3) Требование безопасности повторного использования объектов противоречит:
инкапсуляции +
наследованию
полиморфизму

4) Предположим, что при разграничении доступа учитывается семантика программ. В таком случае на игровую программу могут быть наложены следующие ограничения:
запрет на чтение каких-либо файлов, кроме конфигурационных
запрет на изменение каких-либо файлов, кроме конфигурационных +
запрет на установление сетевых соединений

5)Необходимость объектно-ориентированного подхода к информационной безопасности является следствием того, что:
это простой способ придать информационной безопасности научный вид
объектно-ориентированный подход - универсальное средство борьбы со сложностью современных информационных систем +
в информационной безопасности с самого начала фигурируют понятия объекта и субъекта

6)В число граней, позволяющих структурировать средства достижения информационной безопасности, входят:
меры обеспечения целостности
административные меры +
меры административного воздействия

2Контейнеры в компонентных объектных средах предоставляют:
общий контекст взаимодействия с другими компонентами и с окружением +
средства для сохранения компонентов
механизмы транспортировки компонентов

Дублирование сообщений является угрозой:
доступности
конфиденциальности
целостности +

Melissa подвергает атаке на доступность:
системы электронной коммерции
геоинформационные системы
системы электронной почты +

Выберите вредоносную программу, которая открыла новый этап в развитии данной области:
Melissa +
Bubble Boy
ILOVEYOU

Самыми опасными источниками внутренних угроз являются:
некомпетентные руководители +
обиженные сотрудники
любопытные администраторы

5. Среди нижеперечисленных выделите главную причину существования многочисленных угроз информационной безопасности:
просчеты при администрировании информационных систем
необходимость постоянной модификации информационных систем
сложность современных информационных систем +

Агрессивное потребление ресурсов является угрозой: доступности конфиденциальности целостности

Melissa - это:
бомба
вирус +
червь

Для внедрения бомб чаще всего используются ошибки типа:
отсутствие проверок кодов возврата
переполнение буфера +
нарушение целостности транзакций

Окно опасности появляется, когда:
становится известно о средствах использования уязвимости
появляется возможность использовать уязвимость +
устанавливается новое П

Среди нижеперечисленного выделите троянские программы:
ILOVEYOU
Back Orifice +
Netbus +

1. Уголовный кодекс РФ не предусматривает наказания за:
создание, использование и распространение вредоносных программ
ведение личной корреспонденции на производственной технической базе +
нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети

В законопроекте "О совершенствовании информационной безопасности" (США, 2001 год) особое внимание обращено на: смягчение ограничений на экспорт криптосредств
разработку средств электронной аутентификации +
создание инфраструктуры с открытыми ключами

4. Под определение средств защиты информации, данное в Законе "О государственной тайне", подпадают:
средства выявления злоумышленной активности
средства обеспечения отказоустойчивости
средства контроля эффективности защиты информации +

1. Уровень безопасности B, согласно "Оранжевой книге", характеризуется:
принудительным управлением доступом +
верифицируемой безопасностью

3. В число классов требований доверия безопасности "Общих критериев" входят:
разработка +
оценка профиля защиты +
сертификация

4. Согласно "Оранжевой книге", политика безопасности включает в себя следующие элементы:
периметр безопасности
метки безопасности +
сертификаты безопасности

1. Уровень безопасности A, согласно "Оранжевой книге", характеризуется:
произвольным управлением доступом
принудительным управлением доступом
верифицируемой безопасностью +

решение сформировать или пересмотреть комплексную программу безопасности +

обеспечение конфиденциальности почтовых сообщений

4. В число целей программы безопасности верхнего уровня входят:
управление рисками +
определение ответственных за информационные сервисы
определение мер наказания за нарушения политики безопасности

5. В рамках программы безопасности нижнего уровня осуществляются:
стратегическое планирование
повседневное администрирование +
отслеживание слабых мест защиты +

"1. Политика безопасности строится на основе:
общих представлений об ИС организации
изучения политик родственных организаций
анализа рисков +

2. В число целей политики безопасности верхнего уровня входят:
формулировка административных решений по важнейшим аспектам реализации программы безопасности +
выбор методов аутентификации пользователей
обеспечение базы для соблюдения законов и правил +

1. Риск является функцией:

1. Риск является функцией: размера возможного ущерба числа уязвимостей в системе уставного капитала организации

3. В число этапов управления рисками входят: идентификация активов+ ликвидация пассивов выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это: идентификация угроз+ аутентификация угроз ликвидация угроз

Определение ответственных за анализ рисков измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности: определение ответственных за анализ рисков- измерение рисков выбор эффективных защитных средств

6. Оценка рисков позволяет ответить на следующие вопросы: чем рискует организация, используя информационную систему? чем рискуют пользователи информационной системы? чем рискуют системные администраторы?-

1. В число классов мер процедурного уровня входят: поддержание работоспособности+ поддержание физической формы физическая защита+

2. В число принципов управления персоналом входят: минимизация привилегий+ минимизация зарплаты максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят: выявление критически важных функций организации+ определение перечня возможных аварий+ проведение тестовых аварий

5. В число направлений повседневной деятельности на процедурном уровне входят: ситуационное управление конфигурационное управление оптимальное управление-

1. Протоколирование и аудит могут использоваться для: предупреждения нарушений ИБ+ обнаружения нарушений+ восстановления режима ИБ

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС: низкая пропускная способность большинства коммуникационных каналов сложность администрирования пользовательских компьютеров отсутствие достаточного набора криптографических аппаратно-программных продуктов

Применение наиболее передовых технических решений применение простых, апробированных решений+ сочетание простых и сложных защитных средств

Выработка и проведение в жизнь единой политики безопасности+ унификация аппаратно-программных платформ минимизация числа используемых приложений

1. Экранирование может использоваться для: предупреждения нарушений ИБ обнаружения нарушений локализации последствий нарушений

3. В число основных принципов архитектурной безопасности входят: следование признанным стандартам применение нестандартных решений, не известных злоумышленникам- разнообразие защитных средств

3. В число основных принципов архитектурной безопасности входят: усиление самого слабого звена+ укрепление наиболее вероятного объекта атаки эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: использование собственных линий связи обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ полный анализ сетевого трафика

Управление доступом+ управление информационными системами и их компонентами управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации разделение статических и динамических данных формирование составных сервисов по содержательному принципу +

1. Контроль целостности может использоваться для: предупреждения нарушений ИБ обнаружения нарушений+ локализации последствий нарушений

4. В число универсальных сервисов безопасности входят: средства построения виртуальных локальных сетей экранирование + протоколирование и аудит+

Кардиограмма субъекта+ номер карточки пенсионного страхования результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от: перехвата воспроизведения+ атак на доступность+

Роль+ исполнитель роли пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе: шифрование не применяется- применяется симметричное шифрование применяется асимметричное+ шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда учитывается иногда не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться: год рождения субъекта фамилия субъекта секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода: инкапсуляция наследование+ полиморфизм

4. Сервер аутентификации Kerberos: не защищает от атак на доступность+ частично защищает от атак на доступность- полностью защищает от атак на доступность

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде правила разграничения доступа задаются в виде: матрицы субъекты/объекты - предикатов над объектами списков доступа к методам объектов

3. В число основных понятий ролевого управления доступом входит: объект+ субъект метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов методам объектов (с учетом значений фактических параметров вызова) классам объектов

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к: интерфейсам объектов+ методам объектов (с учетом значений фактических параметров вызова)+ классам объектов

Протоколирование и аудит, шифрование, контроль целостности:

Сигнатурный метод выявления атак хорош тем, что он: поднимает мало ложных тревог+ способен обнаруживать неизвестные атаки прост в настройке и эксплуатации+

3. Цифровой сертификат содержит: открытый ключ пользователя+ секретный ключ пользователя имя пользователя+

4. Реализация протоколирования и аудита преследует следующие главные цели: обнаружение попыток нарушений информационной безопасности+ недопущение попыток нарушений информационной безопасности недопущение атак на доступность

2. Пороговый метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки- прост в настройке и эксплуатации+

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем

2. Статистический метод выявления атак хорош тем, что он: поднимает мало ложных тревог способен обнаруживать неизвестные атаки+ прост в настройке и эксплуатации-

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение подотчетности администраторов перед пользователями обеспечение подотчетности пользователей и администраторов+ предоставление информации для выявления и анализа проблем+

5. Криптография необходима для реализации следующих сервисов безопасности: контроль защищенности контроль целостности+ контроль доступа

4. Реализация протоколирования и аудита преследует следующие главные цели: обеспечение возможности воспроизведения последовательности событий обеспечение возможности реконструкции последовательности событий+ недопущение попыток воспроизведения последовательности событий

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация, как правило, имеет низкоуровневый характер, а неотказуемость относится к действиям прикладного уровня регистрационная информация имеет специфический формат, непонятный человеку регистрационная информация имеет слишком большой объем+

5. Криптография необходима для реализации следующих сервисов безопасности: идентификация экранирование аутентификация+

1. Протоколирование само по себе не может обеспечить неотказуемость, потому что: регистрационная информация может быть рассредоточена по разным сервисам и разным компонентам распределенной ИС+ целостность регистрационной информации может быть нарушена должна соблюдаться конфиденциальность регистрационной информации, а проверка неотказуемости нарушит конфиденциальность

Идентификация и аутентификация, управление доступом

1. В качестве аутентификатора в сетевой среде могут использоваться:
кардиограмма субъекта+
номер карточки пенсионного страхования
результат работы генератора одноразовых паролей+

2. Аутентификация на основе пароля, переданного по сети в зашифрованном виде, плоха, потому что не обеспечивает защиты от:
перехвата
воспроизведения+
атак на доступность+

3. В число основных понятий ролевого управления доступом входит:
роль+
исполнитель роли
пользователь роли

4. При использовании версии сервера аутентификации Kerberos, описанной в курсе:
шифрование не применяется-
применяется симметричное шифрование
применяется асимметричное шифрование

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде наследование: учитывается всегда
учитывается иногда
не учитывается+

1. В качестве аутентификатора в сетевой среде могут использоваться:
год рождения субъекта
фамилия субъекта
секретный криптографический ключ+

3. Ролевое управление доступом использует следующее средство объектно-ориентированного подхода:
инкапсуляция
наследование+
полиморфизм

4. Сервер аутентификации Kerberos:
не защищает от атак на доступность+
частично защищает от атак на доступность
полностью защищает от атак на доступность

3. В число основных понятий ролевого управления доступом входит:
объект+
субъект
метод

5. При использовании описанного в курсе подхода к разграничению доступа в объектной среде разграничивается доступ к:
интерфейсам объектов +
методам объектов (с учетом значений фактических параметров вызова) +
классам объектов

Основные программно-технические меры:

2. Укажите наиболее существенные с точки зрения безопасности особенности современных российских ИС:
низкая пропускная способность большинства коммуникационных каналов +
сложность администрирования пользовательских компьютеров
отсутствие достаточного набора криптографических аппаратно-программных продуктов+

3. В число основных принципов архитектурной безопасности входят:
применение наиболее передовых технических решений
применение простых, апробированных решений+
сочетание простых и сложных защитных средств

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
выработка и проведение в жизнь единой политики безопасности+
унификация аппаратно-программных платформ
минимизация числа используемых приложений

3. В число основных принципов архитектурной безопасности входят:
следование признанным стандартам +
применение нестандартных решений, не известных злоумышленникам-
разнообразие защитных средств+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами: шифрование всей информации- разделение статических и динамических данных формирование составных сервисов по содержательному принципу+

3. В число основных принципов архитектурной безопасности входят:
усиление самого слабого звена+
укрепление наиболее вероятного объекта атаки
эшелонированность обороны+

5. Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
использование собственных линий связи
обеспечение конфиденциальности и целостности при сетевых взаимодействиях+ п
олный анализ сетевого трафика

