Дипломдық жоба рұқсатсыз қатынас құрудан ақпаратты қорғауға
жүктеу/скачать 3,55 Mb. Pdf көрінісі
|
- Бұл бет үшін навигация:
- 1 Ақпараттың құндылығы және қауіпсіздігі туралы түсінік
- 1.2 Ақпараттық қорғаныш сатылары
- 1.3 Ақпараттық шабуылдың негізгі көзі
| 6
6 7
7 8
8 9
9 Аңдатпа Дипломдық жоба рұқсатсыз қатынас құрудан ақпаратты қорғауға арналған. Мұнда ақпараттық қауіпсіздікке төнетін қауіптер мен қатерлер түсініктері және жіктелімі қарастырылады, ақпараттық ресурстар мен желілерге шабуылдардың әдістері сипатталады. Ақпаратты рұқсатсыз қатынас құрудан қорғау мәселелері қарастырылып, соның нәтижесінде ақпаратты қорғау әдістері мен жабдықтары талданады да желілердегі ақпаратты қорғау мәселелерінің шешу жолдары ұсынылады. Ақпаратты қорғау жабдығы ретінде Kerio Control брандмауэрі қолданылады, оның көмегімен трафиктер ережелері және желінің қауіпсіздік параметрлері орнатылады.
Данный дипломный проект посвещен защите информации от несанкционированного доступа. В нем рассмотрены понятия и классификация угрозы и опасности информационной безопасности, описаны методы атаки к информационным ресурсам и сетям. Рассматривюется проблемы защиты информации от несанкционированного доступа, в результате чего анализируются методы и средства защиты информации и предлагается пути решения проблемы защиты информации в сетях. В качестве средств защиты информации предлагается брандмауэр Kerio Control, с помощью которого устанавливаются правилы трафиков и параметры безопасности сети.
This degree project is devoted to information security from unauthorized access. In it concepts and classification of threat and danger of information security are considered, attack methods to information resources and networks are described. It Rassmatrivyutsya information security problems from unauthorized access therefore methods and means of protection of information are analyzed and it is offered to an information security problem solution in networks. As means of protection of information the firewall of Kerio Control by means of which pravila of traffic and parameters of safety of a network are established is offered.
10
10
Мазмұны Кіріспе............................................................................................................................4 1.
1.1
Ақпаратты қорғаудың қажеттілігі...................................................................5 1.2
Ақпараттық қорғаныш сатылары....................................................................7 1.3
Ақпараттық шабуылдың негізгі көзі...............................................................7 1.4
Қаскөй қауіптерінің жіктелімі.........................................................................9 1.5
Шабуылдар түрлері.........................................................................................10 1.6
Ақпараттық қауіпсіздіктің сыртқы қауіптері...............................................18 1.7
Ақпараттық қауіпсіздіктің ішкі қауіптері.....................................................19 2.
Ақпаратты рұқсатсыз қатынас құрудан қорғау....................................................21 2.1
Рұқсатсыз қатынас құру мәселелері..............................................................21 2.2
Ауани жеке желі..............................................................................................23 2.3
Кешендік қорғау..............................................................................................25 2.4
Ақпаратты рұқсатсыз қатынас құрудан қорғау...........................................26 2.5
Ақпараттың қаупсіздігін қамтамасыз етудің әдістері мен қамтамалар...................................................................................................................27 2.6
Желілердегі ақпараттық қауіпсіздік мәселелерін шешу жолдары............29 2.7
2.8
Желіаралық экрандар......................................................................................34 3.
Желіаралық экранды талдау және тәжірибеде қолдану......................................42 3.1
Бағдарламаның сипаттамасы және орнату мен баптау үдерісі..................43 3.2
Kerio Control бағдарламасы көптеген жұмыс мүмкіндіктері.....................48 3.3
Қауіп сигнатураларының базасындағы жіктеу............................................50 3.4
Бағдарламаның негізгі функциялары............................................................52 3.5
Интернетпен байланыс орнатудың таңдалған конфигурациясы...............55 4.
