Стандарты информационной безопасности

МИНИСТЕРСТВО СЕЛЬСКОГО ХОЗЯЙСТВА РОССИЙСКОЙ ФЕДЕРАЦИИ

ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ
ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
«БАШКИРСКИЙ ГОСУДАРСТВЕННЫЙ АГРАРНЫЙ
УНИВЕРСИТЕТ»



Кафедра информатики и
информационных технологий




СД.Ф.04 ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Методические указания по выполнению
лабораторных работ
«Стандарты информационной безопасности»





Специальность: 080801 – Прикладная информатика в
экономике



Уфа 2012


УДК 004.7
ББК 32.97
А17

Рекомендовано к изданию методической комиссией факультета информационных технологий управления (протокол №10 от 12.10.2012 г.)


Составитель: доц., к.т.н. Агишев Т.Х.

Рецензент: доц., к.ф.-м.н. Шамсутдинова Т.М.

Ответственный за выпуск: зав. кафедрой информатики и
информационных технологий,
к.х.н., Беляева А.С.






















г. Уфа, БГАУ, Кафедра информатики и информационных технологий

Лабораторная работа №1
Стандарты информационной безопасности

Цель: Изучить основные стандарты безопасности
Методические указания:
Самый полный стандарт, определяющий инструменты оценки безопасности информационных систем и порядок их использования, - это ГОСТ Р ИСО/МЭК 15408, называемый еще "Общими критериями" (ОК). Как отмечается во введении к нему, "...обеспечение безопасности информационных технологий (ИТ) представляет собой комплексную проблему, которая решается в направлениях совершенствования правового регулирования применения ИТ". Там же (часть 1, глава 1, пункт в) сказано: "В Общих критериях не рассматривается ни методология оценки, ни административно-правовая структура, в рамках которой критерии могут применяться". Соответственно все правовые и методико-технологические вопросы придется рассматривать отдельно, при этом не теряя из виду контекста, заложенного в стандартах. В этом как раз и состоит основная сложность.
"Общие критерии" предназначены служить основой при оценке характеристик безопасности продуктов и систем ИТ. Заложенные в стандарте наборы требований позволяют сравнивать результаты независимых оценок безопасности. На основании этих результатов потребитель может принимать решение о том, достаточно ли безопасны ИТ-продукты или системы для их применения с заданным уровнем риска. "Общие критерии" направлены на защиту информации от несанкционированного раскрытия, модификации, полной или частичной потери и применимы к защитным мерам, реализуемым аппаратными, программно-аппаратными и программными средствами.

Российские стандарты, регулирующие ИБ
No п/п Стандарт Наименование
1 ГОСТ Р ИСО/МЭК 15408-1-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. Госстандарт России
2 ГОСТ Р ИСО/МЭК 15408-2-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. Госстандарт России
3 ГОСТ Р ИСО/МЭК 15408-3-2002 Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. Госстандарт России
4 ГОСТ Р 50739-95 Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России
5 ГОСТ Р 50922-96 Защита информации. Основные термины и определения. Госстандарт России
6 ГОСТ Р 51188-98 Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство. Госстандарт России
7 ГОСТ Р 51275-99 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России
8 ГОСТ Р ИСО 7498-1-99 Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель. Госстандарт России
9 ГОСТ Р ИСО 7498-2-99 Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации. Госстандарт России

