Ақпараттық қауіпсіздік туралы
Кіріспе
1 Талдау бөлімі
1.1 Ақпаратты қорғау
1.2 Ақпараттық қауіпсіздендіру
1.3 Ақпараттық жүйелердің аппараттық және программалық платформасын талдау
1.4 Ақпаратты қорғаудың криптографиялық жүйелері
1.5 Кілті ашық жүйелердегі мәліметтерді криптографиялық әдіспен қорғау
2 Жобалау бөлім
2.1 Есептің қойылымы
2.2 Ақпараттық және техникалық қамтамасыз ету
2.3 Бағдарламалық қамтамасыздандыру
3 Еңбек қорғау
Қорытынды
Пайдаланылған әдебиеттер
Қосымша
1 Талдау бөлімі
1.1 Ақпаратты қорғау
1.2 Ақпараттық қауіпсіздендіру
1.3 Ақпараттық жүйелердің аппараттық және программалық платформасын талдау
1.4 Ақпаратты қорғаудың криптографиялық жүйелері
1.5 Кілті ашық жүйелердегі мәліметтерді криптографиялық әдіспен қорғау
2 Жобалау бөлім
2.1 Есептің қойылымы
2.2 Ақпараттық және техникалық қамтамасыз ету
2.3 Бағдарламалық қамтамасыздандыру
3 Еңбек қорғау
Қорытынды
Пайдаланылған әдебиеттер
Қосымша
Қазақстан Республикасының Евразиялық аймаққа кіруі, ХХІ ғасырға аяқ басуы ел Президентінің «Қазақстан-2030» атты стратегиялық бағдарламасына сәйкес жаңа техника мен технология үдерістерінің дамуы келешекте жоғары оқу орындарында білім беру қандай бағытта өрбуі керек деген өзекті мәселе туғызады. Барлық өркениетті елдерде азаматтардың қауыпсіздік сақшысы ретінде зандар тұр, барлық есептегіш техника саласында құқық қолданатын іс-тәжірибе әзірге дамымаған, ал заң шығарушы процесс технология дамуына ілесе алмайды, сондықтан компьютерлік жүйе жұмысының сенімділігі көбіне өзін-өзі қорғау шараларына сүйенеді.
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса, жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің, маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық, программалық және техникалық әдістер мен құралдардан тұрады.
Ақпараттық қауіпсіздік - мемлекеттік ақпараттық ресурстардың, сондай-ақ ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының жай-күйі. Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса, жасырындылығын қолдауды түсінеді.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады. Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді. Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі болып табылады.
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса, жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің, маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық, программалық және техникалық әдістер мен құралдардан тұрады.
Ақпараттық қауіпсіздік - мемлекеттік ақпараттық ресурстардың, сондай-ақ ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының жай-күйі. Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса, жасырындылығын қолдауды түсінеді.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады. Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді. Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі болып табылады.
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
1 Таможенный кодекс Республики Казахстан (с изменениями и дополнениями по состоянию на 27.11.2007 г.)
2 Бобровский С. Delphi 5: учебный курс - СПб: Питер, 2001. -428с.
3 Тюкачев Н., Свиридов Ю. Delphi 5. Создание мультимедийных приложений. Учебный курс.- СПб.: Питер, 2001..-251с.
4 Архангельский А.Я. 100 компонентов общего назначения библиотеки Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999 .-112с.
5 Архангельский А.Я. Интегрированная среда разработки Delphi - М.: ЗАО «Издательство БИНОМ», 1999.-91с.
6 Архангельский А.Я. Разработка прикладных программ для Windows в Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999.-369с.
7 Архангельский А.Я. Object Pascal в Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999. -77с.
8 Симонович С.В., Евсеев Г.А. Занимательное программирование: Delphi. - М.: АСТ-ПРЕСС: КНИГА: Инфорком-Пресс, 2001. -39с.
9 Полянский А. Среда программирования Delphi 5-6: Справочное пособие. - М.: Познавательная книга плюс, 2001.-114с.
