
Телекоммуникационные системы и сети. Структура и основные функции. Том 1 / Содержание / Раздел 12. Методы обеспечения информационной безопасности объектов телекоммуникационной системы / Тема 12.1. Основные термины и понятия в сфере информационной безопасности
- Раздел 1. Основы построения телекоммуникационных систем
- Тема 1.1. Місце систем телекомунікацій в інформаційній інфраструктурі сучасного суспільства
- Тема 1.2. Общая архитектура и задачи телекоммуникационных систем
- Тема 1.3. Классификация сетей, клиентов, операторов и услуг связи
- Тема 1.4. Краткая характеристика существующих телекоммуникационных технологий
- Тема 1.5. Требования к современным и перспективным ТКС
- Тема 1.6. Контрольные вопросы и задания
- Раздел 2. Сети связи последующего поколения: архитектура, основные характеристики и услуги
- Тема 2.1. Определение и характеристика основных возможностей NGN
- Тема 2.2. Инфокоммуникационные услуги. Особенности услуг связи следующего поколения
- Тема 2.3. Многоуровневая архитектура и функциональный состав NGN
- Тема 2.4. Перспективы концепции NGN
- Тема 2.5. Контрольные вопросы и задания
- [→] Раздел 3. Стандартизация сетевых протоколов и телекоммуникационного оборудования
- Тема 3.1. Открытые системы и их взаимодействие
- Тема 3.2. Основные организации по стандартизации сетевых решений
- [→] Тема 3.3. Эталонная модель взаимодействия открытых систем
- 3.3.1. Многоуровневый подход и декомпозиция задачи сетевого взаимодействия
- 3.3.2. Интерфейс, протокол, стек протоколов
- 3.3.3. Общая характеристика модели OSI
- 3.3.4. Физический уровень. Функции и примеры протоколов
- 3.3.5. Канальный уровень. Функции и примеры протоколов
- 3.3.6. Сетевой уровень. Функции и примеры протоколов
- 3.3.7. Транспортный уровень. Функции и примеры протоколов
- 3.3.8. Сеансовый уровень. Функции и примеры протоколов
- 3.3.9. Представительский уровень. Функции и примеры протоколов
- 3.3.10. Прикладной уровень. Функции и примеры протоколов
- [→] 3.3.11. Деление ЭМВОС на сетенезависимые и сетезависимые уровни
- Тема 3.4. Стандартные стеки сетевых протоколов
- 3.4.1. Стек протоколов OSI
- 3.4.2. Стек протоколов TCP/IP
- 3.4.3. Стек протоколов IPX/SPX
- 3.4.4. Стек протоколов NetBIOS/SMB
- 3.4.5. Стек протоколов технологии Х.25
- 3.4.6. Стек протоколов технологии Frame Relay
- 3.4.7. Стек протоколов технологии B-ISDN и АТМ
- 3.4.8. Семейство протоколов DECnet
- 3.4.9. Сетевая модель DoD
- 3.4.10. Связь стандартов IEEE 802 с моделью OSI
- 3.4.11. Стек протоколов сетей следующего поколения
- Тема 3.5. Стандартизация сетевого оборудования
- Тема 3.6. Контрольные вопросы и задания
- Раздел 4. Линии связи
- Тема 4.1. Физические параметры среды распространения электромагнитных волн
- Тема 4.2. Общие сведения о линиях связи
- Тема 4.3. Основные свойства кабельных линий связи
- Тема 4.4. Линии связи на основе медных кабелей
- Тема 4.5. Теория волоконных световодов
- Тема 4.6. Свойства неоднородных линий
- Тема 4.7. Конструкции кабелей связи
- Тема 4.8. Электромагнитные влияния в линиях связи
- Тема 4.9. Структурированные кабельные системы
- Тема 4.10. Атмосферная лазерная связь
- Тема 4.11. Особенности радиолиний, радиорелейных и спутниковых линий связи
- 4.11.1. Общие принципы построения радиолиний связи
- 4.11.2. Распространение радиоволн в радиолиниях связи
