Выполнил: студент 43 группы факультета информатики Федотов Владислав «Способы обеспечения безопасной работы в Интернет» Магнитогорск, 2012г.
Выполнил:студент 43 группы
факультета информатикиФедотов Владислав
«Способы обеспечения безопасной работы в Интернет»
Магнитогорск, 2012г.
Введение
• Cеть интернет представляет собой глобальное объединение компьютерных сетей и информационных ресурсов, принадлежащих множеству различных людей и организаций. Это объединение является децентрализованным и единого общеобязательного свода правил (законов) пользования интернетом не установлено. Существуют, однако, общепринятые нормы работы в интернете, направленные на то, чтобы деятельность каждого пользователя сети не мешала работе других пользователей. Фундаментальное положение этих норм таково: правила использования любых ресурсов интернета (от почтового ящика до канала связи) определяют владельцы этих ресурсов и только они.
Правила пользования сетью Интернет
Ограничения на распространение незатребованной информации (спам)
• Развитие сети привело к тому, что одной из основных проблем пользователей стал избыток информации. Поэтому сетевое сообщество выработало специальные правила, направленные на ограждение пользователя от ненужной/не запрошенной информации (спама).
В частности, являются недопустимыми:
• Массовая рассылка электронных писем (здесь и далее под электронными письмами понимаются сообщения электронной почты, SMS, ICQ и других подобных средств личного обмена информацией) без предварительного согласования (massmailing). Под массовой рассылкой подразумевается как рассылка множеству получателей, так и множественная рассылка одному получателю.
• Несогласованная отправка электронных писем объемом более одной страницы или содержащих вложенные файлы.
• Несогласованная рассылка электронных писем рекламного, коммерческого или агитационного характера, а также писем, содержащих грубые и оскорбительные выражения.
• Рассылка информации получателям, высказавшим ранее явное нежелание получать такую информацию.
Запрет на распространение отдельных видов информации
• Категорически запрещается размещение на ресурсах провайдера и пересылка по сети любой информации, противоречащей действующему международному законодательству и законодательству России, ущемляющей авторские права либо права и свободу личности, порнографической направленности, заведомо недостоверной (исключая художественные произведения).
Запрет несанкционированного доступа и сетевых атак
• Не допускается осуществление попыток несанкционированного доступа к ресурсам сети, проведение или участие в сетевых атаках и сетевом взломе, за исключением случаев, когда атака на сетевой ресурс проводится с явного разрешения владельца или администратора этого ресурса. В том числе запрещены:
• 3.1. Действия, направленные на нарушение нормального функционирования элементов сети (компьютеров, другого оборудования или программного обеспечения), не принадлежащих пользователю.
• 3.2. Действия, направленные на получение несанкционированного доступа, в том числе привилегированного, к ресурсу сети (компьютеру, другому оборудованию или информационному ресурсу), а также последующее использование такого доступа, уничтожение или модификация программного обеспечения или данных, не принадлежащих пользователю, без согласования с владельцами или администраторами этого программного обеспечения либо информационного ресурса.
• 3.3. Отправка компьютерам или другому оборудованию сети бессмысленной или бесполезной информации, создающей паразитную нагрузку на это оборудование и (или) промежуточные участки сети, в объемах, превышающих минимально необходимые для проверки связности сетей и доступности отдельных ее элементов.
Соблюдение правил, установленных
владельцами ресурсов сети
• Помимо вышеперечисленного, владелец любого информационного или технического ресурса сети может установить для этого ресурса собственные правила его использования.
• Правила использования ресурсов либо ссылка на них публикуются владельцами или администраторами этих ресурсов в точке подключения к таким ресурсам и являются обязательными к исполнению всеми пользователями этих ресурсов.
• Пользователь обязан соблюдать правила использования ресурса либо немедленно отказаться от его использования.
Недопустимость фальсификации
• Значительная часть ресурсов сети не требует идентификации пользователя и допускает анонимное использование. Однако в ряде случаев от пользователя требуется предоставить информацию, идентифицирующую его и используемые им средства доступа к сети. При этом пользователю запрещается:
• Использование идентификационных данных (имен, адресов, телефонов и т.п.) третьих лиц, кроме случаев, когда эти лица уполномочили пользователя на такое использование. В то же время пользователь должен принять меры по предотвращению использования ресурсов сети третьими лицами от его имени (обеспечить сохранность паролей и прочих кодов авторизованного доступа).