Технико – экономикалық бөлімі............................................................................59 4.1Жобаның техникалық-экономикалық негіздемесі……................................59 4.2 Бағдарламалық өнімді дайындаудағы еңбек сыйымдылығын есептеу..........................................................................................................................59 4.3 Бағдарламалық өнімді дайындауға кеткен шығындарды есептеу……..................................................................................................................60 4.4 Бағдарламалық өнімнің ықтимал (келісімді) бағасын анықтау……….............................................................................................................68 4.5 Бағдарламалық өзіндік құнын анықтау...........................................................69 4.6 Бағдарламалық өнімнің қызмет етуінің экономикалық нәтижесіне баға беру...............................................................................................................................71 5.Өміртіршілік кауіпсіздігі.........................................................................................72 5.1 Өндірістегі шу мен діріл көздері және олардың адам ағзасына әсері........72 11
11
5.2 Кәсіпорында өрт қауіпсіздігі, өрт сөндіру жүйесін есептеу.........................73 5.3 Өрттен қорғау жүйесіне қойылатын талаптар...............................................79 5.4 Метеорологиялық жағдайлар...........................................................................80 Қорытынды..................................................................................................................83 Қолданылған әдебиеттер тізімі..................................................................................84
12
12
Кіріспе Дүние жүзінде ақпарат ғылыми-техникалық және коммерциялық іс- әрекеттің нәтижесі ретінде өте қымбат тауар болып табылады. Сондықтан ақпаратты қорғау мәселесі мемлекеттік құрылым үшін болсын, коммерциялық құрылым үшін болсын маңызды болып табылады. Ақпараттық қауіпсіздік - қауіпсіздік жүйесінің маңызды құрамды элементі болып табылады және оның жағдайынан мекеменің жалпы қауіпсіздігі тәуелді. ХХІ ғасыр – ақпарат пен техниканың заманы. Алайда қорғау механизмдерін қолданбастан бұрын, алдымен нені неден қорғауымыз керек, осы мәселе анықталу керек. Осы бағытта шабуылдардың сипаттамалық ерекшеліктеріне талдау жасалу керек. Шабуылдардың қауіптілік деңгейі, салдары және статистикалық ерекшеліктері мұқият зерттелуі қажет қажет. Кез келген ақпаратты қорғау шаралары кешенді жүргізілгені жөн. Бір жерлерде ақпаратты қорғаудың аппараттық жабдықтары қолданылса, тағы бір жерлерде программалық қорғау жабдықтары қолданылуы мүмкін. Бұл белгілі бір ұйымның, мекеменің қызмет саласына байланысты болмақ. Енді бір жерлерде аппараттық және программалық қорғау жабдықтары қатар қолданылуы мүмкін. Қорғалатын ақпараттың құпиялылық деңгейі қандай қорғау амалдарын қолдану керектігін анықтайды. Мемлекеттік өте құпия ақпараты болады, коммерциялық құпия ақпарат болуы мүмкін, сондықтан да ақпараттың қауіпсіздігіне және қорғанышына зор көңіл бөлу қажет. Апараттық технологияның, әсіресе ғаламдық желінің кең қолданысқа ие болуы айтылған саладағы мәселелерді күрделілендіріп отыр. Барлық ұйымдар мен мекемелер Интернетпен байланысты, ал олардың көпшілік бөлігінің ішкі желілері де бар. Қазіргі уақытта желісіз бір де бір мекеме жұмыс істемейді, онсыз алға басу тоқтап қалады. Желінің өзінің түрлері көп. Жергілікті желілерде қауіпсіздікке жауап беретін администратор роліне ерекше көңіл бөліну керек болса, ауқымды желімен жұмыс істейтін ұйымдар мен мекемелерде ақпаратты қорғау мәселесі күрделірек, онда сырттан, іштен төнетін қауіптердің алдын алу, болдырмау шараларымен қатар, ұйымдастырушылық, әкімшілік, моральдық-этикалық қорғау шаралары да ескерілу керек. Қолданылатын қорғау шаралары, әдістері мен құралдарын тиімділіктері бойынша саралап, жарамдысын таңдау да сол мекеменің маңызды қызмет саласы болмақ. Дипломдық жобада жалпы желілерге төнетін қауіптерге талдау жасалып, қорғау жабдығы ретінде брандамауэрлердің қызметі алынады.
