 |
|
Методи та способи захисту інформації від витоку технічними каналами. Активні та пасивні способи захисту.
Захист інформації від витоку по технічних каналах забезпечують проектно-архітектурними рішеннями, проведенням організаційних і технічних заходів, а також виявленням портативних закладних пристроїв.
Організаційні заходи - це спрямовані на захист інформації заходи, проведення яких не потребує спеціально розроблених технічних засобів. До основних організаційних заходів відносять:
- залучення до робіт для захисту інформації організацій, що мають ліцензії відповідних органів на діяльність в області ТЗІ;
- використання на об'єкті сертифікованих ТЗПІ та ДТЗС;
- встановлення КЗ навколо об'єкта;
- залучення до робіт із монтування апаратури, будування чи реконструкції об'єктів ТЗПІ організацій з відповідними ліцензіями;
- організацію контролю та обмеження доступу на об'єкти ТЗПІ та у виділені приміщення;
- введення територіальних, частотних, енергетичних, просторових і часових обмежень у режимах використання технічних засобів, що підлягають захисту;
- відключення технічних засобів, що мають елементи з якостями електроакустичних перетворювачів, від ліній зв'язку на період проведення секретних заходів.
Технічні заходи - це спрямовані на захист інформації заходи, проведення яких передбачає використання спеціальних технічних засобів, а також реалізацію технічних рішень.
Технічні заходи слугують для закриття каналів витоку інформації за рахунок ослаблення рівня інформаційних сигналів або зменшення відношення С/3 у місцях можливого розміщення ТЗР або їх датчиків до рівнів, що унеможливлюють виділення інформаційних сигналів засобами розвідки. Під час проведення таких заходів використовують активні та пасивні методи.
До технічних заходів із використанням пасивних методів відносять такі:
1. Контроль і обмеження доступу на об'єкти ТЗПІ та у виділені приміщення (установлення на об'єктах ТЗПІ та у виділених приміщеннях технічних засобів та систем обмеження і контролю доступу).
2. Локалізація випромінювання: 3. Розв'язування інформаційних сигналів:
До технічних заходів із використанням активних методів належать такі.
1. Просторове зашумлення: 2. Лінійне зашумлення: 3. Знешкодження підключених до лінії закладних пристроїв за допомогою спеціальних генераторів імпульсів (випалювачів «жучків»).
Для захисту мовної (акустичної) інформації використовують активні й пасивні методи. Пасивні методи спрямовані на:
- ослаблення акустичних сигналів на межі КЗ до рівнів, які унеможливлюють їх виділення засобами розвідки на фоні завад;
- ослаблення інформаційних електричних сигналів у з'єднувальних лініях ДТЗС з електроакустичними перетворювачами до відповідних рівнів;
- виключення (ослаблення) проходження сигналів ВЧ нав'язування у ДТЗС з електроакустичними перетворювачами;
- виявлення випромінювань акустичних закладних пристроїв, підключених до телефонних ліній;
- виявлення несанкціонованих підключень до телефонних ліній.
Активні методи, у свою чергу, спрямовані на:
- створення маскувальних акустичних та вібраційних завад з метою зменшення відношення С/3 на межі КЗ до рівнів, які унеможливлюють виділення інформаційних сигналів;
- створення маскувальних електромагнітних завад у з'єднувальних лініях ДТЗС з електроакустичними перетворювачами;
- знешкодження засобів несанкціонованого підключення до мереж телефонного зв'язку.
Звукове ізолювання проводять з метою виключення перехоплення інформаціїпо прямих акустичних каналах (через щілини, вікна, двері, вентиляцію) та по вібраційному каналу (через загороджувальні конструкції, труби водяного, гасового постачання, каналізацію тощо).
Метод віброакустичного маскування належить до активних методів захисту і слугує для захисту інформації від витоку по прямих акустичних каналах. Із його допомогою знижують відношення С/3.Для формування акустичних завад методом віброакустичного маскування використовують спеціальні генератори, кінцевими пристроями яких є гучномовці або вібраційні випромінювачі. На практиці найчастіше використовують генератори шуму. Тому таке маскування називають ще акустичним зашумленням.
6. Основні поняття захисту інформації від несанкціонованого доступу. Поняття безпечної системи згідно з TCSEC („Оранжева книга”).
"Критерії оцінки захищених комп'ютерних систем" (Trusted Computer System Evaluation Criteria [CSC-STD-001-83]) були розроблені й опубліковані Міністерством оборони США в 1983 році з метою визначення вимог безпеки, що висуваються до апаратного, програмного і спеціального програмного й інформаційного забезпечення комп'ютерних систем і вироблення методології і технології аналізу ступеня підтримки політики безпеки в комп'ютерних системах, головним чином військового призначення. Документ одержав неформальну назву «Жовтогаряча книга», під якою став відомим широкому колу спеціалістів.
У даному документі були вперше формально (хоча і не цілком строго) визначені такі поняття, як «політика безпеки», «коректність» і інші. Згідно "Жовтогарячій книзі" безпечна КС – це система, що підтримує керування доступом до оброблюваної в ній інформації таким чином, що тільки відповідним чином авторизовані користувачі чи процеси (суб'єкти), що діють від їхнього імені, одержують можливість читати, записувати, створювати і видаляти інформацію. Запропоновані в цьому документі концепції захисту і набір функціональних вимог послужили основою для формування всіх стандартів безпеки, що згодом з'явилися.
У "Жовтогарячій книзі" запропоновані три категорії вимог безпеки – політика безпеки, аудит і коректність, у рамках яких сформульовані шість базових вимог безпеки. Перші чотири вимоги спрямовані безпосередньо на забезпечення безпеки інформації, а дві останніх – на якість самих засобів захисту.
Політика безпеки. Система повинна підтримувати точно визначену політику безпеки. Можливість здійснення суб'єктами доступу до об'єктів повинна визначатися на підставі їхньої ідентифікації і набору правил керування доступом.
Мітки. З об'єктами повинні бути асоційовані мітки безпеки, що використовуються як вихідна інформація для процедур контролю доступу.
Ідентифікація й аутентифікація. Усі суб'єкти повинні мати унікальні ідентифікатори. Контроль доступу повинен здійснюватися на підставі результатів ідентифікації суб'єкта й об'єкта доступу, підтвердження дійсності їхніх ідентифікаторів (аутентифікації) і правил розмежування доступу.
Контроль коректності функціонування засобів захисту. Засоби захисту повинні містити незалежні апаратні і/чи програмні компоненти, що забезпечують працездатність функцій захисту.
Безперервність захисту. Усі засоби захисту (у т.ч. і ті, що реалізують дану вимогу) повинні бути захищені від несанкціонованого втручання і/чи відключення, причому цей захист повинний бути постійним і безупинним у будь-якому режимі функціонування системи захисту і КС у цілому.