• Фальсификация своего IP-адреса, а также адресов, используемых в других сетевых протоколах, при передаче данных через сеть.
• Использование несуществующих обратных адресов при отправке электронных писем, а также посылка писем от имени почтовых роботов и почтовых систем, кроме уведомлений о ходе доставки сообщений.
Требования к собственным ресурсам
• При работе в интернете пользователь становится ее полноправным участником, что создает потенциальную возможность для использования сетевых ресурсов, принадлежащих пользователю, третьими лицами. В связи с этим пользователь должен принять надлежащие меры по такой настройке своих ресурсов, которая препятствовала бы недобросовестному использованию этих ресурсов третьими лицами, а также оперативно реагировать при обнаружении случаев такого использования.
• Примерами потенциально проблемной настройки сетевых ресурсов являются:
• Открытый ретранслятор электронной почты (SMTP-relay).• Общедоступные для неавторизованной публикации серверы новостей
(конференций, групп).• Средства, позволяющие третьим лицам неавторизованно скрыть источник
соединения (открытые прокси-серверы и т.п.).• Общедоступные широковещательные адреса локальных сетей.• Электронные списки рассылки с недостаточной авторизацией подписки или
без возможности ее отмены.
• Настоящие Правила сформированы на базе Правил, разработанных и принятых Открытым Форумом Интернет-Сервис-Провайдеров СНГ http://www.ofisp.org и описывают общепринятые нормы работы в интернете, соблюдение которых является обязательным для всех пользователей.
Виды угроз
• Существуют четыре действия, производимые с информацией, которые могут содержать в себе угрозу: сбор, модификация, утечка и уничтожение.
• все источники угроз ,принято разделять на внешние и внутренние.
Внешние: 1. Kомпьютерные вирусы и вредоносные программы ;
2. Организации и отдельные лица;• 3. Стихийные бедствия.Внутренние: 1. Сотрудники организации;
2. Программное обеспечение;3. Аппаратные средства.
Внутренние угрозы могут проявляться в следующих формах:
• ошибки пользователей и системных администраторов;
• нарушения сотрудниками фирмы установленных регламентов сбора, обработки, передачи и уничтожения информации;
• ошибки в работе программного обеспечения;
• отказы и сбои в работе компьютерного оборудования.
К внешним источникам угроз относятся:
1. Kомпьютерные вирусы и вредоносные программы;
2. Организации и отдельные лица;3. Стихийные бедствия.
Формами проявления внешних угроз являются:
• заражение компьютеров вирусами или вредоносными программами;
• несанкционированный доступ (НСД) к корпоративной информации;
• информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб;
• действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;
• аварии, пожары, техногенные катастрофы.
Все перечисленные виды угроз (формы проявления) можно разделить на умышленные и
неумышленные.
• По данным Института защиты компьютеров (CSI) и ФБР cвыше50% вторжений - дело рук собственных сотрудников компаний. Что касается частоты вторжений, то 21% опрошенных указали, что они испытали рецидивы "нападений". Несанкционированное изменение данных было наиболее частой формой нападения и в основном применялось против медицинских и финансовых учреждений. Свыше 50% респондентов рассматривают конкурентов как вероятный источник "нападений". Наибольшее значение респонденты придают фактам подслушивания, проникновения в информационные системы и "нападениям", в которых "злоумышленники" фальсифицируют обратный адрес, чтобы перенацелить поиски на непричастных лиц. Такими злоумышленниками наиболее часто являются обиженные служащие и конкуренты.
По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации:
• Информационные,
• Программные,
• Физические,
• Радиоэлектронные,
• Организационно-правовые.
К информационным угрозам относятся:
• несанкционированный доступ к информационным ресурсам;
• незаконное копирование данных в информационных системах;
• хищение информации из библиотек, архивов, банков и баз данных;
• нарушение технологии обработки информации;
• противозаконный сбор и использование информации;
• использование информационного оружия.