4. В число универсальных сервисов безопасности входят:
управление доступом+
управление информационными системами и их компонентами
управление носителями

Для обеспечения информационной безопасности сетевых конфигураций следует руководствоваться следующими принципами:
шифрование всей информации
разделение статических и динамических данных
формирование составных сервисов по содержательному принципу +

4. В число универсальных сервисов безопасности входят:
средства построения виртуальных локальных сетей
экранирование + протоколирование и аудит+

Процедурный уровень информационной безопасности

1. В число классов мер процедурного уровня входят:
поддержание работоспособности+
поддержание физической формы
физическая защита+

2. В число принципов управления персоналом входят:
минимизация привилегий+ минимизация зарплаты
максимизация зарплаты

3. В число этапов процесса планирования восстановительных работ входят:
выявление критически важных функций организации+
определение перечня возможных аварий+ проведение тестовых аварий

4. В число направлений физической защиты входят:
физическая защита пользователей-
защита поддерживающей инфраструктуры+
защита от перехвата данных+

5. В число направлений повседневной деятельности на процедурном уровне входят:
ситуационное управление
конфигурационное управление
оптимальное управление-

Управление рисками

1. Риск является функцией:
размера возможного ущерба +
числа уязвимостей в системе
уставного капитала организации

3. В число этапов управления рисками входят:
идентификация активов+
ликвидация пассивов
выбор анализируемых объектов+

4. Первый шаг в анализе угроз - это:
идентификация угроз+
аутентификация угроз
ликвидация угроз

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков
измерение рисков выбор эффективных защитных средств

5. Управление рисками включает в себя следующие виды деятельности:
определение ответственных за анализ рисков-
измерение рисков +
выбор эффективных защитных средств+

6. Оценка рисков позволяет ответить на следующие вопросы:
чем рискует организация, используя информационную систему? +
чем рискуют пользователи информационной системы? +
чем рискуют системные администраторы?-

Обеспечение информационной безопасности — очень непростая задача, имеющая несколько уровней.

Программно-технический уровень.

С современной точки зрения информационным системам должны быть доступны следующие механизмы безопасности:

• управление доступом,
• экранирование,
• проверка подлинности пользователей и их идентификация,
• протоколирование и аудит,
• обеспечение высокой доступности,
• криптография.

Процедурный уровень.

К нему относятся меры, реализуемые людьми. Опыт, накопленный в отечественных организациях, по реализации процедурных мер пришел из докомпьютерного прошлого и нуждается в существенном пересмотре.
Существуют следующие группы организационных (процедурных) мер:

Для каждой группы должны существовать правила, определяющие действия персонала. Они должны быть учреждены в каждой конкретной организации и отработаны на практике.

Административный уровень.

Политика безопасности, предпринимаемая руководством организации, является основой мер административного уровня. Это совокупность документированных решений руководства, которые направлены на защиту информации, а также ресурсов, ассоциированных с ней. Политика безопасности основывается на анализе реальных рисков, угрожающих информационной системе той или иной организации. После анализа разрабатывается стратегия защиты. Это программа, под которую выделяются деньги, назначаются ответственные, устанавливается порядок контроля ее выполнения и т.д.
Поскольку каждая организация имеет свою специфику, бессмысленно переносить практику государственных режимных предприятий на коммерческие структуры, персональные компьютерные системы или учебные заведения. Целесообразнее использовать основные принципы разработки политики безопасности или готовые шаблоны для основных разновидностей организаций.

Законодательный уровень.

Это важнейший уровень обеспечения информационной безопасности. В него входит комплекс мер, направленных на создание и поддержание в обществе негативного отношения к нарушителям и нарушениям в этой области. Необходимо создать механизм, который позволил бы согласовывать разработку законов с постоянным совершенствованием информационных технологий. Государство должно выполнять координирующую и направляющую роль в этом вопросе.Российские стандарты информационных технологий и информационной безопасности должны соответствовать международному уровню. Это облегчит взаимодействие с зарубежными компаниями и зарубежными филиалами отечественных компаний. Сейчас эта проблема решается путем разовых разрешений, зачастую в обход действующего законодательства.

Только взаимодействие всех уровней обеспечения информационной безопасности сделают ее максимально эффективной.

Основные программно-технические меры безопасности информации 1

Источник 1

1. Основные понятия программно-технического уровня информационной безопасности 1

2. Особенности современных информационных систем, существенные с точки зрения безопасности 4

3. Архитектурная безопасность 6

(3.1) принципы архитектурной безопасности: 7

(3.2) Для обеспечения высокой доступности (непрерывности функционирования) 8

Литература 9

Источник

Основы информационной безопасности. В.А. Галатенко. Основные программно-технические меры [http://www.intuit.ru/department/security/secbasics/class/free/9/ ]

1. Основные понятия программно-технического уровня информационной безопасности

Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности.Напомним, чтоущерб наносят в основном действия легальных пользователей, по отношению к которым процедурные регуляторы малоэффективны. Главные враги -некомпетентностьинеаккуратностьпривыполнении служебных обязанностей, итолько программно-технические меры способны им противостоять.

Компьютеры помогли автоматизировать многие области человеческой деятельности. Вполне естественным представляется желание возложить на них иобеспечение собственной безопасности.Дажефизическую защиту все чаще поручают не охранникам, а интегрированным компьютерным системам,что позволяет одновременноотслеживать перемещения сотрудников и по организации, и по информационному пространству.

Это вторая причина, объясняющая важность программно-технических мер.

Следует, однако, учитывать, что быстроеразвитие информационных технологийне толькопредоставляет обороняющимся новые возможности, но и объективнозатрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня.Причинтому несколько:

повышениебыстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяетметодом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналоврасширяют круг злоумышленников, имеющих техническую возможность организовывать атаки;

появление новых информационных сервисов ведет и к образованиюновых уязвимых мест как "внутри" сервисов, так ина их стыках;

конкуренция среди производителей программного обеспечениязаставляет сокращать сроки разработки, что приводит кснижению качества тестированияи выпуску продуктовс дефектами защиты;

навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспеченияне позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Перечисленные соображения лишний раз подчеркиваютважность комплексного подхода к информационной безопасности, а также необходимостьгибкой позиции при выборе и сопровождении программно-технических регуляторов.

Центральным для программно-технического уровня являетсяпонятиесервиса безопасности.

Следуя объектно-ориентированному подходу, при рассмотренииинформационной системыс единичным уровнем детализации мы увидимсовокупностьпредоставляемых еюинформационных сервисов. Назовем ихосновными. Чтобы они могли функционировать и обладали требуемыми свойствами,необходимонесколько уровнейдополнительных(вспомогательных)сервисов- отСУБД и мониторов транзакций до ядра операционной системы и оборудования.

К вспомогательным относятся сервисы безопасности (мы уже сталкивались с ними при рассмотрении стандартов и спецификаций в области ИБ); среди них нас в первую очередь будут интересоватьуниверсальные,высокоуровневые, допускающиеиспользование различными основными и вспомогательными сервисами. Далее мы рассмотрим следующиесервисы:

идентификация и аутентификация;

управление доступом;

протоколирование и аудит;

шифрование;

контроль целостности;

экранирование;

анализ защищенности;

обеспечение отказоустойчивости;

обеспечение безопасного восстановления;

туннелирование;

управление.

Будут описанытребования к сервисам безопасности, их функциональность, возможные методы реализации и место в общей архитектуре.

Еслисопоставить приведенный перечень сервисов с классами функциональных требований "Общих критериев", то бросается в глаза их существенное несовпадение. Мы не будем рассматривать вопросы, связанные с приватностью, по следующей причине. На наш взгляд, сервис безопасности, хотя бы частично, должен находиться в распоряжении того, кого он защищает. В случае же с приватностью это не так: критически важные компоненты сосредоточены не на клиентской, а на серверной стороне, так что приватность по существу оказывается свойством предлагаемой информационной услуги (в простейшем случае приватность достигается путем сохранения конфиденциальности серверной регистрационной информации и защитой от перехвата данных, для чего достаточно перечисленных сервисов безопасности).

С другой стороны, нашперечень шире, чем в "Общих критериях", посколькув него входят экранирование, анализ защищенности и туннелирование.Этисервисыимеют важное значение сами по себе и, кроме того,могут комбинироваться с другими сервисами для получениятакихнеобходимых защитных средств, как, например, виртуальные частные сети.

[Галатенко Лек5 Стандарты и спецификации]"Общие критерии" на самом деле являются метастандартом, определяющим инструменты оценки безопасности ИС и порядок их использования. В отличие от "Оранжевой книги", ОК не содержат предопределенных "классов безопасности". Такие классы можно строить, исходя из требований безопасности , существующих для конкретной организации и/или конкретной информационной системы.

Совокупностьперечисленных вышесервисов безопасностимы будем называтьполным набором. Считается, что его, в принципе, достаточно для построения надежной защиты на программно-техническом уровне, правда,при соблюдении целого ряда дополнительных условий (отсутствие уязвимых мест, безопасное администрирование и т.д.).

Для проведенияклассификации сервисов безопасности и определения их места в общей архитектуремеры безопасностиможно разделить наследующие виды:

превентивные, препятствующие нарушениям ИБ;

меры обнаружения нарушений;

локализующие, сужающие зону воздействия нарушений;

меры по выявлению нарушителя;

меры восстановления режима безопасности.

Большинство сервисовбезопасности попадаетв число превентивных, и это, безусловно, правильно.Аудит и контроль целостности способны помочь в обнаружении нарушений;активный аудит,кроме того, позволяет запрограммировать реакцию на нарушение с целью локализации и/или прослеживания. Направленность сервисов отказоустойчивости и безопасного восстановления очевидна. Наконец, управление играет инфраструктурную роль, обслуживая все аспекты ИС.

Если говорить о проблемах компьютерной безопасности, то просматриваются несколько аспектов, а именно: информационная безопасность, безопасность самого компьютера и организация безопасной работы человека с компьютерной техникой.

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
Важно уметь не только работать на компьютере, но и защитить ваши документы от чужих глаз.
Абсолютной защиты быть не может. Бытует такое мнение: установил защиту и можно ни о чем не беспокоиться. Полностью защищенный компьютер - это тот, который стоит под замком в бронированной комнате в сейфе, не подключен ни к какой сети (даже электрической) и выключен. Такой компьютер имеет абсолютную защиту, однако использовать его нельзя.
Первой угрозой безопасности информации можно считать некомпетентность пользователей. Если мы говорим об информации, хранящейся в компьютере на рабочем месте, то также серьезную угрозу представляют сотрудники, которые чем-либо не довольны, например зарплатой.
Это интересно
В 1996 г. Федеральное бюро расследований совместно с Институтом компьютерной безопасности США провело исследование, результаты которого свидетельствуют о том, что почти в половине всех известных случаев попытки проникновения к информации в организации предпринимались внутри самой организации.

Одна из проблем подобного рода - это так называемые слабые пароли. Пользователи для лучшего запоминания выбирают легко угадываемые пароли. Причем проконтролировать сложность пароля невозможно. Другая проблема - пренебрежение требованиями безопасности. Например, опасно использовать непроверенное или
пиратски изготовленное программное обеспечение. Обычно пользователь сам «приглашает» в систему вирусы и «троянских коней».
Чем шире развивается Интернет, тем больше возможностей для нарушения безопасности наших компьютеров, даже если мы и не храним в них сведения, содержащие государственную или коммерческую тайну. Нам угрожают хулиганствующие хакеры, рассылающие вирусы, чтобы просто позабавиться; бесконечные любители пожить за чужой счет; нам угрожают наша беспечность (ну что стоит раз в день запустить антивирус!) и беспринципность (как же отказаться от дешевого пиратского ПО, возможно, зараженного вирусами?).
За последнее время в Интернете резко увеличилось число вирусных, а также «шпионских» программ типа «троянского коня» и просто краж паролей нечистоплотными пользователями.

