МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ
НАЦІОНАЛЬНИЙ УНІВЕРСИТЕТ «ЛЬВІВСЬКА ПОЛІТЕХНІКА»
ІКТА
кафедра БІТ
Курсова робота
з курсу «Комплексні системи захисту інформації: проектування, впровадження, супровід, частина 2»
на тему: «Розробка комплексної системи захисту інформації об’єкта»
Варіант №21
Зміст
Вступ 3
1. Короткі теоретичні відомості 4
2. Опис об’єкта охорони 5
3. Хід виконання роботи: 6
4. Виконання роботи 7
4.1 Аналіз об'єкту захисту: 7
4.2 Опис і визначення контрольованої зони: 9
4.3 Описати рівні захисту: 10
Адміністративний рівень 11
Програмно-технічний рівень 11
4.4 . Види витоку інформації та їх опис: 12
4.5 Захист виділеного об’єкту 14
Точка доступу Cisco WAP4410N-G5 18
5. Висновок 19
Список використаної літератури 20
Вступ
Мета: Розробити комплексну систему захисту інформації об’єкта.
Метою розроби КСЗІ є впровадження заходів та засобів, які реалізують способи, методи, механізми захисту інформації від:
витоку технічними каналами, до яких відносяться канали побічних електромагнітних випромінювань і наведень, акустоелектричні та інші канали;
несанкціонованих дій та несанкціонованого доступу до інформації, що можуть здійснюватися шляхом підключення до апаратури та ліній зв'язку, маскування під зареєстрованого користувача, подолання заходів захисту з метою використання інформації або нав'язування хибної інформації, застосування закладних пристроїв чи програм, використання комп'ютерних антивірусів та ін.;
спеціального впливу на інформацію, який може здійснюватися шляхом формування полів і сигналів з метою порушення цілісності інформації або руйнування системи захисту.
Комплексна система захисту інформації надає загальну характеристика автоматизованої системи установи і умов її функціонування. Метою комплексної системи захисту інформації є формування моделі загроз інформації та моделі порушника об'єкта інформаційної діяльності, розробка політики безпеки та системи документів з забезпечення захисту інформації в АС розрахунок та оцінка ризиків.
Комплексна система захисту інформації призначена для захисту інформації, що циркулює та зберігається у межах об'єкта інформаційної діяльності. КСЗІ створюється на основі Закону України «Про захист інформації в інформаційно-телекомунікаційних системах», ДСТУ 3396.1-96, НД ТЗІ 1.1-002-99, НД ТЗІ 1.4-001-2000, НД ТЗІ 2.1-001-200, НД ТЗІ 3.7-001-99, НД ТЗІ 3.7-003-05.
Короткі теоретичні відомості
Відповідно до чинного законодавства України і вимог окремих нормативних документів Закону України "Про захист інформації в інформаційно-телекомунікаційних системах" та Закону України "Про захист персональних даних" обов'язковому захисту інформації підлягає: інформація, що є власністю держави, або інформація з обмеженим доступом, вимоги по захисту якої встановлені законом, в т.ч. персональні дані громадян.
Комплексна система захисту інформації – сукупність організаційних і інженерно-технічних заходів, які спрямовані на забезпечення захисту інформації від розголошення, витоку і несанкціонованого доступу. Організаційні заходи є обов'язковою складовою побудови будь-якої КСЗІ. Інженерно-технічні заходи здійснюються в міру необхідності.
Організаційні заходи включають в себе створення концепції інформаційної безпеки, а також:
- складання посадових інструкцій для користувачів та обслуговуючого персоналу;
- створення правил адміністрування компонент інформаційної системи, обліку, зберігання, розмноження, знищення носіїв інформації, ідентифікації користувачів;
- розробка планів дій у разі виявлення спроб несанкціонованого доступу до інформаційних ресурсів системи, виходу з ладу засобів захисту, виникнення надзвичайної ситуації;
- навчання правилам інформаційної безпеки користувачів.
У разі необхідності, в рамках проведення організаційних заходів може бути створена служба інформаційної безпеки, проведена реорганізація системи діловодства та зберігання документів.
Інженерно-технічні заходи – сукупність спеціальних технічних засобів та їх використання для захисту інформації. Вибір інженерно-технічних заходів залежить від рівня захищеності інформації, який необхідно забезпечити.
