Читайте также:
|
|
1. Ефимов М.Р., Петрова Е.В., Румянцева В.Н. Общая теория статистики. Учебник, - М: ИНФРА-М, 1998
2. Теория статистики. Учебник. Под редакцией Р.А. Шмойловой. - М: ИНФРА-М., 1996.
3. Методологические положения по статистике. Вып. 1. Госкомстат России. - М., 1996.
4. Альбом наглядных пособий по общей теории статистики. - М.: Финансы и статистика, 1991.
5. Общая теория статистики. Под ред. А.Я. Боярского, Г.Л. Громыко издание второе, переработанное и дополненное издательство Московского университета. 1985.
6. Статистический словарь. Под ред. Юркова Ю.А. - М.: Финстатинформ, 1996.
Разработка рекомендаций по защите информации в локально-вычислительной сети Угличского индустриально-педагогического колледжа
Выпускная квалификационная работа
Исполнитель:
Краюшкин Антон Николаевич,
Специальность: 230101 Вычислительные машины, комплексы, системы и сети
46 группа
Научный руководитель:
Лимонов Игорь Анатольевич,
кандидат технических наук,
начальник управления информатизации и связи администрации Угличского МР
Углич
2013
Содержание
Введение
Глава 1. Анализ угроз безопасности информации в ЛВС Угличского индустриально-педагогического колледжа
Утечка информации как наиболее серьезная угроза информационной безопасности колледжа
Неавторизованный доступ к ЛВС
Несанкционированный доступ к ресурсам ЛВС
Глава 2. Анализ существующих программных продуктов, а также организационных мер, используемых для защиты информации в ЛВС
Организационные меры
Программное обеспечение
Глава 3. Законодательный уровень информационной безопасности
Понятие о законодательной уровне информационной безопасности
3.2 Закон «Об информации, информатизации и защите информации»
Текущее состояние законодательства в области информационной безопасности
Глава 4. Разработка рекомендаций по составу комплекса для защиты информации в ЛВС Угличского индустриально-педагогического колледжа
Административные меры
Программный комплекс защиты информации
Заключение
Перечень используемых источников
Приложения
Введение
В век информационных технологий самой актуальной проблемой является защита информации в локально-вычислительной сети не только среди коммерческих организаций, но и образовательных учреждений, объектом исследования будет защита информации в ЛВС Угличского индустриально-педагогического колледжа.
Поставим целью своей работы разработать рекомендации по выбору программного комплекса для защиты информации в ЛВС Угличского индустриально-педагогического колледжа.
Для достижения цели исследования необходимо решить следующие задачи:
· проанализировать угрозы безопасности информации в ЛВС Угличского индустриально-педагогического колледжа;
· проанализировать рынок существующих программных продуктов, используемых для защиты информации в ЛВС;
· окончательной задачей после проведенного анализа, разработать рекомендации по составу программно-аппаратного комплекса для защиты информации в ЛВС Угличского индустриально-педагогического колледжа.
Разработанные рекомендации по выбору программного комплекса для защиты информации в дальнейшем будут предложены для реализации на практике в данном колледже.
Главной задачей, решаемой на этапе разработки рекомендаций по выбору программного комплекса для создания системы информационной безопасности, является обеспечение безопасности информации в компьютерных сетях, что предполагает создание препятствий для любых несанкционированных попыток хищения или модификации данных, передаваемых в сети. В то же время очень важно сохранить такие свойства информации, как доступность, целостность и конфиденциальность. Доступность информации подразумевает обеспечение своевременного и беспрепятственного доступа пользователей к интересующим их сведениям. Целостность информации заключается в ее существовании в неискаженном виде, то есть неизменном по отношению к некоторому фиксированному ее состоянию. Конфиденциальность предполагает необходимость введения ограничений доступа к данной информации для определенного круга пользователей.
Прежде чем приступить к разработке рекомендаций по выбору программного комплекса для создания подсистемы информационной безопасности сети, необходимо разработать концепции и политики безопасности. Правильная политика безопасности позволит не только учесть все требования по безопасности, но и оптимально использовать финансовые средства, необходимые для ее реализации. В политике безопасности должны быть учтены все составляющие информационной безопасности.
В первую очередь нужно определить список объектов, на которые могут быть направлены угрозы. Естественно, в данный список должны быть включены все критически важные узлы локальной сети.
Необходимо провести аудит и анализ существующих и возможных внутренних угроз, определить их источники и оценить риски. Эти сведения позволят составить реальное представление о существующей и прогнозируемой степени уязвимости локальной сети, а также о потребностях в защите информационных ресурсов.
Глава 1. Анализ угроз безопасности информации в ЛВС Угличского индустриально-педагогического колледжа
1.1 Утечка информации как наиболее серьезная угроза информационной безопасности
Обеспечение информационной безопасности колледжа не ограничивается внедрением технических средств защиты от разного рода угроз. Одним из наиболее опасных элементов с точки зрения возможного ущерба информационным ресурсам учреждения являются ее сотрудники (студенты).
