Материал: MSZI_2003
Глава
17
Программные
методы
защиты
Проблема
обеспечения
безопасности
автоматизированных
систем
(
АС
) —
одна
из
наиболее
важных
и
сложных
проблем
в
области
автоматизированной
обработки
инфор
-
мации
.
Поскольку
компонентами
АС
являются
аппаратные
средства
,
программное
обеспече
-
ние
,
обрабатываемая
информация
,
линии
связи
,
персонал
и
документация
,
ущерб
авто
-
матизированной
системе
—
понятие
достаточно
широкое
.
Кроме
того
,
ущербом
считает
-
ся
не
только
явное
повреждение
какого
-
либо
из
компонентов
,
но
и
приведение
компо
-
нентов
системы
в
неработоспособное
состояние
,
а
также
различного
рода
утечки
информации
,
изменение
определенных
физических
и
логических
характеристик
АС
.
В
этой
связи
определение
возможного
ущерба
АС
является
сложной
задачей
,
зави
-
сящей
от
многих
условий
.
Можно
с
уверенностью
сказать
,
что
везде
,
где
используют
АС
,
существует
потенциальная
угроза
нанесения
ущерба
(
прямого
или
косвенного
)
за
-
конным
владельцам
и
законным
пользователям
этих
АС
.
С
другой
стороны
,
заслуживает
внимания
вопрос
о
стоимости
самой
информации
.
В
мировой
практике
принято
считать
,
что
информация
стоит
ровно
столько
,
сколько
стоит
ущерб
от
ее
потери
в
сочетании
с
затратами
на
ее
восстановление
.
Вопросы
безопасности
АС
можно
условно
разделить
на
следующие
группы
.
•
Вопросы
обеспечения
физической
безопасности
компонентов
АС
.
Сюда
относятся
вопросы
защиты
АС
от
пожара
,
затопления
,
других
стихийных
бедствий
,
сбоев
пита
-
ния
,
кражи
,
повреждения
и
т
.
д
.
•
Вопросы
обеспечения
логической
безопасности
компонентов
АС
.
Сюда
относятся
вопросы
защиты
АС
от
несанкционированного
доступа
,
от
умышленных
и
неумыш
-
ленных
ошибок
в
действии
людей
и
программ
,
которые
могут
привести
к
ущербу
и
т
.
д
.
•
Вопросы
обеспечения
социальной
безопасности
АС
.
Сюда
относятся
вопросы
раз
-
работки
законодательства
,
регулирующего
применение
АС
и
определяющего
поря
-
док
расследования
и
наказания
нарушений
безопасности
АС
.
Возможно
,
это
покажется
кому
-
то
не
столь
важным
,
но
многие
специалисты
считают
,
что
немалую
роль
играют
вопросы
выработки
у
пользователей
АС
определенной
дисци
-
плины
,
а
также
формирование
определенных
этических
норм
,
обязательных
для
персо
-
нала
АС
.
К
ним
следует
отнести
любые
умышленные
или
неумышленные
действия
,
ко
-
торые
:
•
нарушают
нормальную
работу
АС
;
Основные
принципы
построения
систем
защиты
информации
в
АС
317
•
вызывают
дополнительные
затраты
ресурсов
(
машинного
времени
,
полосы
передачи
и
т
.
д
.);
•
нарушают
целостность
хранимой
и
обрабатываемой
информации
;
•
нарушают
интересы
законных
пользователей
;
•
вызывают
незапланированные
затраты
ресурсов
на
ведение
дополнительного
кон
-
троля
,
восстановление
работоспособности
систем
,
уничтожение
последствий
нару
-
шения
безопасности
систем
и
т
.
д
.
С
теоретической
точки
зрения
,
все
угрозы
АС
,
можно
отнести
к
одному
из
следую
-
щих
четырех
типов
.
Прерывание
.
При
прерывании
компонент
системы
утрачивается
(
например
,
в
ре
-
зультате
похищения
),
становится
недоступным
(
например
,
в
результате
блокировки
—
физической
или
логической
),
либо
теряет
работоспособность
.