10 Вин Д..Искусство Html-дизайна. Самоучитель - Санкт-Петербург:Питер,2003.-224с.-284с.
11 Смит К., Уотерс К. Html - дизайн: Photoshop & Dreamweaver: Три ключевых этапа. -М.: КУДИЦА-ОБРАЗ, 2004.-264с.
12 Гетц К., Джилберт М.Программирование в Microsoft Office. - Киев: Ирина,2000.-139с.
13 Киселев Ю.Н. Электронная коммерция.- СПб.: ДиаСофтЮп, 2001. -384с.
14 Попов В.Б. Основы компьютерных технологий. -М.: Финансы и статистика, 2002. - 457с.
15 Белунцов В..Новейший самоучитель по разработке Html-страниц.-М.:ДЕСС-КОМ,2000. - 446с.
16 Л.Л.Босова. Разноуровневые дидактические материалы по информатике. - М.: Образование и Информатика, 2001. - 384с.
17 Экономическая информатика: Учеб. - Санкт-Петербург: Питер, 2001.-556с.
18 Гетц К., Джилберт М.Программирование в Microsoft Office.- Киев: Ирина, 2000.- 139с.
19 Субботин М.М. Новая информационная технология: Создание и обработка гипертекстов. - М., 1992. - 755 с.
20 Роберт И.В. Современные информационные технологии в образовании: дидактические проблемы; перспективы использования. - М.: «Школа-Пресс»,1994. - 205 с.
21 Демушкин А.С. и др. Компьютерные обучающие программы// Информатика и образование. - 1995. - № 3. - С. 15-21.
22 Зайнутдинова Л.Х. Создание и применение электронных учебников (на примере общетехнических дисциплин): Монография. - Астрахань: Изд-во «ЦНТЭП», 1999. -251с.
23 ellington J.J. Children, Computers and the Curriculum: An Introduction to Information Technology and Education. L., 1985. - 410с.
24 Монахов В.М. Что такое новая информационная технология обучения //Математика в школе. - 1990. - № 2. - С. 47-52.
25 Chu G.C., Shramm W. Learning From Television: What the ResearchSays. - Washington, D.C., 1969. - 83 p.
26 Conklin J. Hypertext: An Introduction & Survey// Computer. - V. 20. - № 9. - September. - 1987. - pp. 17-41.
27 Ротмистров Н.Ю. Мультимедиа в образовании//Информатика и образование. - 1994. - № 4. - С. 89-96.
28 Джонассен ДэвидX. Компьютеры как инструменты познания: изучение с помощью технологии, а не из технологии//Информатика и образование. - № 4. - 1996. - С. 117-131.
29 Софронова Н.В. Разработка обучающих программ на основе инструментальных средств. - Чебоксары, 1995. - 141 с.
30 Денисенко В.И. Охрана труда. - М.: Изд-во «Школа-пресс», 2008.-244-276с.
2 Бобровский С. Delphi 5: учебный курс - СПб: Питер, 2001. -428с.
3 Тюкачев Н., Свиридов Ю. Delphi 5. Создание мультимедийных приложений. Учебный курс.- СПб.: Питер, 2001..-251с.
4 Архангельский А.Я. 100 компонентов общего назначения библиотеки Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999 .-112с.
5 Архангельский А.Я. Интегрированная среда разработки Delphi - М.: ЗАО «Издательство БИНОМ», 1999.-91с.
6 Архангельский А.Я. Разработка прикладных программ для Windows в Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999.-369с.
7 Архангельский А.Я. Object Pascal в Delphi 5 - М.: ЗАО «Издательство БИНОМ», 1999. -77с.
8 Симонович С.В., Евсеев Г.А. Занимательное программирование: Delphi. - М.: АСТ-ПРЕСС: КНИГА: Инфорком-Пресс, 2001. -39с.
9 Полянский А. Среда программирования Delphi 5-6: Справочное пособие. - М.: Познавательная книга плюс, 2001.-114с.
10 Вин Д..Искусство Html-дизайна. Самоучитель - Санкт-Петербург:Питер,2003.-224с.-284с.