В первой части (ГОСТ Р ИСО/МЭК 15408-1-2002. "Введение и общая модель") устанавливается общий подход к формированию требований оценки безопасности, на их основе разрабатываются профили защиты и задания по безопасности, представленные в классах данного стандарта - APE "Оценка профиля защиты" и ASE "Оценка задания по безопасности", а также AMA "Поддержка доверия".
Часть вторая (ГОСТ Р ИСО/МЭК 15408-2-2002. "Функциональные требования безопасности") представляет собой обширную библиотеку функциональных требований к безопасности, описывающую 11 классов, 66 семейств, 135 компонентов и содержащую сведения о том, какие цели безопасности могут быть достигнуты и каким образом.
Третья часть (ГОСТ Р ИСО/МЭК 15408-3-2002. "Требования доверия к безопасности") включает в себя оценочные уровни доверия (ОУД), образующие своего рода шкалу для измерения уровня доверия к объекту оценки. Под доверием понимается "...основа для уверенности в том, что продукт или система информационных технологий отвечает целям безопасности". Способом его достижения считается активное исследование, определяющее свойства безопасности ИТ (причем большее доверие является результатом приложения больших усилий при оценке) и сводящееся к их минимизации для обеспечения необходимого уровня доверия. Одним словом, мы должны свести усилия к минимуму, при этом не переусердствовав в достижении необходимого уровня доверия.
Обобщая вышесказанное, можно сделать вывод: каркас безопасности, заложенный частью 1 ОК, заполняется содержимым из классов, семейств и компонентов в части 2, а третья часть определяет, как оценить прочность всего "строения". В роли чертежей для многократного повторения архитектуры выступают профили защиты (ПЗ) и задания по безопасности (ЗП).
Задание:
Разработать концепцию информационной безопасности компании, содержащую следующие
• 1. Общие положения
1.1. Назначение Концепции по обеспечению информационной безопасности.
1.2. Цели системы информационной безопасности
1.3. Задачи системы информационной безопасности.
2. Проблемная ситуация в сфере информационной безопасности
2.1. Объекты информационной безопасности.
2.2. Определение вероятного нарушителя.
2.3. Описание особенностей (профиля) каждой из групп вероятных нарушителей.
2.4. Основные виды угроз информационной безопасности объекта Предприятия.
• Классификации угроз.
• Основные непреднамеренные искусственные угрозы.
• Основные преднамеренные искусственные угрозы.
2.5. Общестатистическая информация по искусственным нарушениям информационной безопасности.
2.6. Оценка потенциального ущерба от реализации угрозы.
3. Механизмы обеспечения информационной безопасности объекта Предприятия
3.1. Принципы, условия и требования к организации и функционированию системы информационной безопасности.
3.2. Основные направления политики в сфере информационной безопасности.
3.3. Планирование мероприятий по обеспечению информационной безопасности объекта Предприятия.
3.4. Критерии и показатели информационной безопасности объекта Предприятия.
4. Мероприятия по реализации мер информационной безопасности объекта Предприятия
4.1. Организационное обеспечение информационной безопасности.
• Задачи организационного обеспечения информационной безопасности.
• Подразделения, занятые в обеспечении информационной безопасности.
• Взаимодействие подразделений, занятых в обеспечении информационной безопасности.

4.2. Техническое обеспечение информационной безопасности объекта Предприятия.
• Общие положения.
• Защита информационных ресурсов от несанкционированного доступа.
• Средства комплексной защиты от потенциальных угроз.
• Обеспечение качества в системе безопасности.
• Принципы организации работ обслуживающего персонала.

4.3. Правовое обеспечение информационной безопасности объекта Предприятия.
• Правовое обеспечение юридических отношений с работниками объекта Предприятия .
• Правовое обеспечение юридических отношений с партнерами объекта Предприятия.
• Правовое обеспечение применения электронной цифровой подписи.
4.4. Оценивание эффективности системы информационной безопасности объекта Предприятия.
5. Программа создания системы информационной безопасности объекта Предприятия
Приложение
Комплекс мероприятий, проводимых с целью профилактики и предотвращения угроз безопасности.

Лабораторная работа №2
Каналы, способы и средства воздействия угроз

Говоря о каналах, способах и средствах воздействия угроз, а также, изучая СЗИ, в дальнейшем будем иметь ввиду антропогенные угрозы умышленного характера, поскольку они, как правило, наиболее изощренны и опасны. Реализация такой угрозы является ни чем иным, как компьютерным преступлением. Обобщенный алгоритм (способ) его совершения приведен на рис. 11. Он состоит из трех этапов – подготовки, реализации и завершения. На этапе подготовки осуществляется изучение КС и определение методов и средств нападения. На этапе реализации злоумышленник получает несанкционированный доступ к КС и воздействует на нее в нужном направлении, а затем на завершающем этапе уничтожает следы преступления. Разумеется, все приведенные на схеме элементы далеко не всегда присутствуют в реальных ситуациях - их количество убывает со снижением сложности КС и степени “разумности” угрозы. Рассмотрим наиболее типичные способы и каналы воздействия умышленной угрозы на КС. Согласно руководящим документам Гостехкомиссии РФ к основным способам НСД относятся:
-непосредственное обращение к объектам доступа;
-создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;
-модификация средств защиты, позволяющая осуществить НСД;
-внедрение в технические средства КС программных или технических механизмов, нарушающих структуру и функции КС и позволяющих осуществить НСД.

