Львів – 2015 Зміст

КУРСОВИЙ ПРОЕКТ

на тему:

«Розробка проекту системи програмно-апаратного захисту інформації об'єкта інформаційної діяльності СТЗІ ДСНС у Волинській області»

з дисципліни:

«Проектування комплексних систем захисту інформації»

Виконав:

курсант гр. ІБ – 41 Зотов А.О.

Керівник:

викл. каф. УІБ Мандрона М.М.

Члени комісії:

1. Доц.каф.УІБ,к.т.н. Лагун А.Е.

s adNQ9bk7OgOhfKND+T2pJsn7vPaUHh6fn9CY25tx/QAq0hgvYfjFF3QohGnvj2yD6kTPFqlE5ZAF 4s+X6RLU/k/rItf/+YsfAAAA//8DAFBLAQItABQABgAIAAAAIQC2gziS/gAAAOEBAAATAAAAAAAA AAAAAAAAAAAAAABbQ29udGVudF9UeXBlc10ueG1sUEsBAi0AFAAGAAgAAAAhADj9If/WAAAAlAEA AAsAAAAAAAAAAAAAAAAALwEAAF9yZWxzLy5yZWxzUEsBAi0AFAAGAAgAAAAhAOYVY4sMAgAAzQMA AA4AAAAAAAAAAAAAAAAALgIAAGRycy9lMm9Eb2MueG1sUEsBAi0AFAAGAAgAAAAhAJXt+wDbAAAA BwEAAA8AAAAAAAAAAAAAAAAAZgQAAGRycy9kb3ducmV2LnhtbFBLBQYAAAAABAAEAPMAAABuBQAA AAA= "/>s 6b6h6mNzcAZC+Ur78mtSTZK369pTun94ekRjLi/Gu1tQkcb4V4YffVGHQpx2/sA2qM7AYrVcSlWA fCD8Zj5PQe1+sy5y/d+/+AYAAP//AwBQSwECLQAUAAYACAAAACEAtoM4kv4AAADhAQAAEwAAAAAA AAAAAAAAAAAAAAAAW0NvbnRlbnRfVHlwZXNdLnhtbFBLAQItABQABgAIAAAAIQA4/SH/1gAAAJQB AAALAAAAAAAAAAAAAAAAAC8BAABfcmVscy8ucmVsc1BLAQItABQABgAIAAAAIQDDT0jWDQIAAM0D AAAOAAAAAAAAAAAAAAAAAC4CAABkcnMvZTJvRG9jLnhtbFBLAQItABQABgAIAAAAIQDts2Fo2wAA AAcBAAAPAAAAAAAAAAAAAAAAAGcEAABkcnMvZG93bnJldi54bWxQSwUGAAAAAAQABADzAAAAbwUA AAAA "/>

2. Ст. викл. каф. УІБ Полотай О.І.

Львів – 2015 Зміст

Позначення та скорочення

Вступ

1.МОДЕЛЬ ОБ’ЄКТА ІНФОРМАЦІЙНОЇ ДІЯЛЬНОСТІ

1.1. ДСНС у Волиській області

1.2.СТЗІ

1.3. План контрольованої території об’єкта захисту

1.4.Опис території об’єкта захисту

1.5.Опис будівлі об’єкта захисту

1.7.Опис сигналізації та пожежного сповішення

2.ОБСТЕЖЕННЯ СЕРЕДОВИЩ ФУНКЦІОНУВАННЯ ІТС7

3. СТВОРЕННЯ МОДЕЛІ ЗАГРОЗ

3.1. Загальна класифікація загроз інформації

3.2. Канали витоку інформації

4. ПОБУДОВА МОДЕЛІ ПОРУШНИКА

4.1. Загальна модель порушника

4.2. Профілі можливостей порушників

5. ПОБУДОВА МОДЕЛІ ЗАХИСТУ

5.1. Служба захисту інформації

5.2.Політика безпеки

5.3.Категоріювання об`экта інформаційної діяльності

5.4.Нормативно-правові заходи захисту інформації об`экта інформаційної діяльності