Інженерно-технічні заходи, що проводяться для захисту інформаційної інфраструктури організації, можуть включати використання захищених підключень, міжмережевих екранів, розмежування потоків інформації між сегментами мережі, використання засобів шифрування і захисту від несанкціонованого доступу.
У разі необхідності, в рамках проведення інженерно-технічних заходів, може здійснюватися установка в приміщеннях систем охоронно-пожежної сигналізації, систем контролю і управління доступом.
Окремі приміщення можуть бути обладнані засобами захисту від витоку акустичної (мовної) інформації.
У процес створення КСЗІ залучаються такі сторони:
- організація, для якої здійснюється побудова КСЗІ (Замовник);
- організація, що здійснює заходи з побудови КСЗІ (Виконавець);
- Адміністрація Державної служби спеціального зв'язку та захисту інформації України (Адміністрація Держспецзв'язку) (Контролюючий орган);
- організація, що здійснює державну експертизу КСЗІ (Організатор експертизи);
- організація, що в разі необхідності залучається Замовником або Виконавцем для виконання деяких робіт зі створення КСЗІ (Підрядник).
Опис об’єкта охорони
Об’єктом захисту є приміщення № 21. Будівля, в якій знаходиться об’єкт захисту, розташована по вул. Литвиненка 3, перед будинком розміщена вулиця по якій проходить рух транспорту і пішоходів, під будинком розміщена стоянка автомобілів працівників яка є під охороною.
Перекриття: балочне - дерев’яні балки: 20-40 см в висоту, 8-20 см в ширину і до 15 м в довжину. Відстань між балками – в межах 60-150 см. Між балками кріпиться звукоізоляція з мінеральної вати.
Зовнішні стіни: цегляні, товщиною 0,4м.
Внутрішні стіни: цегляні, 0,25 м.
Вікна: пластикові вікна з подвійними склопакетами.
Двері: подвійні двері, пластикові.
Система вентиляції: природна та штучна.
Природна створюється без застосування електрообладнання (вентиляторів, електродвигунів) і відбувається внаслідок природних факторів – різниці температур повітря (ззовні та всередині приміщення), зміни тиску, вітряного тиску. До неї відносяться вентиляційні короби.
Штучна - моноблочна система вентиляції, розміщена в шумоізольованому корпусі. Крім вентиляції у приміщені передбачено кондиціонування повітря.
Опалювання: в будинку автономна система опалення – водяна.
Електроживлення:
У будинку встановлено, в підвальному приміщенні:
Стабілізатор напруги, що нормалізує мережеву напругу при тривалому зниженні або підвищенні напруги.
Дизель-генераторна установка (ДГУ), що забезпечує електроживлення важливого обладнання при довготривалій відсутності напруги. Укомплектовано пристроєм, який забезпечує автоматичний запуск/зупинку станції при відсутності/відновленні подачі напруги.
Джерело безперебійного живлення (ДБЖ), що постійно захищає побутову техніку і обладнання від проблем електроживлення.
В приміщеннях захисту є система електроживлення та електроосвітлення, відповідні складові якої під’єднані до ДБЖ та стабілізатора напруги.
Охоронно-пожежна сигналізація:
Пожежна сигналізація, що входить в склад охоронної, складається:
Пожежні датчики – прилади для подачі електричного сигналу про пожежу – комбіновані (тепло-димові);
Приймальні пристрої – служать для прийому сигналів про пожежу від пожежних датчиків, індикації номера об’єкта під охороною, з якого прийнято сигнал, і звукова сигналізація про отримання сигналу небезпеки, а також трансляція сигналу в підрозділ пожежної охорони;
Лінії зв’язку;
Джерела живлення.
Складові охоронної сигналізації:
Сенсори руху ;
Датчики розбиття скла ;
Датчики відкриття вікон та дверей ;
Камери.