Безопасность в информационной среде
Любая технология на каком-то этапе своего развития приходит к тому, что соблюдение норм безопасности становится одним из важнейших требований. И лучшая защита от нападения - не допускать нападения. Не стоит забывать, что мешает работе не система безопасности, а ее отсутствие.
С точки зрения компьютерной безопасности каждое предприятие обладает своим собственным корпоративным богатством - информационным. Его нельзя спрятать, оно должно активно работать. Средства информационной безопасности должны обеспечивать содержание информации в состоянии, которое описывается тремя категориями требований: доступность, целостность и конфиденциальность. Основные составляющие информационной безопасности сформулированы в Европейских критериях, принятых ведущими странами Европы:
доступность информации - обеспечение готовности системы к обслуживанию поступающих к ней запросов;
целостность информации - обеспечение существования информации в неискаженном виде;
конфиденциальность информации - обеспечение доступа к информации только авторизованному кругу субъектов.

Классификация средств защиты
Классификацию мер защиты можно представить в виде трех уровней.

Законодательный уровень. В Уголовном кодексе РФ имеется глава 28. Преступления в сфере компьютерной информации. Она содержит три следующих статьи:
статья 272. Неправомерный доступ к компьютерной информации;
статья 273. Создание, использование и распространение вредоносных программ для ЭВМ;
статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Административный и процедурный уровни . На административном и процедурном уровнях формируются политика безопасности и комплекс процедур, определяющих действия персонала в штатных и критических ситуациях. Этот уровень зафиксирован в руководящих документах, выпущенных Гостехкомиссией РФ и ФАПСИ.

Программно-технический уровень . К этому уровню относятся программные и аппаратные средства, которые составляют технику информационной безопасности. К ним относятся и идентификация пользователей, и управление доступом, и криптография, и экранирование, и многое другое.
И если законодательный и административный уровни защиты не зависят от конкретного пользователя компьютерной техники, то программно-технический уровень защиты информации каждый пользователь может и должен организовать на своем компьютере.

Программно-технический уровень защиты
Не будем рассматривать существующие сложные программно-аппаратные криптографические комплексы, ограничивающие доступ к информации за счет шифров, а также программы тайнописи, которые могут «растворять» конфиденциальные материалы в объемных графических и звуковых файлах. Использование таких программ может быть оправдано лишь в исключительных случаях. Обычный пользователь, такой как мы с вами, как правило, не является профессиональным шифровальщиком или программистом, поэтому нас интересуют «подручные» средства защиты информации. Рассмотрим средства защиты информации и попробуем оценить их надежность. Ведь знание слабых мест защиты может
уберечь нас от многих неприятностей.
Первое, что обычно делает пользователь персонального компьютера - ставит два пароля: один пароль в настройках BIOS и другой - на заставку экрана. Защита на уровне BIOS будет требовать ввод пароля при загрузке компьютера, а зашита на заставке экрана перекроет доступ к информации при прошествии определенного, вами заданного, времени бездействия компьютера.
Установка пароля на уровне BIOS - достаточно тонкий процесс, требующий определенных навыков работы с настройками компьютера, поэтому желательно его устанавливать с коллегой, имеющим достаточный опыт такой деятельности. Пароль на заставку экрана поставить не так сложно, и его может поставить сам пользователь.
После установки паролей можно считать, что первый уровень защиты вы сделали, и информационная защита обеспечена. Однако не обольщайтесь: существует как минимум три способа разрушить эту защиту.
Первый способ - воспользоваться одной из лазеек, часто предусмотренных производителями системной платы, так называемым «универсальным паролем для забывчивых людей». Обычный пользователь, каковыми мы и являемся, как правило, его не знает.
Можно использовать второй способ взлома секретности: снимите кожух компьютера, выньте примерно на 20…30 мин литиевую батарейку на системной плате, после чего вставьте ее обратно. После этой операции BIOS на 99 % забудет все пароли и пользовательские настройки. Кстати, если вы сами забыли пароль, что достаточно часто случается на практике, то можно воспользоваться именно этим способом.
Третий способ узнать постороннему лицу нашу защищенную информацию - вынуть из компьютера жесткий диск и подключить его к другому компьютеру в качестве второго устройства. А дальше без проблем можно читать и копировать чужие секреты. При определенном навыке эта процедура занимает 15…20 мин.
Так что постарайтесь при вашем длительном отсутствии просто не допускать посторонних лиц в помещение, где находится компьютер.

Защита жесткого диска (винчестера)
Любую часть компьютерной системы можно заменить на новую, но утратив данные, записанные на жестком диске, вы будете вынуждены воссоздать их заново. На это могут уйти месяцы, а то и годы. Гораздо проще заранее организовать защиту содержимого жесткого диска. Начинать следует с создания аварийной загрузочной дискеты. Она
очень пригодится, если по какой-то причине не удастся загрузить операционную систему с жесткого диска. Владельцам Windows-систем придется создать дискету аварийной загрузки самостоятельно.

Резервное копирование данных
Другой враг нашей информации - сбои самого компьютера. Даже при самом строгом соблюдении мер профилактики нельзя быть абсолютно застрахованным от потери данных, хранящихся на жестком диске. Рано или поздно что-нибудь случается, и восстановить все в прежнем виде можно будет только в том случае, если у вас имеется копия содержимого жесткого диска. Логика здесь очень простая: если одни и те же данные хранятся в двух разных местах, вероятность лишиться их значительно уменьшается. Поэтому всегда следует хранить данные в двух экземплярах, например: один на встроенном жестком диске, а другой на внешнем жестком диске или сменных носителях, используемых для резервного копирования. Чтобы определиться со стратегией создания резервных копий, необходимо решить, каким носителем вы будете пользоваться и какие данные нужно продублировать.

Коварство мусорной корзины
При удалении информации она не исчезает бесследно, а попадает сначала в Корзину, если только документ не находился на дискете. Это ежедневно спасает многих небрежных пользователей, случайно удаливших документ неосторожным нажатием клавиши , поскольку документы из Корзины можно восстанавливать.
Для полного удаления информации из Корзины, т.е. ее очистки, сделайте щелчок правой кнопкой мыши по значку Корзины на рабочем столе и в открывшемся контекстном меню выберите команду Очистить корзину или выберите в окне Корзина команду очистки корзины.
Считается, что после принудительной очистки Корзины документы теряются безвозвратно, но это не совсем так. Физические данные с жесткого диска никуда не исчезают и могут быть легко восстановлены специальными программами вплоть до того момента, пока на то же место винчестера не будет записана другая информация. А ведь это может произойти через неделю или месяц. Чтобы быть точно уверенным, что ваши данные уничтожены навсегда, систематически проводите дефрагментацию жесткого
диска. Запустить процедуру дефрагментации можно через контекстное меню кликнув правой кнопкой мышки по нужному диску и выбрав пункт «свойства» и там вкладку «Сервис». Эта процедура может занять от нескольких минут до получаса и более в зависимости от степени фрагментации диска. Желательно проводить дефрагментацию не реже одного раза в месяц, а при большом количестве операций по удалению файлов - еженедельно. Помимо полного удаления данных после дефрагментации эта процедура может несколько ускорить работу вашего компьютера, поскольку в результате её применения все сектора диска заполняются данными более равномерно и головки винчестера меньше скачут с сектора на сектор при чтении информации.
Также коварство мусорной корзины заключается еще в в том, что при удалении файлов с внешних носителей и сетевых дисков удаленные файлы могут не попасть в корзину, а исчезнуть безвозвратно. Попытаться восстановить такие данные, стертые с внешних дисков, можно с помощью специальных программ, например Recuva . Имейте в виду, что делать это надо как можно быстрее — до того как вы или кто-то другой запишет на этот диск какие-либо другие данные. Естественно, что данные на сетевом диске на сервере удаленные с рабочей станции могут исчезнуть безвозвратно намного легче, поскольку множество людей обращаются к этому диску и записывают на него много разной информации. Обратитесь в таком случае как можно быстрее к администратору сети — только у него есть доступ к диску с сервера и возможность спасти некорректно удаленные данные.

Установка паролей на документ
Известно, что любое приложение MS Office позволяет закрыть любой документ паролем, и многие успешно пользуются этим проверенным средством.
Для установки пароля на документ необходимо его открыть, далее в меню «Файл» выберите команду «Сведения» и «Защитить документ».
В документации к MS Office ничего не говорится о криптостойкости используемых схем парольной защиты, есть только фраза: «Внимание! Забытый пароль восстановить невозможно».
Обычному пользователю, не имеющему конкретной цели узнать вашу информацию, вскрыть пароль практически невозможно. Однако и специалисту-взломщику при использовании современного компьютера на взлом пароля методом прямого перебора вариантов понадобится примерно один месяц. Парольная защита, входящая в комплект многих архиваторов, вполне может уберечь документ от посторонних глаз. В сети Интернет можно найти ряд специальных программ «шифрования» отдельных документов и целых разделов винчестера, однако стопроцентной гарантии от взлома паролей они не дают. Осложнить процесс взлома защиты вы можете, используя достаточно длинные и сложные пароли, исключающие ваше имя, фамилию и телефон. Лучше всего в качестве пароля выбирать фразу, в которой отсутствует осмысленная информация об авторе пароля. Скажем, фразу типа «Остались от козлика ножки да рожки» можно считать почти идеальным паролем - достаточно длинным и бессмысленным относительно автора.
Напоследок дадим несколько коротких практических советов по защите и резервному копированию ваших данных.

Полезные советы. Как защитить данные?
Установите пароли на BIOS и на экранную заставку.
Исключите доступ посторонних лиц к вашему компьютеру,
Создайте аварийный загрузочный диск.
Систематически делайте резервное копирование данных.
Регулярно очищайте Корзину с удаленными файлами.
Устанавливайте пароли на файлы с важной информацией.
При установке пароля не используйте ваше имя, фамилию, телефон.
Проводите архивацию файлов.
После удаления большого количества файлов, но не реже одного раза в месяц, производите дефрагментацию жесткого диска.

Говоря о безопасности информации, мы сознательно глубоко не затрагивали проблему компьютерных вирусов, и могло сложиться мнение, что такая проблема не актуальна. Ничего подобного! Борьба с вирусами - это несомненно часть информационной безопасности, просто мимоходом говорить о такой важной проблеме неправильно. Борьба с вирусами - это тема отдельного разговора.

ЗАЩИТА ОТ КОМПЬЮТЕРНЫХ ВИРУСОВ
Вы глубоко ошибаетесь, если считаете, что лично вам вторжение вирусов не грозит. Компьютеры, установленные у вас на работе и дома, да и сама сеть Интернет являются настоящим рассадником потенциально опасных компьютерных инфекций.
Компьютерные вирусы - это программы, творящие на компьютере всевозможные безобразия, начиная с выдачи раздражающих экранных сообщений и кончая устройством полного хаоса на жестком диске. Как правило, компьютер послушен своему хозяину, но если вы заметили какие-либо странности в его поведении, следует прежде всего проверить программное обеспечение на наличие вируса. Некоторые компьютерные вирусы совершенно безвредны, однако многие из них способны нанести серьезный ущерб вашей
информации.

История возникновения компьютерных вирусов
Возникновение компьютерных вирусов связано с идеей создания самовоспроизводящихся программ и уходит корнями в пятидесятые годы. В 1951 г. Дж. Нейман предложил метод создания самовоспроизводящихся механизмов. Затем идея вирусоподобных программ неоднократно возрождалась. И после опубликования в 1959 г. в одном из американских журналов материалов на эту тему, Ф. Шталь запрограммировал биокибернетическую модель существ, питающихся словами, размножающихся и пожирающих себе подобных.
Это интересно
Своеобразным катализатором появления и реализации новых, все более изощренных вирусов становятся научно-фантастические романы. Так, в 1975 г. Джон Бруннер описал в своем научно-фантастическом романе, ставшем бестселлером, «червей» - программы, которые распространяются по сети, чем предвосхитил последующие реальные события.