5.5.Перелік організаційних заходів захисту на об`экті інформаційної діяльності

5.6 Технічні та програмні засоби захисту

6. РОЗРАХУНКИ ТА ВИБІР ТИПУ ЗАХИСТУ

6.1 Екранування приміщення та технічних засобів

6.2 Вибір та розрахунок елементів системи заземлення

6.3 Розрахунок звукоізоляції та зашумлення

6.4 Розрахунок вартості загальних витрат на технічний та програмний захист інформації

Висновки та рекомендації

Список використаної літератури

Додаток 1

Додаток 2

Додаток 3

Додаток 4

Додаток 5

Додаток 6

Додаток 7

Додаток 8

Додаток 9

Додаток 10
Позначення та скорочення

АС — автоматизована система;

ЕОМ — електронно-обчислювальна машина;

ІзОД — інформація з обмеженим доступом;

КС — комп'ютерна система;

КСЗІ — комплексна система захисту інформації;

НД — нормативний документ;

НД ТЗІ — нормативний документ системи технічного захисту інформації;

ОС — обчислювальна система;

ПЗ — програмне забезпечення;

СТЗІ — режимно-секретний орган;

СЗІ — служба захисту інформації;

ТЗІ — технічний захист інформації.

Вступ

Згідно Закону України "Про захист інформації в інформаційно-телекомунікаційних системах" від 31.05.2005 р. - Комплексна система захисту інформації - взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації.

Згідно статті 8 цього Закону, Умови обробки інформації в системі.

Інформація, яка є власністю держави, або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, повинна оброблятися в системі із застосуванням комплексної системи захисту інформації з підтвердженою відповідністю. Підтвердження відповідності здійснюється за результатами державної експертизи в порядку, встановленому законодавством.

Для створення комплексної системи захисту інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, використовуються засоби захисту інформації, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері технічного та/або криптографічного захисту інформації. Підтвердження відповідності та проведення державної експертизи цих засобів здійснюються в порядку, встановленому законодавством.

У 2006 році 29 березня Постановою Кабінету Міністрів України №373, були затверджені "Правила забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах", в яких визначається, що - (пт. 16) для забезпечення захисту інформації в системі створюється комплексна система захисту інформації (далі - система захисту), яка призначається для захисту інформації від:

□ витоку технічними каналами, до яких належать канали побічних електромагнітних випромінювань і наведень, акустично-електричні та інші канали, що утворюються під впливом фізичних процесів під час функціонування засобів обробки інформації, інших технічних засобів і комунікацій;

□ несанкціонованих дій з інформацією, у тому числі з використанням комп'ютерних вірусів;

□ спеціального впливу на засоби обробки інформації, який здійснюється шляхом формування фізичних полів і сигналів та може призвести до порушення її цілісності та несанкціонованого блокування.

Захист інформації від витоку технічними каналами забезпечується в системі у разі, коли в ній обробляється інформація, що становить державну таємницю, або коли відповідне рішення щодо необхідності такого захисту прийнято власником (розпорядником) інформації.

Захист інформації від несанкціонованих дій, у тому числі від комп'ютерних вірусів, забезпечується в усіх системах.

Захист інформації від спеціального впливу на засоби обробки інформації забезпечується в системі, якщо рішення про необхідність такого захисту прийнято власником (розпорядником) інформації.

Існує також нормативний документ, " Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі" НД ТЗІ 3.7-003-05, який визначає, (пт.5.3) процес створення КСЗІ полягає у здійсненні комплексу взаємоузгоджених заходів, спрямованих на розроблення і впровадження інформаційної технології, яка забезпечує обробку інформації в інформаційно-телекомунікаційній системі (ITC) згідно з вимогами, встановленими нормативно-правовими актами та нормативними документами (НД) у сфері захисту інформації.