Хід виконання роботи:
Аналіз об'єкту захисту:
План-схема розміщення будівлі
Позначення - номер і назва приміщення
Призначення - для чого призначене приміщення
Поверх на якому розміщене приміщення (план-схема)
План-схема приміщення
Опис і визначення контрольованої зони
Описати рівні захисту
Види витоку інформації та їх опис
План-схема моделі поведінки уявного злочинця
Захист виділеного об’єкту
Виконання роботи
4.1 Аналіз об'єкту захисту:
План-схема розміщення будівлі
/
/
Дана будівля є приватним підприємством «Новий Львів» тому, основним видом діяльності підприємства є надання послуг. Цей офісний комплекс розташований по вул.Литвиненка. Запроектований офісний комплекс складається з п'яти поверхів, має паркінг.
Призначення приміщення
Об'єктом захисту є приміщення № 21 – приміщення в якому обробляється секретна інформація. У цьому приміщенні секретна інформація обробляється, використовується і знищується. Вона розташовується на сервері корпоративної мережі. Дана комерційна інформація обробляється за допомогою офісних додатків, відомчого прикладного програмного забезпечення з використанням систем управління базами даних і службових утиліт.
Будівля, в якій знаходиться об’єкт захисту, розташована на вул. Литвиненка, перед будинком розміщена вулиця, по якій проходить рух транспорту і пішоходів. Під будинком розміщена стоянка автомобілів працівників, яка є під охороною. Приміщення захисту розміщене на 3 поверсі будинку, який має один вихід.
План-схема поверху на якому розміщене приміщення
Даний офісний комплекс є п’ятиповерховою будівлею, яка містить 32 приміщення. Приміщення №21 розташоване на третьому поверсі.
План-схема приміщення
/
4.2 Опис і визначення контрольованої зони:
Контрольована зона - територія, на якій унеможливлюється несанкціоноване перебування сторонніх осіб.
Поверх
К3 (м)
1
250
2
100
3
50
4
45
5
40
6
35
Згідно з нормативними документами спеціалізовані об'єкти поділяються на універсальні об'єкти, які в свою чергу поділяться на три категорії. Згідно з вимогами, повинна забезпечуватися контрольована зона наступних розмірів:
першій категорії об'єкту, потрібно від 100 до 250 метрів контрольованої зони;
другій категорії об'єкту, потрібно від 45 до 50 метрів контрольованої зони;
третій категорії об'єкту потрібно від 30 до 40 метрів контрольованої зони.
Об’єкт першої категорії – це будинок (приміщення) де циркулює (обробляється, передається чи зберігається) інформація яка відноситься до грифу «цілком таємно».
Для нашого об’єкту захисту контрольована зона становить 50м. Отже об’єкт відноситься до третьої категорії.
4.3 Описати рівні захисту:
Інформація може бути загальнодоступною чи доступною тільки обмеженому колу людей. Питання захисту інформаційних систем актуальний тільки тоді, коли існуючі файли не призначаються для загального огляду. Існують різні захисні рівні інформаційних систем.
В залежності від загрози постає завдання щодо диференціації як різних рівнів загроз, так і різних рівнів захисту. Розрізняють наступні рівні захисту:
законодавчий (нормативно-правовий);
адміністративний (організаційний, накази та інші дії керівництва організацій, пов'язаних з інформаційними системами, що захищаються);
процедурний (заходи безпеки, орієнтовані на людей);
програмно-технічний (інженерно-технічний, апаратний, програмний).
Законодавчий рівень
Для створення правового захисту підприємства, організації, установи, необхідно організувати юридично закріплені правові взаємовідносини між державою та підприємством, щодо правомірності використання інформаційної безпеки, між підприємством та персоналом щодо обов’язковості дотримання порядку захисту інформаційних ресурсів.
Для здійснення захисту на даному рівні керуватимемося такими законами і нормативно-правовими актами, як:
Конституція України;
Закон України «Про інформацію» вiд 02.10.1992 № 2657-XII
Стаття 7. Охорона права на інформацію
Стаття 11. Інформація про фізичну особу (ч.2)
Стаття 20. Доступ до інформації
Стаття 21. Інформація з обмеженим доступом
Стаття 20. Доступ до інформації
Стаття 21. Інформація з обмеженим доступом
Закон України «Про захист інформації в інформаційно-телекомунікаційних системах» вiд 05.07.1994 № 80/94-ВР;
Стаття 4. Доступ до інформації в системі
Стаття 8. Умови обробки інформації в системі
Стаття 9. Забезпечення захисту інформації в системі
Стаття 11. Відповідальність за порушення законодавства про захист інформації в системах
НД ТЗІ 3.7-003-05 Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі;
Державний стандарт України Захист інформації. Технічний захист інформації. Порядок проведення робіт. ДСТУ 3396.1-96.