13
13
1 Ақпараттың құндылығы және қауіпсіздігі туралы түсінік 4.1
Ақпаратты қорғаудың қажеттілігі Ақпарат, ол тасымалдағышқа салынбайынша, материалдық болмайды. Дегенмен оның адам өміріндегі маңызы зор рөл алады. Ақпараттың негізгі құндылығы ақпаратты иеленген адамның оны қалай қолданатынына байланысты. Ақпарат қайда жазылып, сақталса да, ол ақпарат, яғни дерек болып қала бермек. Ақпараттық технологияның пайда болуына байланысты қоғам дамудың жаңа фазасына ауысты. Бұған компьютерлік техника жетістіктерінің ақпаратты шексіз және арзан түрде көбейтуі әсер етіп отыр. Ертеде, мысалы, осыдан 500 жыл бұрын ақпараттың көшірмесін алу үшін көп күш жұмсау қажет еді: кітапты көшіріп жазу (ал оның алдында жануар терісінен жасалған беттер дайындап алу керек болды), мәтінді оқып және жаттау, суреттің көшірмесін салу және оның алдында бояу мен қылқалам дайындау қажет болды. Ақпараттың жаңа көшірмесін алу үшін жұмсалатын күш кейде осы ақпараттың өзін дайындауға жұмсалған күшпен тең болатын, мысалы, кітапты көшіруге жылдап уақыт кететін. Сонымен қатар жаңа көшірмелерді жасау тек арнайы дайындалған адамдар қолынан келетінді, олар: жазушы ғалымдар, суретшілер, ақындар. Кітап баспасының шығуымен үрдіс жеңілдетілді: енді ақпараттың негізгі тасымалдағышы кітапты көп шамада баспаға шығаруға болатын болды және ол үшін дайындалған шығармашылық еңбек қажет емес болды. Алайда қажетті ақпаратты көбейтуге шығындар аз болған жоқ: кітапты басу, баспаға басу, тігу, тарату керек болды. Компьютерлік технологияның, соның ішінде Интернет желісінің пайда болуымен қандай да бір ақпараттың жаңа көшірмесін алуға күш пен қаражаттың жұмсалуы әлдеқайда азайды. Ақпараттың құндылығы адамға пайда беретін оның материалдық және рухани байлық қосындысымен анықталады. Сондықтан ақпаратты көшірген сайын ақпарат әзірленген кездегі әкелінген мөлшеріне әлемге әкелетін байлық мөлшерін көбейтеді. Қазіргі заманғы технологиялар көмегімен ақпаратты көшіру қиын емес, неғұрлым ақпарат саны көп болса, соғұрлым адамзаттың ақпаратқа сусындауы ұлғаймақ. Бұдан адамзатқа қажетті байлық санын көбейту үшін ақпараттың көшіріліп, көбейгені, көп салаға таралғанын дұрыс деп айту керек. Сонымен қатар ақпаратты әзірлеушілер өзінің қиын және ауыр еңбегі үшін сыйақы алуы керек. Ақпаратты рұқсатсыз қатынас құрудан қорғаудың бір себебі осында. Компьютерлердегі ақпарат – банктердегі ақшаның салымы сияқты, онда да ақпарат жиыны қамтылған – ақпарат қауіпсіздігін бақылауға көбірек назар аударуға алып келеді. Заңгерлік сұрақтар, жеке құпия мәліметтер, ұлттық қауіпсіздік – бұл барлық түсініктемелер мемлекеттік және коммерциялық мекемелерде ішкі бақылаудың күшейтуін талап етеді. Осы бағыттағы атқарылып жатқан жұмыстар жаңа саланың – ақпарат қауіпсіздігінің пайда болуына алып келді. Соңғы кездегі ақпараттық техникалар және технологиялар, Интернеттік технологияның күнделікті өмірге дендеп енуі ақпарат қауіпсіздігін қорғаудың
14
14
өзектілігін өсірмесе, кеміткен жоқ. Ақпарат қауіпсіздігі саласының мамандары ақпараттың бүтіндігін, құпиялылығын сақтауға бағытталған ақпараттық қауіпсіздікті қамтамасыз ету шараларын, жүйесін әзірлеуге, іске асыруға және пайдалану ережесін ұйымдастыруға жауап береді. Оның функцияларына ақпараттық қорды физикалық (техникалық құрылғылар, байланыс арналары және шалғай компьютерлер) және логикалық (деректер, қолданбалы бағдарламалар, операциялық жүйе) қорғауды қамтамасыз ету кіреді. Ақпаратты қорғау жүйесін құрудың қиындығы деректердің компьютерден ұрлануы және солай бола тұра өз орнында қалуы мүмкін екендігімен; кейбір деректер бағасының құндылығы оларды жою немесе өзгертуінде емес, олардың қолында болуымен анықталады. Компьютерлік желілердегі рұқсатсыз қатынас құрудан қорғау маңызды мәселе Әсіресе мұндай көрініс коммерциялық немесе басқа да түрдегі құпия ақпарат иеленетін банктік, мемлекеттік құрылымдар үшін жағымсыз жағдай болуы мүмкін. Бұл жағдайда ақпаратқа пайдаланушының құқықтары болғанда ғана
рұқсатты қамтамасыз ететін, желідегі қолданушыларды идентификациялаудың арнайы құрылғылары қажет. Пайдаланушыны жүйеге кіргенде жоғары сенімді деңгейде анықтайтын көптеген программалар, шаралар бар. Солардың ішінде, мысалы, пайдаланушыны көзінің қарашығымен немесе саусақтың ізімен анықтайтын технологиялар да бар. Сонымен қатар, көптеген жүйелер бірыңғай желі арқылы жіберілетін арнайы идентификациялық коданы пайдалану негізінде жасалған технологияларды қолданады. Security Dinamics фирмасының SecureID құрылғысын пайдаланғанда қолданушы туралы алты орындық код түріндегі қосымша ақпарат қамтамасыз етіледі. Бұл жағдайда пайдаланушының өзгеріп тұратын кодасының уақыттық үйлесімін қамтамасыз ететін SecureID арнайы картасы болмаса, желімен жұмыс істеуге мүмкіндік жоқ. Желіге рұқсат және ондағы жұмыс SecureID құрылғысының дисплейінде көрсетілетін коданың дұрыс мәнін білгенде ғана жүзеге асырылады. Алайда бұл және осы секілді жүйелердің басты кемшілігі жұмыс істеуінде ыңғайсыздық тудыратын және көптеген қосымша шығын келтіретін арнайы құрылғыны талап етпек.