11 Смит К., Уотерс К. Html - дизайн: Photoshop & Dreamweaver: Три ключевых этапа. -М.: КУДИЦА-ОБРАЗ, 2004.-264с.
12 Гетц К., Джилберт М.Программирование в Microsoft Office. - Киев: Ирина,2000.-139с.
13 Киселев Ю.Н. Электронная коммерция.- СПб.: ДиаСофтЮп, 2001. -384с.
14 Попов В.Б. Основы компьютерных технологий. -М.: Финансы и статистика, 2002. - 457с.
15 Белунцов В..Новейший самоучитель по разработке Html-страниц.-М.:ДЕСС-КОМ,2000. - 446с.
16 Л.Л.Босова. Разноуровневые дидактические материалы по информатике. - М.: Образование и Информатика, 2001. - 384с.
17 Экономическая информатика: Учеб. - Санкт-Петербург: Питер, 2001.-556с.
18 Гетц К., Джилберт М.Программирование в Microsoft Office.- Киев: Ирина, 2000.- 139с.
19 Субботин М.М. Новая информационная технология: Создание и обработка гипертекстов. - М., 1992. - 755 с.
20 Роберт И.В. Современные информационные технологии в образовании: дидактические проблемы; перспективы использования. - М.: «Школа-Пресс»,1994. - 205 с.
21 Демушкин А.С. и др. Компьютерные обучающие программы// Информатика и образование. - 1995. - № 3. - С. 15-21.
22 Зайнутдинова Л.Х. Создание и применение электронных учебников (на примере общетехнических дисциплин): Монография. - Астрахань: Изд-во «ЦНТЭП», 1999. -251с.
23 ellington J.J. Children, Computers and the Curriculum: An Introduction to Information Technology and Education. L., 1985. - 410с.
24 Монахов В.М. Что такое новая информационная технология обучения //Математика в школе. - 1990. - № 2. - С. 47-52.
25 Chu G.C., Shramm W. Learning From Television: What the ResearchSays. - Washington, D.C., 1969. - 83 p.
26 Conklin J. Hypertext: An Introduction & Survey// Computer. - V. 20. - № 9. - September. - 1987. - pp. 17-41.
27 Ротмистров Н.Ю. Мультимедиа в образовании//Информатика и образование. - 1994. - № 4. - С. 89-96.
28 Джонассен ДэвидX. Компьютеры как инструменты познания: изучение с помощью технологии, а не из технологии//Информатика и образование. - № 4. - 1996. - С. 117-131.
29 Софронова Н.В. Разработка обучающих программ на основе инструментальных средств. - Чебоксары, 1995. - 141 с.
30 Денисенко В.И. Охрана труда. - М.: Изд-во «Школа-пресс», 2008.-244-276с.
Пән: Информатика, Программалау, Мәліметтер қоры
Жұмыс түрі: Дипломдық жұмыс
Тегін: Антиплагиат
Көлемі: 72 бет
Таңдаулыға:
Жұмыс түрі: Дипломдық жұмыс
Тегін: Антиплагиат
Көлемі: 72 бет
Таңдаулыға:
Кіріспе
Қазақстан Республикасының Евразиялық аймаққа кіруі, ХХІ ғасырға аяқ
басуы ел Президентінің Қазақстан-2030 атты стратегиялық бағдарламасына
сәйкес жаңа техника мен технология үдерістерінің дамуы келешекте жоғары оқу
орындарында білім беру қандай бағытта өрбуі керек деген өзекті мәселе
туғызады. Барлық өркениетті елдерде азаматтардың қауыпсіздік сақшысы
ретінде зандар тұр, барлық есептегіш техника саласында құқық қолданатын іс-
тәжірибе әзірге дамымаған, ал заң шығарушы процесс технология дамуына ілесе
алмайды, сондықтан компьютерлік жүйе жұмысының сенімділігі көбіне өзін-өзі
қорғау шараларына сүйенеді.