Весной 1977 г. появился первый персональный компьютер фирмы Apple (Macintosh), а уже к середине 1983 г. общее количество проданных персональных компьютеров превысило 3 млн штук. Тогда уже появились первые банки свободно распространяемых программ и данных - BBS, куда любой программист мог переслать свою программу, а любой пользователь сети мог ее взять и запустить на своем компьютере. Именно в тот момент возникли реальные возможности создания и быстрого распространения компьютерных вирусов. Тогда и получил развитие новый вид хулиганства - компьютерный, когда некая программа-вандал после выполнения какого-то условия или через некоторое время уничтожала данные на компьютере пользователя.
Мир помнит несколько случаев массового заражения компьютеров. Так, в 1987 г. было целых три таких эпидемии. Так называемый Пакистанский вирус только в США заразил более 18 тыс. компьютеров; Лехайский вирус в течение нескольких дней уничтожил содержимое нескольких сотен личных дискет и дискет библиотеки вычислительного центра одноименного университета США, заразив около 4 тыс. ПК, а в конце того же года в Иерусалимском университете был обнаружен вирус, который за короткое время распространился по всему цивилизованному миру, заразив только в США порядка 3 тыс. ПК.
Крупный всплеск вирусной эпидемии был зарегистрирован в 1999 г. Вирус «Чернобыль», созданный тайваньским офицером, 26 апреля 1999 г., в годовщину чернобыльской аварии, вывел из строя огромное число компьютеров по всему миру. Очередной пик вирусной атаки пришелся на 1 августа 2001 г., когда активизировался новый сетевой вирус-«червь» Code Red Worm. Атаке подверглись операционные системы Windows-2000, -NT. Только 19 июля 2001 г. этот вирус вывел из строя 230 тыс. серверов.
В настоящее время насчитывается уже порядка 20 тыс. различных вирусов и ежемесячно на волю вырываются до трехсот новых экземпляров. В России издана уникальная вирусная энциклопедия, содержащая описание 26 тыс. компьютерных вирусов и даже демонстрацию эффектов, производимых ими.

Что такое компьютерный вирус?
Точного научно-технического определения этого явления до сих пор не существует. Можно сказать, что компьютерный вирус — это программа, нарушающая нормальную работу других программ и компьютерной техники. Она обладает способностью самовоспроизведения, распространения, внедрения в другие программы.Действия вируса зависят от фантазии, квалификации и нравственных принципов его создателя. Характеры вирусов в какой-то мере отражают сущность их творцов - иногда это простые, шутливые и безобидные программы, но встречаются и чрезвычайно коварные, агрессивные и разрушительные экземпляры. Их названия говорят сами за себя: «Марихуана», «Террорист», «Киллер», «Захватчик».
Что же реально может вирус? Существует мнение, что человек может заразиться от техники компьютерными вирусами. Путаница происходит от использования одного и того же термина - вирус. Подчеркнем, что компьютерный вирус - это условное наименование специфических компьютерных программ, которые по своему механизму действия схожи с биологическими вирусами.
Компьютерные вирусы могут заразить только себе подобных, т.е. программы, поэтому программы надо защищать.
Действие большинства вирусов не ограничивается только размножением или безобидными шутками. Вирусы могут разрушать изображение на экране, выводить на экран неприличные надписи, замедлять работу компьютера, исполнять различные мелодии, без разрешения удалять файлы и каталоги, уничтожая информацию.
Как инфекция передается от человека к человеку, так и компьютерные вирусы переходят от одного компьютера к другому, изменяя имеющиеся файлы и дописывая в них свой код. При запуске зараженной программы или при открытии поврежденного файла данных вирус загружается в системную память компьютера, откуда пытается поразить другие программы и файлы.

Виды компьютерных вирусов
Чтобы успешно бороться с вирусами, надо их знать. Рассмотрим наиболее распространенные типы вирусов, с которыми вы в любой момент можете столкнуться.
Макровирусы. Эти вирусы распространяются зараженными файлами данных и учиняют разгром, используя механизм макросов программы-хозяина. Они распространяются значительно быстрее любых других компьютерных вирусов, так как поражаемые ими файлы данных используются наиболее часто. Хакеры используют языки программирования таких популярных программ, как Word и Excel, чтобы искажать написание слов, изменять содержание документов и даже удалять файлы с жестких дисков.
Вирусы, поражающие загрузочный сектор и главную загрузочную запись. В качестве примера можно назвать вирусы «Микеланджело», «Килрой», «Джек-Потрошитель». Они передаются с компьютера на компьютер через зараженные флешки и дискеты. При обращении к установленному внешнему диску, операционная система считывает и выполняет вирусный код.
Пожалуй, самый знаменитый вирус «Микеланджело», заставивший трепетать весь компьютерный мир, заслуживает того, чтобы ему было уделено некоторое внимание. Ежегодно 6 марта, в день рождения Микеланджело, вирус производил свою главную атаку, заменяя содержимое секторов жестких дисков случайными данными. Эффект ужасающий: восстановить информацию уже нельзя.
Файловые вирусы. Они внедряются в исполняемые файлы и делают свое черное дело, когда вы запускаете зараженную программу.
«Бомбы замедленного действия» и «троянские кони». Это особые разновидности вирусов, поражающих загрузочные секторы и файлы. До наступления определенной даты или определенного события они «дремлют» в компьютере, а затем активизируются и наносят удар.
Однако четкого разделения между ними не существует, и все они могут использовать комбинацию вариантов взаимодействия - своеобразный вирусный «коктейль».
Троянские программы действуют подобно «троянскому коню» из греческой мифологии. Они искусно маскируются под личиной какой-либо полезной программы, но стоит заинтересованному пользователю установить и запустить подобную программу на своем компьютере, как она незаметно начинает выполнять свою скрытую вражью функцию.
После того как «троянец» выполнит свою задачу, программа может самоуничтожаться, тем самым затрудняя обнаружение истинных причин «пожара» на вашем компьютере. Троянские программы часто используются для первоначального распространения вирусов.
Логической бомбой называют программу (или ее отдельные модули), которая при выполнении условий, определенных ее создателем, осуществляет несанкционированные действия, например при наступлении обусловленной даты или, скажем, появлении или исчезновении какой-либо записи в базе данных происходит разрушение программ или БД. Известен случай, когда программист, разрабатывавший систему автоматизации бухгалтерского учета, заложил в нее логическую бомбу, и, когда из ведомости на получение зарплаты исчезла его фамилия, специальная программа-бомба уничтожила всю систему.
Полиморфные вирусы. Как подсказывает само название, каждый раз, когда такой вирус заражает систему, он меняет обличье, дабы избежать выявления антивирусными программами. Новые изощренные полиморфные вирусы значительно труднее обнаружить и куда сложнее нейтрализовать, поскольку при заражении каждого нового файла они изменяют свои характеристики.
Вирусы многостороннего действия. Хитроумные гибриды, одновременно с файлами поражающие загрузочные секторы или главную загрузочную запись.

Организация защиты от компьютерных вирусов
Компьютерные вирусы представляют реальную угрозу безопасности вашего компьютера, и, как водится, лучший способ лечения - это профилактика заболевания.
И если уж ваш компьютер подхватил вирус, вам не удастся с ним справиться без специальных средств - антивирусных программ.
Что должна делать антивирусная программа?
Проверять системные области на загрузочном диске при включении компьютера.
Проверять файлы на установленных в дисковод сменных носителях.
Предоставлять возможность выбора графика периодичности проверки жесткого диска.
Автоматически проверять загружаемые файлы.
Проверять исполняемые файлы перед их запуском.
Обеспечивать возможность обновления версии через Интернет.

Это интересно
Одним из первых вирусов, пришедших в СССР в 1988 г., назывался Viena-648, и, пожалуй, именно с этого времени берет отсчет отечественное антивирусное направление, начинавшееся программой Д. Лозинского Aidstest.
В России антивирусными проблемами уже много лет профессионально занимаются в основном две серьезные фирмы: «Диалог Наука» (программы Aidstest, Doctor WEB,
комплекс Sheriff) и «Лаборатория Касперского» (Kami, программы серии AVP). Все новые вирусы в первую очередь попадают к ним.
Эти фирмы имеют большой авторитет и на международной арене. Продукция компании «Диалог Наука» хорошо знакома большому числу владельцев компьютеров. Первая версия антивирусной программы Doctor WEB с графическим интерфейсом появилась в апреле 1998 г., после чего пакет постоянно развивался и дополнялся. Сегодняшняя версия программы Doctor WEB имеет удобный, интуитивно понятный и наглядный графический интерфейс. Что касается возможностей по поиску вирусов, то их высокая оценка подтверждается победами в тестах авторитетного международного журнала «Virus Bulletin». «Лаборатория Касперского» является крупнейшим российским разработчиком антивирусных систем безопасности.
Можно установить на компьютере антивирусный монитор (сторож) - резидентную антивирусную программу, которая постоянно находится в оперативной памяти и контролирует операции обращения к файлам и секторам. Прежде чем разрешить доступ к объекту (программе, файлу), сторож проверяет его на наличие вируса. Таким образом, он позволяет обнаружить вирус до момента реального заражения системы. Примерами таких программ являются McAfee VirusShield (антивирусный комплект McAfee VirusScan) и AVP Monitor (комплект AntiViral Toolkit Pro Касперского). Необходимо учитывать, что далеко не все программы-мониторы снабжены «лечащим» блоком, поэтому, чтобы обезвредить вирус, придется либо удалять зараженный файл, либо установить соответствующий «лечащий» блок (антивирусную программу).
Популярные антивирусные программы позволяют выбрать режим защиты от вирусов. Кроме того, фирмы-разработчики таких программ постоянно обновляют используемую для обнаружения вирусов базу данных и, как правило, размещают ее на Web-узле в открытом доступе для зарегистрированных пользователей. Если вы принадлежите к числу таковых, ежемесячно заглядывайте на узел, чтобы сделать свежую «прививку».
Проблемы вирусных атак волнуют и разработчиков программ-приложений. Большое внимание при разработке новой версии Office было уделено безопасности работы с документами. Так, например, для предотвращения заражения документов вирусами для Office разработан новый программный интерфейс Microsoft Office Antivirus API, предоставляющий возможность антивирусным программам независимых разработчиков проверять документы Office непосредственно перед их загрузкой в приложение. Кроме того, в Office улучшена встроенная система защиты от макровирусов, имеющая теперь несколько уровней безопасности.

Советы по организации антивирусной защиты.
Ниже приведенные советы помогут вам избежать неприятностей, связанных с вирусным заражением компьютера.
1. Если хотите избежать больших затрат и потерь, сразу предусмотрите приобретение и установку комплексной антивирусной программно-аппаратной защиты для вашей компьютерной системы. Если таковая пока не установлена, не забывайте регулярно проверять свой компьютер свежими версиями антивирусных программ
и установите программу-ревизор диска (например, ADinf), которая будет отслеживать все изменения, происходящие на вашем компьютере, и вовремя сигнализировать о вирусной опасности.
2. Не разрешайте посторонним работать на вашем компьютере, по крайней мере, без вашего разрешения.
3. Возьмите за строгое правило обязательно проверять все подключаемые сторонние внешние диски, которые вы используете на своем компьютере, несмотря на
все уверения их владельца, последними версиями антивирусных программ (Doctor WEB, AVP и др.).
4. Настоятельно советуем проверять на наличие вирусов все CD/DVD-ROM, в том числе и фирменные, но особенно купленные с рук или взятые со стороны.
6. Соблюдайте осторожность, обмениваясь файлами с другими пользователями. Этот совет особенно актуален, когда дело касается файлов, загружаемых вами из сети Интернет или приложенных к электронным посланиям. Поэтому лучше сразу проверять все входящие файлы (документы, программы) на наличие вируса, что неплохо умеют делать антивирусные мониторы, например AVP Monitor.
7. Делайте резервные копии своих данных. Это поможет восстановить информацию в случае воздействия вируса, сбоя в системе или выхода из строя жесткого диска.
8. Проверяйте на наличие вирусов старые файлы и диски. Обычные вирусы, равно как и макровирусы, пробуждаются только в тот момент, когда вы открываете или загружаете инфицированный файл. Таким образом, вирусы могут долгое время незаметно храниться на жестком диске в зараженных программах и файлах данных, приложениях к непрочитанным электронным письмам и сжатых файлах.