- 4.11.3. Особенности распространения радиоволн в радиорелейных линиях связи
- 4.11.4. Особенности распространения радиоволн в спутниковых линиях связи
- 4.11.5. Особенности построения радиолиний связи
- 4.11.6. Общие характеристики построения спутниковых линий связи
- 4.11.7. Зоны видимости для систем спутниковой связи
- 4.11.8. Статистическая структура сигналов СЛС
- 4.11.9. Основные составляющие систем спутниковой связи
- 4.11.10. Методы организации спутниковой связи
- 4.11.11. Обоснование выбора параметров аппаратуры при проектировании радиорелейных линий
- 4.11.12. Выбор энергетических характеристик радиорелейных линий
- 4.11.13. Устойчивость функционирования радиорелейных линий
- Тема 4.12. Контрольные вопросы и задания
- Раздел 5. Способы формирования групповых сигналов
- Тема 5.1. Краткая характеристика способов формирования групповых сигналов
- Тема 5.2. Способы формирования аналоговых групповых сигналов
- Тема 5.3. Способы формирования цифровых групповых сигналов
- Тема 5.4. Объединение синхронных цифровых потоков
- Тема 5.5. Объединение асинхронных цифровых потоков
- Тема 5.6. Объединение низкоскоростных потоков
- Тема 5.7. Кодовое уплотнение сигналов
- Тема 5.8. Виды сигналов в системах с кодовым разделением
- Тема 5.9. Технология спектрального уплотнения
- Тема 5.10. Формирование группового сигнала с использованием IP-технологий
- Тема 5.11. Контрольные вопросы и задания
- Раздел 6. Методы доступа
- Тема 6.1. Общая характеристика методов доступа
- Тема 6.2. Методы решения конфликтов в алгоритмах доступа
- Тема 6.3. Модели и архитектура сети доступа
- Тема 6.4. Оптические технологии в сети доступа
- Тема 6.5. Методы использования физических ресурсов в сетях доступа
- Тема 6.6. Особенности использования пространственно-поляризационных параметров при радиодоступе
- Тема 6.7. Контрольные вопросы и задания
- Раздел 7. Методы распределения информации
- Тема 7.1. Общие положения
- Тема 7.2. Системы распределения в сетях следующего поколения
- Тема 7.3. Системы коммутации каналов
- 7.3.1. Требования к системам коммутации ISDN
- 7.3.2. Структура узла коммутации каналов ISDN
- Принцип работы цифрового коммутационного поля типа ПВП
- 7.3.4. Общие требования к коммутационным системам в Ш-ЦСИО
- 7.3.5. Выбор коммутационной технологии для Ш-ЦСИО
- 7.3.6. Системы коммутации для АТМ
- 7.3.7. Архитектура и характеристики коммутационных систем на базе быстрой коммутации пакетов (БКП)
- Тема 7.4. Коммутационные системы в NGN
- Тема 7.5. Системы коммутации Ш-ЦСИО на базе асинхронного режима доставки (АТМ)
- Тема 7.6. Пропускная способность систем распределения информации
- 7.6.1. Основные положения пропускной способности систем распределения информации
- 7.6.2. Пропускная способность полнодоступного пучка с потерями простейшего потока вызовов
- 7.6.3. Пропускная способность полнодоступного пучка с потерями примитивного потока вызовов (потока ВОЧИ)
- 7.6.4. Расчет вероятности условных потерь и среднего времени ожидания при случайной продолжительности обслуживания
- 7.6.5. Поток с повторными вызовами
- Тема 7.7. Способы распределения нагрузки в сетях связи
- Тема 7.8. Контрольные вопросы и задания
- Раздел 8. Системы синхронизации
- Тема 8.1. Виды синхронизации, их роль, место и задачи в современных цифровых системах связи
- Тема 8.2. Фазовая (частотная) синхронизация
- Тема 8.3. Тактовая (символьная) синхронизация
