И. И. Троицкий Научно-образовательный материал «Подсистема защиты от несанкционированного доступа»
| Вид материала | Документы |
- Комплекс средств защиты нсд, 275.7kb.
- Правила разграничения доступа прд security policy Совокупность правил, регламентирующих, 137.1kb.
- Правила разграничения доступа (прд) Security policy Совокупность правил, регламентирующих, 85.86kb.
- Принципы защиты информации от несанкционированного доступа принцип обоснованности доступа, 20.05kb.
- План защиты автоматизированной системы организации от несанкционированного доступа, 548.04kb.
- «Критерии оценки защищенности информации в компьютерных системах от несанкционированного, 187.64kb.
- Средства построения виртуальных локальных вычислительных сетей защита от несанкционированного, 940.3kb.
- Применение методов математической оптимизации в электроэнергетике Научно-образовательный, 20.69kb.
- Задача надежной защиты информации от несанкционированного доступа является одной, 269.92kb.
- Лекция N4. Механизмы доступа к базам данных Возникновение и внедрение в широкую практику, 39.22kb.
 | Серия изданий «Научно-образовательные и научно-информационные материалы МГТУ им. Н.Э. Баумана — национального исследовательского университета техники и технологий» |
Департамент образования города Москвы
Ассоциация московских вузов
Московский государственный технический университет
имени Н.Э. Баумана
Кафедра ИУ-8
«Информационная безопасность»
И.И. Троицкий
Научно-образовательный материал
«Подсистема защиты от несанкционированного
доступа»
Москва
МГТУ им. Н.Э. Баумана
2011
Аннотация
В настоящем НОМ представлены результаты разработки подсистемы по защите информации от несанкционированного доступа в автоматизированных системах на платформе Windows.
В ходе разработки были решены следующие задачи:
- проведен анализ действующих руководящих документов ФСТЭК (Гостехкомиссии) России, устанавливающих требования по защите информации от несанкционированного доступа в автоматизированных системах;
- проведен анализ международных стандартов, устанавливающих требования к безопасности информационных технологий;
- описана математическая постановка задачи выбора средств защиты информации и некоторые возможные способы ее решения;
- сформирована структура типовых проектных решений по реализации требований по защите информации от несанкционированного доступа в автоматизированных системах на платформе Windows.
СОДЕРЖАНИЕ
Аннотация
Сокращения
Введение
Глава 1 Анализ руководящих документов
1.1 Анализ действующих руководящих документов ФСТЭК России, устанавливающих требования по защите информации от несанкционированного доступа в автоматизированных системах
1.2 Анализ международных стандартов, устанавливающих требования к безопасности информационных технологий
Глава 2 Описание типовых решений
2.1 Математическая постановка задачи выбора средств защиты информации и возможные методы ее решения
2.2 Структура типовых проектных решений по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows
Заключение
Список литературы
Сокращения
| НОМ | – | научно-образовательные материалы |
| АРМ | – | автоматизированное рабочее место |
| СЗИ НСД | – | система защиты информации от несанкционированного |
| | | доступа |
| СКЗИ | – | средство криптографической защиты информации |
| ФСТЭК | – | Федеральная служба по техническому и экспортному |
| | | контролю |
| ЭВМ | – | электронная вычислительная машина |
Введение
С развитием информационных технологий появляется все большее количество способов автоматизированной обработки информации. Эта тенденция имеет две ключевые особенности. С одной стороны – это все возрастающая функциональность автоматизированных систем, а с другой – это огромное количество угроз безопасности информации, обрабатываемой в этих системах. Наличие угроз безопасности информации является прямым следствием развития информационных технологий, поскольку, чем более сложными становятся системы, тем большее количество уязвимостей в них присутствует. Таким образом, в последнее время все большее значение приобретает проблема защиты информации, обрабатываемой в автоматизированных системах.
Одним из направлений этой деятельности является защита информации, обрабатываемой в автоматизированных системах, от несанкционированного доступа. Эта область является наиболее распространенной в настоящее время, когда речь идет о защите, так называемой, компьютерной информации.
Одной из признанных на сегодняшний день тенденций по защите компьютерной информации является создание систем защиты информации от несанкционированного доступа в автоматизированных системах. Процесс создания этих систем защиты может быть разделен на несколько технологических этапов, одним из которых является проектирование.
Проектирование систем защиты информации от несанкционированного доступа в автоматизированных системах представляет собой сложную методическую задачу, решение которой требует высокой квалификации от разработчиков.