Адміністративний рівень
На адміністративному рівні режим інформаційної безпеки в системах забезпечується політикою безпеки організації, в якій сформульовані цілі у сфері інформаційної безпеки і способи їхнього досягнення.
На даному рівні можливий витік інформації через персонал. Тому я пропоную використати такі підходи, щодо забезпечення безпеки на даному рівні:
спеціальний відбір працівників;
проведення тренінгів з питань безпеки;
надання додаткових пільг персоналу (премії, відпустки, заохочення і ін..);
контроль і аудит.
Процедурний рівень
Режим інформаційної безпеки в системах на процедурному рівні забезпечується шляхом розробки і виконання розділів інструкцій для персоналу, присвячених інформаційній безпеці, а також заходами фізичного захисту. На процедурномурівні вживаються заходи, що реалізуються людьми. Серед них можна виділити наступні групи процедурних заходів:
управління персоналом;
фізичний захист;
підтримання роботоздатності;
реагування на порушення режиму безпеки;
планування реанімаційних робіт.
Програмно-технічний рівень
На програмно-технічному рівні інформаційна безпека забезпечується вживанням апробованих і сертифікованих рішень, стандартного набору контрзаходів: резервного копіювання, антивірусного і парольного захисту, міжмережних екранів, шифрування даних і т.д.
Програмно-технічний рівень можна поділити на підрівні:
Інженерно-технічний захист
Апаратний захист
Програмний захист
4.4 . Види витоку інформації та їх опис:
Витік інформації – це навмисні чи необережні дії, які призвели до ознайомлення осіб із конфіденційною інформацією.
Види витоку інформації:
- акустичний контроль приміщення;
- прослуховування телефонних ліній;
- перехват комп'ютерної інформації;
- прихована фото- та відеозйомка;
- візуальний нагляд;
- підкуп працівників;
- підкуп родичів працівників;
- прийом паразитних електромагнітних випромінювань.
Акустичний контроль приміщення можливий за допомогою:
- мікрофону, з виводом сигналу по кабелю;
- диктофону;
- стетоскопу;
- радіомікрофону;
- телефонної лінії;
- лазерного зняття інформації із віконного скла.
Прослуховування телефонних ліній
Телефонна лінія використовується не тільки для прослуховування телефонних розмов, але і для прослуховування офісу (при цьому трубка лежить на телефонному апараті). Для цього використовується мікрофонний ефект, високочастотне нав'язування, системи "теле-монітор", "телефонне вухо" та інші. Деякі системи дозволяють прослуховувати будь-яке приміщення, через котре проходить телефонний кабель, навіть з іншої держави.
Перехват комп'ютерної інформації
Зняття інформації з комп'ютера можливе за допомогою:
- "хакерського" мистецтва;
- прихованої камери;
- спеціального радіоприймача, котрий приймає паразитні випромінювання комп'ютеру (як правило - монітору) із наступним детектуванням корисної інформації.
Паразитні випромінювання
Електромагнітні поля, створені витоком електромагнітної енергії через щілини в екранувальних обшивках установок або їх блоків (елементів), а також передавальними антенами.
План-схема моделі поведінки уявного злочинця
Порушник – це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим умислом або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.
/
Порушники в комп'ютерних системах можуть бути зовнішніми (тобто такими, що не мають або не можуть мати повноважень у системі) і внутрішніми (користувачі, обслуговуючий персонал ІКС, технічний персонал, який обслуговує будинок, співробітники служби безпеки, керівники). Порушників розрізняють за рівнем їх повноважень у системі, технічною оснащеністю, кваліфікацією.
Meтa порушника:
отримання необхідної інформації;
отримання можливості вносити зміни в інформаційні потоки відповідно до своїх намірів;
завдання збитків шляхом знищення матеріальних та інформаційних цінностей.
