности;

обеспечение отказоустойчивости;

обеспечение безопасного восстановления;

туннелирование;

управление.

Будут описанытребования к сервисам безопасности, их функциональность, возможные методы реализации и место в общей архитектуре.

Еслисопоставить приведенный перечень сервисов с классами функциональных требований "Общих критериев", то бросается в глаза их существенное несовпадение. Мы не будем рассматривать вопросы, связанные с приватностью, по следующей причине. На наш взгляд, сервис безопасности, хотя бы частично, должен находиться в распоряжении того, кого он защищает. В случае же с приватностью это не так: критически важные компоненты сосредоточены не на клиентской, а на серверной стороне, так что приватность по существу оказывается свойством предлагаемой информационной услуги (в простейшем случае приватность достигается путем сохранения конфиденциальности серверной регистрационной информации и защитой от перехвата данных, для чего достаточно перечисленных сервисов безопасности).

С другой стороны, нашперечень шире, чем в "Общих критериях", посколькув него входят экранирование, анализ защищенности и туннелирование.Этисервисыимеют важное значение сами по себе и, кроме того,могут комбинироваться с другими сервисами для получениятакихнеобходимых защитных средств, как, например, виртуальные частные сети.

[Галатенко Лек5 Стандарты и спецификации]"Общие критерии" на самом деле являются метастандартом, определяющим инструменты оценки безопасности ИС и порядок их использования. В отличие от "Оранжевой книги", ОК не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности , существующих для конкретной организации и/или конкретной информационной системы.

Совокупностьперечисленных вышесервисов безопасностимы будем называтьполным набором. Считается, что его, в принципе, достаточно для построения надежной защиты на программно-техническом уровне, правда,при соблюдении целого ряда дополнительных условий (отсутствие уязвимых мест, безопасное администрирование и т.д.).

Для проведенияклассификации сервисов безопасности и определения их места в общей архитектуремеры безопасностиможно разделить наследующие виды:

превентивные, препятствующие нарушениям ИБ;

меры обнаружения нарушений;

локализующие, сужающие зону воздействия нарушений;

меры по выявлению нарушителя;

меры восстановления режима безопасности.

Большинство сервисовбезопасности попадаетв число превентивных, и это, безусловно, правильно.Аудит и контроль целостности способны помочь в обнаружении нарушений;активный аудит,кроме того, позволяет запрограммировать реакцию на нарушение с целью локализации и/или прослеживания. Направленность сервисов отказоустойчивости и безопасного восстановления очевидна. Наконец, управление играет инфраструктурную роль, обслуживая все аспекты ИС.

Классификацию мер защиты можно представить в виде трех Уровней.

Законодательный уровень. В Уголовном кодексе РФ имеется глава 28. Преступления в сфере компьютерной информации. Она содержит три следующих статьи:

статья 272. Неправомерный доступ к компьютерной информа­ции;

статья 273. Создание, использование и распространение вредо­носных программ для ЭВМ;

статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Административный и процедурный уровни. На административ­ном и процедурном уровнях формируются политика безопаснос­ти и комплекс процедур, определяющих действия персонала в штатных и критических ситуациях. Этот уровень зафиксирован в руководящих документах, выпущенных Гостехкомиссией РФ и ФАПСИ.

Программно-технический уровень. К этому уровню относятся программные и аппаратные средства, которые составляют техни­ку информационной безопасности. К ним относятся и идентифи­кация пользователей, и управление доступом, и криптография, и экранирование, и многое другое.

И если законодательный и административный уровни защиты не зависят от конкретного пользователя компьютерной техники, то программно-технический уровень защиты информации каждый пользователь может и должен организовать на своем компьютере.

1.3. Программно-технический уровень защиты

Не будем рассматривать существующие сложные программно-аппаратные криптографические комплексы, ограничивающие до­ступ к информации за счет шифров, а также программы тайнопи­си, которые могут «растворять» конфиденциальные материалы в объемных графических и звуковых файлах. Использование таких программ может быть оправдано лишь в исключительных случаях.

Обычный пользователь, такой как мы с вами, как правило, не является профессиональным шифровальщиком или программис­том, поэтому нас интересуют «подручные» средства защиты ин­формации. Рассмотрим средства защиты информации и попробу­ем оценить их надежность. Ведь знание слабых мест защиты может уберечь нас от многих неприятностей.

Первое, что обычно делает пользователь персонального ком­пьютера - ставит два пароля: один пароль в настройках BIOS и другой - на заставку экрана. Защита на уровне BIOS будет требо­вать ввод пароля при загрузке компьютера, а защита на заставке экрана перекроет доступ к информации при прошествии опреде­ленного, вами заданного, времени бездействия компьютера.

Установка пароля на уровне BIOS - достаточно тонкий про­цесс, требующий определенных навыков работы с настройками компьютера, поэтому желательно его устанавливать с коллегой, имеющим достаточный опыт такой деятельности. Пароль на заставку экрана поставить не так сложно, и его может поставить сам пользователь.

Для задания пароля на заставку необходимо выполнить следу­ющие действия: нажмите кнопку Пуск, выберите команды На­стройка и Панель управления, дважды щелкните по значку Экран и в открывшемся окне Свойства экрана выберите вклад­ку Заставка. Задайте вид заставки, установите временной интер­вал (предположим, 1 мин), установите флажок Пароль и нажмите на кнопку Изменить.

В открывшемся окне Изменение пароля введите па­роль на заставку экрана, затем повторно его наберите для под­тверждения и нажмите на кнопку ОК.

Если вы решили сами снять пароль на заставку, то проделайте все вышеизложенные процедуры, только в окне Изменение пароля не следует ничего набирать, а просто нажмите на кнопку ОК. Па­роль будет снят.

Первый способ - воспользоваться одной из лазеек, часто преду­смотренных производителями системной платы, так называемым «универсальным паролем для забывчивых людей». Обычный пользо­ватель, каковыми мы и являемся, как правило, его не знает.

Можно использовать второй способ взлома секретности: сни­мите кожух компьютера, выньте примерно на 20...30 мин литие­вую батарейку на системной плате, после чего вставьте ее обрат­но. После этой операции BIOS на 99 % забудет все пароли и пользо­вательские настройки. Кстати, если вы сами забыли пароль, что достаточно часто случается на практике, то можно воспользоваться именно этим способом.

Третий способ узнать постороннему лицу нашу защищенную информацию - вынуть из компьютера жесткий диск и подключить его к другому компьютеру в качестве второго устройства. А дальше без проблем можно читать и копировать чужие секреты. При опре­деленном навыке эта процедура занимает 15...20 мин.

Так что постарайтесь при вашем длительном отсутствии про­сто не допускать посторонних лиц в помещение, где находится компьютер.