Разработка системы защиты автоматизированной информационной системы

0

Министерство образования и науки Российской Федерации

 

ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ

ВЫСШЕГО ОБРАЗОВАНИЯ

«ОРЕНБУРГСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ»

 

Факультет математики и информационных технологий

 

Кафедра программного обеспечения вычислительной техники и автоматизированных систем

 

 

 

КУРСОВАЯ РАБОТА

 

по дисциплине «Защита информационных процессов в компьютерных системах»

 

«Разработка системы защиты автоматизированной информационной системы»

 

 

ОГУ 09.03.01.5016.143 ПЗ

 

 

 

 

Руководитель:

____________Н.А.Тишина "___"_____________2017г.

Исполнитель

студент группы 14ИВТ(ба)ПОВТ-1

____________Р.Р.Музафаров

"___"_____________2017

  Оренбург 2017

 

 

Министерство образования Российской Федерации

 

ФЕДЕРАЛЬНОЕ БЮДЖЕТНОЕ ГОСУДАРСТВЕННОЕ

ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ

ВЫСШЕГО ОБРАЗОВАНИЯ

«ОРЕНБУРГСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ»

 

 

Факультет математики и информационных технологий

 

Кафедра «Программного обеспечения вычислительной техники и автоматизированных систем»

 

 

по курсу «Защита информационных процессов в

компьютерных системах»

 

Тема по варианту: «Разработка системы защиты автоматизированной информационной системы»

 

         Цель курсовой работы: расширение, углубление знаний студента и формирование у него навыков научно-исследовательской деятельности.

 

   Задачи:

  • систематизации научных знаний;
  • углублении уровня и расширении объема профессионально значимых знаний, умений и навыков;
  • формировании умений и навыков самостоятельной организации научно-исследовательской работы.

 

 

 

Оренбург 2017

 

 

Содержание

Введение…………….………………………………………………..........…….3

1 Формирование политики безопасности при администрировании сайта……………………………………………..……………..…….............…..5

1.1 Исходные данные……………………………………….......……...…..…..5 1.2 Определение перечня защищаемых ресурсов и их критичности…….....6

1.3 Описание реализации информационных сервисов………………..…..…8

1.4 Определение собственной программно-аппаратной организации информационной системы……………………………………...…...…...…..…8 1.5 Определение класса защищенности АС……………………….…….…..11 1.6 Классификация ИСПДн………………………………………………..…11 1.7 Модель нарушителя……………………………….……………..……….12 1.8 Формирование требований к защищенности АС………………..…..….16 1.9 Модель угроз……………………………………………….……….….….17

2 Программно-аппаратные средства защиты информации…….......………24

Заключение………………………………..……………………...…..……..….26

Список используемой литературы……………………………………………27

 

 

 

 


Введение

Информационная безопасность предприятия – это защищенность информации, которой располагает предприятие (производит, передает или получает) от несанкционированного доступа, разрушения, модификации, раскрытия и задержек при поступлении. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода

Компьютеризация, развитие телекоммуникаций предоставляют сегодня широкие возможности для автоматизированного доступа к различным конфиденциальным, персональным и другим важным, критическим данным в обществе (его граждан, организаций и т.д.).

Проблема создания и поддержания защищенной среды информационного обмена, реализующая определенные правила и политику безопасности современной организации, является весьма актуальной. Информация давно уже перестала играть чисто вспомогательную роль, превратившись в весьма важный и весомый, чуть ли не материальный, фактор со своими стоимостными характеристиками, определяемыми той реальной прибылью, которую можно получить от ее (информации) использования. В то же время, вполне возможен сегодня и вариант ущерба, наносимого владельцу информации (предприятию) путем несанкционированного проникновения в информационную структуру и воздействия на ее компоненты.

 

         Цель курсовой работы: В рамках выполняемой курсовой работы выполнена разработка системы защиты по администрированию сайта государственного приема обращений граждан с использованием всех известных методов и программно – аппаратных средств.

 

   Задачи:

        - Составить  модель системы;

       - Составить модель нарушителя;

        - Составить список угроз;

        - Разработать политику безопасности;

 

 

 

Рис. 1 Пример окна сайта.

 

 

 

1 Формирование политики безопасности при администрировании сайта государственного приема обращений граждан.

 

1.1 Исходные данные

 

В рамках выполняемой курсовой работы выполнена разработка системы защиты по администрированию сайта государственного приема обращений граждан с использованием всех известных методов и программно – аппаратных средств. При этом необходимо было составить: модель системы, модель нарушителя, список угроз, разработать политику безопасности.