В ходе решения этой задачи, разработчики затрачивают значительное время на формирование облика системы защиты для создаваемой
(модернизируемой) автоматизированной системы и часто допускают серьезные просчеты в проектировании. Возникающее при этом невыполнение требований по защите информации, в свою очередь не позволяет заказчикам оперативно согласовывать предлагаемые разработчиками проектные решения, что приводит к существенному затягиванию сроков принятия автоматизированных систем в эксплуатацию или к эксплуатации автоматизированных систем, не соответствующих требованиям по защите информации от несанкционированного доступа.
Для того, чтобы изменить ситуацию в лучшую сторону необходимо разработать и затем использовать при проектировании систем защиты заранее проработанные унифицированные проектные решения, которые бы обеспечивали соответствие современным требованиям по защите информации от несанкционированного доступа для каждой подсистемы защиты. Другими словами необходимы типовые проектные решения по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах, которые при их использовании позволят:
- обучать студентов по тематике защиты информации от несанкционированного доступа в различных дисциплинах;
- обеспечить соответствие проектируемых систем защиты действующим требованиям по защите информации от несанкционированного доступа в автоматизированных системах;
- сократить время и снизить другие затраты на проектирование систем защиты информации от несанкционированного доступа в автоматизированных системах за счет использования уже готовых решений;
- минимизировать возможные ошибки, допускаемые разработчиками систем защиты при проектировании.
В качестве первого шага в этой стратегии предлагаются результаты,
описанные в настоящем НОМ – это типовые проектные решения по
реализации основных подсистем защиты информации от несанкционированного доступа для автоматизированных систем на платформе Windows.
Типовые проектные решения по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows построены на следующих принципах:
- четкое соотнесение типовых проектных решений с требованиями регулирующих органов Российской Федерации по защите информации;
- рациональное сочетание технических и организационных мер защиты информации;
- учет специфики операционных систем семейства Windows;
- наличие типовых проектных решений отдельно для каждой подсистемы защиты информации от несанкционированного доступа;
- приоритет использованию сертифицированных средств защиты информации;
- возможность адаптации к различным средствам вычислительной техники.
Структура типовых проектных решений по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows положены в основу НОМ.
Поставленная цель достигается путем решения следующих задач:
- проведения анализа действующих руководящих документов ФСТЭК России, устанавливающих требования по защите информации от несанкционированного доступа в автоматизированных системах, на предмет определения наиболее полного и возможного для реализации перечня требований, необходимого для разработки типовых проектных решений для основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах;
- проведения анализа международных стандартов, устанавливающих требования к безопасности информационных технологий, с целью определения необходимости включения дополнительных требований и соответствующих решений в разрабатываемые типовые проектные решения;
- разработки структуры типовых проектных решений с целью установления единого подхода к их формированию;
Результаты решения этих задач представлены в настоящем НОМ.
Глава 1.Анализ руководящих документов
1.1 Анализ действующих руководящих документов ФСТЭК России, устанавливающих требования по защите информации от несанкционированного доступа в автоматизированных системах
Действующими нормативными документами ФСТЭК России, устанавливающими требования к системам защиты информации от несанкционированного доступа в автоматизированных системах и рассматриваемыми в настоящей работе, являются:
- Руководящий документ ФСТЭК (Гостехкомиссии) России
«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» [4];
- Руководящий документ ФСТЭК (Гостехкомиссии) России «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» [5];
- Руководящий документ ФСТЭК (Гостехкомиссии) России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» [6].
В настоящем разделе анализ указанных документов проведен в части определения наиболее полного и возможного для реализации перечня требований по защите информации от несанкционированного доступа, необходимого для разработки типовых проектных решений для основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows.
Руководящий документ ФСТЭК (Гостехкомиссии) России
«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по
защите информации» устанавливает классификацию автоматизированных систем, подлежащих защите, от несанкционированного доступа к информации, и требования по защите информации в автоматизированных системах различных классов. К числу определяющих признаков, по которым производится группировка автоматизированных систем в различные классы, относятся:
- наличие в автоматизированной системе информации различного уровня конфиденциальности;
- уровень полномочий субъектов доступа автоматизированной системы на доступ к конфиденциальной информации;
- режим обработки данных в автоматизированной системе –
коллективный или индивидуальный.
Указанный документ устанавливает девять классов защищенности автоматизированных систем от несанкционированного доступа к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации от несанкционированного доступа.