Ақпаратты қорғауды қамтамасыз ету – маңызды іс. Егер жергілікті желі рұқсат етілген лицензиялық бағдаламалық құрылғымен, қымбат түрлі-түсті баспа құрылғыларымен немесе аса үлкен ортақ қол жетерлік ақпараттық файлдармен бірге қолдану мақсатында әзірленсе, онда тіпті шағын жүйелердің өзінде ақпаратты шифрлау/дешифрлаудың қажеті шамалы. Қажетті талдау жасау керек, онсыз ақпаратты қорғау құрылғыларын жобалауға, сатып алуға немесе орнатуға мүмкіндік жоқ. Қауіптерге жасалатын талдау көптеген факторларға (жұмыстың қате жасалуының ықтималдығы, коммерциялық шығынан келетін зиян, жүйенің дайындық коэффициентінің құлауы, қоғамдық қатынас, заңгерлік мәселелер) дұрыс бағалай алу керек және қауіпсіздік дәрежелері мен сәйкес үлгіні анықтауға мағлұмат беру керек. Бүгінгі таңда көптеген мекемелер коммерциялық деректерді басқару үшін қуатты үлестірілген дерекқорларды және клиент-сервер қосымшаларын қолданып жатыр. Үлестіруді өсірген сайын
15
15
деректерге рұқсатсыз қатынас құру және оларды өзгерту ықтималдығы да өспек. Ақпаратты шифрлау дәстүрлі түрде мемлекеттік және қорғаныс департаменттерінде қолданылып келді, бірақ соңғы кездегі ақпараттық кеңістіктің ұлғаюына байланысты көптеген сала ақпаратты қорғау қажеттілігін мойындап, ақпаратты қорғаудың барлық әдістері мен құралдарын мүмкіндігінше пайдалануға тырысуда. Компаниялардың қаржы қызметтері маңызды және үлкен қолданушы дерекқорын қамтиды, сонымен бірге шифрлау үрдісі кезінде алгоритмге жиі арнайы талаптар қойылады. Жарияланған алгоритмдер, мысалы AES, DES міндетті стандарттар болып табылады. Сонымен қатар, коммерциялық жүйелер нарығы
мемлекеттік немесе
қорғаныс департаментіндегідей әрқашан мұндай қатаң қорғаныш талаптарын сұрай бермейді, сондықтан да басқа қорғау жабдықтарын да қолдана береді, мысалы PGP (Pretty Good Privacy) қолданылуы мүмкін. 1.2 Ақпараттық қорғаныш сатылары Ақпараттық қауіпсіздікті қамтамасыз ету жағынан ол келесі сатылардан тұрады: а)
құпиялық – ақпараттың нақты қабылдаушы адамға арналып берілуіне кепілдік береді. Бұл сатыны бұзған адамдар қаскүнемдер немесе ақпарат бұзушылар деп аталады; б)
ақпараттың бүтіндігі – ақпараттың тасымалдау немесе сақтау кезінде бастапқы күйінде еш өзгеріссіз сақталғанына кепілдік беру. Бұл сатыны бұзушылар жалған айтушылар деп аталады; в)
аутентификациялылық – ақпарат иесінің өзі автор екендігіне кепілдік береді. Бұның бұзушылары ақпараттың жалған авторы деп аталады; г)
электронды байланыстарда қолданылады. Ол деректер иесіне сол адам екендігіне кепілдік береді. Бұның басқалардан айырмашылығы егер авторды ауыстыратын болса, онда ол апплетуция бұзған болып есептеледі.
