МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ

РОССИЙСКОЙ ФЕДЕРАЦИИ

КУРСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ

Кафедра Комплексной защиты информационных систем

Пояснительная записка к курсовому проекту

по дисциплине

«Инженерно-техническая защита информации»

специальности 090104 – Комплексная защита объектов информатизации

Тема: Моделирование объектов защиты и угроз безопасности

Вариант 1.6

Курск – 2010 г.

Вариант 1.6

СОДЕРЖАНИЕ

· Титульный лист.

· Содержание, включающее следующие разделы.

1. Описание объекта защиты Стр.3

1.1. Исходные данные варианта; Стр.4

2. Моделирование объекта защиты: Стр.6

2.1. Структурная модель;

2.2. Пространственная модель; Стр.9

3. Моделирование угроз безопасности Стр.10

3.1. Моделирование способов физического проникновения; Стр.11

3.2. Моделирование технических каналов утечки информации; Стр.15

4.Выводы по работе Стр.21

5. Список использованных источников Стр.23

Приложение: Эскиз объекта информационной защиты. Стр.24

1. Описание объекта защиты

В качестве объекта информационной защиты рассмотрим некоторую небольшую организацию, оказывающую услуги населению в области ЖКХ, управляющую компанию по обслуживанию многоквартирных жилых домов. Структурная организация фирмы представлена следующими основными подразделениями, размещенными в отдельных комнатах в собственном двухэтажном здании на втором этаже:

R1. Генеральный директор

R2. Приемная

R3. Главный инженер

R4. Отдел кадров, юридический отдел

R5. Бухгалтерия

R6. Отдел проектирования и строительства

R7. Производственный отдел

1.1. Исходные данные варианта;

Формат элемента конфиденциальной информации имеет следующую графическую структуру:

Цена элемента информации имеет относительный характер

2. Моделирование объекта защиты

2.1. Структурная модель

Считается, что цена элемента информации может быть определена двумя способами – методом экспертных оценок и по формулам.

· Определение цены элемента информации методом экспертных оценок может осуществляться, если известен ущерб, который будет причинен фирме в случае утечки этой информации. При этом вид и объем информации не влияют на эту цену.

· Цена элемента информации может вычисляться по формуле, учитывающей объем информации и цену единицы ее объема.

В расчете цены элемента информации, размещенного на электронном носителе будем использовать формулу:

C = V · S, где C – цена элемента информации;

V – объем информации в Кб;

S – условная цена единицы информации

В расчете цены элемента информации, размещенного на бумажном носителе воспользуемся формулой:

C = 2.5· V · S , где C – цена элемента информации;

V – объем информации в страницах;

S – условная цена единицы информации

Результат расчета цены для всех элементов информации

Результаты, расчета цены и эскиз объекта информационной защиты позволяют получить структурную модель объекта защиты.

2.2. Пространственная модель объекта информационной защиты.

3. Моделирование угроз безопасности

Моделирование угроз безопасности информации позволяет оценить ущерб, который может быть нанесен фирме в результате хищения элементов конфиденциальной информации, представленной с помощью разработанной ранее структурной модели.

Моделирование угроз включает:

1. моделирование способов физического проникновения злоумышленника к источникам информации;

2. моделирование технических каналов утечки информации;

Действие злоумышленника по добыванию информации и материальных ценностей определяется поставленными целями и задачами, мотивацией, квалификацией и технической оснащенностью. Прогноз способов физического проникновения следует начать с выяснения, кому нужна защищаемая информация. Для создания модели злоумышленника необходимо мысленно проиграть с позиции злоумышленника варианты проникновения к источникам информации. Чем больше при этом будет учтено факторов, влияющих на эффективность проникновения, тем выше будет вероятность соответствия модели реальной практике. В условиях отсутствия информации о злоумышленнике лучше переоценить угрозу, хотя это может привести в увеличению затрат.