 

 

Рисунок 2 – Схема информационных потоков при администрировании                  сайт государственного приема обращений граждан.

 

Система включает в себя:

  • локальная сеть, через которую администратор получает прямой доступ к веб-серверу (наиболее безопасный способ поддержки сайта);
  • удаленное администрирование сайта по проводной или беспроводной сети (небезопасный способ);
  • пользователи
  • злоумышленник, который является угрозой несанкционированного доступа ко всем данным, хранящимся на сервере сайта.

Все пользователи имеют разные уровни допуска к информационной системе сайта.  Зарегистрированным пользователям предоставляется больший доступ информации на сайте, чем тем пользователям, которые являются на сайте в качестве гостя, то есть незарегистрированного пользователя. Администратор сайта обладает высшим уровнем доступа

Эта автоматизированная система относится к первой группе многопользовательской АС с разными полномочиями.

Объектами защиты с точки зрения информационной безопасности в государственном учреждении являются

  • платежная информация;
  • персональные данные клиентов;
  • государственный информационный технологический процесс;
  • электронные базы данных;
  • различного рода носители защищаемой информации.

 

1.2 Определение перечня защищаемых ресурсов и их критичности

 

Перед началом осуществления плана по защите данных в АС следует выделить информационные ресурсы, нуждающиеся в защите и оценить важность защищаемой информации. Чтобы определить информацию, подлежащую защите при администрировании государственного сайта, необходимо обратиться к следующим нормативным документам:

  1. ФЗ № 149 от 27.07.2006 «Об информации, информационных технологиях и защите информации»;
  2. ФЗ № 98 от 29.07.2004 «О коммерческой тайне»;
  3. ФЗ № 152 от 27.07.2006 «О персональных данных»;
  4. Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера» (с изменениями на 23 сентября 2005 г.).

Данные нормативные документы позволяют выделить следующие виды информации организации, подлежащей защите:
1. Общедоступная информация -  открытая информация об организационно-штатной структуре, распорядительные документы.

  1. Персональные данные - данные пользователей сайта, клиентов, данные о сотрудниках и руководителе гос. аппарата
  2. Коммерческая тайна - это сведения о компании, которые связаны с производственными процессами, управлением, технологиями, финансами и прочей деятельностью организации, разглашение которых может привести к ущербу для интересов руководства предприятия.

В настоящее время наиболее критичными данными, с точки зрения защиты информации, являются персональные данные. Критичность выделенных данных обусловлена тем, что их разглашение может привести к значительным негативным последствиям для субъектов персональных данных, а также влечет за собой наложение больших штрафов на организацию, методы административного, а иногда и уголовного воздействия.

 

Приведём подробный перечень защищаемых ресурсов в информационных системах указанной организации с указанием категорий допуска и допущенных лиц.

 

Защищаемый ресурс

Категория доступа

Допущенные лица

 

 

 

Информация, идентифицирующая клиента

 

 

 

 

Персональные данные

Сам клиент

 

Доверенное лицо

 

Работник, контактирующий с клиентом во время подписания договора

 

Руководство

Информация об операциях со счетами клиента

 

Коммерческая тайна

Клиент

 

Бухгалтерский отдел

 

Руководство

Отчетности

 

Коммерческая тайна

Бухгалтерский отдел

 

Руководство

 

Таблица 1 – Перечень защищаемых ресурсов

 

 

1.3 Описание реализации информационных сервисов

 

1.Обмен файлами.

Реализуется через виртуальную частную сеть VPN. Сетевые папки пользователей хранятся на сервере.  

  1. Доступ в АС высшего звена

Реализуется по каналу связи с использованием сервера ЛВС и межсетевого экрана.

  1. Электронная почта

Реализуется с помощью установленного почтового сервера.

  1. Вывод документов на печать

Реализуется посредством установки принтеров у начальников отделов и общих принтеров в отделах.

  1. Доступ в базы данных

Реализуется с помощью установленного сервера баз данных, веб-сервера

  1. Доступ к сайту в качестве пользователя

Реализуется через проводную или беспроводную связь

  1. Доступ к сайту в качестве администратора

Реализуется напрямую, что является наиболее защищенным способом, но также возможно администрирование сайта через проводную и беспроводную связь

  1. Взаимодействие сайта с отделом по обслуживанию клиентов

Реализуется посредством отправки форм с сайта проходя через веб-сервер, направляется к работнику.