До складу КСЗІ входять заходи та засоби, які реалізують способи, методи, механізми захисту інформації від:

□ витоку технічними каналами, до яких відносяться канали побічних електромагнітних випромінювань і наведень, акустоелектричні та інші канали;

□ несанкціонованих дій та несанкціонованого доступу до інформації, що можуть здійснюватися шляхом підключення до апаратури та ліній зв'язку, маскування під зареєстрованого користувача, подолання заходів захисту з метою використання інформації або нав'язування хибної інформації, застосування закладних пристроїв чи програм, використання комп'ютерних вірусів та ін;

□ спеціального впливу на інформацію, який може здійснюватися шляхом формування полів і сигналів з метою порушення цілісності інформації або руйнування системи захисту.

Для кожної конкретної ITC склад, структура та вимоги до КСЗІ визначаються властивостями оброблюваної інформації, класом автоматизованої системи та умовами експлуатації ITC. (пт. 5.8) Створення комплексів технічного захисту інформації від витоку технічними каналами здійснюється, якщо в ITC обробляється інформація, що становить державну таємницю, або коли • необхідність цього визначено власником інформації.

Створення КЗЗ здійснюється в усіх ITC, де обробляється інформація, що є власністю держави, належить до державної чи іншої таємниці або до окремих видів інформації, необхідність захисту якої визначено законодавством, а також в ITC, де така необхідність визначена власником інформації.

1.МОДЕЛЬ ОБ’ЄКТА ІНФОРМАЦІЙНОЇ ДІЯЛЬНОСТІ

В цій роботи об`єктом інформаційної діяльності є сектор технічного захисту інформації Державної служби захисту надзвичайних ситуацій у Волинській області, який знаходиться за адресою м.Луцьк вул. Електроапаратна 19.

1.1.Ознайомлення і короткий опис діяльності ДСНС у Волинській області

Основними завданнями управління ДСНС України у Волинській області є:

- реалізація державної політики у сферах цивільного захисту, захисту населення і територій від надзвичайних ситуацій та запобігання їх виникненню, ліквідації надзвичайних ситуацій, рятувальної справи, гасіння пожеж, пожежної та техногенної безпеки, діяльності аварійно-рятувальних служб, профілактики травматизму невиробничого характеру на відповідній території;

- здійснення державного нагляду (контролю) за додержанням та виконанням вимог законодавства у сферах пожежної і техногенної безпеки, цивільного захисту, за діяльністю аварійно-рятувальних служб на відповідній території.

1.2.Сектор технічного захисту інформації

Основними завданнями Сектору є:

· розроблення, впровадження, атестація та супровід комплексів технічного захисту інформації на об'єктах інформаційної діяльності (далі - ОІД) Головного управління та в підрозділах, за умови отримання таких повноважень відповідно до законодавства;

· розроблення, створення та супровід комплексних систем захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах Головного управління та в підрозділах, за умови отримання таких повноважень відповідно до законодавства;

· проведення заходів щодо виявлення та блокування витоку мовної та видової інформації через закладні пристрої на ОІД Головного управління та в підрозділах, за умови отримання таких повноважень відповідно до законодавства;

· організація радіотехнічного контролю в Головному управлінні та підрозділах;

· здійснення постійного контролю за дотриманням в підвідомчих радіомережах частотних призначень, режимів та умов роботи радіоелектронних засобів, правил ведення радіообміну, виявлення джерел радіоперешкод, аналіз причини їх виникнення та прийняття мір по їх усуненню самостійно або разом з зацікавленими відомствами.

1.3. План контрольованої території об’єкта захисту

Рис.3. Схема контрольованої території

1.4.Опис території об’єкта захисту

На об’єкті захисту (на території) знаходяться: контрольно-пропускний пункт (КПП), головна будівля ДСНС де знаходиться об`экт інформаційної діяльності, навчальна пожежна рятувальна частина, санчастина,, гаражи, заправка.

СТЗІ ДСНС знаходиться на відстані більше 50 м. від представництв іноземних держав.

Опис будівлі.