3.1. Моделирование способов физического проникновения

Важным фактором при выборе пути злоумышленником является оценка реальности этого пути. Реальность пути связана с вероятностью выбора злоумышленником этого пути. Она определялась методом экспертных оценок. Вероятность зависит от простоты реализации именного этого пути проникновения. Очевидно, что через некоторые окна и двери легче проникнуть, поэтому следующие соображения:

1. Проникнуть легче через дверь, чем через окно;

2. Легче проникнуть в окно, не содержащее дополнительных средств защиты, чем в окно с решетками;

3. Проникнуть легче через обычную дверь, чем через железную;

4. Чем больше нужно миновать препятствий, тем путь менее вероятен;

Определим следующие оценки O_r реальности пути:

1. O_r =0,1 - для маловероятных путей;

2. O_r =0,5 - для вероятных путей ;

3. O_r =0,9 - для наиболее вероятных путей.

Величина угрозы находится по формуле:

D=O_r ∙ S_{i ,}

где: в – величина угрозы, выраженная в условных единицах;

O_r – оценка реальности пути;

S_i – цена элемента информации i .

Для формализации оценки угрозы введем ранжирование величины угрозы по ее интервалам, сопоставляемым с рангами.

· Определим диапазон значений величин угроз от 1 до D_max =800;

· вводится в рассмотрение, например, 6 ранга;

· устанавливается наивысший по значимости ранг R₁ =1 для угроз, имеющих значительные величины;

· определяется линейный интервал ранга d=D_max /6, d=133

· соответствие рангов угроз и интервалов величин угроз определяется следующими формулами:

R₆ =6 : [1÷ R_6max ], R_6max = d-1;

R_i =i : [(R_(i+1)max +1) ÷ R_imax ] , R_imax = R _(i-1)max + d; i = (2,3,4,5);

R₁ =1 : [ >R_{2 max} +1].

Пусть максимальная величина угрозы D_max = 800, тогда d=200.

Определяем ранги и интервалы значений угроз:

R₆ =6 для интервала [ 1÷ 132];

R₅ =5 для интервала [133 ÷ 265];

R₄ =4 для интервала [266 ÷ 398];

R₃ =3 для интервала [399 ÷ 531];

R₂ =2 для интервала [532 ÷ 664];

R₁ =1 для интервала [ > 665];

Полученная система рангов представлена в таблице

Из таблицы рангов видно, что наиболее уязвимой является информация от R3 и выше, то есть величиной от 399 и выше.

Следуя из результатов таблицы предлагаются следующие меры для улучшения защиты информации. Самым уязвимым является элемент Технологии с рангом 3 и комната R6.

1. Поставить решетки на окна w9, W10

2. Дверь d10 заменить на металлическую.

Все остальные элементы получили ранг ниже третьего, их рассматривать мы не будем.

3.2. Моделирование технических каналов утечки информации

При выявлении технических каналов утечки информации необходимо рассматривать всю совокупность элементов защиты, включающую основное оборудование технических средств обработки информации, оконечные устройства, соединительные линии, распределительные и коммутационные устройства, системы электропитания, системы заземления и т.п.

Наряду с основными техническими средствами, непосредственно связанными с обработкой и передачей конфиденциальной информации, необходимо учитывать и вспомогательные технические средства и системы, такие, как технические средства открытой телефонной, факсимильной, громкоговорящей связи, системы охранной и пожарной сигнализации, электрификации, радиофикации, электробытовые приборы и др. В качестве каналов утечки интерес представляют вспомогательные средства, выходящие за пределы контролируемой зоны, а также посторонние провода и кабели, к ним не относящиеся, но проходящие через помещения, где установлены основные и вспомогательные технические средства, металлические трубы систем отопления, водоснабжения и другие токопроводящие металлоконструкции.

При моделировании технических каналов утечки, помимо выявления самих каналов, т.е. источника сигнала, пути утечки, определяется оценка реальности канала, величина и ранг угрозы.

Оценка реальности канала определяется как отношение стоимости информации к стоимости реализации канала утечки, а величина угрозы - как произведение стоимости информации на оценку реальности канала.

Пропускная способность канала утечки информации:

· для акустической радиозакладки:

C₀ = DF*log₂ (1+q) [Бод], где DF - ширина полосы частот сигнала [Гц];

q - средне спектральное соотношение сигнал/помеха по мощности [дБ];

· для визуального (фото) контроля:

C₀ = k*F₀ *(m´n)*log₂ (1+q) [Бод], где F₀ – частота кадров изображения;

m´n – число элементов разрешения в кадре; k – коэффициент конфиденциальной информации.

Стоимость элемента информации:

C_и = C₀ *t*C_э , где С₀ – пропускная способность канала утечки информации; t – время работы канала; C_э – стоимость 1 Кбайта элемента информации.