 

1.4 Определение особенностей программно-аппаратной организации информационной системы



        Необходимо обеспечивать комплексную защиту всех информационных служб и коммуникационных каналов между ними. Чтобы определить необходимые механизмы безопасности, нужно разработать программно-аппаратную реализацию всех серверов, рабочих мест, каналов связи информационной системы, а также других коммуникационных систем, особенно связанных с элементами информационной системы. Для наглядности составим принципиальную схему программно-аппаратной реализации системы.

 

 

Рисунок 3 – Принципиальная схема программно-аппаратной реализации системы администрирования сайта

 

 

Рисунок 4 – схема IDEF0

 

                                         

 

Рисунок 5 – Схема IDEF0 декомпозиция

 

1.5 Определение класса защищенности АС

 

Для того чтобы сформировать набор требований по безопасности, которым должна отвечать АС, был  определен  ее класс защищенности. Класс защищенности согласно руководящему документу Гостехкомиссии «Автоматизированные системы. Защита от НСД к информации. Классификация автоматизированных систем и требования по защите информации» определялся на основании:

  • перечня защищаемых ресурсов АС и их уровней конфиденциальности;
  • перечня лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий;
  • матрицы доступа или полномочий субъектов доступа по отношению к защищаемым информационным ресурсам АС;
  • режимов обработки данных в АС.

 

Определение класса защищенности АС  позволяет сформировать набор требований по безопасности, которые предъявляются к этому классу систем. Эти требования изложены в РД ФСТЭК «Средства вычислительной техники. Защита от НСД. Показатели защищенности от несанкционированного доступа к информации».  Кроме того, на основе класса защищаемой АС  выбираются средства вычислительной техники (СВТ), которые должны иметь соответствующий класс защищенности СВТ. Также необходимо обратить внимание  на то, что в АС обрабатываются персональные данные, следовательно, необходимо определить и класс ИСПД.

 

1.6 Классификация ИСПД

 

 Согласно порядку проведения классификации информационных систем персональных данных, введенному Приказом ФСТЭК России, ФСБ России, Мининформсвязи России N 55/86/20, было установлено для ИСПД

следующее: 

- определена   категорию обрабатываемых персональных данных;

- определен объем персональных данных, обрабатываемых в информационной системе.

 Категория  ПДн 1 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся ПДн касающаяся здоровья, национальности, интимной жизни и т.д.

Объем обрабатываемых ПДн - объем 1 - одновременно обрабатываются персональные данные свыше 100 000 субъектов персональных данных, работающих в отрасли экономики РФ, в органе государственной власти, проживающих в пределах муниципального образования;

 На основании этого был сделан вывод, что ИСПД относиться к классу К1 (класс защищенности (К-1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных; )и требует дополнительной защиты.

Требования к 1 классу ИСПДн:

           -идентификация и проверка подлинности пользователя сайта при входе в информационную  систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов

          -регистрация входа (выхода)  пользователя на сайте, а также его авторизация и аутентификация пользователя

          -обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды.

 

1.7 Модель нарушителя

 

Целью оценки возможностей нарушителей по реализации угроз безопасности информации является формирование предположения о типах, видах нарушителей, которые могут реализовать угрозы безопасности информации в информационной системе с заданными структурно-функциональными характеристиками и особенностями функционирования, а также потенциале этих нарушителей и возможных способах реализации угроз безопасности информации.

С учетом наличия прав доступа и возможностей по доступу к информации и (или) к компонентам информационной системы нарушители подразделяются на два типа:

внешние нарушители (тип I) – лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы;

внутренние нарушители (тип II) – лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельным компонентам.

Угрозы безопасности информации в информационной системе могут быть  реализованы следующими видами нарушителей (таблица 2):

 

 

 

Вид нарушителя

Тип нарушителя

Возможные цели реализации угроз безопасности информации

Преступные группировки (криминальные структуры)

Внешний

Причинение имущественного ущерба путем мошенничества или иным преступным путем. Выявление уязвимостей с целью дальнейшей их продажи и получения финансовой выгоды.

Внешние субъекты

(физические лица)

Внешний

Идеологические и политические мотивы. Причинение имущественного ущерба путем мошенничества или иным преступным путем. Любопытство или желание самореализации. Выявление уязвимостей с целью дальнейшей их продажи и получения финансовой выгоды.

Конкурирующие организации

Внешний

Получение конкурентных преимуществ.