На території контрольованої зони знаходиться чотирьохповерхова цегляна споруда, на третьому поверсі якої розташований об’єкт захисту – СТЗІ ДСНС

На (права частина 3 поверх) знаходиться:

- 28 приміщень;

- 44 вікна;

- 30 дверей;

В броньованих дверях СТЗІвмонтовані 2 замки, приміщення оснащене технічними засобами охорони та сигналізації. Також встановлено відеоспостереження ззовні лабораторії.

1.5.Опис будівлі об’єкта захисту 2 поверх

Сектор ТЗІ (Обраний варіант мережі зрка) рис.2

Обраний варіант опологія зірка

Зірка — це єдина топологія мережі з явно виділеним центром, до якого підключаються всі інші абоненти. Обмін інформацією йде винятково через центральний комп'ютер, на який лягає більше навантаження, тому нічим іншим, крім мережі, він, як правило, займатися не може. Зрозуміло, що мережне устаткування центрального абонента повинно бути істотно складнішим, чим устаткування периферійних абонентів. Про рівноправність всіх абонентів (як у шині) у цьому випадку говорити не доводиться. Звичайно центральний комп'ютер найпотужніший, саме на нього покладають всі функції по керуванню обміном. Ніякі конфлікти в мережі з топологією зірка в принципі неможливі, тому що керування повністю централізоване.

Якщо говорити про стійкість зірки до відмов комп'ютерів, то вихід з ладу периферійного комп'ютера або його мережного встаткування ніяк не відбивається на функціонуванні мережі, зате будь-яка відмова центрального комп'ютера робить мережу повністю непрацездатною. У зв'язку із цим повинні прийматися спеціальні заходи щодо підвищення надійності центрального комп'ютера і його мережної апаратури.

Обрив кабелю або коротке замикання в ньому при топології зірка порушує обмін тільки з одним комп'ютером, а всі інші комп'ютери можуть нормально продовжувати роботу.

На відміну від шини, у зірці на кожній лінії зв'язку перебувають тільки два абоненти: центральний й один з периферійних. Найчастіше для їхнього з'єднання використовується дві лінії зв'язку, кожна з яких передає інформацію в одному напрямку, тобто на кожній лінії зв'язку є тільки один приймач й один передавач. Це так звана передача точка-точка. Все це істотно спрощує мережне встаткування в порівнянні із шиною й рятує від необхідності застосування додаткових, зовнішніх термінаторів.

Проблема загасання сигналів у лінії зв'язку також вирішується в зірці простіше, ніж у випадку шини, адже кожен приймач завжди одержує сигнал одного рівня. Гранична довжина мережі з топологією зірка може бути вдвічі більше, ніж у шині (тобто 2*L_пр), тому що кожний з кабелів, що з'єднує центр із периферійним абонентом, може мати довжину L_пр.

Серйозний недолік топології зірка складається у жорсткому обмеженні кількості абонентів. Звичайно центральний абонент може обслуговувати не більше 8-16 периферійних абонентів. У цих межах підключення нових абонентів досить просте, але за ними воно просто неможливе. У зірці припустиме підключення замість периферійного ще одного центрального абонента (у результаті виходить топологія з декількох з'єднаних між собою зірок).

У центрі мережі з даною топологією міститься не комп'ютер, а спеціальний пристрій — концентратор або, як його ще називають, хаб (hub), що виконує ту ж функцію, що й репітер, тобто відновлює сигнали й пересилає їх в усі інші лінії зв'язку.

Виходить, що хоча схема прокладки кабелів подібна активній зірці, фактично мова йде про шинну топологію, тому що інформація від кожного комп'ютера одночасно передається до всіх інших комп'ютерів, а ніякого центрального абонента не існує. Безумовно, пасивна зірка дорожче звичайної шини, тому що в цьому випадку потрібний ще й концентратор. Однак вона надає цілий ряд додаткових можливостей, пов'язаних з перевагами зірки, зокрема, спрощує обслуговування й ремонт мережі. Саме тому останнім часом пасивна зірка усе більше витісняє зірку, що вважається малоперспективною топологією.