Повноваження порушника:
запуск фіксованого набору задач (програм);
створення і запуск власних програмних засобів;
керування функціонуванням і внесення змін у конфігурацію системи;
підключення чи змінення конфігурації апаратних засобів.
Технічна оснащеність порушника:
апаратні засоби;
програмні засоби;
спеціальні засоби.
У залежності від мотивів, мети і методів, дії порушників безпеки інформації можна розділити на чотири категорії:
Шукачі пригод;
Ідейні «хакери»;
«Хакери»-професіонали;
Ненадійні (неблагополучні) співробітники.
4.5 Захист виділеного об’єкту
Захист інформації — сукупність методів і засобів, що забезпечують цілісність, конфіденційність і доступність інформації за умов впливу на неї загроз природного або штучного характеру, реалізація яких може призвести до завдання шкоди власникам і користувачам інформації.
У боротьбі із загрозами система безпеки застосовує різноманітні засоби та прийоми:
- виявлення
- знищення
- відбиття
- локалізація
- запобігання
- нейтралізація
- попередження
Основні принципи реалізації програмно-технічних засобів:
Основними завданнями засобів захисту є ізоляція об'єктів КС всередині сфери керування, перевірка всіх запитів доступу до об'єктів і реєстрація запитів і результатів їх перевірки і/або виконання.
Комплексні засоби захисту повиненні забезпечувати безперервний захист об'єктів КС. Не повинно існувати можливості одержати доступ до об'єктів КС в обхід КЗЗ. КЗЗ, що реалізує політику безпеки, має бути безперервно захищений від злому і несанкціонованої модифікацiї. Жодна КС, що реалізує функції захисту, не може вважатись такою, якщо базові апаратні і програмні механізми, що реалізують політику безпеки, самі є суб'єктами для несанкціонованої модифікації або заміни.
Повиненні мати модульну структуру. На рівні розгляду архітектури КС "модульність" означає, що КЗЗ має бути реалізований як набір відносно незалежних частин. Кожна з цих частин повинна взаємодіяти з іншими тільки через добре визначені iнтерфейси. На рівні розгляду архітектури КЗЗ "модульність" означає, що КЗЗ має бути спроектовано як набір логічних груп програмного і апаратного забезпечення так, щоб кожна група вирішувала певні завдання.
Реалізація механізмів може бути абсолютно різною. Для реалізації функцій захисту можуть використовуватись програмні або апаратні засоби, криптографічні перетворення, різні методи перевірки повноважень і т. ін. Вибір методів і механізмів практично завжди залишається за розробником. Єдиною вимогою залишається те, щоб функції захисту були реалізовані відповідно до декларованої політики безпеки і вимог гарантій.
Для реалізації певних послуг можуть використовуватись засоби криптографічного захисту. Криптографічні перетворення можуть використовуватись безпосередньо для захисту певної інформації (наприклад, при реалізації послуг конфіденційності) або підтримувати реалізацію послуги (наприклад, при реалізації послуги iдентифікації і автентифікації).
Технічне оснащення об’єкта засобами охоронної сигналізації
Першим рубежем блокуються будівельні конструкції периметрів об’єктів (віконні й дверні прорізи, люки, вентиляційні канали, теплові вводи, некапітальні стіни й інші елементи будинків, доступні для несанкціонованого проникнення).
Другим рубежем блокуються внутрішні об’єми й площі приміщень.
Третім рубежем захищаються локальні об’єкти й матеріальні цінності. За бажанням замовника додатково на об’єкті можуть установлюватися засоби, так званої, тривожної й пожежної сигналізації.
У якості додаткових рубежів захисту встановлюються системи телеспостереження й контролю доступу на об’єктах.
Для екстреного виклику мобільних груп реагування на об’єктах установлюються кнопки тривожної сигналізації. На їхні спрацювання мобільні групи служб охорони реагують у першу чергу. Кнопки тривожної сигналізації встановлюються приховано, при їхній установці повинен бути виключений фактор випадкового натискання. Передача тривожного повідомлення проводиться по індивідуальних телефонних лініях, лініях безпосереднього зв’язку, через апаратуру ущільнення по задіяних телефонних лініях, через всесвітню мережу "Internet” або за допомогою радіоканалу.