Причинение имущественного

ущерба путем обмана или злоупотребления доверием

Разработчики, производители, поставщики программных, технических и

Программно-технических

Средств

Внешний

Внедрение дополнительных

функциональных возможностей

в программное обеспечение или

программно-технические средства на этапе разработки.

Причинение имущественного

ущерба путем обмана или злоупотребления доверием.

Непреднамеренные, неосторожные или неквалифицированные действия

Лица, привлекаемые для

установки, наладки, монтажа, пусконаладочных и

иных видов работ

Внутренний

Причинение имущественного

ущерба путем обмана или злоупотребления доверием.

Непреднамеренные, неосторожные или неквалифицированные действия

Лица, обеспечивающие

функционирование информационных систем или обслуживающие инфраструктуру оператора (администрация, охрана, уборщики и т.д.)

 

 

Внутренний

 

 

 

Причинение имущественного

ущерба путем обмана или злоупотребления доверием.

Непреднамеренные, неосторожные или неквалифицированные действия

Пользователи информационной системы

Внутренний

Причинение имущественного

ущерба путем мошенничества

или иным преступным путем.

Любопытство или желание самореализации (подтверждение

статуса). Месть за ранее совершенные действия.

Непреднамеренные, неосторожные или неквалифицированные действия

Администраторы информационной системы

и администраторы безопасности

Внутренний

Причинение имущественного

ущерба путем мошенничества

или иным преступным путем.

Любопытство или желание самореализации (подтверждение

статуса).

Месть за ранее совершенные

действия.

Выявление уязвимостей с целью их дальнейшей продажи и

получения финансовой выгоды.

Непреднамеренные, неосторожные или неквалифицированные действия

Бывшие работники

(пользователи)

Внешний

Причинение имущественного

ущерба путем мошенничества

или иным преступным путем.

Месть за ранее совершенные

Действия.

 

Таблица 2 –Модель нарушителей.

 

1.8 Формирование требований к защищённости АС

 

К первому классу защищенности АС согласно руководящему документу Гостехкомиссии «Автоматизированные системы. Защита от НСД к информации. Классификация автоматизированных систем и требования по защите информации» были представлены следующие требования:

 

Подсистема управления доступом:

Должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов.

 

Подсистема регистрации и учета:

 Должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС.

 

В параметрах регистрации указываются:

- дата и время входа (выхода) субъекта доступа в систему (из системы) или

загрузки (останова) системы;

- результат попытки входа: успешная или неуспешная (при НСД);

- должен проводиться учет всех защищаемых носителей информации с

помощью их маркировки и с занесением учетных данных в журнал (учетную карточку).

- обеспечение доступа пользователей к защищаемым ресурсам в соответствии с матрицей доступа.

 

Подсистема обеспечения целостности:

 Должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды.     При этом:

- целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ;

 - целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации;

- должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время;

 - должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

 - должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности. 

 

1.9 Модель угроз

 

Модель угроз -  методический документ предназначенный для государственных и муниципальных органов, юридических и (или) физических лиц (далее – операторов), организующих и (или) осуществляющих обработку ПДн, а также определяющих цели и содержание обработки ПДн, заказчиков и разработчиков ИСПДн и их подсистем. Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн. Подход к составлению перечня актуальных угроз состоит в следующем.

Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы. Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице 3.

Согласно документам ФСТЭК «Базовая модель угроз безопасности персональных данных при их обработки в информационных системах персональных данных» от 15 февраля 2008г. и «Методика определения актуальных угроз безопасности персональных данных при их обработки в информационных системах персональных данных» была определена модель угроз для АС и обрабатываемой в ней информации, включая ПДн.

        

Технические и эксплуатационные

характеристики ИСПДн

Уровень защищенности

Высокий

Средний

Низкий

1.                      По территориальному размещению:

распределенная ИСПДн, которая

охватывает несколько областей, краев,

округов или государство в целом;

 

-

 

-

 

+

городская ИСПДн, охватывающая не более

одного населенного пункта (города,

поселка);

 

-

 

-

 

+

корпоративная распределенная ИСПДн,

охватывающая многие подразделения

одной организации;

 

-

 

+

 

-

локальная (кампусная) ИСПДн,

развернутая в пределах нескольких близко

расположенных зданий;

 

-

 

+

 

-

локальная ИСПДн, развернутая в пределах

одного здания

+

-

-

2. По наличию соединения с сетями общего пользования:

ИСПДн, имеющая многоточечный выход в

сеть общего пользования;

-

-

+

ИСПДн, имеющая одноточечный выход в

сеть общего пользования;