- Тема 8.4. Джиттер и вандер цифровых сигналов
- Тема 8.5. Цикловая (кадровая) синхронизация
- Тема 8.6. Сетевая синхронизация цифровой связи
- Тема 8.7. Контрольные вопросы и задания
- Раздел 9. Системы сигнализации
- Тема 9.1. Виды и состав сигналов
- Тема 9.2. Классификация протоколов сигнализации
- Тема 9.3. Внутрисистемная сигнализация в ЦСК
- Тема 9.4. Особенности сигнализации в стыках V.5
- Тема 9.5. Абонентская сигнализация
- Тема 9.6. Оборудование сигнализации современных ЦСК
- Тема 9.7. Специфические особенности украинских систем сигнализации
- Тема 9.8. Методология спецификации и описания систем сигнализации
- Тема 9.9. Цифровая многочастотная сигнализация R2D
- Тема 9.10. Общеканальная система сигнализации № 7
- Тема 9.11. Сигнализация DSS1
- Тема 9.12. Сигнализация в корпоративных сетях
- Тема 9.13. Сигнализация в сетях с коммутацией пакетов
- Тема 9.14. Сигнализация в сетях B-ISDN/ATM
- Тема 9.15. Сигнализация в сети ІР-телефонии
- Тема 9.16. Контрольные вопросы и задания
- Раздел 10. Технологии и протоколы управления в ТКС
- Тема 10.1. Содержание задач управления в сетях следующего поколения
- Тема 10.2. Подсистема управления услугами
- Тема 10.3. Подсистема контроля и управления сетью
- Тема 10.4. Подсистема сетевого управления на уровнях транспорта и доступа
- 10.4.1. Базовая архитектура управления на уровнях транспорта и доступа ТКС
- 10.4.2. Классификация и маркировка пакетов трафика
- 10.4.3. Управление интенсивностью трафика
- 10.4.4. Управление очередями на сетевых узлах
- 10.4.5. Маршрутизация: цели, основные задачи и протоколы
- 10.4.6. Сигнальные протоколы резервирования сетевых ресурсов
- 10.4.7. Функции управления канального уровня относительно обеспечения QoS
- 10.4.8. Уровни качества обслуживания и соответствующие им модели обслуживания
- Тема 10.5. Перспективы развития технологий сетевого управления
- Тема 10.6. Контрольные вопросы и задания
- Раздел 11. Конвергенция в телекоммуникационных системах
- Тема 11.1. Конвергенция в ТКС: история, цели и задачи
- Тема 11.2. Виды конвергенции
- Тема 11.3. Примеры решений относительно конвергенции в системах телекоммуникаций
- Тема 11.4. Качество конвергентных услуг
- Тема 11.5. Контрольные вопросы и задания
- Раздел 13. Электропитание телекоммуникационных систем связи
- Тема 13.1. Общие положения
- Тема 13.2. Системы электропитания предприятий электросвязи
- Тема 13.3. Типовое оборудование электроустановок предприятий электросвязи
- Тема 13.4. Дистанционное электропитание
- Тема 13.5. Источники бесперебойного питания (ИБП)
- Тема 13.6. Электромагнитная совместимость источников электропитания
- Тема 13.7. Перспективы развития электропитания ТКС
- Тема 13.8. Контрольные вопросы и задания
12.1.1. Основные термины и понятия в сфере информационной безопасности
У цьому розділі розглядаються загальні питання забезпечення інформаційної безпеки телекомунікаційних систем. Інформаційна безпека має першорядне значення у зв’язку із значним поширенням атак, яким постійно піддаються як окремі мережі підприємств, так і національні мережі в цілому. Перед керівниками держав і компаній гостро постає проблема втілення термінових заходів щодо захисту своїх активів, оскільки вони, у більшості випадків, не забезпечені навіть базовими механізмами захисту і є нестача професіоналів, здатних їх сформувати, впровадити й експлуатувати.