Рис. 12. Обобщенный алгоритм воздействия угрозы
Каждый способ НСД характеризуется множеством программно-аппаратных средств и действий субъектов с использованием этих средств. Человек (субъект НСД) способен придумать принципиально новый способ реализации НСД или применить новые варианты известных способов.
В общем случае все способы НСД являются результатом композиций "первичных" действий, таких как:
-запись информации;
-считывание информации;
-физическое воздействие на элементы компьютерных систем, приводящее либо к уничтожению информации, либо к нарушению правил ее обработки и хранения.
К примеру, несанкционированная модификация информации является композицией чтения и записи информации. Несанкционированное уничтожение информации, как и ее блокирование, может произойти в результате или несанкционированной записи, или физического воздействия на элемент компьютерных систем. Несанкционированное копирование информации осуществляется путем последовательного чтения и записи информации. Подбор пароля состоит в последовательности записи и чтения результатов обработки этой записи, при этом обычно пуск несанкционированного процесса является следствием несанкционированной записи или модификации (чтения и записи) информации.
Все каналы проникновения в систему и утечки информации разделяют на прямые и косвенные. Под косвенными понимают такие каналы, использование которых не требует проникновения в помещения, где расположены компоненты системы. Для использования прямых каналов такое проникновение необходимо. Прямые каналы могут использоваться без внесения изменений в компоненты системы или с изменениями компонентов. По способу получения информации каналы доступа можно разделить на:
-физический;
-электромагнитный (перехват излучений);
-информационный (программно-математический).
При контактном НСД (физическом, программно-математическом) возможные угрозы информации реализуются путем доступа к элементам КС, к носителям информации, к самой вводимой и выводимой информации (и результатам), к программному обеспечению (в том числе к операционным системам), а также путем подключения к линиям связи. При бесконтактном доступе (например, по электромагнитному каналу) возможные угрозы информации реализуются перехватом излучений аппаратуры КС, в том числе наводимых в токопроводящих коммуникациях и цепях питания, перехватом информации в линиях связи, вводом в линии связи ложной информации, визуальным наблюдением (фотографированием) устройств отображения информации, прослушиванием переговоров персонала КС и пользователей.
В качестве наиболее известных сочетаний способов и каналов воздействия угроз можно выделить следующие.
1). Собирание информации, которая осталась на носителях после ее обработки ("сборка мусора"). Информация может остаться в ОЗУ, на магнитных и других носителях. Это могут быть “удаленные” и различные временные файлы, сбойные кластеры и т.п.
2). Проникновение в КС непосредственно через ее интерфейсы (терминалы) с путем подбора или использования чужого пароля или обход защиты ("взлом”).
Подбор пароля может быть осуществлен различными способами: вскрытие пароля простым перебором (который может выполнить специальная программа); использование знаний о паролях, обычно применяемых пользователями; использование программной закладки или вируса для "подсматривания" паролей. Обход защиты можно осуществить, используя ошибки программы защиты или воздействуя на нее специальными программами.
3). Использование скрытых, недокументированных разработчиками возможностей ПО, так называемых "люков": в процессе разработки сложных программ могут для целей отладки создаваться специальные технологические точки входа в систему, которые потом не удаляются по забывчивости или по другим мотивам разработчиками ПО; у модулей ПО могут появляться непрогнозируемые обратные связи и свойства, дезавуирующие встраиваемые в него СЗИ.
4). Внедрение в КС вредоносных программ через носители информации (дискеты, CD-ROM) или через сеть (ЭП, пересылка файлов по FTP...). К вредоносным программам относятся:
-"вирус" - программа, способная к самовоспроизводству (размножению) и включению в другие программы своей, возможно модифицированной, копии (сетевая разновидность - “червь”);
-"троянский конь" - программа, выполняющая побочные функции, неизвестные пользователю.
Спектр деструктивных воздействий вредоносных программ очень широк – от безобидной шутки до стирания информации, хранящейся на носителе или форматирования носителя с помощью штатного ПО.