-

+

-

ИСПДн, физически отделенная от сети общего пользования

+

-

-

3. По встроенным (легальным) операциям   с записями баз

персональных данных:

чтение, поиск;

+

-

-

запись, удаление, сортировка;

-

+

-

модификация, передача

-

-

+

4. По разграничению доступа к персональным данным:

ИСПДн, к которой имеют доступ

определенные переченем сотрудники

организации, являющейся владельцем

ИСПДн, либо субъект ПДн;

 

-

 

+

 

-

ИСПДн, к которой имеют доступ все

сотрудники организации, являющейся

владельцем ИСПДн;

 

-

 

-

 

+

5. По наличию соединений с другими базами ПДн иных ИСПДн:

интегрированная ИСПДн (организация

использует несколько баз ПДн ИСПДн,

при этом организация не является

владельцем всех используемых баз ПДн);

 

-

 

 

-

 

+

ИСПДн, в которой используется

одна база ПДн, принадлежащая

организации – владельцу данной ИСПДн

 

+

 

-

 

-

                6. По уровню обобщения (обезличивания) ПДн:

ИСПДн, в которой предоставляемые

пользователю данные являются

обезличенными (на уровне организации,

отрасли, области, региона и т.д.);

 

+

 

-

 

-

ИСПДн, в которой данные обезличиваются

только при передаче в другие организации

и не обезличены при предоставлении

пользователю в организации;

 

-

 

+

 

 

-

ИСПДн, в которой предоставляемые

пользователю данные не являются

обезличенными (т.е. присутствует

информация, позволяющая

идентифицировать субъекта ПДн)

 

 

-

 

 

-

 

 

+

7.По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:

ИСПДн, предоставляющая всю базу данных

с ПДн;

-

-

+

ИСПДн, предоставляющая часть ПДн;

-

+

-

ИСПДн, не предоставляющая никакой

информации.

+

-

-

Процентное соотношение  ответов

28,5%

42,8%

28,5%

Таблица 3 -Показатели исходной защищенности ИСПДн

 

ИСПДн имеет средний уровень исходной защищенности, так как не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний», а остальные – низкому уровню защищенности.

При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент Y1, а именно:

0 – для высокой степени исходной защищенности;

5 – для средней степени исходной защищенности;

10 – для низкой степени исходной защищенности.

Степень исходной защищенности = 5 – для средней степени исходной защищенности.

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем, показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

         низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты. При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2, а именно:

0 – для маловероятной угрозы;

2 – для низкой вероятности угрозы;

5 – для средней вероятности угрозы;

10 – для высокой вероятности угрозы.
С учетом изложенного коэффициент реализуемости угрозы Y будет определяться соотношением

По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:

если 0 ≤ Y ≤ 0,3, то возможность реализации угрозы признается низкой;

если 0,3 < Y ≤ 0,6 , то возможность реализации угрозы признается средней;

если 0,6 < Y ≤ 0,8, то возможность реализации угрозы признается высокой;

если Y > 0,8, то возможность реализации угрозы признается очень высокой
Далее оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн.

Этот показатель имеет три значения:

низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

средняя опасность – если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;

высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

Затем осуществляется выбор из общего (предварительного) перечня     угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами.

 

Угрозы с базы угроз

ФСТЭК

Опасность

Актуальность

угрозы

Вероятность

Y2

 

Возможность

Реализации

угрозы

УБИ.042: Угроза межсайтовой подделки запроса

 

высокая

 

Актуальная

 

2

 

0,35

 

низкая

УБИ.067: Угроза неправомерного ознакомления с защищаемой информацией

 

 

средняя

 

 

неактуальная

 

 

2

 

 

0,35

 

 

низкая

УБИ.069: Угроза неправомерных действий в каналах связи

 

 

 

высокая

 

 

актуальная

 

 

5

 

 

0,2

 

 

низкая

УБИ.072: Угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS

 

 

высокая

 

 

актуальная

 

 

0

 

 

0,25

 

 

низкая

УБИ.074: Угроза несанкционирован

ного доступа к аутентификацион

ной информации

 

 

высокая

 

 

актуальная

 

 

10

 

 

0,75

 

 

очень

высокая

УБИ.083: Угроза несанкционированного доступа к системе по беспроводным каналам

 

 

высокая

 

 

актуальная

 

 

5

 

 

0,2

 

 

низкая

УБИ.084: Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети

 

 

 

средняя

 

 

 

неактуальная

 