Під час розгляду питань безпеки автори виходили з необхідності розгляду цілісного підходу до управління інформаційною безпекою й навчання методам безпеки мереж. У розділі комплексно розглядаються правові, організаційні, криптографічні й технічні питання захисту інформації. Подано основні визначення, необхідні фахівцеві в галузі інформаційної безпеки, розглядаються різні типи загроз і методи їхній протидії, криптографічний захист інформації, механізм електронного цифрового підпису, формування інфраструктури відкритого ключа, основні радіоканали витоку інформації, питання протидії несанкціонованому зніманню інформації за допомогою закладних пристроїв, методи виявлення й протидії побічним електромагнітним випромінюванням, питання використання спеціальної апаратури для виявлення каналів витоку інформації.
Інформація — це відомості про особи, предмети, факти, явища і процеси незалежно від форми їхнього подання.
Інформація, що захищається, — це інформація, що є предметом власності якого-небудь суб’єкта (держави, відомства, групи осіб або окремого громадянина) і підлягає захисту відповідно до вимог правових документів або вимог, які встановлюються власником інформації. До такого типу інформації належить інформація з обмеженим доступом і критична інформація. Саме така інформація, найчастіше, циркулює в телекомунікаційних системах.
Інформаційні відносини в Україні регулюються Законом України про інформацію. Їхніми основними принципами є:
- гарантованість права на інформацію;
- відкритість, доступність інформації й свобода обміну інформацією;
- об’єктивність, вірогідність інформації;
- повнота й точність інформації;
- законність отримання, використання, поширення й зберігання інформації.
Під несанкціонованим доступом до інформації розуміється доступ до інформації з порушенням установлених прав і правил доступу.
Захистом інформації від несанкціонованого доступу є діяльність, спрямована на запобігання отримання інформації, що захищається, зацікавленим суб’єктом з порушенням установлених правовими документами або власником інформації прав або правил доступу до інформації, що захищається. При цьому зацікавленим суб’єктом, що здійснює несанкціонований доступ до інформації, що захищається, може бути держава, громадська організація, група або окремі громадяни.
Захистом інформації від несанкціонованого впливу є діяльність, спрямована на запобігання впливу на інформацію, що захищається, з порушенням установлених прав й (або) правил модифікації, що призводить до її перекручення, знищення, блокування доступу до інформації, а також до втрати, знищення або збою функціонування носія інформації. Несанкціонований вплив на інформацію здійснює організований порушник, що переслідує мету руйнування інформації або інформаційної системи.
Захистом інформації від ненавмисного впливу є діяльність, спрямована на запобігання впливу на інформацію, що захищається, в результаті помилкових дій її користувача, збою технічних і програмних засобів інформаційних систем, природних явищ або інших нецілеспрямованих впливів, що призводять до перекручення, знищення, копіювання, блокування доступу до інформації, а також до втрати, знищення або збою функціонування носія інформації. Ненавмисний вплив на інформацію має випадковий характер, однак він здатен зруйнувати інформацію або інформаційну систему.
Законодавство України поділяє інформацію на відкриту інформацію й інформацію з обмеженим доступом. У свою чергу, інформацію з обмеженим доступом поділяють на конфіденційну інформацію та державну таємницю.
Конфіденційна інформація — це відомості, які перебувають у володінні, використанні або розпорядженні окремих фізичних або юридичних осіб і поширюються за їхнім бажанням відповідно до передбачених для них умов. Конфіденційну інформацію поділяють на безліч видів таємниць: службову таємницю, таємницю листування, таємницю телефонних, поштових, телеграфних й інших повідомлень, нотаріальну таємницю, адвокатську таємницю, лікарську таємницю, банківську таємницю тощо.
До інформації, що становить державну таємницю, відносять інформацію, що містить передбачену Законом таємницю, розголошення якої спричинить завдання збитків громадянину, суспільству й державі в цілому. Порядок роботи з державною таємницею та процедура її захисту визначається відповідними державними органами з урахуванням вимог законів України про інформацію й державну таємницю.
