Технологічні засоби контролю

Загрози безпеки АБС

Основні загрози безпеки АБС можна розподілити на такі групи: інформаційні, програмно-математичні, фізичні, радіоелектронні, організаційно-правові (див. рис. 11.1). Дамо пояснення основних видів загроз.

Несанкціонований доступ — вид комп’ютерних порушень, який полягає в отриманні користувачем доступу до об'єкта, на який у нього немає санкціонованого дозволу адміністратора системи.

Маніпулювання даними—це свідома фальсифікація, дезинформації чи приховування даних.

Установка програмних закладок—цеспеціально розроблена і приховано впроваджена в захищену систему програма, яка дає змогу зловмиснику дістати доступ до захищених ресурсів системи.

Неправильне розмежування прав доступу—це надання певних повноважень особам, які не є відповідальними за ту чи іншу технологічну операцію. Будь-яка захищена система містить засоби, що використовуються в надзвичайних ситуаціях, коли користувач повинен мати можливість доступу до всіх наборів системи. Звичайно ці засоби використовуються адміністраторами, операторами, системними програмістами та іншими користувачами, що виконують спеціальні функції. Надання цих повноважень більш широкому колу спеціалістів є серйозною загрозою безпеки системи.

Кожний з користувачів системи повинен мати чіткі і обмежені його посадовими функціями права доступу до ресурсів системи. Набори прав доступу повинні охоронятися системою захисту від несанкціонованого (незаконного) їх захоплення.

Рис. 11.1. Загрози безпеці АБС

Основні засоби захисту

До основних засобів захисту інформації можна віднести такі: фізичні засоби, апаратні засоби, програмні засоби, апаратно-прог­рамні засоби, криптографічні та адміністративні методи.

Фізичні засоби захисту — це засоби, необхідні для зовнішнього захисту ЕОМ, території та об’єктів на базі обчислювальної техніки, які спеціально призначені для створення фізичних перешкод на можливих шляхах проникнення і доступу потенційних порушників до компонентів інформаційних систем та ін­формації, що захищаються. Спектр сучасних фізичних засобів захисту дуже широкий. Це різного роду замки, які можуть встановлюватись на вході в приміщення та на блоках системи, це системи пожежної сигналізації і т.п. До цієї групи засобів захисту також належать різні засоби екранування робочих приміщень та каналів передачі даних.

Апаратні засоби захисту — це різні електронні, електронно-механічні та інші пристрої, які вмонтовуються в серійні блоки електронних систем обробки і передачі даних для внутрішнього захисту засобів обчислювальної техніки: терміналів, пристроїв введення та виведення даних, процесорів, ліній зв’язку та ін.

Основні функції апаратних засобів захисту:

· заборона несанкціонованого (неавторизованого) зовнішнього доступу віддаленого користувача;

· заборона несанкціонованого (неавторизованого) внутрішнього доступу до баз даних в результаті випадкових чи зумисних дій персоналу;

· захист цілісності програмного забезпечення.

Ці функції реалізуються шляхом:

· ідентифікації суб’єктів (користувачів, обслуговуючого персоналу) і об’єктів (ресурсів) системи;

· аутентифікації суб’єкта по наданому ним ідентифікатору;

· перевірки повноважень, яка полягає в перевірці дозволу на певні види робіт;

· реєстрації (протоколювання) при звертаннях до заборонених ресурсів;

· реєстрації спроб несанкціонованого доступу.

Програмні засоби захисту необхідні для виконання логічних і інтелектуальних функцій захисту, які вмонтовані до складу програмного забезпечення системи.

За допомогою програмних засобів захисту реалізуються наступні задачі забезпечення безпеки:

· контроль завантаження та входу в систему за допомогою сис­теми паролів;

· розмежування і контроль прав доступу до системних ресурсів, терміналів, зовнішніх ресурсів, постійних та тимчасових наборів даних і т.п.;

· захист файлів від вірусів;

· автоматичний контроль за роботою користувачів шляхом протоколювання їх дій.

Апаратно-програмні засоби захисту — це засоби, які основані на синтезі програмних та апаратних засобів. Ці засоби широко використовуються при аутентифікації користувачів АБС. Аутентифікація — це перевірка ідентифікатора користувача перед допуском його до ресурсів системи.

Апаратно-програмні засоби захисту використовуються також при накладанні електронно-цифрових підписів відповідальних користувачів. Найбільш поширеним в АБС є вико-
ристання смарт-карт, які вміщують паролі та ключі користу-
вачів.

Криптографічні методи захисту — це методи, основані на криптографічних перетвореннях даних, тобто на їх шифруванні.

Основні криптографічні методи захисту:

· шифрування з допомогою датчика псевдовипадкових чисел, яке полягає в тому, що генерується гамма шифра за допомогою датчика псевдовипадкових чисел і накладається на відкриті дані з врахуванням зворотності процесу;

· шифрування за допомогою криптографічних стандартів шиф­рування даних (з симетричною схемою шифрування), в основі якого використовуються перевірені і випробовані алгоритми шиф­рування даних з великою криптостійкістю, наприклад амери-
канський стандарт DES;

· шифрування за допомогою пари ключів (з асиметричною сис­темою шифрування), в яких один ключ є відкритим і використовується для шифрування інформації, другий ключ — закритим і використовується для розшифрування інформації. Прикладом може служити метод RSA.

Криптографічні методи захисту інформації дуже широко використовуються в АБС і реалізуються у вигляді апаратних, програмних чи програмно-апаратних методів захисту.

В таблиці наведено характеристики алгоритмів криптозахисту [15, c. 52].