Оценка реальности канала утечки информации:

a = C_и /C_ку , где C_и – стоимость элемента информации;

C_ку – стоимость канала утечки информации.

Величина угрозы:

C_у = C_и *a, где C_и – стоимость элемента информации;

a - оценка реальности канала утечки информации.

Характеристики технических каналов утечки информации.

Модель технических каналов утечки информации

4.Выводы по работе

Для несанкционированного добывания информации в настоящее время используется широкий арсенал технических средств, из которых малогабаритные технические средства отражают одно из направлений в развитии современных разведывательных технологий. Выполняемые в портативном, миниатюрном и сверхминиатюрном виде, эти средства аккумулируют в себе новейшие научные, технические и технологические достижения электроники, акустики, оптики, радиотехники и других наук. Такие средства находят широкое применение, как в деятельности правоохранительных органов, так и иностранных технических разведок, в подпольном информационном обеспечении незаконных экономических, финансовых и криминальных организаций. В условиях рыночной экономики появление значительного числа конкурирующих между собой различных структур естественным образом создало определенное пространство, на котором применение подобных устройств технической разведки для добывания информации различной значимости является наиболее вероятным.

Информационная сфера играет все возрастающую роль в обеспечении безопасности всех сфер жизнедеятельности общества. Через эту сферу реализуется значительная часть угроз не только национальной безопасности государства, но и экономическому благополучию учреждений и предприятий.

Одними из основных источников угроз информационной безопасности для последних – преступные сообщества, конкурентные организации, группы и формирования и противозаконная деятельность отдельных лиц, направленная на сбор или хищение ценной информации, закрытой для доступа посторонних лиц. Причем в последние годы приоритет в данной сфере деятельности смещается в экономическую область.

Главной причиной возникновения промышленного (экономического) шпионажа является стремление к реализации конкурентного преимущества – важнейшего условия достижения успеха в рыночной экономике. Охота за чужими секретами позволяет компаниям экономить собственные средства на ведение НИОКР и фундаментальные исследования, быть в курсе дел конкурентов, использовать их научно-технические достижения.

Западный опыт промышленного шпионажа сегодня активно переносится на территорию России. В нашей стране промышленный шпионаж осуществляется в целях: овладения рынками сбыта, подделки товаров, дискредитации или устранения (физического или экономического подавления) конкурентов, срыва переговоров по контрактам, перепродажи фирменных секретов, шантажа определенных лиц, создания условий для подготовки и проведения террористических и диверсионных акций).

На рынке России представлен арсенал самых современных технических средств промышленного шпионажа, которые находят все более широкое применение на практике. К ним относятся: визуально-оптические, фотографические, телевизионные, тепловизионные (инфракрасные), акустические, радио-, радиотехнические и некоторые другие средства разведки.

Для организации защиты конфиденциальной информации необходимо знать возможности технических средств промышленного шпионажа и способы их применения.

Итак, можно сделать вывод, что защита информации от несанкционированного физического доступа и от утечки по техническим каналам является сложной и важной задачей. В то же время, расчет моделей физического доступа и утечки по техническим каналам позволяет избежать лишних расходов на защиту информации, сделать этот процесс рациональным и управляемым.

5. Список использованных источников

1. Способы и средства защиты информации. Хорев А.А М.: МО РФ, 1996.

2. Защита информации в офисе. И. К. Корнеев, Е. А. Степанов. 336 стр. ТК Велби, Проспект, 2008 г.

3. Комплексная защита информации в корпоративных системах. В. Ф. Шаньгин. 592 стр.Форум, Инфра-М, 2010 г.

4. Утечка и защита информации в телефонных каналах. А. В. Петраков, В. С. Лагутин. 324 стр. РадиоСофт, 2009 г.

5. Комплексная защита информации на предприятии. В. А. Северин, 368 стр. Городец, 2008 г.

6. Информационная безопасность и защита информации. В. П. Мельников, С. А. Клейменов, А. М. Петраков. 336 стр. Академия, 2009 г.

7. Оценка необходимости защиты информации предприятия. Галкин А. П. // Вестник ассоциации Русская оценка. 1999. № 1. С. 55-58.

Условные обозначения на эскизе

Дверь Металлическая дверь

Окно Окно с решеткой

Компьютер Телефон

Сейф Шкаф

Стол