Безпека — це стан об’єкта, при якому йому не загрожує небезпека, зберігається його незалежність, надійність, цілісність, є захищеність від небезпек або існуючих загроз. Безпека будь-якого об’єкта свідчить про те, що він здатний розв’язати поставлені перед ним завдання, а у разі виникнення різного роду непередбачених обставин, небезпек або загроз — захиститися від них або відновити свою працездатність.
Метою інформаційної безпеки є завдання зберегти властивості системи, захистити й гарантувати точність і цілісність інформації та мінімізувати наслідки, які можуть мати місце, якщо інформація буде модифікована або зруйнована. Досягнення мети вимагає обліку всіх подій, у ході яких інформація створюється, модифікується, забезпечується доступ до неї або її поширення за допомогою відкритих мереж.
Інформаційна безпека має надавати гарантію того, що досягаються такі цілі:
- конфіденційність критичної інформації;
- цілісність інформації та пов’язаних з нею процесів (створення, введення, обробка та відображення);
- актуальність (своєчасність відновлення) і доступність інформації (коли вона потрібна авторизованим користувачам);
- облік всіх процесів, пов’язаних з інформацією.
Менеджмент безпеки (або управління безпекою) компанії — поняття, що порівняно недавно з’явилося в лексиконі фахівців. Більшість керівників компаній має на увазі під цим у першу чергу організацію охоронно-режимної діяльності, однак це поняття набагато ширше. У нього включаються такі напрямки, як:
- економічна безпека;
- інформаційна безпека;
- матеріальна (фізична) безпека — класична охоронно-режимна діяльність.
У найбільш загальному вигляді питання забезпечення безпеки набагато складніші (рис. 12.1.1) і їх розглядають абсолютно по-різному на міжнародному, національному та персональному рівнях безпеки.
Рис. 12.1.1. Питання забезпечення безпеки
До системи забезпечення безпеки входять такі елементи:
- об’єкт безпеки — те, на що спрямовано дії суб’єкта по забезпеченню його безпеки. Об’єктами безпеки на різних ієрархічних рівнях виступають: економічна система держави, галузь народного господарства, економіка регіону, фірма або підприємство будь-якої організаційно-правової форми як господарюючий суб’єкт, домашнє господарство, особистість;
- суб’єкти безпеки — ті організації, державні інститути, служби, окремі особистості, які забезпечують безпеку об’єкта на основі практичних дій при введенні в дію механізму забезпечення безпеки й організації практичних дій;
- механізм забезпечення безпеки — теоретичне обґрунтування послідовності подій, що відбуваються, й практичних дій щодо забезпечення безпеки.
Ці елементи перебувають в умовах постійної взаємодії та стані не протиріччя. Невиконання цих умов призводить до компрометації системи забезпечення безпеки.
Таблиця 12.1.1 Класифікація загроз безпеки
Класифікаційна ознака
|
Класифікаційні групи
|
За джерелом погрози
|
1) внутрішні — джерело на території України;
2) зовнішні — джерело розташоване за кордоном держави |
За природою виникнення загроз
|
1) викликані політикою держави;
2) ініційовані іноземними державами; 3) що надходять від кримінальних структур; 4) що надходять від конкурентів або контрагентів |
За ймовірністю реалізації
|
1) реальні — можуть здійснюватися в будь-який момент часу;
2) потенційні — можуть реалізуватися у разі формування певних умов |
Стосовно людської діяльності
|
1) об'єктивні — формуються незалежно від цілеспрямованої
діяльності;
2) суб'єктивні — створюються свідомо, наприклад, розвідувальною, підривною й іншою діяльністю, організованою злочинністю |
За об'єктом зазіхання
|
1) на інформацію;
2) на майно; 3) на фінанси; 4) на персонал; 5) на ділове реноме |
За можливістю прогнозування
|
1) що прогнозуються на рівні господарюючого суб'єкта;
2) що не піддаються прогнозу |
За наслідками
|
1) загальні — відбуваються на всій території України або
більшості її суб'єктів;
2) локальні — мають вплив на окремі об'єкти |
За величиною нанесеного (очікуваного) збитку
|
1) катастрофічні;
2) значні; 3) що спричиняють труднощі |
Потреби забезпечення безпеки формуються під впливом цілої множини факторів: об’єктивних і суб’єктивних, внутрішніх і зовнішніх, прогнозованих і непередбачених тощо. У концентрованій формі вони можуть виступати як деструктивні, що негативно впливають на безпеку. Виділяють кілька ступенів деструктивних факторів:
- поява зони ризику — можливість виникнення обстановки, здатної породити небезпеку;
- виклик — провокаційні дії або засіб тиску;
- небезпека — реальна можливість заподіяти зло, завдати шкоди;
- загроза — намір цілеспрямовано завдати шкоди.