ОРГАНИЗАЦИЯ БЕЗОПАСНОЙ РАБОТЫ С КОМПЬЮТЕРНОЙ ТЕХНИКОЙ
Компьютерная техника является источником излучений и электромагнитных полей, а также местом накопления статического электричества, потенциально опасных для человека. Однако не следует забывать, что эти явления присутствуют и в быту, и в природе, а не только присущи исключительно компьютеру. А статическое электричество накапливает даже обычная расческа. И пока эти излучения и поля не превосходят установленный медициной предельно допустимый уровень (ПДУ), они не наносят ощутимого урона здоровью человека.
Из всех устройств, связанных с компьютером, для здоровья наибольшую потенциальную опасность представляет ЭЛТ монитор. Именно он сочетает относительно высокий уровень излучения и достаточно малое расстояние до человека. Строго говоря, клавиатура, находящаяся в непосредственном контакте с пальцами пользователя, тоже является источником излучения, но оно практически неотличимо от естественного фона и не идет ни в какое сравнение с излучением монитора. LCD мониторы излучают существенно меньше, чем ЭЛТ.
Компьютер столь же безопасен, как и любой другой бытовой прибор. Но, как и в случае с другими бытовыми приборами, существуют потенциальные угрозы для здоровья, связанные с его применением.
Рассматривая влияние компьютеров на здоровье, отметим несколько факторов риска. Сюда относятся:
проблемы, связанные с электромагнитным излучением;
проблемы зрения;
проблемы, связанные с мышцами и суставами.
В каждом из этих случаев степень риска прямо пропорциональна времени, проводимому за компьютером и вблизи него.
Начнем с наиболее спорного момента, связанного с вредным влиянием электромагнитного поля, создаваемого монитором компьютера.

Защита от электромагнитного излучения
Каждое устройство, которое производит или потребляет электроэнергию, создает электромагнитное излучение. Это излучение концентрируется вокруг устройства в виде электромагнитного поля.
Одни из них, такие как электрический чайник, создают вокруг себя небольшой уровень излучения. Другие устройства: высоковольтные линии, микроволновые печи, телевизоры, мониторы компьютеров - создают гораздо более высокие уровни излучения.
Электромагнитное излучение нельзя увидеть, услышать, понюхать, попробовать на вкус или потрогать, но, тем не менее, оно присутствует повсюду. Хотя вредное влияние обычных уровней электромагнитного излучения на здоровье никем пока не доказано, но многих эта проблема волнует.
Каждый, кто знаком с принципом действия монитора компьютера, называемого также видеотерминалом или дисплеем, согласится с тем, что нет смысла говорить о рентгеновском излучении, поскольку незначительное количество ионизирующего излучения, создаваемого катодно-лучевой трубкой внутри монитора, эффективно гасится стеклом трубки.
Что касается влияния на человеческий организм электромагнитного излучения более низких частот - излучения очень низкой частоты и сверхнизкой частоты, создаваемого компьютерами и другими бытовыми электроприборами, то здесь ученые и защитники прав потребителей пока не пришли к единому мнению.
Излучение монитора на базе электронно-лучевой трубки непосредственно в сторону пользователя резко падает пропорционально удаленности от экрана, а вот электромагнитное поле распространяется во все стороны. Причем непосредственно перед экраном оно несколько ослаблено теневой маской и арматурой кинескопа, а от боковых и задних стенок монитора оно распространяется беспрепятственно.
В настоящее время в России действуют согласованные с международными нормативами законодательные акты, гарантирующие потребителю соответствие прошедших сертификацию мониторов общепринятым нормам безопасности. Такими законодательными актами являются ГОСТ Р 50948-96 «Дисплеи. Средства отображения информации индивидуального пользования. Общие эргономические требования и требования безопасности» и СанПиН 2.2.2.542-96 «Гигиенические требования к видеодисплейным терминалам, персональным электронно-вычислительным машинам и организации работы».
Принятые на сегодня санитарные нормы устанавливают минимальное расстояние от экрана до пользователя 50…70 см (примерно длина вытянутой руки), в то время как это расстояние от боковой и задней стенки до рабочих мест должно быть не менее 1,5 метров.
Для каждого оснащенного компьютером рабочего места определена минимальная площадь - не менее 6 м2. Клавиатура и руки пользователя должны находиться в максимально возможном удалении от компьютера.
У плоскопанельного жидкокристаллического монитора полностью отсутствуют вредные излучения. Использование жидкокристаллических мониторов, практически не имеющих вредных излучений, в портативных компьютерах-ноутбуках создало распространенное мнение об их безвредности по сравнению со стационарными компьютерами.
Однако не следует забывать, что переменные электромагнитные поля, создаваемые импульсными преобразователями системы питания, у некоторых типов ноутбуков ничуть не меньше полей устаревших типов мониторов с ЭЛТ. Кроме того, вследствие размещения клавиатуры в едином блоке с процессором портативный компьютер находится намного ближе к пользователю, чем стационарный, а уровень электромагнитного поля, как мы уже говорили, усиливается по мере приближения к компьютеру.

Полезные советы. Приведем несколько советов, содержащих сведения о том, как обезопасить себя, когда приходится иметь дело с компьютерами или электромагнитными полями.
1. Поскольку электромагнитное излучение исходит от всех частей монитора (многие измерения показали, что уровень излучения по бокам и сзади монитора выше, чем спереди), то наиболее безопасно установить компьютер в углу комнаты или в таком месте, где те, кто на нем не работают, не оказывались бы сбоку или сзади от монитора.
2. Не оставляйте компьютер или монитор надолго включенными. Если компьютер не используется, выключите его. Это, может быть, не очень удобно (и может даже оказать некоторое влияние на срок службы компьютера), но все же это не слишком большая плата за защиту от потенциальной опасности электромагнитного поля.
3. Старайтесь сидеть по возможности дальше от экрана компьютера, но не в ущерб удобству. Согласно испытаниям, проведенным различными исследователями, пользователи, сидевшие по крайней мере в 70 см от экрана, получают минимальную дозу электромагнитного излучения. Рекомендуется при работе за компьютером помещать монитор на расстояние вытянутой руки (руки взрослого с вытянутыми пальцами).
4. Дети и беременные женщины должны проводить за компьютером не больше нескольких часов в день.

Компьютер и зрение
Природой наши глаза были предназначены для охоты и собирательства, т.е. для фокусировки на дальних расстояниях, а не для рассматривания близких предметов. Компьютер оказывает определенное отрицательное влияние на зрение человека. Мышцы, которые управляют глазами и фокусируют их на определенном предмете, просто устают от чрезмерной нагрузки.
Глазные мышцы расслаблены, когда мы смотрим вдаль. Рассматривая что-то вблизи, мы напрягаем глазные мышцы, поэтому после нескольких часов работы за монитором глаза устают. Потенциальная усталость глаз существует при любой работе, в которой участвует зрение, но наиболее велика она, когда нужно рассматривать объект на близком расстоянии. Проблема еще более возрастает, если такая деятельность связана с использованием устройств высокой яркости, например монитора компьютера. Наиболее часто утомляемость приводит к тому, что люди становятся вялыми и раздражительными. Компьютерный зрительный синдром. Напряжение, которое испытывают глаза при работе за компьютером, зачастую приводит к развитию состояния, получившего название компьютерного зрительного синдрома (КЗС). Оно характеризуется покраснением век,
болью в глазах, глаза начинают слезиться или, наоборот, в них появляется ощущение сухости, рези, жжения. Эти ощущения повышают утомляемость. Появление КЗС связано не только со световым излучением, ведь глаза человека, смотрящего на монитор, выполняют не совсем привычную работу: они воспринимают изображение, принципиально отличаюшееся от природного. Прежде всего, монитор светится, в отличие, например, от книжной страницы, но, кроме того, он мерцает, четкость и цвета объекта
на экране отличаются от естественных, а само изображение состоит из точек.
Чрезмерное увлечение работой за компьютером может также усугубить уже имеющиеся проблемы со зрением. Хотя еще и не доказано, что компьютеры действительно могут вызвать ухудшения зрения, некоторые офтальмологи высказывают опасения, что чрезмерное увлечение ими может оказать негативное влияние на мышцы, управляющие глазами, в результате чего потом будет очень трудно концентрировать зрение на определенном предмете, особенно в таких занятиях, как чтение. Если это произойдет, проблему коррекции зрения придется решать с помощью очков.
Полезные советы. К счастью, большинство этих проблем удается достаточно легко избежать. Вот некоторые способы.
1. Самое очевидное решение - это ограничить количество времени, проводимого за компьютером без перерыва. Рекомендуется делать короткий перерыв через каждые 15…30 мин занятий, или через каждый час работы. Идеальной «разрядкой» между компьютерными занятиями может быть физическая активность, не требующая напряжения зрения - прогулка, игра в мяч на воздухе или даже поход в магазин.
2. Некоторые специалисты предлагают упражнения для глаз, помогающие избежать ненужных проблем, связанных с использованием компьютера. Это могут быть такие простые упражнения, как, например, слежение за объектами, движущимися в поле зрения, или концентрация зрения на удаленных предметах. Чередование работы за компьютером с другими видами деятельности полезно еще и тем, что последние часто включают в себя зрительные движения, являющиеся хорошими упражнениями для глаз.
При первых признаках усталости сделайте одно или несколько простых упражнений на расслабление из приведенных ниже.
Упражнение 1. Плотно закройте глаза руками так, чтобы через них не проходил свет. Следите при этом за тем, чтобы посадка была удобной. Особое внимание - на спину и шею, они должны быть прямыми и расслабленными. Закройте глаза и попытайтесь увидеть перед глазами абсолютно черный цвет. Удастся это не сразу, скорее всего постоянно будут возникать цветные полоски, ромбики и кляксы. Тут можно пойти на различные ухищрения, представляя себе, например, увеличивающуюся букву «О» с черной, как смоль, типографской краской. Чем чернее будет цвет, тем лучше вы расслабили глаза. Многие люди со слабой близорукостью могут добиться полного
восстановления зрения сразу после выполнения этого упражнения.
Упражнение 2. Закройте глаза и сквозь веки посмотрите на солнце или яркую лампу. Поворачивайте глаза вправо-влево, делайте круговые движения. После окончания упражнения крепко сожмите веки на несколько секунд. Упражнение носит скорее не расслабляющий, а возбуждающий характер, поэтому рекомендуем после него сделать упражнение 1. Есть другой вариант этого упражнения. Отличается только тем, что при его выполнении необходимо быстро-быстро моргать глазами, а не закрывать их. При этом в поворотах вправо-влево могут участвовать не только глаза, но и голова.
3. Неплохо также разнообразить характер занятий за компьютером. Например, работу с текстовым процессором можно чередовать с игрой, в которой присутствуют движущиеся объекты. Такое чередование будет требовать от глаз совершенно разного поведения и воспрепятствует их утомляемости, вызванной длительной концентрацией зрения на одной и той же цели.
4. Есть еще один способ уменьшить риск перенапряжения глаз, он состоит в выборе хорошего монитора. Мониторы с высоким разрешением всегда удобнее для глаз, чем мониторы с низким разрешением. Если вы собираетесь сидеть у компьютера долго, то вам необходимо иметь дисплей с высокой четкостью.
5. Наконец, важно принять меры по уменьшению отражений от монитора. Яркое и неровное освещение в комнате может вызвать неприятные отражения на экране. Если вам доставляют беспокойство отражения от монитора или его собственная яркость, то перед ним можно установить специальный антибликовый экран.