Можна виділити також проміжний тип топології між активною й пасивною зіркою. У цьому випадку концентратор не тільки ретранслює сигнали, але й робить керування обміном, однак сам в обміні не бере участь (так зроблено в мережі 100VG-AnyLAN).

Велике достоїнство зірки (як активної, так і пасивної) полягає в тому, що всі точки підключення зібрані в одному місці. Це дозволяє легко контролювати роботу мережі, локалізувати несправності шляхом простого відключення від центра тих або інших абонентів (що неможливо, наприклад, у випадку шинної топології), а також обмежувати доступ сторонніх осіб до життєво важливих для мережі точок підключення. До периферійного абонента у випадку зірки може підходити як один кабель (по якому йде передача в обох напрямках), так і два (кожний кабель передає в одному із двох зустрічних напрямків), причому останнє зустрічається набагато частіше.

Загальним недоліком для всіх топологій типу зірка (як активної, так і пасивної) є значно більша, ніж при інших топологіях, витрата кабелю. Наприклад, якщо комп'ютери розташовані в одну лінію, то при виборі топології зірка знадобиться в кілька разів більше кабелю, ніж при топології шина. Це істотно впливає на вартість мережі в цілому й помітно ускладнює прокладку кабелю.

2.ОБСТЕЖЕННЯ СЕРЕДОВИЩ ФУНКЦІОНУВАННЯ ІТС

Обстеження проводиться з метою засадничих даних для формування вимог до комплексної системи захисту інформації у вигляді опису кожного середовища функціонування інформаційно телекомунікаційної системи та виявлення в ньому елементів, які безпосередньо можуть впливати на безпеку інформації, виявлення взаємного впливу елементів різних середовищ документування результатів обстеження для використання на наступних етапах робіт.

При обстеженні складається АКТ обстеження на об’єкті інформаційної діяльності в нашому випадку СТЗІ ДСНС у Волинській області

1 Вказують такі відомості:

1.1 Характеристика об`экта інформаційної діяльності.

Сектор технічного захисту інформації - структурний підрозділ ДСНС, до функцій якого входить забезпечення умов обігу інформації, що становить державну та/або корпоративну таємницю; робота з особовими справами осіб, які мають допуск до секретної інформації; реалізація технічних, організаційних та інших заходів, спрямованих на виявлення та закриття каналів витоку таємної інформації в процесі виробничої та іншої; організація секретного діловодства. Цей структурний підрозділ може розміщуватися в ізольованих службових приміщеннях, як правило, на середніх поверхах будівель установ та підпорядковуються безпосередньо керівникам установ або підприємств.

Схема приміщення СТЗІ

1.2 Характеристика складових об`экта інформаційної діяльності.

Місце розташування:: м. Луцьк, вул. Єлектроапаратна 19;

Розмір СТЗІ: 35 кв. м.

Поверх: 2-тий

Висота стелі: 3 м.

Суміжні приміщення: 4 кабінети

Архітектурно-будівельні особливості приміщень:

– огороджувальні будівельні конструкції: стеля (товщина 0,42 мм; матеріал цегла), підлога (товщина 3 см; матеріал залізобетон), стіни (товщина 510 мм; матеріал цегла), перегородки (матеріал цегла, товщина 640 мм);

– вікна (1 шт., пластикові, 1300х1400 мм), двері (1 шт., сталь, 810х2440 мм).

В об`экті інформаційної діяльності кабелі електроживлення та опалення виходить за межу контрольованої зони.

2.5 За результатами аналізу, встановлено:

1. Об`экт інформаційної діяльності знаходиться на контрольованій зоні

2. На території є патрулювання.

3. Встановлена сигналізація.

4. На території ведеться зовнішнє відео спостереження.

2.5.Аналіз функціонування обладнання.