Перехват
.
Злоумышленник
получает
доступ
к
АС
.
Примерами
перехвата
являются
:
незаконное
копирование
программ
и
данных
;
несанкционированное
чтение
данных
из
линии
связи
компьютерной
сети
и
т
.
д
.
Модификация
.
Злоумышленник
не
только
получает
доступ
к
компоненту
,
но
и
ма
-
нипулирует
с
ним
.
Подделка
.
Злоумышленник
может
добавить
некоторый
фальшивый
процесс
в
систе
-
му
для
выполнения
нужных
ему
,
не
учитываемых
системой
,
действий
,
либо
подложной
записи
в
файлы
системы
или
других
пользователей
.
Под
защитой
информации
в
АС
понимается
совокупность
мероприятий
,
методов
и
средств
,
обеспечивающих
решение
следующих
основных
задач
:
•
проверка
целостности
информации
;
•
исключение
несанкционированного
доступа
к
ресурсам
АС
и
хранящимся
в
ней
про
-
граммам
и
данным
;
•
исключение
несанкционированного
использования
хранящихся
в
АС
программ
(
т
.
е
.
защита
программ
от
копирования
).
Основные
принципы
построения
систем
защиты
информации
в
АС
Опыт
создания
систем
защиты
информации
(
СЗИ
)
в
АС
позволяет
выделить
сле
-
дующие
основные
принципы
построения
СЗИ
.
1.
Простота
механизма
защиты
.
Этот
принцип
общеизвестен
,
но
не
АСегда
глубоко
осознается
.
Действительно
,
некоторые
ошибки
,
не
выявленные
при
проектировании
и
эксплуатации
,
позволяют
обнаружить
неучтенные
пути
доступа
.
Необходимо
тща
-
тельное
тестирование
программного
обеспечения
или
аппаратных
средств
защиты
,
однако
на
практике
такая
проверка
возможна
только
для
простых
и
компактных
схем
.
318
Глава
17.
Программные
методы
защиты
2.
В
нормальных
условиях
доступ
к
механизму
защиты
должен
отсутствовать
,
и
для
работы
системы
необходимо
,
чтобы
выполнялись
определенные
условия
,
при
ко
-
торых
доступ
к
механизму
защиты
становится
невозможным
.
Кроме
того
,
считается
,
что
запрет
доступа
при
отсутствии
особых
указаний
обеспечивает
высокую
степень
надежности
механизма
защиты
.
Ошибка
в
определении
полномочий
пользователя
в
системе
защиты
,
основанной
на
использовании
разрешений
,
приводит
к
расширению
сферы
запретов
.
Эту
ошибку
легче
обнаружить
и
она
не
разрушит
общего
статуса
защиты
.
3.
Все
возможные
каналы
утечки
должны
быть
перекрыты
.
Этот
принцип
предпола
-
гает
проверку
полномочий
любого
обращения
к
любому
объекту
и
является
основой
системы
защиты
.
Защита
управления
доступом
с
учетом
этого
принципа
должна
ре
-
шаться
на
общесистемном
уровне
.
При
этом
следует
учитывать
такие
режимы
работы
как
:
запуск
,
восстановление
после
сбоев
,
выключение
и
профилактическое
обслужива
-
ние
.
Необходимо
обеспечить
надежное
определение
источника
любого
обращения
к
данным
.
4.
Механизм
защиты
можно
не
засекречивать
.
Не
имеет
смысла
засекречивать
дета
-
ли
реализации
систем
защиты
,
предназначенной
для
широкого
использования
.
Эф
-
фективность
защиты
не
должна
зависеть
от
того
,
насколько
опытны
потенциальные
нарушители
.
Открытость
механизма
защиты
позволяет
при
необходимости
сделать
его
предметом
обсуждения
среди
специалистов
,
не
затрагивая
при
этом
интересов
пользователей
.
5.
Разрешение
полномочий
.
Этот
принцип
заключается
в
применении
нескольких
ключей
защиты
.