Проблемы, связанные с мышцами и суставами
У людей, проводящих много времени за компьютером, наибольшее число жалоб на здоровье связано с заболеваниями мышц и суставов. Чаще всего это просто онемение шеи, боль в плечах и пояснице или покалывание в ногах. Но бывают более серьезные заболевания. Наиболее распространен кистевой туннельный синдром (capral tunnel syndrome), при котором нервы руки повреждаются вследствие частой и длительной работы на компьютере. Имеет смысл последить за положением своего тела, если вы
чересчур засиделись за компьютером. Обязательно проследите, чтобы стул, на котором вы сидите, не был слишком высоким или слишком низким. Заставляйте себя во время работы за компьютером не горбиться. Если вы выработаете привычку сидеть ровно и смотреть прямо на компьютер, то вероятнее всего вам удастся в будущем избежать проблем с мышцами и суставами.
Активные физические упражнения, гимнастика или просто движение являются профилактикой для суставов и мышц, поэтому старайтесь не реже одного раза в час встать из-за компьютера и сделать несколько физических упражнений или хотя бы просто пройтись по комнате.

Рациональная организация рабочего места
С понятием эргономики мы связываем рациональную организацию рабочего места. При «правильной» работе возрастет не только скорость, но и качество работы.
Чтобы работа была комфортной и эффективной, необходимо позаботиться о внешних условиях. Основное - это освещение. Оно должно быть достаточно ярким (300…500 лк), но рассеянным. Стол надо располагать боком к окну, окно должно иметь жалюзи или плотные шторы (в случае попадания прямого солнечного света).
Если дома вы работаете по ночам, включайте верхний свет, соотношение яркостей экрана и окружающих предметов не должно быть больше 10: 1. Монитор располагайте так, чтобы исключить появление бликов от искусственного или естественного освещения.
Много говорят о необходимости поддержания невысокой температуры на рабочем месте. В настоящее время исследователи считают, что оптимальной является температура 22…24°С зимой и 23… 25 °С летом. Гораздо реже вспоминают о другом условии: разница температур на уровне пола и головы сидящего оператора не должна превышать трех градусов.
Ну, и наконец, влажность воздуха в помещении должна лежать в пределах 40…60 %. Остерегайтесь сквозняков. Их на рабочем месте не должно быть, как и разного рода вентиляторов. Кстати, сквозняком российские стандарты считают перемещение воздуха со скоростью более 0,1 м/сек.
Рабочий стол. Основной параметр, влияющий на удобство работы - высота стола. Наука говорит о том, что оптимальное значение этой цифры 72,5 см. Но лучше, конечно, покупать стол с регулируемой высотой. Тогда вы сможете более точно установить удобную для вас высоту. Но это еще не все. Под столом должно быть достаточно места для ног. Выбирая стол, обратите внимание, что под ним должны помещаться как вытянутые ноги (глубина не менее 65 см), так и закинутые одна на другую (высота пространства под столом не менее 60 см).
Стол должен иметь такие размеры, чтобы на нем можно было разместить монитор, клавиатуру и документы.
Кресло (стул). Казалось бы, требования к нему сформулировать предельно просто - оно должно быть удобным. Но это не все. Кресло должно позволять телу принимать физиологически рациональную рабочую позу, при которой не нарушается циркуляция крови и не происходит других вредных воздействий. Физиологи нарисовали портрет «идеального» кресла, обеспечивающего комфортную продолжительную и безопасную работу.
Итак, кресло обязательно должно быть с подлокотниками и иметь возможность поворота, изменения высоты и угла наклона сиденья и спинки. Желательно иметь возможность регулировки высоты и расстояния между подлокотниками, расстояния от спинки до переднего края сиденья. Важно, чтобы все регулировки были независимыми, легко осуществимыми и имели надежную фиксацию.
Размер сиденья должен быть не менее 40 х 40 см. Угол его наклона варьируется от 15° вперед до 5° назад. Оптимальная высота сиденья от 40 до 55 см. Особые требования к спинке кресла: высота опорной поверхности 30±2 см, ширина не менее 38 см, радиус кривизны в горизонтальной плоскости 40 см, угол наклона от 0 до 30°, расстояние до переднего края сиденья от 26 до 40 см. Подлокотники должны быть не менее 25 см в длину, 5…7 см в ширину, находиться над сиденьем на высоте 25 ±3 см и на расстоянии от 35 до 50 см друг от друга.
Клавиатура. Требования к эргономичности клавиатуры заключаются исключительно в том, что располагаться она должна на расстоянии 10…30 см от края стола или на специальной регулируемой по высоте подставке. В любом случае, если вы набираете много текстов, то стоит позаботиться о том, чтобы запястья не висели в воздухе.
Монитор. Требования к качеству монитора мы рассмотрим ниже, а сейчас поговорим о том, как его располагать на рабочем столе. Он должен стоять так, чтобы изображение было четко видно без необходимости поднимать или опускать голову. Монитор обязательно должен быть расположен ниже уровня глаз. При взгляде вверх быстро устает шея. Подставка монитора должна быть как можно ниже. Угол наблюдения должен составлять 0…600. Расстояние до монитора не менее 40 см.

Советы по организации безопасной работы с компьютерной техникой
Элементарный здравый смысл подсказывает: если есть реальная или потенциальная опасность, связанная с влиянием какихлибо факторов, необходимо постараться свести их к минимуму.
В нашем случае надо сделать так, чтобы компьютерное излучение и электромагнитные поля были максимально приближены к природным фоновым значениям.
Решение трех проблем поможет достижению этой цели.
1. Приобретение монитора с параметрами, максимально приближенными к естественному фону. «Классические» мониторы на базе электронно-лучевых трубок, безусловно, испускают электромагнитное излучение, что очевидно уже из названия этих приборов. Множество существующих стандартов безопасности часто ставят покупателя в тупик: ISO 9241, многочисленные варианты ТСО и MPR - что все это может значить и чему доверять? Если говорить в общих чертах, то эти стандарты определяют макси-
мально допустимые значения электромагнитных полей, создаваемых монитором при работе. В каждой экономически развитой стране действуют и собственные стандарты, но особую популярность завоевали те, что были разработаны в Швеции. Они известны под наименованиями ТСО и MPR 2.
Рекомендации ТСО касаются не только пределов различных излучений, но минимально приемлемых значений ряда параметров мониторов, например поддерживаемых разрешений, интенсивности свечения люминофора, запаса яркости, энергопотребления и т.п. MPR 2 определяет максимально допустимые величины излучения электромагнитных полей и методы их измерения.
Самым жестким и соответственно самым благоприятным для пользователя является стандарт ТСО 99, спецификации которого включают в себя требования, взятые из стандартов ТСО 95, ISO, 1ЕС и EN, а также из Шведского национального стандарта MPR 1990:8 (MPR 2). Впрочем, все современные модели мониторов, как правило, соответствуют и самым современным стандартам. Для того чтобы свести к минимуму риск возникновения компьютерного зрительного синдрома, желательно работать на компьютере, удовлетворяющем следующим требованиям:
количество цветов на цветном экране не менее 256;
разрешение 800×600 точек при отсутствии мерцания;
размер зерна не менее 0,28 мм, а лучше еще меньше;
размер экрана как минимум 15 дюймов по диагонали;
частота регенерации не менее 85 Гц; оптимальной считается установка максимально возможной частоты при отсутствии мерцания.
А если вы только собираетесь приобретать монитор, то проследите, чтобы на корпусе стоял значок одной из версий шведского стандарта.
На практике намного важнее, оказывается, правильно настроить купленный монитор и выставить на нем параметры, обеспечивающие наиболее комфортные для работы и безопасные для зрения условия. Что касается разных типов защитных экранов, то отметим следующее: дешевые «поделки» за 8…20 долл. разве что успокоят вам нервную систему и снимут электростатический заряд с монитора.
В некоторых случаях они могут быть даже вредны, внося оптическое искажение (блики) в воспринимаемую вами «картинку». Качественные фильтры, реально защищающие пользователя от различных излучений монитора устаревшего типа, стоят порядка 80… 150 долл. (в зависимости от размеров экрана), так что намного целесообразнее использовать эти деньги для приобретения нового монитора, которому защитный экран не понадобится.

2. Правильная организация рабочего места. Мало приобрести компьютерную технику с хорошими показателями безопасности - ее нужно еще грамотно установить. Превышающие допустимый уровень излучения электромагнитные поля могут возникать даже у качественной сертифицированной техники, если она неправильно установлена. Поэтому при установке компьютерной техники необходимо следующее.
Проследить за правильной расстановкой компьютеров в помещении, ведь наличие большого количества мониторов в ограниченном пространстве может привести к превышению допустимого уровня магнитных полей.
Предохранять компьютер от попадания на него прямых солнечных лучей. Рабочее кресло должно находиться на безопасном расстоянии, да и от боковой и задней стенок монитора лучше держаться подальше.
Обязательно применять сетевой фильтр, а если позволяют финансы - источник бесперебойного питания. Обеспечить надежное заземление компьютерной техники и источников питания.
Правильно сориентировать монитор относительно источников света - лучше всего сидеть спиной к окну. Минимизировать блики на экране от расположенных рядом с монитором источников света, светлого оборудования, ярких поверхностей, незашторенных окон.
При использовании ноутбуков желательно подключать к ним обыкновенную клавиатуру и мышь для максимального удаления рук от процессорного блока.
Поддерживать невысокий уровень запыленности помещения. При наличии кондиционера не забудьте его включать.

3. Обеспечение оптимального режима работы с компьютером. Прежде всего необходимо обеспечить общие гигиенические нормы режима работы: ограничение времени работы на компьютере, необходимые перерывы, периодическая смена видов деятельности, зарядка для глаз и разминка для восстановления кровообращения.
Снимать утомление глаз необходимо даже во время работы: в течение нескольких секунд повращайте ими по часовой стрелке и обратно, чередуя это с легкими гимнастическими упражнениями для всего тела (например, подниманием и опусканием рук). После каждого часа работы делайте 5… 10-минутные паузы. При этом можно подойти к окну и на расстоянии 30 …50 см от стекла проделать упражнения для тренировки аккомодации глаз: посмотреть в течение нескольких секунд на метку на стекле, а после перевести взгляд на дальний объект за окном. Затем упражнение следует повторить.
Не следует сидеть за монитором вообще без света, особенно по вечерам. Позаботьтесь, чтобы яркость освещения помещения несильно отличалась от яркости экрана.
Приобретите удобное для спины и ног рабочее кресло. Следите за тем, чтобы посадка была удобной. Особое внимание - на спину и шею, они должны быть прямыми и расслабленными.
Одежда, способствующая накоплению статики, - враг компьютера и источник болезненных ощущений человека.
Старайтесь долгое время не стоять рядом с задней частью работающего монитора. И не забывайте выключать монитор, когда он не нужен.

Контрольные вопросы
1. Назовите меры защиты компьютерной информации.
2. Какие средства программно-аппаратного уровня защиты вы Знаете?
3. Как устанавливать пароли на BIOS, экранную заставку и файлы?
4. Как защититься от вирусной атаки?
5. Перечислите известные вам антивирусные программы.
6. Как предостеречь пользователя от влияния электромагнитной) излучения?
7. Как уберечься от компьютерного зрительного синдрома?
8. Перечислите меры эргономической организации рабочего компьютерного места.
9. Назовите критерии оптимального режима работы с компьютером.