К программным угрозам относятся:
• использование ошибок и "дыр" в ПО;
• компьютерные вирусы и вредоносные программы;
• установка "закладных" устройств;
К физическим угрозам относятся:
• уничтожение или разрушение средств обработки информации и связи;
• хищение носителей информации;
• хищение программных или аппаратных ключей и средств криптографической защиты данных;
• воздействие на персонал;
К радиоэлектронным угрозам относятся:
• внедрение электронных устройств перехвата информации в технические средства и помещения;
• перехват, расшифровка, подмена и уничтожение информации в каналах связи.
К организационно-правовым угрозам относятся:
• закупки несовершенных или устаревших информационных технологий и средств информатизации;
• нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере.
Способы защиты
• До последнего времени проблема обеспечения безопасности компьютерной информации в нашей стране не только не выдвигалась на передний край, но фактически полностью игнорировалась. Считалось, что путем тотальной секретности, различными ограничениями в сфере передачи и распространения информации, можно решить проблему обеспечения информационной безопасности.
• По способам осуществления все меры обеспечения Информационной Безопасности подразделяются на правовые, организационные, программные и аппаратные.
Правовые меры защиты
• К правовым мерам относится регламентация законом и нормативными актами действий с информацией и оборудованием, и наступление ответственности нарушение правильности таких действий.
• К основным законам и подзаконным актам регламентирующим деятельность в области защиты информации относятся:
Законы Российской Федерации:
• "О федеральных органах правительственной связи и информации" от 19.02.92 № 4524-1;• "О безопасности" от 05.03.92 № 2446-1;• "О правовой охране программ для электронно-вычислительных машин и баз данных" от
23.09.92 № 3523-1;• "О правовой охране топологий интегральных микросхем" от 23.09.92 № 3526-1;• "О сертификации продукции и услуг" от 10.06.93 № 5151-1;• "О стандартизации" от 10.06.93 № 5154-1;• "Об архивном фонде Российской Федерации и архивах" от 07.07.93 № 5341-1;• "О государственной тайне" от 21.07.93 № 485-1;• "О связи" от 16.02.95 № 15-ФЗ;• "Об информации, информатизации и защите информации" от 20.02.95 № 24-ФЗ;• "Об органах федеральной службы безопасности в Российской федерации" от 03.04.95 № 40-
ФЗ;• "Об оперативно-розыскной деятельности" от 12.08.95 № 144-ФЗ;• "Об участии в международном информационном обмене" от 04.07.96 № 85-ФЗ;• "Об электронной цифровой подписи" от 10.01.2002 № 1-ФЗ.
Нормативные правовые акты Президента Российской Федерации:
• "Об основах государственной политики в сфере информатизации" от 20.01.94 № 170;
• "Вопросы межведомственной комиссии по защите государственной тайны" от 20.01.96 № 71;
• "Об утверждении перечня сведений конфиденциального характера" от 06.03.97 № 188;
• "О некоторых вопросах межведомственной комиссии по защите государственной тайны" от 14.06.97 № 594;
• "О перечне сведений, отнесенных к государственной тайне" от 24.01.98 № 61;• "Вопросы Государственной технической комиссии при Президенте Российской
Федерации" от 19.02.99 № 212;• "О концепции национальной безопасности Российской Федерации" от
10.01.2000 N 24;• "Об утверждении перечня должностных лиц органов государственной власти,
наделяемых полномочиями по отнесению сведений к государственной тайне" от 17.01.2000 N 6-рп;
• Доктрина информационной безопасности Российской Федерации от 09.09.2000 № ПР 1895
Нормативные правовые акты Правительства Российской Федерации:
• "Об установлении порядка рассекречивания и продления сроков засекречивания архивных документов Правительства СССР" от 20.02.95 N 170;
• "О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны" от 15.04.95 N 333;
• "О сертификации средств защиты информации" от 26.06.95 N 608;• "Об утверждении правил отнесения сведений, составляющих
государственную тайну, к различным степеням секретности" 04.09.95 N 870;
• "О подготовке к передаче сведений, составляющих государственную тайну, другим государствам" от 02.08.97 N 973;
• "О лицензировании отдельных видов деятельности" от 11.04.00 N 326.