Характеристика	DES	RSA
Вид алгоритму	Одноключовий	Двоключовий
Швидкість роботи	Швидко	Повільно
Функція, що використовується	Перестановка і підстановка	Піднесення до степеня
Довжина ключа	56 біт	300-600 біт
Найменш затратний криптоаналіз	Перебір по всьому клю­човому простору	Розкладання модуля
Стійкість	Теоретична	Практична
Часові витрати на розкриття	Століття	Залежать від довжини ключа
Час генерації ключів	Міллі-секунди	Десятки секунд
Тип ключа	Симетричний	Асиметричний

Порівняльний аналіз алгоритмів криптозахисту дає можливість відмітити такі їх особливості. Алгоритм RSA працює приблизно в тисячу разів повільніше за алгоритм DES і потребує в десять раз довших ключів, його стійкість теоретично не доведена. Але велика перевага RSA полягає у відсутності необхідності організації строго засекреченої процедури обміну ключами.

Тому в АБС потрібно застосовувати гібридні системи, засновані на двох алгоритмах, використовувати їх переваги.

Адміністративні засоби захисту — це заходи організаційного характеру, регламентуючі процеси функціонування АБС, використання її ресурсів, діяльність персоналу і т. д. Мета цих заходів в найбільшій мірі перешкодити та виключити можливість реалізації загроз безпеки. Адміністративно-організаційних заходів багато. Наведемо лише деякі:

· розробка чіткої технології обробки інформації в АБС та конт­роль за її дотриманням;

· організація захисту від встановлення прослуховуючої апаратури в приміщеннях інформаційних служб;

· ретельний відбір персоналу (перевірка нових співробітників, ознайомлення їх з порядком роботи з конфіденційною інформацією, з мірами відповідальності за порушення правил її обробки).

11.3. Основні задачі та вимоги до захисту
банківської інформації в СЕП

В міжбанківських платежах використовується нова для України форма платіжних інструментів — електронний платіжний документ. Такий документ має встановлену форму і відповідні засоби захисту, що надаються НБУ кожному учаснику СЕП. Крім того, кожний банк—учасник СЕП може мати власну систему захисту внутрібанківських розрахунків.

Система безпеки СЕП розроблена з урахуванням таких вимог:

· система захисту охоплює всі етапи розробки, впровадження та експлуатації програмно-технічного комплексу СЕП;

· система безпеки включає організаційні, технічні, апаратні і програмні засоби захисту;

· в системі чітко розподілена відповідальність за різні етапи обробки та виконання платежів.

В системі виділені такі основні задачі захисту СЕП:

· захист від зловживань (несанкціоноване розшифрування повідомлень, поява фальсифікованих повідомлень);

· автоматичне протоколювання використання банківської мережі з метою локалізації порушників технології роботи в СЕП;

· захист від технічних пошкоджень та збоїв в роботі обладнання (вихід з ладу апаратних та програмних засобів, поява перешкод в каналах зв’язку).

Система безпеки СЕП є багатоступеневою. Вона не тільки включає засоби шифрування інформації на різних її рівнях, а й вміщує цілий комплекс технологічних та бухгалтерських засобів контролю за проходженням платежів у СЕП. Технологічний та бухгалтерський контроль забезпечується програмно на всіх рівнях, що дає змогу персоналу РРП і учасникам СЕП слідкувати за порядком проходження платежів як на протязі дня, так і за підсумками його завершення.

Технологічні засоби контролю

Технологічні засоби контролю включають:

· механізм обміну квитанціями, що дозволяє однозначно ідентифікувати отримання адресатом конкретного пакета документів і достовірність отриманої в ньому інформації;

· механізм інформування банків-учасників про поточний стан його кореспондентського рахунку за підсумками кожного технологічного сеансу, що дозволяє банку простежити відповідність змін коррахунку після сеансу прийому/передачі пакетів платіжних документів;

· обмін банку та РРП підсумковими документами в кінці дня, програмне зведення підсумкових документів як в РРП, так і в банку;

· програмний комплекс самодіагностики, що дозволяє виявити порушення цілісності та узгодженості баз даних АРМ-2, що мо­жуть виникнути в результаті збою функціонування системи, спроб несанкціонованого доступу (НДС) до баз даних АРМ-2 чи їх фізичного пошкодження;

· обмін АРМ-2 та АРМ-1 звітними повідомленнями про функціонування РРП в цілому;

· механізм контролю програмних засобів на предмет несанкціонованої модифікації виконавчих модулей.

Всі технологічні засоби контролю вмонтовані в програмне забезпечення. У випадках виникнення нестандартної ситуації чи підозри на НДС оператору АРМ-2 видається відповідне повідомлення з наданням йому можливості оперативного втручання, а та­кож автоматично дублюється повідомлення про виникнення нестандартної ситуації на АРМ-1.

11.3.2. Бухгалтерські засоби контролю

Бухгалтерські засоби контролю включають:

· низку звітних документів, отриманих як від АРМ-2, так і від АРМ-3, що вміщують повну технологічну та бухгалтерську інформацію, перехресні посилання та аналіз балансу;

· низку звітних форм АРМ-1, що вміщують інформацію про стан СЕП в Україні;

· засоби вивірення взаємодій РРП в АРМ-1, що дозволяють виявити неузгодженість в звітній інформації, що надана в РРП;

· засоби аналізу причин відсутності балансу в масштабах України.

Використання тільки технологічних та бухгалтерських методів контролю є недостатнім для забезпечення захисту від зловживань при передачі платіжних документів в СЕП. Тому необхідне автоматичне ведення протоколу виконуваних дій в системі платежів, що має також забезпечувати захист цього протоколу від підробки та модифікацій. Всі ці вимоги можуть бути виконані тільки за допомогою програмних та апаратних засобів захисту.