Требования по защите информации от несанкционированного доступа разбиты по основным направлениям обеспечения защиты от несанкционированного доступа (подсистемам защиты информации от несанкционированного доступа).
Классы защищенности автоматизированных систем от несанкционированного доступа к информации подразделяются на три группы, отличающиеся особенностями обработки информации в автоматизированных системах.
В пределах каждой группы соблюдается иерархия требований по защите информации от несанкционированного доступа в зависимости от ценности
(например, уровня конфиденциальности) информации и, следовательно,
иерархия классов защищенности автоматизированных систем.
Третья группа включает однопользовательские автоматизированные системы, в которых пользователь имеет доступ ко всей информации в автоматизированной системе, хранящейся на носителях одного уровня конфиденциальности. Группа содержит два класса – 3Б и 3А.
Вторая группа включает многопользовательские автоматизированные системы, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации в автоматизированной системе, обрабатываемой и/или хранящейся на носителях различного уровня конфиденциальности. Группа содержит два класса – 2Б и 2А.
Первая группа включает многопользовательские автоматизированные системы, в которых одновременно обрабатывается и/или хранится информация различных уровней конфиденциальности. Не все пользователи имеют право доступа ко всей информации в автоматизированной системе. Группа содержит пять классов – 1Д, 1Г, 1В, 1Б и 1А.
Классы защищенности 3А, 2А и 1А содержат максимально полный перечень требований для каждой группы третьей, второй и первой соответственно. Так класс защищенности 3А включает требования класса защищенности 3Б, а также дополнительные требования. Класс защищенности
2А включает требования класса защищенности 2Б, а также дополнительные требования. Класс защищенности 1А включает требования классов защищенности 1Б, 1В, 1Г, 1Д и дополнительные требования.
С учетом того, что классы защищенности 3А, 2А и 1А содержат максимально полные перечни требований предусмотренных рассматриваемым руководящим документом, то представляется целесообразным разработать три типовых проектных решения. Однако, учитывая факт невозможности, на сегодняшний день, выполнить все требования для класса защищенности 1А, в связи с отсутствием сертифицированных в системе сертификации
ФСТЭК России средств защиты информации, которые смогут обеспечить их выполнение, необходимо разработать типовые проектные решения для классов защищенности 3А, 2А и 1Б. Такие решения будут учитывать максимально полный и возможный для реализации перечень требований по защите информации, предусмотренных в руководящем документе ФСТЭК (Гостехкомиссии) России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации».
В руководящем документе ФСТЭК (Гостехкомиссии) России «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» устанавливается семь классов защищенности средств вычислительной техники от несанкционированного доступа к информации. Самый низкий класс – седьмой, самый высокий – первый.
Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:
- первая группа содержит только один седьмой класс;
- вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы;
- третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы;
- четвертая группа характеризуется верифицированной защитой и содержит только первый класс.
Выбор класса защищенности средства вычислительной техники для включения в состав автоматизированной системы зависит от уровня
конфиденциальности информации, обрабатываемой в автоматизированной системе, условий эксплуатации и расположения объектов системы.
В руководящем документе ФСТЭК (Гостехкомиссии) России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» устанавливается пять классов защищенности межсетевых экранов.
Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации.
Самый низкий класс защищенности – пятый, применяемый для безопасного взаимодействия автоматизированных систем класса 1Д с внешней средой, четвертый – для 1Г, третий – 1В, второй – 1Б, самый высокий – первый, применяемый для безопасного взаимодействия автоматизированных систем класса 1А с внешней средой.
Требования, предъявляемые к межсетевым экранам, не исключают требований, предъявляемых к средствам вычислительной техники и автоматизированным системам в соответствии с руководящими документами ФСТЭК (Гостехкомиссии) России «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» и «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации».
При включении межсетевого экрана в состав автоматизированной системы определенного класса защищенности, класс защищенности получившейся автоматизированной системы не должен понижаться.
При необходимости сетевого взаимодействия должны использоваться сертифицированные межсетевые экраны, класс которых должен выбираться в зависимости от уровня конфиденциальности обрабатываемой в автоматизированной системе информации.
1.2 Анализ международных стандартов, устанавливающих требования к безопасности информационных технологий
В настоящее время одной из преобладающих тенденцией в области информационной безопасности является переход к гибкой системе задания требований. В частности в области безопасности информационных технологий этот подход закреплен в международном стандарте ISO/IEC 15408 «Information technology – Security techniques – Evaluation criteria for IT security», более известном как общие критерии.