В основі організації, планування й здійснення практичних дій щодо забезпечення безпеки є аналіз концепції загрози, оцінка характеру реальних і потенційних внутрішніх/зовнішніх небезпек і загроз, кризових ситуацій, а також інших несприятливих факторів. Система реальних і потенційних загроз не є постійною; загрози можуть з’являтися й зникати, наростати й зменшуватися, при цьому змінюватиметься їхня значимість для безпеки. Класифікацію загроз подано в табл. 12.1.1.
Управління безпекою крупних організацій, що використовують інформаційні та телекомунікаційні технології, рекомендується здійснювати на основі стандартів BS 7799/ISO 17799 ISO/IEC 27001. На сьогодні активно використовується стандарт ISO 17799 і відбувається поступовий перехід до стандартів серії 27001. Управління безпекою націлено на захист усіх складових, що сприяють здійсненню бізнес-процесу, який організовано на підприємстві (рис. 12.1.2).
Рис. 12.1.2. Загальна схема управління безпекою бізнес-процесів на основі телекомунікацій
Серія 27001 являє собою модель системи менеджменту в сфері інформаційної безпеки (СМІБ, Information Security Management System, ISMS). Як і будь-яка сучасна система менеджменту, СМІБ — це набір організаційних заходів і процедур управління і вона не є, по суті, технічним стандартом. В основі стандарту полягає процесний підхід до розробки, реалізації, експлуатації, моніторингу, аналізу, супроводу та покращанню СМІБ організації. Він складається зі створення та використання системи процесів управління, які взаємопов’язані у безперервному циклі планування, використання, перевірки та покращання СМІБ (рис. 12.1.2, частина бізнес-процесу). Додатково в групі стандартів рекомендовано перелік механізмів захисту інформації програмно-технічного рівня, що можуть використовуватися на різних стадіях здійснення бізнес-процесу (рис. 12.1.2, частина технології).
Основним механізмом СМІБ є періодичний аналіз ризиків інформаційної безпеки. Аналіз ризиків може здійснюватися на основі методів CORAS, CRAMM, Magerit, Mehari, Octave та інших. Аналіз ризиків має доповнюватися процедурами аудиту, який сприяє глибшому розумінню бізнес-процесів, які опановані в організації. Аудит може проводитися, наприклад, на основі стандарту CobiT (Control Objectives for Information and related Technology, цілі управління для інформаційних та суміжних технологій).
Рис. 12.1.3. Місце системи управління інформаційною безпекою в системі менеджменту організації
Верхівка керівництва організації також здійснює процес управління СМІБ прийняттям рішень на основі результатів аналізу ризиків, результатів внутрішнього аудиту й інших механізмів СМІБ. З погляду процесів управління, СМІБ належить до загальної системи менеджменту організації та надає додаткові механізми управління щодо забезпечення захисту критичної інформації (рис. 12.1.3). Положення управління інформаційною безпекою формують політику безпеки організації — позицію керівництва щодо питань з захисту процесів накопичення, зберігання, передачі та знищення інформаційних цінностей, відповідності й організаційним зобов’язанням.
Розглянемо тепер більш детально основні підходи до забезпечення інформаційної безпеки об’єктів телекомунікаційної системи.