5). Использование для исследования ПО дизассемблеров и отладчиков, с помощью которых машинный код программы можно представлять в более удобном для понимания виде. Отладчик обычно обладает следующими функциональными возможностями:
-диалоговый режим использования; наличие механизма точек прерывания, который позволяет приостанавливать процесс выполнения программы и анализировать ее состояние;
-наличие механизма пошагового выполнения исследуемой программы;
-поиск по шаблону в оперативной памяти; сканирование (пошаговое выполнение с анализом выполняемых действий) исследуемой программы;
-построение трассы выполнения программы.
В результате исследования кода программы с помощью отладчика выясняется семантика последовательности команд, определяющая выполнение функций защиты. После этого осуществляется корректировка кода программы или имитация запрашиваемых и идентифицируемых программой данных, что может быть оформлено в отдельную программу.
6). Вывод из строя блоков питания и электронных схем компонентов КС путем подачи импульсов высокого напряжения по сети электропитания или создания в ней резких перепадов напряжения.
7). Перехват побочных электромагнитных излучений и наводок (ПЭМИН) по эфиру или по линиям коммуникаций (в том числе на цепи электропитания и заземления, системы водо-, тепло-, газоснабжения, выходящие за пределы контролируемой зоны). Значимость ПЭМИН как канала утечки информации в современный период постоянно снижается, в связи с тем, что:
-технические средства ведущих производителей, как правило, соответствуют жестким стандартам по уровню излучений, принятым в США и ЕЭС;
-происходит постепенный переход на оптоволоконные линии связи, ЖК-мониторы и слаботочные устройства, лазерные и струйные принтеры;
-быстро увеличиваются тактовые частоты процессоров, шин, памяти.
8). Проведение сетевых атак. Протоколы семейства IP являются основой построения сетей intranet и глобальной сети Internet, но не обладают абсолютной защищенностью и допускают различные типы атак. Самой атаке, как правило, предшествует мониторинг каналов и информационных потоков для выявления данных аутентификации администратора или пользователя с достаточными полномочиями, а также анализа шифров. Для этого используются анализаторы протоколов сети, которые позволяют осуществлять следующие действия:
-удаленное управление ресурсами сети, доступ к узлам и ресурсам распределенной сети;
-сбор статистических сведений о сетевом трафике;
-декодирование пакетов, пересылаемых по сети;
-проведение фильтрации данных во время их перехвата для последующего анализа.
Атаки на TCP/IP можно разделить на два вида: пассивные и активные.
В ходе пассивной атаки субъект не обнаруживают себя и не вступают напрямую во взаимодействие с другими системами. Фактически все сводиться к наблюдению за доступными данными или сессиями связи. К ним относятся:
- Подслушивание - перехват сетевого потока и его анализ ("sniffing"). Поскольку TCP/IP-трафик, как правило, не шифруется, используя соответствующий инструментарий, можно перехватывать TCP/IP-пакеты, например, telnet- сессий и извлекать из них имена пользователей и их пароли.
При осуществлении активной атаки субъект взаимодействует с получателем информации, отправителем и/или промежуточными системами, возможно, модифицируя и/или фильтруя содержимое TCP/IP-пакетов. Активные атаки можно разделить на две части. В первом случае субъект предпринимает определенные шаги для перехвата и модификации сетевого потока или попыток "притвориться" другой системой. Во втором случае протокол TCP/IP используется для того, чтобы привести систему-жертву в нерабочее состояние. Обладая достаточными привилегиями субъект может вручную формировать IP-пакеты и передавать их по сети.
-Предсказание TCP sequence number (IP-spoofing). Цель субъекта - притвориться другой системой, которой "доверяет" система-жертва. Если система A доверяет системе B, так, что пользователь системы B может сделать "rlogin A"_ и оказаться на A, не вводя пароля. Крэкер расположен на системе C. Система A выступает в роли сервера, системы B и C - в роли клиентов.
-Ввод соединения в "десинхронизированное состояние", когда присылаемые сервером sequence number и acknowledge number не будут совпадать с ожидаемым значениями клиента, и наоборот. В данном случае крэкер, "прослушивая" линию, может взять на себя функции посредника, генерируя корректные пакеты для клиента и сервера и перехватывая их ответы. Метод позволяет полностью обойти такие системы защиты, как, например, одноразовые пароли, поскольку крэкер начинает работу уже после того, как произойдет авторизация пользователя.