Общие критерии состоят из трех частей:
- часть 1: Введение и общая модель;
- часть 2: Функциональные требования безопасности;
- часть 3: Требования доверия к безопасности.
Общие критерии – это определенная методология и система формирования требований и оценки безопасности продуктов и систем информационных технологий.
Основными достоинствами общих критериев являются:
- достаточно полная совокупность требований безопасности информационных технологий;
- разделение требований безопасности на функциональные требования и требования доверия к безопасности. Функциональные требования относятся к функциям (сервисам) безопасности (идентификация,
аутентификация, управление доступом, аудит и т.д.), а требования доверия – к технологии разработки, тестированию, анализу уязвимостей, эксплуатационной документации, поставке, сопровождению, то есть ко всем стадиям жизненного цикла изделий информационных технологий;
- систематизация и классификация требований по иерархии «класс» –
«семейство» – «компонент» – «элемент» с уникальными идентификаторами требований;
- ранжирование компонентов требований в семействах и классах по степени полноты и жесткости, а также их группирование в пакеты функциональных требований и оценочные уровни доверия;
- метастандартность – помогает формировать наборы требований в виде определенных в общих критериях стандартизованных структур (профилей защиты и заданий по безопасности), которые уже ориентированы на конкретные изделия (сами общие критерии ни на что не ориентированы);
- открытость для последующего наращивания совокупности требований.
Кроме вышеперечисленных достоинств, общие критерии обладают также некоторыми недостатками, основными из которых являются:
- излишняя громоздкость;
- метастандартность и связанная с этим расплывчатость.
Глава 2. Описание типовых решений
2.1 Математическая постановка задачи выбора средств защиты информации и возможные методы ее решения
Техническая реализация требований по защите информации предполагает применение различных аппаратно-программных средств защиты информации.
Выбор средств защиты информации всегда должен быть обоснован, то есть осуществляться в соответствии с определенными критериями. Критериями выбора средств защиты информации могут быть следующие:
- средства защиты информации должны быть сертифицированы по требованиям безопасности информации;
- средства защиты информации должны при минимальном их количестве удовлетворять максимальному количеству требований;
- средства защиты информации должны иметь, по-возможности, низкую стоимость.
Пусть
- множество требований по защите информации;
- множество сертифицированных средств защиты информации;
- цены на средства защиты информации.Требуется определить какое количество средств защиты информации x1, …, xn необходимо использовать для того, чтобы стоимость решения была минимальной и, при этом выбранные средства обеспечивали выполнение требований по защите информации.
Целевая функция этой задачи – минимизировать по x1, …, xn стоимость средств защиты информации:
Условия ограничения задачи следующие:
, 
где
- коэффициенты покрытия
Задача – «покрыть» требования по защите информации с минимальными затратами, причем
– стоимость j-го средства защиты.Стоимость j-го средства защиты информации
складывается из стоимости самого средства защиты 
и стоимости эксплуатации этого средства 
:
Таким образом, получим задачу о покрытии множества.
Задача о покрытии множества является задачей целочисленного линейного программирования, которые, в свою очередь, являются разновидностью задач линейного программирования.
Согласно теории двойственности для каждой задачи линейного программирования возможно построить другую задачу линейного программирования, называемую двойственной. Согласно определению двойственности, двойственной задачей к исходной задаче является следующая:
Условия ограничения задачи следующие:
Задача двойственная к двойственной задаче, есть исходная (прямая) задача. Таким образом, любую из этой пары задач можно считать прямой.
Сравнивая обе задачи, нетрудно видеть, что составленную из коэффициентов при переменных в исходной задаче матрицу
и аналогичную в двойственной задаче
получают друг из друга простой заменой строк столбцами с сохранением их порядка (транспонированием).
В исходной задаче в систему ограничений входят неравенства типа
и требуется минимизировать целевую функцию 
; в двойственной задаче в систему ограничений входят неравенства типа 
и требуется максимизировать целевую функцию 
.В теории двойственности доказана следующая теорема.
Пусть дана пара двойственных задач линейного программирования (заданных в стандартном виде).
Тогда справедливо одно и только одно из следующих утверждений:
- обе задачи имеют оптимальные решения и оптимальные значения целевых функций равны, то есть: min f(x) = max φ(y);
- одна из задач не имеет ни одного допустимого решения, а другая имеет одно допустимое решение, но не имеет оптимального решения (целевая функция на множестве допустимых решений неограниченна);
- ни одна пара задач не имеет допустимых решений.