Наличие
нескольких
ключей
защиты
в
АС
удобно
в
тех
условиях
,
когда
право
на
доступ
определяется
выполнением
ряда
условий
.
6.
Минимальные
полномочия
.
Для
любой
программы
и
любого
пользователя
должен
быть
определен
минимальный
круг
полномочий
,
необходимых
для
выполнения
по
-
рученной
работы
.
Вследствие
этого
в
значительной
мере
уменьшается
ущерб
,
причи
-
няемый
при
сбоях
и
случайных
нарушениях
.
7.
Максимальная
обоснованность
механизма
защиты
.
В
целях
исключения
обмена
информацией
между
пользователями
рекомендуется
при
проектировании
схем
защи
-
ты
сводить
к
минимуму
число
общих
для
нескольких
пользователей
параметров
и
характеристик
механизма
защиты
.
8.
Психологическая
привлекательность
.
Система
защиты
должна
быть
простой
в
эксплуатации
.
Естественно
,
чем
точнее
совпадает
представление
пользователя
о
сис
-
теме
защиты
с
ее
фактическими
возможностями
,
тем
меньше
ошибок
возникает
в
процессе
применения
.
При
построении
систем
возникают
серьезные
затруднения
,
связанные
с
большими
затратами
на
их
реализацию
.
Поэтому
важным
фактором
при
реализации
систем
защиты
является
их
экономическая
эффективность
.
Поэтому
излишнее
утяжеление
системы
до
-
рогостоящими
средствами
защиты
может
сделать
ее
неконкурентоспособной
.
Программные
средства
защиты
информации
319
Программные
средства
защиты
информации
Программными
СЗИ
называются
специальные
программы
,
входящие
в
состав
про
-
граммного
обеспечения
АС
для
решения
в
них
(
самостоятельно
или
в
комплекте
с
дру
-
гими
средствами
)
задач
защиты
.
Программные
СЗИ
являются
непременной
и
важней
-
шей
частью
механизма
защиты
современных
АС
.
Такая
их
роль
определяется
следую
-
щими
достоинствами
:
универсальностью
,
гибкостью
,
простой
реализацией
,
надежностью
,
возможностью
модификации
и
развития
.
При
этом
под
универсальностью
понимается
возможность
решения
программными
СЗИ
большого
числа
задач
защиты
.
Под
надежностью
понимается
высокая
программная
устойчивость
при
большой
продолжительности
непрерывной
работы
и
удовлетворение
высоким
требованиям
и
дос
-
товерности
управляющих
воздействий
при
наличии
различных
дестабилизирующих
факторов
.
Программные
возможности
изменения
и
развития
программных
СЗИ
опреде
-
ляются
самой
их
природой
.
Существенным
недостатком
программных
СЗИ
является
возможность
их
реализа
-
ции
только
в
тех
структурных
элементах
АС
,
где
имеется
процессор
,
хотя
функции
за
-
щиты
могут
реализовываться
,
осуществляя
безопасность
других
структурных
элементов
.
Помимо
того
,
программным
СЗИ
присущи
следующие
недостатки
:
•
необходимость
использования
времени
работы
процессора
,
что
ведет
к
увеличению
времени
отклика
на
запросы
и
,
как
следствие
,
к
уменьшению
эффективности
ее
рабо
-
ты
;
•
уменьшение
объемов
оперативной
памяти
(
ОП
)
и
памяти
на
внешних
запоминающих
устройствах
(
ПВЗУ
)
,
доступной
для
использования
функциональными
задачами
;
•
возможность
случайного
или
умышленного
изменения
,
вследствие
чего
программы
могут
не
только
утратить
способность
выполнять
функции
защиты
,
но
и
стать
допол
-
нительными
источниками
угрозы
безопасности
;
•
ограниченность
из
-
за
жесткой
ориентации
на
архитектуру
определенных
типов
ЭВМ
(
даже
в
рамках
одного
класса
) —
зависимость
программ
от
особенностей
базовой
системы
ввода
/
вывода
,
таблицы
векторов
прерывания
и
т
.