Руководящие документы Гостехкомиссии России:
• Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации;
• Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники;
• Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации;
• Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации;
• Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации;
• Защита информации. Специальные защитные знаки. Классификация и общие требования;• Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение
средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей.
Уголовный кодекс Российской Федерации.
• http://uk-rf.com/
Организационные меры защиты
• Организационные меры защиты - это меры, регламентирующие процессы функционирования системы обработки данных, порядок использования ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы максимально снизить возможность угроз безопасности. Они включают:
• мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;
• мероприятимя по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);
• мероприятия, осуществляемые при подборе и подготовке персонала, обслуживающего систему;
• организацию охраны и режима допуска к системе;• организацию учета, хранения, использования и уничтожения документов и носителей
информации;• распределение реквизитов разграничения доступа;• организацию явного и скрытого контроля за работой пользователей;• мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях
оборудования и программного обеспечения.
Программные и аппаратные меры защиты
• Программные и аппаратные меры защиты основаны на использовании специальных программ и аппаратуры, входящих в состав ИС и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты:
• идентификацию и аутентификацию пользователей;• разграничение доступа к ресурсам;• регистрацию событий;• криптографические преобразования;• проверку целостности системы;• проверку отсутствия вредоносных программ;• программную защиту передаваемой информации и каналов связи;• защиту системы от наличия и появления нежелательной информации;• создание физических препятствий на путях проникновения нарушителей;• мониторинг и сигнализацию соблюдения правильности работы системы;• создание резервных копий ценной информации.
Антивирусная защита
• При использовании этого вида защиты частично предотвращается спектр угроз: внутренних - от персонала, программного и аппаратного обеспечения; внешних - от компьютерных вирусов (вредоносных программ), организаций и отдельных лиц. Не случайно эта мера признана одной из самых эффективных. В настоящее время на рынке большое разнообразие антивирусных программ. И какой из них пользоваться дело скорее вкуса и привычки. Для рекомендации можно порекомендовать линию программных продуктов "Лаборатории Касперского".
Защита от НСД
• Спектр средств для предотвращения Несанкционированного Доступа к данным еще более широк чем в случае антивирусных программ. В этом случае предотвращаются угрозы: внутренние - от персонала; внешние - от организаций и отдельных лиц.
Кратко существующие программно-аппаратные способы защиты от несанкционированного доступа можно расклассифицировать как:
• Cредства, защищающие информационную систему от внутренних угроз;
• Средства, защищающие информационную систему от несанкционированного проникновения из внe;
• VPN-технологии, защищающие информацию в процессе передачи по сетям.
Все средства защиты от НСД для аутентификации при доступе к защищенным
ресурсам используют ключи:
• физические, такие как eToken, HASP, Hardlock, Smart-Card, DS-таблетки;
• логические - пароли, ключевые слова, блоки информации (PGP).
Безопасность Internet
• Комплекс средств по защите информационной системы, подключенной к Internet, должен предотвратить сбор, модификацию, утечку и уничтожение информации из вне, то есть защитить информационную систему от внешних угроз, исходящих от вирусов или вредоносных программ, организаций или отдельных лиц.
• Из средств, обеспечивающих безопасность при работе в InterNet, рекомендаций заслуживает семейство продуктов eSafe Protect Компании ALADDIN Software Security R.D.
Интернет является не только важнейшим источником информации и незаменимым инструментом современного бизнеса, но и серьезной угрозой для корпоративной безопасности и сохранности данных. Система eSafe Protect обеспечивает комплексную защиту корпоративных сетей при работе с Интернет на уровне отдельной рабочей станции, базового Интернет-шлюза или всего предприятия в целом.
Используемые источники
• Информационная безопасность: Виды угроз URL: http://www.infosecurity.ru/_site/secinternet.shtml (дата обращения 21.12.2012)
• Как обезопасить себя в Интернет URL:http://the-komp.ru/osnovnye-mery-bezopasnosti-pri-rabote-s-internetom.html(дата обращения 21.12.2012)
Спасибо за внимание.