Қазіргі кезде газет-журнал беттерінен ақпаратқа, компьютерлердің қорғанысына жасалған шабуылдар туралы көп кездестіруге болады. Ақпараттық шабуыл дегеніміз не? Ақпараттық шабуылдан бұрын ақпараттың не екенін айтып өтсек. Ақпарат деп – жеке файлды немесе деректер қорын, толығымен бағдарламалық кешенді айтуға болады. Осы объектілердің барлығы да зиянкестердің шабуылына ұшырауы мүмкін. Ақпарат иесі немесе ақпарат иесінің қол астындағы тұлға оны қорғағанда немесе қатынас құру құқығын құрғанда ол өз қалауынша қорғаныс заңдарын шығарады. Бұл заңдарды бұзғандар ақпаратқа шабуыл жасағандар болып табылады. Қазіргі уақытта барлық фирмаларда жалпылама компьютерлендіру орын алғандықтан электрондық ақпарат көлемі бірнеше мыңдаған есе көбейді. 16
16
Сондықтан құпия ақпаратты көшіріп алуға бұрынғыдай көп уақыт қажет емес, азғантай уақыт жеткілікті. Ал компьютерлік желінің пайда болуы бұл жұмысты тіпті жеңілдетіп жіберді. Ақпараттық шабуылдың зардаптары қандай? Бірінші орында бізді әрине экономикалық жағы көп ойландырады: –
шығындарға әкелуі мүмкін; –
үлкен көлемдегі ақпараттың ұрлануы фирманың беделін түсіреді, саудаға жанама әсер етеді; –
банкротқа ұшыратуға тырысуы мүмкін; –
ақпаратты жалған ақпаратпен ауыстыру нәтижесінде үлкен шығындарға әкелуі мүмкін; –
көрсететін қолданушылардың көзқарасын өзгертуі мүмкін және ол табыс көзіне зиянын келтіреді. Компьютерлік шабуылдар үлкен көлемді моральдік шығын әкеледі. Әрине компьютерлік желінің пайдаланушысы оның жазған хатын хат алушыдан басқа ондаған адамның алғанын қаламайды немесе ЭЕМ пернетақтасында терілген мәтін белгілі бір ортаға көшіріледі де, интернет желісі арқылы белгілі бір серверге жіберіліп, одан ұрлануын қаламайды. Ақпараттық шабуыл туралы қызықты деректер келтірейік. Электрондық ақпараттың бұзылуына төмендегідей сараптама келтірелік: 52% – адамның байқаусыз жасаған қателігі, 10% – адамның әдейі ойластырып істеген қателігі, 10% – техниканың істен шығуы, 15% – өрттің әсерінен істен шығуы, 10% – судың әсерінен істен шығуы. Көріп отырғанымыздай, әр оныншы жағдай электрондық деректердің бұзылуы болып табылады, ол компьютерлік шабуылдарға тікелей байланысты. Бұл іс-әрекеттің иесі кім? 81% жағдайда фирманың сол уақытта жұмыс атқаратын қызметкерлері, 13% жағдайда еш қатысы жоқ адамдар және 6% жағдайда жұмыс орнының бұрынғы қызметкерлері болып табылады. Зиянкестердің қолы ақпаратқа жеткен соң олардың әрекеттері: 44% жағдайда электрондық шоттардан қаржы ұрлау, 16% – ақпаратты ұрлау (қорытындысы әр түрлі), 16% – бағдарламалық қамтамасыз ету шараларын істен шығару, 12% – ақпаратты жалған ақпаратпен ауыстыру, 10% – компьютер арқылы зиянкестер өздеріне қатынау құқығын жасау. Дербес компьютерді рұқсат етілмеген қатынас құрудан қорғаудың басты тетіктері келесідей: а)
дербес компьютер мен ақпарат тасымалдағыштарды физикалық қорғау; б)
пайдаланушылар мен ақпарат өңдеу компоненттерін көріп-тану (аутентификация); в)
17
17
г)
тасымалдағыштарда сақталатын (деректер архивациясы) ақпаратты криптографиялық жабу; д)
қорғалатын ақпаратты оның өңделу үстінде криптографиялық жабу; е)
қорғалатын ақпаратқа барлық қатынас құруларды тіркеу; жүктеу/скачать 3,55 Mb. Достарыңызбен бөлісу:
|