 

 

0

 

 

 

0,25

 

 

 

низкая

УБИ.088: Угроза несанкционированного копирования защищаемой информации

 

 

высокая

 

 

актуальная

 

 

2

 

 

0,35

 

 

средняя

УБИ.111: Угроза передачи данных по скрытым каналам

 

 высокая

 

неактуальная

 

0

 

 

0,25

 

низкая

УБИ.152: Угроза удаления аутентификационной информации

 

 

низкая

 

 

неактуальная

 

 

5

 

 

 

0,5

 

 

средняя

УБИ.157: Угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации

 

 

 

высокая

 

 

 

неактуальная

 

 

 

0

 

 

 

0,25

 

 

 

низкая

УБИ.168: Угроза «кражи» учётной записи доступа к сетевым сервисам

 

низкая

 

неактуальная

 

0

 

 

0,25

 

низкая

УБИ.179: Угроза несанкционированной модификации защищаемой информации

 

 

средняя

 

 

неактуальная

 

 

2

 

 

0,35

 

 

низкая

УБИ.181: Угроза перехвата одноразовых паролей в режиме реального времени

 

 

средняя

 

 

актуальная

 

 

10

 

 

0,75

 

 

очень

высокая

 

 

УБИ.193: Угроза утечки информации за счет применения вредоносным программным обеспечением алгоритмов шифрования трафика

 

 

 

 

высокая

 

 

 

 

актуальная

 

 

 

 

2

 

 

 

 

0,35

 

 

 

 

средняя

 

 

Таблица 4 – Модель актуальных угроз для ИСПДн

 

 

  1. Программно-аппаратные средства защиты информации

 

Предотвращение сбоев в системе: Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии в настоящее время является установка источников бесперебойного питания.

 

Организация надежной и эффективной системы архивации данных:

ПО для автоматической архивации информации с серверов и рабочих станций в указанное администратором локальной вычислительной сети время, выдавая отчет о проведенном резервном копировании.

 

Защита от компьютерных вирусов: Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.

 

Защита от несанкционированного доступа: ПО для дополнительной аутентификации пользователя и шифрования критической информации. Смарт-карты управления доступом позволяют реализовать, в частности, такие функции, как контроль входа, доступ к устройствам персонального компьютера, доступ к программам, файлам и командам. Кроме того, возможно также осуществление контрольных функций, в частности, регистрация попыток нарушения доступа к ресурсам, использования запрещенных утилит, программ, команд DOS.

 

Защита информации при удаленном доступе: Маршрутизатор удаленного доступа. В мостах и маршрутизаторах удаленного доступа применяется сегментация пакетов - их разделение и передача параллельно по двум линиям, - что делает невозможным "перехват" данных при незаконном подключении "хакера" к одной из линий. К тому же используемая при передаче данных процедура сжатия передаваемых пакетов гарантирует невозможность расшифровки "перехваченных" данных.

      

Механизмы обеспечения безопасности: Криптография. Для обеспечения секретности применяется шифрование, или криптография, позволяющая трансформировать данные в зашифрованную форму, из которой извлечь исходную информацию можно только при наличии ключа.

 

Защита сетей: Брандмауэр. Система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Брандмауэр пропускает через себя весь трафик и для каждого проходящего пакета принимает решение - пропускать его или отбросить.

           

 

 

        Заключение

 

В рамках выполняемой курсовой работы выполнена разработка системы защиты по администрированию сайта госуслуг. Была сформирована политика безопасности, определен класс защищенности автоматизированной системы. Так же была составлена модель нарушителя. С использованием базы данных угроз с сайта ФСЭК были рассмотрены возможные угрозы при администрировании сайта (удаленно и в локальной сети центрального офиса), определены актуальности угроз их уровни опасности, а так же возможности реализации этих угроз.

 

 

        Список используемой литературы

 

  1. ФСТЭК России – «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Утверждена Заместителем директора ФСТЭК России 15 февраля 2008 г.
  2. ФСТЭК России – «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных». Утверждена Заместителем директора ФСТЭК России 14 февраля 2008 г.
  3. ФСТЭК России  - «Банк данных угроз безопасности информации»

 

 Скачать: kursach.rar

Категория: Курсовые / Компьютерные технологии курсовые

А также:
Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь.
Мы рекомендуем Вам зарегистрироваться либо войти на сайт под своим именем.
 

Привет студент

Copyright © 2012-2023 PRIVETSTUDENT.COM
Образовательный сайт
Правообладателям
Наверх