Пристрій захисту аналогових телефонних ліній МП-1А
/
Пристрій захисту МП-1А призначений для виключення витоку інформації через абонентську лінію аналогових АТС в режимі очікування виклику. У ньому одночасно використовуються як пасивні засоби захисту, так і активні засоби захисту. Пристрій містить генератор шуму, нелінійні ланцюги і вузол придушення сигналів малого рівня, за допомогою яких забезпечується введення шумового сигналу в абонентську лінію, загасання сигналу малого рівня від телефонного апарата у бік абонентської лінії та захист інформації від витоку при активних методах впливу в режимі очікування дзвінка.
Вібровипромінювач ВИ4
Використовується для встановлення на стіни, стелі, підлоги та системи опалення, з метою захисту віброакустичних каналів витоку інформації.
/
Є технічним засобом активного захисту інформації об'єктів 1 категорії, що створює маскуючий сигнал в колах електроживлення.
Призначений для захисту інформації, що обробляється засобами оргтехніки, від витоку в мережі електроживлення,а також для придушення пристроїв несанкціонованого знімання інформації, що використовують в якості носія ланцюга електроживлення 220 В.
Кодова клавіатура Viatec DH16A-20DT
/
Анти вандальна кодова клавіатура, управління електрозамками всіх типів, управління системами безпеки, вбудований зчитувач ідентифікаторів EM-Marine (125 кГц),2 незалежних релейних виходу,(організація 2-хзонпроходу: зона 1-до 1000комбінаційпароляікарток, зона2 -до 10паролівабокарток).
IP-відеокамера D-LinkDCS-6112
/
Точка доступу Cisco WAP4410N-G5
/
Точка доступу може працювати як самостійний пристрій, так і у складі бездротової мережі під управлінням контролера бездротової мережі.
Сенсор розбиття скла TX-3GS
/
Сенсор відкриття дверей/вікна М-401
/
Безпровідний датчик відкриття дверей/вікон М-401 призначений для детектування відкриття дверей, вікон, люків, комор і ін.
Сенсор руху Страж П-306
/
Датчик руху П-306 призначений для відстеження руху людини в приміщенні, що охороняється. Принцип дії датчика заснований на визначенні інфрачервоного (ІЧ) випромінювання.
З метою підвищення ступеня захищеності інформації необхідно:
обмежити можливості несанкціонованого виведення інформації користувачами на зовнішні носії (дискети, лазерні накопичувачі CD-RW, USB-Flash) і на друк;
обмежити кількість або виключити використання локальних принтерів, призначити відповідальних за друк документів на мережевих принтерах;
виключити доступ користувачів до ресурсів інших користувачів, як на запис, так і на читання; Обмін інформацією між користувачами здійснювати через загальні ресурси на серверах.
Висновок
Головною метою створення КСЗІ є досягнення максимальної ефективності захисту за рахунок одночасного використання всіх необхідних ресурсів, методів і засобів, що виключають несанкціонований доступ до інформації, та створення умов обробки інформації відповідно до чинних нормативно-правових актів України у сфері захисту інформації: Закон України «Про захист інформації в інформаційно-телекомунікаційних системах», «Про доступ до публічної інформації» та «Про захист персональних даних». В даній курсовій роботі я зробив повний захист кабінету в якому приймається і обробляється секретна інформація.
Список використаної літератури
Грібунін В.Г. Політика безпеки: розробка та реалізація «Інформаційна безпека», 2005, № 1.
НД ТЗІ 3.7-003-2005. Про порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі.
НД ТЗІ 3.7-001-99. Методичні вказівки щодо розробки технічного завдання на створення комплексної системи захисту інформації в автоматизованій системі, затверджений нака-зом ДСТСЗІ СБ України від 28.04.1999 № 22.
http://ndipit.com.ua/ua/poslugy/zahyst-information
http://uk.wikipedia.org/wiki/Комплексна_система_захисту_інформації
http://ukrbukva.net/10692-Razrabotka-proekta-kompleksnoiy-zashity-informacii.html
http://fortecya-garant.com.ua/article/vimogi-do-tehnichnogo-osnaschennya-ob-ektiv-zasobami-ohoronno-pozhezhnoi-signalizacii/
Державна служба спеціального звязку та захисту інформації України (http://dstszi.kmu.gov.ua/)