Согласно исследованиям (Silicon Republic), 45% американских сотрудников забирают с собой различные корпоративные данные, когда меняют работу. В то время как сотрудники ИТ–подразделений и служб безопасности компаний ищут эффективные средства защиты от внешних угроз, из поля зрения пропадает гораздо более серьезная угроза - инсайдеры.
Исследование в области корпоративной защиты от внутренних угроз информационной безопасности, проведенное компанией InfoWatch в 2006 – 2007 гг. наглядно показывает, что самые опасные угрозы информационной безопасности исходят изнутри организации. При этом в списке самых опасных внутренних угроз лидирует нарушение конфиденциальности информации. Далее следуют искажение информации и утрата информации.
Таким образом, риск утечки ценной информации волнует начальников ИТ-отделов гораздо больше, чем любая другая внутренняя угроза информационной безопасности. Стоит отметить тот факт, что в 2004 и в 2005 году эту угрозу как наиболее опасную отмечали 100% респондентов.
Самые распространенные каналы утечки информации – мобильные накопители, электронная почта и Интернет.
Стоит отметить, что такое положение дел наблюдается во всем мире - большая часть информации "утекает" из компаний на мобильных носителях. Инсайдеры крадут любую конфиденциальную информацию. Однако персональные данные интересуют их гораздо чаще любой другой информации.
Исходя из того, что наиболее простой способ вынести информацию из колледжа – скопировать ее на внешний носитель (CD, flash-drive), стоит озаботиться, прежде всего, ограничением возможности подключения таких устройств со стороны пользователя. Применение этих мер наряду со специальным ПО, позволяющим разграничивать права доступа, значительно уменьшает вероятность утечек.
Следующий шаг – ограничение интернет-трафика и электронной почты.
Следует не забывать и про системы сетевого трафика, так как они позволяют если не предотвратить, то заметить попытки несанкционированной передачи данных. Подобные системы могут быть как отдельным решением, установленным на "горле" сети, просматривающие весь исходящий трафик и блокирующие передачу "нежелательных" или "странных" пакетов, так и расширением для существующих сервисов. Подобный подход позволяет бороться с проблемой передачи данных, передаваемых как посредством штатных средств, так и с использованием скрытых каналов – например, инкапсуляция данных в неиспользуемые части передаваемого сетевого пакета. Существует отдельный класс угроз, исходящих от инсайдеров, связанный с неумышленными действиями пользователя. Именно от этих угроз, по мнению некоторых специалистов. Помогает только повышение осведомленности пользователей в области информационной безопасности.
Стоит отметить. Что согласно исследованиям InfoWatch, подавляющее большинство организаций (89,9%) планируют внедрить в ближайшие годы ту или иную систему защиты от утечек. При этом наибольшая часть организаций предполагают установку комплексных решений, второй по популярности класс решений – средства мониторинга интернет-трафика, далее следуют системы мониторинга рабочих станций.
Любые средства информационной безопасности хороши до тех пор, пока не мешают сотрудникам выполнять их должностные обязанности. Пользователь не должен быть отвлечен такими проблемами, как возможная компрометация используемых паролей третьими лицами или стирание из всех видов памяти компьютера секретных документов. В тоже время, система защиты от инсайдеров должна выполнять свою работу незаметно, не привлекая к себе как можно меньше внимания. В настоящее время, значительное количество организаций пришло к пониманию этих фактов. Остается лишь выбрать лучшее решение и приступить к ее развертыванию в колледже.
1.2 Неавторизованный доступ к ЛВС
ЛВС обеспечивает совместное использование файлов, принтеров, файловой памяти и т.п. Поскольку ресурсы разделяемы и не используются монопольно одним пользователем, необходимо управление ресурсами и учет использования ресурсов. Неавторизованный доступ к ЛВС имеет место, когда кто-то, не уполномоченный на использование ЛВС, получает доступ к ней (действуя обычно, как законный пользователь ЛВС). Два общих метода используются, чтобы получить неавторизованный доступ:
· общие пароли;
· угадывание пароля и перехват пароля.