п
.
Для
организационного
построения
программных
СЗИ
наиболее
характерной
явля
-
ется
тенденция
разработки
комплексных
программ
,
выполняющих
целый
ряд
защитных
функций
,
причем
чаще
всего
в
число
этих
функций
входит
опознавание
пользователей
,
разграничение
доступа
к
массивам
данных
,
запрещение
доступа
к
некоторым
областям
ОП
и
т
.
п
.
Достоинства
таких
программ
очевидны
:
каждая
из
них
обеспечивает
решение
некоторого
числа
важных
задач
защиты
.
Но
им
присущи
и
существенные
недостатки
,
предопределяющие
необходимость
критической
оценки
сложившейся
практики
разра
-
ботки
и
использования
программных
средств
защиты
.
Первый
и
главный
недостаток
со
-
стоит
в
стихийности
развития
программ
защиты
,
что
,
с
одной
стороны
,
не
дает
гаран
-
тий
полноты
имеющихся
средств
,
а
с
другой
—
не
исключает
дублирования
одних
и
тех
же
задач
защиты
.
Вторым
существенным
недостатком
является
жесткая
фиксация
в
каждом
из
комплексов
программ
защитных
функций
.
Наконец
,
можно
выделить
еще
320
Глава
17.
Программные
методы
защиты
один
большой
недостаток
—
ориентация
подавляющего
большинства
имеющихся
про
-
граммных
средств
на
конкретную
среду
применения
(
тип
ЭВМ
и
операционную
среду
).
Отсюда
вытекают
три
принципиально
важных
требования
к
формированию
про
-
граммных
СЗИ
:
функциональная
полнота
,
гибкость
и
унифицированность
исполь
-
зования
.
Что
касается
первого
требования
,
то
,
как
нетрудно
убедиться
,
приведенный
выше
пе
-
речень
программных
средств
составлен
именно
с
таким
расчетом
,
чтобы
возможно
более
полно
охватить
все
классы
задач
защиты
.
Удовлетворение
остальным
двум
требованиям
зависит
от
форм
и
способов
представ
-
ления
программ
защиты
.
Анализ
показал
,
что
наиболее
полно
требованиям
гибкости
и
унифицированности
удовлетворяет
следующая
совокупность
принципов
:
сквозное
мо
-
дульное
построение
,
полная
структуризация
,
представление
на
машинно
-
независимом
языке
.
Принцип
сквозного
модульного
построения
заключается
в
том
,
что
каждая
из
про
-
грамм
любого
уровня
(
объема
)
должна
представляться
в
виде
системы
возможных
моду
-
лей
,
причем
каждый
модуль
любого
уровня
должен
быть
полностью
автономным
и
иметь
стандартные
вход
и
выход
,
обеспечивающие
комплексирование
с
любыми
други
-
ми
модулями
.
Нетрудно
видеть
,
что
эти
условия
могут
быть
обеспечены
,
если
про
-
граммные
комплексы
будут
разрабатываться
по
принципу
“
сверху
вниз
”,
т
.
е
.
в
соответ
-
ствии
с
принципом
полной
структуризации
.
Представление
на
машинно
-
независимом
языке
предопределяет
,
что
представление
программных
модулей
должно
быть
таким
,
чтобы
их
с
минимальными
усилиями
можно
было
включить
в
состав
программного
обеспечения
любой
АС
.
В
настоящее
время
име
-
ются
алгоритмические
языки
высокого
уровня
,
полностью
соответствующие
этим
тре
-
бованиям
.
Общепринятой
классификации
программных
СЗИ
в
настоящее
время
не
существует
.
Однако
при
описании
программ
защиты
обычно
придерживаются
деления
их
по
функ
-
циональному
признаку
,
т
.
е
.
по
выполняемым
функциям
защиты
.
При
этом
по
мере
раз
-
вития
форм
и
способов
использования
вычислительной
техники
функции
программной
защиты
расширяются
.
С
учетом
названных
принципов
можно
использовать
классификацию
,
приведенную
на
рис
. 17.1.