Основные направления реализации информационных угроз.
К основным направлениям реализации злоумышленником информационных угроз относятся:
· непосредственное обращение к объектам доступа
· создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты
· модификация средств защиты, позволяющая реализовать угрозы информационной безопасности
· внедрение в технические средства АС программных или технических механизмов, нарушающих предполагаемую структуру и функции АС
К числу основных методов реализации угроз информационной безопасности АС относятся:
определение злоумышленником типа и параметров носителей информации
получение злоумышленником информации о программно-аппаратной среде, типе и параметрах средств вычислительной техники, типе и версии операционной системы, составе прикладного программного обеспечения
получение злоумышленником детальной информации о функциях, выполняемых АС
получение злоумышленником данных о применяемых системах защиты
определение способа представления информации
определение злоумышленником содержания данных, обрабатываемых в АС, на качественном уровне ( применяется для мониторинга АС и для дешифрования сообщений )
хищение ( копирование ) машинных носителей информации, содержащих конфиденсальные данные
использование специальных технических средств для перехвата побочных электромагнитных излучений и наводок ( ПЭМИН ) конфиденсальные данные перехватываются злоумышленником путем выделения информативных сигналов из электромагнитного излучения и наводок по цепям питания средств вычислительной техники, входящей в АС
|
|
|
уничтожение средств вычислительной техники и носителей информации
хищение ( копирование ) носителей информации
несанкционированный доступ пользователя к ресурсам АС в обход или путем преодоления систем защиты с использованием специальных средств, приемов, методов
несанкционированное превышение пользователем своих полномочий
несанкционированное копирование программного обеспечения
перехват данных, передаваемых по каналам связи
визуальное наблюдение - конфиденсальные данные считываются, с экранов терминалов, распечаток в процессе их печати
раскрытие представления информации ( дешифрование данных )
раскрытие содержания информации на семантическом уровне - доступ к смысловой состовляющей информации, хранящейся в АС
уничтожение машинных носителей информации
внесение пользователем несанкционированных изменений в программно-аппаратные компоненты АС и обрабатываемые данные
установка и использование нештатного аппаратного и/или программного обеспечения
|
|
|
заражение программными вирусами
внесение искажений в представлении данных, уничтожение данных на уровне представления, искажение информации при передачи по линиям связи
внедрение дезинформации
выделение из строя машинных носителей информации без уничтожения информации - выведение из строя электронных блоков накопителей на жестких дисках
проявление ошибок проектирование и разработки аппаратных и программных компонентов АС
обход ( отключение ) механизмов защиты - загрузка злоумышленником нештатной операционной системы с дискеты, использование отладочных режимов программно-аппаратных компонент АС
искажение соответствия синтаксических и семантических конструкций языка - установление новых значений слов, выражений
запрет на использование информации - имеющаяся информация по каким-либо причинам не может быть использована.
Чем отличаются функциональные требования от требований доверия?
"Общие критерии" включают следующие классы функциональных требований:
· Идентификация и аутентификация.
· Защита данных пользователя.
· Защита функций безопасности (требования относятся к целостности и контролю данных сервисов безопасности и реализующих их механизмов).
|
|
|
· Управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности).
· Аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности).
· Доступ к объекту оценки.
· Приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных).
· Использование ресурсов (требования к доступности информации).
· Криптографическая поддержка (управление ключами).
· Связь (аутентификация сторон, участвующих в обмене данными).
· Доверенный маршрут/канал (для связи с сервисами безопасности).
Классы требований доверия безопасности:
· Разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации).
· Поддержка жизненного цикла (требования к модели жизненного цикла, включая порядок устранения недостатков и защиту среды разработки).
· Тестирование.
· Оценка уязвимостей (включая оценку стойкости функций безопасности).
· Поставка и эксплуатация.
· Управление конфигурацией.
· Руководства (требования к эксплуатационной документации).
· Поддержка доверия (для поддержки этапов жизненного цикла после сертификации).
· Оценка профиля защиты.
· Оценка задания по безопасности.
Дата добавления: 2020-04-25; просмотров: 598; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!