Лекция 6.
Основные программно-технические меры
(сервисы безопасности)
1

Литература

В.А. Галатенко «Основы
информационной безопасности»,
Электронная книга
2

Центральным для программнотехнического уровня является понятие
сервиса безопасности.
3

Основные понятия программно-технического уровня информационной безопасности

К вспомогательным относятся сервисы
безопасности (мы уже сталкивались с
ними при рассмотрении стандартов и
спецификаций в области ИБ); среди
них нас в первую очередь будут
интересовать универсальные,
высокоуровневые, допускающие
использование различными
основными и вспомогательными
сервисами.
4

Основные понятия программно-технического уровня информационной безопасности

Далее мы рассмотрим следующие сервисы:
;
управление доступом;
протоколирование и аудит;
шифрование;
контроль целостности;
экранирование;
анализ защищенности;
обеспечение отказоустойчивости;
обеспечение безопасного восстановления;
туннелирование;
управление.
5

Основные понятия программно-технического уровня информационной безопасности

Для проведения классификации сервисов
безопасности и определения их места в общей
архитектуре меры безопасности можно
разделить на следующие виды:
превентивные, препятствующие нарушениям
ИБ;
меры обнаружения нарушений;
локализующие, сужающие зону воздействия
нарушений;
меры по выявлению нарушителя;
меры восстановления режима безопасности.
6

Основные понятия программно-технического уровня информационной безопасности

Большинство сервисов безопасности попадает в
число превентивных, и это, безусловно,
правильно. Аудит и контроль целостности
способны помочь в обнаружении нарушений;
активный аудит, кроме того, позволяет
запрограммировать реакцию на нарушение с
целью локализации и/или прослеживания.
Направленность сервисов
отказоустойчивости и безопасного
восстановления очевидна. Наконец,
управление играет инфраструктурную роль,
обслуживая все аспекты ИС.
7

Идентификация и аутентификация

Идентификация позволяет субъекту
(пользователю, процессу, действующему
от имени определенного пользователя,
или иному аппаратно-программному
компоненту) назвать себя (сообщить свое
имя).
8

Идентификация и аутентификация

Посредством аутентификации вторая
сторона убеждается, что субъект
действительно тот, за кого он себя
выдает. В качестве синонима слова "
аутентификация " иногда используют
словосочетание "проверка подлинности".
9

10. Аутентификация

Аутентификация - процедура проверки
подлинности, например:
проверка подлинности пользователя путём
сравнения введённого им пароля с паролем,
сохранённым в базе данных пользователей;
подтверждение подлинности электронного
письма путём проверки цифровой подписи
письма по открытому ключу отправителя;
проверка контрольной суммы файла на
соответствие сумме, заявленной автором
этого файла.
10

11. Авторизация

Авторизация- предоставление
определённому лицу или группе лиц
прав на выполнение определённых
действий; а также процесс проверки
(подтверждения) данных прав при
попытке выполнения этих действий.
Часто можно услышать выражение, что
какой-то человек «авторизован» для
выполнения данной операции - это
значит, что он имеет на неё право.
11

12. Авторизация

Авторизацию не следует путать с аутентификацией:
аутентификация - это процедура проверки
легальности пользователя или данных, например,
проверки соответствия введённого
пользователем пароля к учётной записи паролю в
базе данных, или проверка цифровой подписи
письма по ключу шифрования, или проверка
контрольной суммы файла на соответствие
заявленной автором этого файла.
Авторизация же производит контроль доступа
легальных пользователей к ресурсам системы
после успешного прохождения ими
аутентификации. Зачастую процедуры
аутентификации и авторизации совмещаются.
12

13. Идентификация и аутентификация

Аутентификация бывает односторонней
(обычно клиент доказывает свою
подлинность серверу) и двусторонней (
взаимной). Пример односторонней
аутентификации – процедура входа
пользователя в систему.
13

14. Парольная аутентификация

Главное достоинство парольной
аутентификации – простота и
привычность. Пароли давно встроены в
операционные системы и иные сервисы.
При правильном использовании пароли
могут обеспечить приемлемый для
многих организаций уровень
безопасности. Тем не менее, по
совокупности характеристик их следует
признать самым слабым средством
проверки подлинности.
14

15. Парольная аутентификация

Следующие меры позволяют значительно повысить
надежность парольной защиты:
наложение технических ограничений (пароль должен
быть не слишком коротким, он должен содержать буквы,
цифры, знаки пунктуации и т.п.);
управление сроком действия паролей, их периодическая
смена;
ограничение доступа к файлу паролей;
ограничение числа неудачных попыток входа в систему
(это затруднит применение "метода грубой силы");
обучение пользователей;
использование программных генераторов паролей (такая
программа, основываясь на несложных правилах, может
порождать только благозвучные и, следовательно,
запоминающиеся пароли).
15

16. Одноразовые пароли

Рассмотренные выше пароли можно
назвать многоразовыми; их раскрытие
позволяет злоумышленнику действовать
от имени легального пользователя.
Гораздо более сильным средством,
устойчивым к пассивному
прослушиванию сети, являются
одноразовые пароли.
16

17. Сервер аутентификации Kerberos

Kerberos – это программный продукт,
разработанный в середине 1980-х годов в
Массачусетском технологическом
институте и претерпевший с тех пор ряд
принципиальных изменений. Клиентские
компоненты Kerberos присутствуют в
большинстве современных
операционных систем.
17

18. Идентификация/аутентификация с помощью биометрических данных

Биометрия представляет собой совокупность
автоматизированных методов идентификации
и/или аутентификации людей на основе их
физиологических и поведенческих
характеристик. К числу физиологических
характеристик принадлежат особенности
отпечатков пальцев, сетчатки и роговицы глаз,
геометрия руки и лица и т.п. К поведенческим
характеристикам относятся динамика подписи
(ручной), стиль работы с клавиатурой. На стыке
физиологии и поведения находятся анализ
особенностей голоса и распознавание речи.
18

19. Идентификация/аутентификация с помощью биометрических данных

В общем виде работа с биометрическими
данными организована следующим
образом. Сначала создается и
поддерживается база данных характеристик
потенциальных пользователей. Для этого
биометрические характеристики
пользователя снимаются, обрабатываются,
и результат обработки (называемый
биометрическим шаблоном) заносится в
базу данных (исходные данные, такие как
результат сканирования пальца или
роговицы, обычно не хранятся).
19

20. Идентификация/аутентификация с помощью биометрических данных

Но главная опасность состоит в том, что
любая "пробоина" для биометрии
оказывается фатальной. Пароли, при всей
их ненадежности, в крайнем случае можно
сменить. Утерянную аутентификационную
карту можно аннулировать и завести новую.
Палец же, глаз или голос сменить нельзя.
Если биометрические данные окажутся
скомпрометированы, придется как минимум
производить существенную модернизацию
всей системы.
20

21.

Модели управления доступом
21

22. Цели и область применения

Цель управления доступом это
ограничение операций которые может
проводить легитимный пользователь
(зарегистрировавшийся в системе).
Управление доступом указывает что
конкретно пользователь имеет право
делать в системе, а так же какие
операции разрешены для выполнения
приложениями, выступающими от
имени пользователя.
22

23. Цели и область применения

Таким образом управление доступом
предназначено для предотвращения
действий пользователя, которые могут
нанести вред системе, например
нарушить безопасность системы.
23

24. Используемые термины

Доступ
Доступ субъекта к объекту для определенных операций.
Объект
Контейнер информации в системе
Субъект
Сущность определяющая пользователя при работе в
системе
Пользователь
Человек выполняющий действия в системе или
приложение выступающее от его имени.
24

25. Общее описание

Управление доступом это определение
возможности субъекта оперировать
над объектом. В общем виде
описывается следующей диаграммой:
25

26. Общее описание

С традиционной точки зрения средства управления
доступом позволяют специфицировать и
контролировать действия, которые субъекты
(пользователи и процессы) могут выполнять над
объектами (информацией и другими
компьютерными ресурсами). В данном разделе
речь идет о логическом управлении доступом,
которое, в отличие от физического, реализуется
программными средствами. Логическое
управление доступом – это основной механизм
многопользовательских систем, призванный
обеспечить конфиденциальность и целостность
объектов и, до некоторой степени, их
доступность (путем запрещения обслуживания
неавторизованных пользователей).
26

27. Общее описание

Задача: обеспечить управление доступом к
производственной информации.
Доступ к компьютерным системам и
данным необходимо контролировать
исходя из производственных требований
(бизнеса).
Такой контроль должен учитывать правила
распространения информации и
разграничения доступа, принятые в
организации.
27

28. Общее описание

Производственные требования к управлению
доступом к системам необходимо определить
и документально оформить.
Правила управления доступом и права доступа
для каждого пользователя или группы
пользователей должны быть четко
сформулированы в положениях политики
управления доступом к информации.
Пользователи и поставщики услуг должны
знать четко сформулированные
производственные требования,
удовлетворяющие политике управления
доступом.
28

29. Общее описание

При определении правил управления доступом
необходимо рассмотреть следующее:
различия между правилами, которые всегда должны
быть выполнены, и правилами, которые являются
необязательными или условными;
формулировать правила лучше на предпосылке
"запрещено все, что явно не разрешено", чем на
предпосылке "разрешено все, что явно не запрещено";
изменения в информационных метках, которые
инициализированы автоматически средствами
обработки информации и инициализированы по
усмотрению пользователя;
изменения в правах доступа пользователю, которые
инициализированы автоматически информационной
системой и инициализированы администратором;
правила, которые требуют одобрения администратора
или кого-либо другого перед вступлением в силу, и те
правила, которые не требуют чьего-либо одобрения.
29

30. Модели управления доступом

Полномочное управление доступом
Ролевое управление доступом
30

31. Избирательное управление доступом

Избирательное управление доступом
(англ. discretionary access control, DAC) -

объектам на основе списков управления
доступом или матрицы доступа.
Также используются названия
«дискреционное управление доступом»,
«контролируемое управление доступом»
или «разграничительное управление
доступом».
31

32. Избирательное управление доступом

Каждый объект системы имеет привязанного к нему субъекта,
называемого владельцем. Именно владелец устанавливает права
доступа к объекту.
Система имеет одного выделенного субъекта - суперпользователя,
который имеет право устанавливать права владения для всех
остальных субъектов системы.
Субъект с определенным правом доступа может передать это право
любому другому субъектуп
Права доступа субъекта к объекту системы определяются на
основании некоторого внешнего (по отношению к системе) правила
(свойство избирательности).
Для описания свойств избирательного управления доступом
применяется модель системы на основе матрицы доступа (МД,
иногда ее называют матрицей контроля доступа). Такая модель
получила название матричной.
Матрица доступа представляет собой прямоугольную матрицу, в
которой объекту системы соответствует строка, а субъекту столбец. На пересечении столбца и строки матрицы указывается тип
(типы) разрешенного доступа субъекта к объекту. Обычно выделяют
такие типы доступа субъекта к объекту как "доступ на чтение",
"доступ на запись", "доступ на исполнение" и др.
32

33. Избирательное управление доступом

Множество объектов и типов доступа к ним субъекта может
изменяться в соответствии с некоторыми правилами,
существующими в данной системе.
Например, доступ субъекта к конкретному объекту может быть
разрешен только в определенные дни (дата-зависимое
условие), часы (время-зависимое условие), в зависимости от
других характеристик субъекта (контекстно-зависимое
условие) или в зависимости от характера предыдущей работы.
Такие условия на доступ к объектам обычно используются в
СУБД. Кроме того, субъект с определенными полномочиями
может передать их другому субъекту (если это не
противоречит правилам политики безопасности).
Решение на доступ субъекта к объекту принимается в
соответствии с типом доступа, указанным в соответствующей
ячейке матрицы доступа. Обычно, избирательное управление
доступом реализует принцип "что не разрешено, то
запрещено", предполагающий явное разрешение доступа
субъекта к объекту.
33

34. Избирательное управление доступом

Возможны и смешанные варианты
построения, когда одновременно в
системе присутствуют как владельцы,
устанавливающие права доступа к своим
объектам, так и суперпользователь,
имеющий возможность изменения прав
для любого объекта и/или изменения его
владельца. Именно такой смешанный
вариант реализован в большинстве
операционных систем, например Unix или
Windows NT.
34