Общие пароли позволяют неавторизованному пользователю получить доступ к ЛВС и привилегии законного пользователя; это делается с одобрения какого-либо законного пользователя, под чьим именем осуществляется доступ. Угадывание пароля является традиционным способом неавторизованного доступа. Перехват пароля является процессом, в ходе которого законный пользователь, не зная того, раскрывает учетный идентификатор пользователя и пароль. Это может быть выполнено с помощью программы троянского коня, которая имеет для пользователя вид нормальной программы входа в ЛВС, однако программа - троянский конь предназначена для перехвата пароля. Методы перехвата открытого трафика ЛВС, включая пароли, широко доступны сегодня. Неавторизованный доступ к ЛВС может происходить с использованием следующих типов уязвимых мест:
· плохое управление паролями или легкие для угадывания пароли;
· однопользовательские ПК, не имеющие парольной защиты;
· слабый физический контроль над сетевыми устройствами;
· отсутствие тайм-аута при установлении сеанса и регистрации неверных попыток;
· отсутствие отключения терминала при многочисленных неудачных попытках установления сеанса и регистрации таких попыток;
· отсутствие сообщений "дата/время последнего удачного сеанса" и "неуспешная попытка установления сеанса" в начале сеанса;
1.3 Несанкционированный доступ к ресурсам ЛВС
Одна из выгод от использования ЛВС состоит в том, что большое количество ресурсов легко доступны большому количеству пользователей, что лучше, чем владение каждым пользователем ограниченных выделенных ему ресурсов. Эти ресурсы могут включать файловую память, приложения, принтеры, данные, и т.д. Однако не все ресурсы должны быть доступны каждому пользователю. Чтобы предотвратить компрометацию безопасности ресурса (то есть разрушение ресурса, или уменьшение его доступности), нужно разрешать использовать этот ресурс только тем, кому требуется использование ресурса. Несанкционированный доступ происходит, когда пользователь, законный или неавторизованный, получает доступ к ресурсу, который пользователю не разрешено использовать. Несанкционированный доступ может происходить просто потому, что права доступа пользователей к ресурсу не назначены должным образом. Однако, несанкционированный доступ может также происходить потому, что механизм управления доступом или механизм назначения привилегий обладают недостаточной степенью детализации. В этих случаях единственный способ предоставить пользователю необходимые права доступа или привилегии для выполнения определенной функции состоит в том, чтобы предоставлять пользователю больше доступа, чем необходимо, или больше привилегий, чем необходимо.
Несанкционированный доступ к ресурсам ЛВС может происходить при использовании следующих типов уязвимых мест:
· использование при назначении прав пользователям по умолчанию таких системных установок, которые являются слишком, разрешающими для пользователей;
· неправильное использование привилегий администратора или менеджера ЛВС;
· данные, хранящиеся с неадекватным уровнем защиты или вообще без защиты;
· недостаточное или неправильное использование механизма назначения привилегий для пользователей ПК, на которых не используют никакого контроля доступа на уровне файлов.
В данной главе проведен анализ и аудит существующих и возможных внутренних угроз безопасности информации в ЛВС Угличского индустриально-педагогического колледжа.
Были выделены основные угрозы:
· нарушение целостности информации;
· нарушение конфиденциальности информации;
· неавторизованный доступ;
· несанкционированный доступ.
На основании анализа, наиболее эффективным путем для защиты информации в ЛВС будет применение программного комплекса, в состав которого войдут антивирусная программа и брандмауэр, а так же организационные меры.
Глава 2. Анализ существующих программных продуктов, а также организационных мер, используемых для защиты информации в ЛВС
2.1 Организационные меры защиты
Организационные меры защиты - это меры административного и процедурного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей и обслуживающего персонала с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации.
Построение системы обеспечения безопасности информации, и ее функционирование должны осуществляться в соответствии со следующими основными принципами:
• законность
• системность
• комплексность
• непрерывность
• своевременность
Законность
Предполагает осуществление защитных мероприятий и разработку системы безопасности информации в соответствии с действующим законодательством в области информации, информатизации и защиты информации, с применением всех дозволенных методов обнаружения и пресечения правонарушений при работе с информацией.
Системность
Системный подход к защите информации предполагает учет всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенно важных для понимания и решения проблемы обеспечения информационной безопасности.
Комплексность
Комплексное использование методов и средств защиты компьютерных систем предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все значимые каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов. Внешняя защита должна обеспечиваться физическими средствами, организационными, технологическими и правовыми мерами.
Непрерывность защиты
Защита информации - не разовое мероприятие и не простая совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла, начиная с самых ранних стадий проектирования, а не только на этапе ее эксплуатации.
Своевременность
Предполагает упреждающий характер мер обеспечения безопасности информации, то есть постановку задач по комплексной защите и реализацию мер обеспечения безопасности информации на ранних стадиях разработки комплекса защиты информации.
Системы идентификации и аутентификации пользователей применяются для ограничения доступа случайных и незаконных пользователей к ресурсам компьютерной системы. Общий алгоритм работы этих систем заключается в том, чтобы получить от пользователя информацию, удостоверяющую его личность, проверить ее подлинность и затем предоставить (или не предоставить) этому пользователю возможность работы с системой.
При построении подобных систем возникает проблема выбора информации, на основе которой осуществляются процедуры идентификации и аутентификации пользователя. Можно выделить следующие типы:
-секретная информация, которой обладает пользователь (пароль, персональный идентификатор, секретный ключ и т.п;
-физиологические параметры человека (отпечатки пальцев, рисунок радужной оболочки глаза и т.п.) или особенности поведения человека.
Системы идентификации, основанные на первом типе информации, принято считать традиционными. Системы идентификации, использующие второй тип информации, называются биометрическими.
Дата добавления: 2014-12-23; просмотров: 50 | Поможем написать вашу работу | Нарушение авторских прав |