-Пассивное сканирование. Сканирование часто применяется крэкерами для того, чтобы выяснить, на каких TCP-портах работают демоны, отвечающие на запросы из сети. Обычная программа-сканер последовательно открывает соединения с различными портами. В случае, когда соединение устанавливается, программа сбрасывает его, сообщая номер порта крэкеру.
-Затопление ICMP-пакетами ("ping flood"). Основан на том, что программа "ping", предназначенная для оценки качества линии, имеет ключ для "агрессивного" тестирования. В этом режиме запросы посылаются с максимально возможной скоростью, и программа позволяет оценить, как работает сеть при максимальной нагрузке. При стандартном режиме работы пакеты выслаются через некоторые промежутки времени, практически не нагружая сеть. Но в "агрессивном" режиме поток ICMP echo request/reply-пакетов может вызвать перегрузку небольшой линии, лишив ее способности передавать полезную информацию. Приметы затопления - резко возросшая нагрузка на сеть (или канал) и повышение количество специфических пакетов (таких, как ICMP).
-Затопление SYN-пакетами ("SYN flooding"). Затопление SYN-пакетами основано на переполнении очереди сервера, после чего сервер перестает отвечать на запросы пользователей. Самая известная атака такого рода - атака на Panix, нью-йоркского провайдера. Panix не работал в течение 2-х недель.
После истечение некоторого времени (зависит от реализации) система удаляет запросы из очереди. Однако ничего не мешает крэкеру послать новую порцию запросов. Таким образом, даже находясь на соединение 2400 bps, крэкер может посылать каждые полторы минуты по 20-30 пакетов на FreeBSD-сервер, поддерживая его в нерабочем состоянии (естественно, эта ошибка была скорректирована в последних версиях FreeBSD).
- Угрозы, связанные с электронной почтой.
Основные протоколы передачи почты(SMTP, POP3,IMAP4) обычно не осуществляют надежной аутентификации, что позволяет легко создать письма с фальшивыми адресами. Ни один из этих протоколов не использует криптографию, которая могла бы гарантировать конфиденциальность электронных писем. Хотя существуют расширения этих протоколов, решение использовать их должно быть явно принято как составная часть политики администрации почтового сервера. Некоторые такие расширения используют уже имеющиеся средства аутентификации, а другие позволяют клиенту и серверу согласовать тип аутентификации, который будет использоваться в данном соединении.
-Фальшивые адреса отправителя: адресу отправителя в электронной почте Интернета нельзя доверять, так как отправитель может указать фальшивый обратный адрес, или заголовок может быть модифицирован в ходе передачи письма, или отправитель может сам соединиться с SMTP-портом на машине, от имени которой он хочет отправить письмо, и ввести текст письма.
-Перехват письма: заголовки и содержимое электронных писем передаются в чистом виде. В результате содержимое сообщения может быть прочитано или изменено в процессе передачи его по Интернету. Заголовок может быть модифицирован, чтобы скрыть или изменить отправителя, или для того чтобы перенаправить сообщение.
-Почтовая бомба - атака с помощью электронной почты. Атакуемая система переполняется письмами до тех пор, пока она не выйдет из строя. Как это может случиться, зависит от типа почтового сервера и того, как он сконфигурирован. Некоторые провайдеры Интернета дают временные логины любому для тестирования подключения к Интернету, и эти логины могут быть использованы для начала подобных атак. Типовые варианты выхода почтового сервера из строя:
-почтовые сообщения принимаются до тех пор, пока диск, где они размещаются. Не переполнится. Следующие письма не принимаются. Если этот диск также основной системный диск, то вся система может аварийно завершиться;
-входная очередь переполняется сообщениями, которые нужно обработать и передать дальше, до тех пор, пока не будет достигнут предельный размер очереди. Последующие сообщения не попадут в очередь;
-может быть превышена квота диска для данного пользователя, что помешает принять последующие письма, и может помешать ему выполнять другие действия.

Задание: Составить терминологический словарь по лабораторной работе. Включить в словарь 50 слов.