Решить задачу целочисленного линейного программирования можно как задачу линейного программирования с помощью симплекс-метода.
Симплекс-метод является основным методом решения задач линейного программирования. Суть этого метода состоит в следующем: m переменных из общего их числа образуют базисные переменные, а остальные n-m переменных называют свободными. Необходимо таким образом разделить базисные переменные, чтобы получить допустимое базисное решение (решение системы называют базисным, если все свободные переменные равны нулю; решение системы называют допустимым, если все его компоненты неотрицательны), а затем выразить базисные переменные и целевую функцию через свободные переменные. Затем, по знаку коэффициентов при неизвестных в целевой функции следует определить:
- достигнуто ли оптимальное решение (нет ли отрицательных коэффициентов);
- значение какой переменной надо увеличить, то есть какую переменную следует перевести в свободные.
Другими словами, определяя минимальное положительное отношение элементов столбца свободных членов к коэффициентам при новой свободной переменной, находим переменную, которую необходимо перевести из базисных в свободные. После этого выражаем условия-ограничения и целевую функцию через новые свободные переменные. Процесс повторяется до тех пор, пока не будет получено оптимальное решение.
Существуют также различные методы ветвей и границ, разработанные для нахождения приближенного решения широкого круга дискретных оптимизационных задач. Различные методы ветвей и границ существенно используют специфику конкретных задач и поэтому заметно отличаются друг от друга, но все они основаны на последовательном разбиении допустимого множества решений D на подмножества (ветвления) и вычислении оценок
(границ), позволяющих не рассматривать подмножества, заведомо не содержащие решения задачи.
Рассмотрим решение целочисленной задачи линейного программирования:
При
Допустимое множество решений D предполагается ограниченным, оценки снизу вычисляются с помощью релаксации – без условия целочисленности переменных. Оценку снизу получают с помощью симплекс- метода.
Если после применения симплекс-метода решение не является целочисленным, то на первом шаге алгоритма выбирается любая нецелочисленная компонента
, полученного решения и исходная задача разветвляется на две подзадачи: первая – с дополнительным ограничением 
, вторая – с дополнительным ограничением 
, где 
– целая часть числа. Вычисляются оценки снизу, и если обе подзадачи остаются в числе кандидатов на дальнейшее ветвление, то для ветвления на втором шаге выбирается подзадача с минимальной оценкой.На k-м шаге выбранная на (k-1)-м шаге подзадача разветвляется на две новые с дополнительными ограничениями
и 
, соответственно, где 
–любая нецелочисленная компонента решения 
задачи линейного программирования, получающейся релаксацией подзадачи, выбранной на (k-1)-м шаге. Для новых подзадач вычисляются оценки снизу. Формируется список кандидатов на ветвление. Для ветвления на (k+1)-м шаге из числа кандидатов на ветвление выбирается подзадача с минимальной оценкой.
Конечность алгоритма следует из ограниченности множества D.
Однако вышеперечисленные методы не приемлемы с вычислительной точки зрения для
, поэтому для решения задачи о покрытии множества (именно к таковой относится настоящая задача выбора средств защиты информации) были разработаны эвристические методы приближенного решения. Одним из наиболее эффективных таких методов является метод, который получил название «Жадный» алгоритм (в англоязычной литературе «Greedy-Set-Cover»).«Жадный» алгоритм осуществляет последовательный отбор столбцов матрицы
. На каждой итерации выбирается столбец из n столбцов матрицы A с наибольшим количеством единиц и минимальным весом . Выбор осуществляется до тех пор, пока не будут «покрыты» все m строк матрицы A.2.2 Структура типовых проектных решений по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows
Типовые проектные решения разрабатываются для следующих основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах:
- подсистемы управления доступом;
- подсистемы регистрации и учета;
- подсистемы криптографической защиты;
- подсистемы обеспечения целостности;
- подсистемы антивирусной защиты.
Указанный состав подсистем соответствует положениям Руководящего документа ФСТЭК (Гостехкомиссии) России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» и дополнен подсистемой антивирусной защиты.
Подсистема антивирусной защиты включена в перечень рассматриваемых подсистем, как характерная для автоматизированных систем на платформе Windows.
Для каждой из вышеперечисленных подсистем типовые проектные решения представлены в следующей структуре, разработанной с учетом ГОСТ 24.703-85 «Типовые проектные решения в автоматизированных системах управления. Основные положения» (см. Рисунок 2.1):
- требования по защите информации от несанкционированного доступа;
- техническое описание решения;
- организационные мероприятия;
- рекомендации по применению типового проектного решения.