35. Полномочное управление доступом

Мандатное управление доступом (англ. Mandatory
access control, MAC) - разграничение доступа
субъектов к объектам, основанное на назначении
метки конфиденциальности для информации,
содержащейся в объектах, и выдаче официальных
разрешений (допуска) субъектам на обращение к
информации такого уровня конфиденциальности.
Также иногда переводится как Принудительный
контроль доступа. Это способ, сочетающий
защиту и ограничение прав, применяемый по
отношению к компьютерным процессам, данным
и системным устройствам и предназначенный для
предотвращения их нежелательного
использования.
35

36. Полномочное управление доступом

все субъекты и объекты системы должны
быть однозначно идентифицированы;
каждому объекту системы присвоена
метка критичности, определяющая
ценность содержащейся в нем
информации;
каждому субъекту системы присвоен
уровень прозрачности (security clearance),
определяющий максимальное значение
метки критичности объектов, к которым
субъект имеет доступ.
36

37. Полномочное управление доступом

В том случае, когда совокупность меток имеет одинаковые
значения, говорят, что они принадлежат к одному
уровню безопасности. Организация меток имеет
иерархическую структуру и, таким образом, в системе
можно реализовать иерархически не нисходящий (по
ценности) поток информации (например, от рядовых
исполнителей к руководству). Чем важнее объект или
субъект, тем выше его метка критичности. Поэтому
наиболее защищенными оказываются объекты с
наиболее высокими значениями метки критичности.
Каждый субъект кроме уровня прозрачности имеет
текущее значение уровня безопасности, которое может
изменяться от некоторого минимального значения до
значения его уровня прозрачности. Для принятия
решения на разрешение доступа производится
сравнение метки критичности объекта с уровнем
прозрачности и текущим уровнем безопасности
субъекта.
37

38. Полномочное управление доступом

Результат сравнения определяется двумя
правилами: простым условием защиты (simple
security condition) и свойством (property). В
упрощенном виде, они определяют, что
информация может передаваться только
"наверх", то есть субъект может читать
содержимое объекта, если его текущий уровень
безопасности не ниже метки критичности
объекта, и записывать в него, если не выше.
Простое условие защиты гласит, что любую
операцию над объектом субъект может
выполнять только в том случае, если его уровень
прозрачности не ниже метки критичности
объекта.
38

39. Полномочное управление доступом

Основное назначение полномочной политики
безопасности - регулирование доступа субъектов
системы к объектам с различным уровнем критичности и
предотвращение утечки информации с верхних уровней
должностной иерархии на нижние, а также
блокирование возможных проникновений с нижних
уровней на верхние. При этом она функционирует на
фоне избирательной политики, придавая ее
требованиям иерархически упорядоченный характер (в
соответствии с уровнями безопасности).
Мандатная система разграничения доступа реализована в
ОС FreeBSD Unix.
В SUSE Linux и Ubuntu есть архитектура мандатного
контроля доступа под названием AppArmor.
39

40. Ролевое управление доступом

Управление доступом на основе ролей
(англ. Role Based Access Control,
RBAC) - развитие политики
избирательного управления доступом,
при этом права доступа субъектов
системы на объекты группируются с
учётом специфики их применения,
образуя роли.
40

41. Ролевое управление доступом

Ролевая модель управления доступом содержит ряд
особенностей, которые не позволяют отнести её
ни к категории дискреционных, ни к категории
мандатных моделей.
Основная идея реализуемого в данной модели
подхода состоит в том, что понятие «субъект»
заменяется двумя новыми понятиями:
пользователь – человек, работающий в системе;
роль – активно действующая в системе
абстрактная сущность, с которой связан
ограниченный и логически непротиворечивый
набор полномочий, необходимых для
осуществления тех или иных действий в системе.
41

42. Ролевое управление доступом

Классическим примером роли является root в Unixподобных системах – суперпользователь,
обладающий неограниченными полномочиями.
Данная роль по мере необходимости может
быть задействована различными
администраторами.
Основным достоинством ролевой модели
является близость к реальной жизни: роли,
действующие в АС, могут быть выстроены в
полном соответствии с корпоративной иерархией
и при этом привязаны не к конкретным
пользователям, а к должностям – что, в частности,
упрощает администрирование в условиях
большой текучки кадров.
42

43. Ролевое управление доступом

Управление доступом при использовании
ролевой модели осуществляется следующим
образом:
1. Для каждой роли указывается набор
полномочий, представляющий собой набор
прав доступа к объектам АС.
2. Каждому пользователю назначается список
доступных ему ролей.
Отметим, что пользователь может быть
ассоциирован с несколькими ролями –
данная возможность также значительно
упрощает администрирование сложных
корпоративных АС.
43

44. Ролевое управление доступом

RBAC широко используется для
управления пользовательскими
привилегиями в пределах единой
системы или приложения. Список
таких систем включает в себя Microsoft
Active Directory, SELinux, FreeBSD,
Solaris, СУБД Oracle и множество
других.
44

45. Модель Белла - Лападулы

Модель Белла - Лападулы - модель
контроля и управления доступом,
основанная на мандатной модели
управления доступом. В модели
анализируются условия, при которых
невозможно создание
информационных потоков от
субъектов с более высоким уровнем
доступа к субъектам с более низким
уровнем доступа.
45

46. Модель Белла - Лападулы

Классическая модель Белла - Лападулы была описана в
1975 году сотрудниками компании MITRE Corporation
Дэвидом Беллом и Леонардом Лападулой, к созданию
модели их подтолкнула система безопасности для
работы с секретными документами Правительства США.
Суть системы заключалась в следующем: каждому
субъекту (лицу, работающему с документами) и объекту
(документам) присваивается метка
конфиденциальности, начиная от самой высокой
(«особой важности»), заканчивая самой низкой
(«несекретный» или «общедоступный»). Причем субъект,
которому разрешён доступ только к объектам с более
низкой меткой конфиденциальности, не может получить
доступ к объекту с более высокой меткой
конфиденциальности. Также субъекту запрещается
запись информации в объекты с более низким уровнем
безопасности.
46

47. Модель Харрисона-Руззо-Ульмана

Модель Харрисона-Руззо-Ульмана
является классической дискреционной
моделью, реализует произвольное
управление доступом субъектов к
объектам и контроль за распределение
прав доступа в рамках этой модели.
47

48. Модель Харрисона-Рузза-Ульмана

Модель Харрисона-РуззаУльмана
Система обработки предоставляется в виде
совокупности активных сущностей субъектов,
формирующих множество субъектов,
которые осуществляют доступ к
пользователям пассивных сущностей
объектов, формирующих множество
объектов, содержащих защищаемую
информацию, и конечного множества прав
доступа, характеризующего полномочия на
выполнение соответствующих действий до
того, что бы включить в область действия
модели отношения между субъектами.
Принято считать, что все субъекты
одновременно являются и объектами.
48

49. Модель пятимерного пространства безопасности Хордстона

Теперь рассмотрим модель, называемую
пятимерным пространством
безопасности Хартстона. В данной
модели используется пятимерное
пространство безопасности для
моделирования процессов, установления
полномочий и организации доступа на их
основании. Модель имеет пять основных
наборов:
А – установленных полномочий; U –
пользователей; Е – операций; R –
ресурсов; S – состояний.
49

50. Модель пятимерного пространства безопасности Хордстона

Область безопасности будет выглядеть как
декартово произведение: А×U×E×R×S. Доступ
рассматривается как ряд запросов,
осуществляемых пользователями u для
выполнения операций e над ресурсами R в то
время, когда система находится в состоянии s.
Например, запрос на доступ представляется
четырехмерным кортежем q = (u, e, R, s), u U,e
E,s S,r R. Величины u и s задаются системой в
фиксированном виде.
Таким образом, запрос на доступ – подпространство
четырехмерной проекции пространства
безопасности. Запросы получают право на доступ
в том случае, когда они полностью заключены в
соответствующие подпространства.
50

51. Монитор безопасности обращений

Концепция монитора безопасности обращений
является достаточно естественной формализацией
некого механизма, реализующего разграничение
доступа в системе.
Монитор безопасности обращений (МБО)
представляет собой фильтр, который разрешает
или запрещает доступ, основываясь на
установленных в системе правилах разграничения
доступа
51

52. Монитор безопасности обращений

Получив запрос на доступ от субъекта S к объекту O, монитор
безопасности обращений анализирует базу правил,
соответствующую установленной в системе политике
безопасности, и либо разрешает, либо запрещает доступ.
Монитор безопасности обращений удовлетворяет следующим
свойствам:
1. Ни один запрос на доступ субъекта к объекту не должен
выполняться в обход МБО.
2. Работа МБО должна быть защищена от постороннего
вмешательства.
3. Представление МБО должно быть достаточно простым для
возможности верификации корректности его работы.
Несмотря на то, что концепция монитора безопасности
обращений является абстракцией, перечисленные свойства
справедливы и для программных или аппаратных модулей,
реализующих функции монитора обращений в реальных
системах.
52

53. Модели целостности

Одной из целей политики
безопасности- защита от нарушения
целостности информации.
Наиболее известны в этом классе
моделей модель целостности Биба и
модель Кларка-Вильсона.
53

54. Модель Кларка-Вилсона

Модель Кларка-Вилсона появилась в
результате проведенного авторами анализа
реально применяемых методов обеспечения
целостности документооборота в
коммерческих компаниях. В отличие от
моделей Биба и Белла-ЛаПадулы, она
изначально ориентирована на нужды
коммерческих заказчиков, и, по мнению
авторов, более адекватна их требованиям,
чем предложенная ранее коммерческая
интерпретация модели целостности на основе
решеток.
54

55. Модель Кларка-Вилсона

Основные понятия рассматриваемой модели - это
корректность транзакций и разграничение
функциональных обязанностей. Модель задает
правила функционирования компьютерной
системы и определяет две категории объектов
данных и два класса операций над ними. Все
содержащиеся в системе данные подразделяются
на контролируемые и неконтролируемые
элементы данных (constrained data items - CDI и
unconstrained data items - UDI соответственно).
Целостность первых обеспечивается моделью
Кларка-Вилсона. Последние содержат
информацию, целостность которой в рамках
данной модели не контролируется (этим и
объясняется выбор терминологии).
55

56. Модель Кларка-Вилсона

Далее, модель вводит два класса операций
над элементами данных: процедуры
контроля целостности (integrity
verification procedures - IVP) и процедуры
преобразования (transformation
procedures - ТР). Первые из них
обеспечивают проверку целостности
контролируемых элементов данных (CDI),
вторые изменяют состав множества всех
CDI (например, преобразуя элементы UDI
в CDI).
56

57. Модель Кларка-Вилсона

Так же модель содержит девять правил,
определяющих взаимоотношения
элементов данных и процедур в
процессе функционирования системы.
57

58.

58

59. Модель Биба

В основе модели Биба лежат уровни
целостности, аналогичные уровням
модели Белла-Лападула. В отличие от
модели Белла-Лападула чтение
разрешено теперь только вверх (от
субъекта к объекту, уровень ценности
которого превосходит уровня субъекта),
а запись - только вниз. Правила данной
модели являются полной
противоположностью правилам модели
Белла-Лападула.
59

60. Модель Биба

В модели Биба рассматриваются
следующие доступы субъектов к
объектам и другим субъектам: доступ
субъекта на модификацию объекта,
доступ субъекта на чтение объекта,
доступ субъекта на выполнение и
доступ субъекта к субъекту.
60

61. Модель Биба

Отдельного комментария заслуживает вопрос,
что именно понимается в модели Биба под
уровнями целостности.
Действительно, в большинстве приложений
целостность данных рассматривается как некое
свойство, которое либо сохраняется, либо не
сохраняется – и введение иерархических
уровней целостности может представляться
излишним.
В действительности уровни целостности в модели
Биба стоит рассматривать как уровни
достоверности, а соответствующие
информационные потоки – как передачу
информации из более достоверной совокупности
данных в менее достоверную и наоборот.