· АС класу 3;

· Додатоково під’єднано принтер

· На АС класу 3 встановлено:

1. Операційна система Microsoft Windows 7, виробництва Microsoft Corporation, США;

2. Програмне забезпечення антивірусного захисту інформації Dr. Web® Server Security Suite (для серверів Windows);

3. Microsoft Office 2013 32/64 RU

2.6.Аналіз обстеження інформаційного середовища.

Рис.8.Інформація яка циркулює в СТЗІ відділі

Доступність до інформації регулюється політикою безпеки.

ступінь обмеження доступу гриф «Цілком таємно».

2.7.Обстеження середовища користувачів.

Склад СТЗІ:

· Керівник СТЗІ;

· Вищий специаліст СТЗІ

· Специаліст СТЗІ

· Специаліст СТЗІ

· Специаліст СТЗІ

· Специаліст СТЗІ.

3. Пропозиції щодо необхідності:

Для забезпечення інформаційної безпеки в СТЗІ ДСНС у Волиниській області рекомендуємо встановити такі засоби захисту:

1. Кодовий замок на двері.

2. Технічні засоби аналізу радіочастот.

3. Відеокамери.

4. Датчик розбиття скла.

5. Створення заземлення.

6. Екранування примішення

4. Висновки щодо терміну проведення категорування об'єктів та подання на затвердження актів із категорування.

3. СТВОРЕННЯ МОДЕЛІ ЗАГРОЗ

3.1. Загальна класифікація загроз інформації.

Згідно з нормативними документами системи ТЗІ (НД ТЗІ 1.1-002-99 та
НД ТЗІ 2.5-004-99) за результатом впливу на інформацію та систему її обробки загрози поділяються на чотири класи:

1. Порушення конфіденційності інформації (отримання інформації користувачами або процесами всупереч встановленим правилам доступу).

2. Порушення цілісності інформації (повне або часткове знищення, викривлення, модифікація, нав’язування хибної інформації).

3. Порушення доступності інформації (часткова або повна втрата працездатності системи, блокування доступу до інформації).

4. Втрата спостережності або керованості системи обробки (порушення процедур ідентифікації та автентифікації користувачів та процесів, надання їм повноважень, здійснення контролю за їх діяльністю, відмова від отримання або пересилання повідомлень).

Для забезпечення конфіденційності, цілісності та доступності інформації, а також керованості системою (спостережності) необхідно захищати інформацію не тільки від несанкціонованого доступу, але і виключати можливість негативного впливу на інформацію, втручання у процес її обробки, порушення працездатності системи. Таким чином, захищати необхідно всі компоненти ІТС ДСНС: апаратуру та обладнання, програми, дані, персонал.

Процес виявлення можливих загроз інформації (далі – загроз) та впливу їх на інформацію засновується на системній класифікації, що здійснюється за наступними критеріями рис:

Загрози інформації

Природні

Техногенні

Випадкові

Навмисні

Дистанційні

Контактні

Рис.9. Загальна класифікація загроз інформації.

Всі загрози поділяються на природні та техногенні. Природні загрози спричиняються стихійними природними явищами та об’єктивними фізичними процесами. Техногенні загрози є наслідком діяльності людини, технічних засобів і систем;

за мотивами походження техногенні загрози поділяються на випадкові та навмисні. Випадкові загрози спричиняються помилками проектування автоматизованої системи та системи захисту інформації, помилками у програмному забезпеченні, збоями та відмовами апаратури та систем забезпечення, помилками персоналу тощо. Навмисні загрози зумовлені цілеспрямованими діями людей (порушників);

за місцем розміщення джерел загроз відносно автоматизованої системи навмисні загрози поділяються на дистанційні та контактні. До дистанційних відносяться загрози, джерело яких знаходиться за межами контрольованої території. Контактні загрози здійснюються в межах контрольованої зони, як правило при проникненні в приміщення, де розташовані засоби обробки та збереження інформації.

За типом основного засобу, який використовується для реалізації загрози, всі джерела загроз поділяються на групи, а саме: людина, апаратура, програма, фізичне середовище.

Дата добавления: 2015-07-11