Рисунок 2.1 – Структура типовых проектных решений по реализации основных подсистем защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows
Во вводной части каждого типового проектного решения приводится наименование проектируемой подсистемы защиты информации и область применения решения.
В подразделе « Требования по защите информации от несанкционированного доступа» указываются требования, относящиеся к конкретной подсистеме защиты информации от несанкционированного доступа, на реализацию которых направлено типовое проектное решение.
В подразделе « Техническое описание решения» рассматриваются следующие аспекты:
- общее архитектурное решение;
- техническое описание состава функциональных возможностей, основных параметров и принципов реализации типового проектного решения.
В подразделе « Организационные мероприятия» дается описание необходимых организационных мероприятий, направленных на выполнение идентифицированных требований по защите информации от несанкционированного доступа.
В подразделе « Рекомендации по применению типового проектного решения» даются рекомендации по применению типового проектного решения с учетом характерных особенностей и возможных ограничений.
Заключение
В настоящем НОМ была разработана подсистема защиты информации от несанкционированного доступа в автоматизированных системах на платформе Windows.
Представленная структура типовых проектных решений построена на следующих принципах:
- четкое соотнесение типовых проектных решений с требованиями регулирующих органов Российской Федерации по защите информации;
- рациональное сочетание технических и организационных мер защиты информации;
- учет специфики операционных систем семейства Windows;
- наличие типовых проектных решений отдельно для каждой подсистемы защиты информации от несанкционированного доступа;
- приоритет использованию сертифицированных средств защиты информации;
- возможность адаптации к различным средствам вычислительной техники.
Применение НОМ позволит :
- обучать студентов по тематике защиты информации от несанкционированного доступа в различных дисциплинах;
- сократить время, необходимое на разработку проектных решений систем защиты информации, обрабатываемой в автоматизированных системах, от несанкционированного доступа;
- минимизировать возможные ошибки, допускаемые разработчиками систем защиты при проектировании;
- снизить затраты на проектирование систем защиты за счет использования уже готовых решений.
При разработке систем защиты информации от несанкционированного доступа для автоматизированных систем с более низким классом защищенности выбираются только те решения, которые обеспечат выполнение требований для необходимого класса защищенности.
Предложенный в рамках НОМ метод выбора средств защиты информации может быть использован для разработки методики выбора средств защиты информации и программного обеспечения, позволяющего автоматизировать эту методику.
Список литературы
[1] Доктрина информационной безопасности Российской Федерации,
утверждена 9 сентября 2000 года Президентом Российской Федерации.
[2] Федеральный закон Российской Федерации от 27 июля 2006 г. №149- ФЗ «Об информации, информационных технологиях и о защите информации», принят Государственной Думой 8 июля 2006 года и одобрен Советом Федерации 14 июля 2006 года.
[3] Руководящий документ «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации», ФСТЭК (Гостехкомиссия) России, 1992 г.
[4] Руководящий документ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», ФСТЭК (Гостехкомиссия) России, 1992 г.
[5] Руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», ФСТЭК (Гостехкомиссия) России, 1992 г.
[6] Руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», ФСТЭК (Гостехкомиссия) России, 1998 г.
[7] Руководящий документ «Защита от несанкционированного доступа к информации. Термины и определения», ФСТЭК (Гостехкомиссия) России,
1992 г.
[8] ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения».
[9] ГОСТ 24.703-85 «Типовые проектные решения в автоматизированных системах управления. Основные положения»
[10] ISO/IEC 15408 «Information technology – Security techniques – Evaluation criteria for IT security»
[11] Грешилов А.А. Математические методы принятия решений. – М.:
Издательство МГТУ им. Н.Э. Баумана, 2006 – 584 с.
[12] Новиков Ф.А. Дискретная математика для программистов. – СПб.:
Издательство «Питер», 2000 – 304 с.
[13] Меняев М.Ф., Бышовец Б.Д., Пряников И.Ф. Организационно- экономическая часть дипломных проектов, направленных на разработку программного обеспечения. Учебное пособие. – М.: Издательство МГТУ им. Н.Э. Баумана, 2007 – 30 с.
[14] Таненбаум Э. Современные операционные системы. 2-е издание. –
СПб.: Издательство «Питер», 2007 – 1038 с.
[15] Материалы официального сайта Федеральной службы по техническому и экспортному контролю Российской Федерации, fstec.ru.