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың
сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің,
маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың
алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету
кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық,
программалық және техникалық әдістер мен құралдардан тұрады.
Ақпараттық қауіпсіздік - мемлекеттік ақпараттық ресурстардың, сондай-ақ
ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының
жай-күйі. Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті
ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады.
Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін
құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік
құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға
және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және
ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың
сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру
шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік
режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді.
Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі
болып табылады.
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
проблемалардың кезегі келеді – таңдалған қауіпсіздік саясатын іске асыру
үшін не істеу керек? Қазіргі уақытта құны, атқаратын міндеті және сапасы
жағынан әртүрлі болатын ақпарат қорғау құралдарының көптеген түрі бар.
Олардың ішінен нақты объектінің ерекшелігіне сай келетінін таңдап алу
күрделі мәселелердің бірі болып саналады.
Қауіпсіздік саясаты мынадай элементтерден тұрады: қатынас құруды ерікті
басқару, объектілерді қайтадан пайдаланудың қауіпсіздігі, қауіпсіздік
тамғасы және қатынас құруды мәжбүрлі басқару.
Қазіргі кезде ақпараттық жүйелерде криптограграфиялық әдістерді қолдану
мәселесі туындады.
Жұмыстың көкейкестілігі қазіргі заманғы ақпараттық жүйелерде
криптограграфиялық әдістерді қолдану мәселесі туындады. Сондықтан қазіргі
кезде ақпаратты қорғау үлкен мәнге ие болып отыр.
Кілті ашық жүйелер мәліметтерді шифрлеуде болашағы зор криптографиялық
стандарт болып табылады. Мұндай жүйелерде шифрлеу үшін бір кілт, ал шифрді
ашу үшін екінші кілт қолданылады. Бірінші кілт ашық болып табылады және өз
ақпараттарын шифрлеуде кез-келген қолданушының пайдалануы үшін желі бойынша
жарияланады. Шифрленген ақпаратты қабылдаушы мәліметтерді дешифрлеу үшін
екінші кілтті қолданады. Ал екінші кілт құпиялы. Сонымен қатар, мынадай
шарт орындалуы тиіс: жарияланған бірінші кілттен екінші кілт анықталмауы
тиіс.
Кілті ашық криптографиялық жүйелер қайтымсыз немесе бірбағытты
функцияларды қолданады, соңғысының қасиеті мынадай: х мәні берілсе f (х)
мәнін есептеу оңай, бірақ кері функцияны есептеу қиын.
Қазіргі уақытта мәліметті қорғауда RSA ашық кілтті криптографилық әдіс
кең таралған. Мұндағы, RSA дегеніміз жасаған адамдардың аттарының бірінші
әріптері (Rivest, Shamir, Adieman). Оның криптотұрақтылығы жоғары және
қарапайым программалық, аппараттық тәсілдерде іске асыруға болады. Бұл
әдістің көмегімен қағазсыз мәлімет алмасу және тасымалдау жағдайындағы жеке
қолтаңба мәселесі шешілді.
Бағдарламаны жобалаудың негізгі міндеттері бұл ең алдымен ақпаратты
қорғау.
Бағдарламаны жобалаудың негізгі мақсаттары: жоғарыда келтірілген
міндеттерді орындау үрдісінде бағдарламаны ендіру, бағдарламаның дұрыс
жүзеге асырылуын қадағалау, қолданушылармен кері байланыс орнату, жұмыс
істеу үрдісінде кемшіліктерді анықтау және жою, бағдарламаны толықтыру,
жаңа функцияларды енгізу және жалпы орындалуын бақылау болып табылады.
Дипломдық жұмыстың мақсаты – қазіргі ақпараттық технология негізінде
ашық кілттер қолдануымен шифрлеу бағдарламасын құру.
Дипломдық жұмыстың объектісі ақпарат болып табылады.
Дипломдық жұмыстың мақсатына жету үшін келесі есептер шешілді:
- ақпаратты криптографиялық әдістерімен шифрлеудің теориялық негіздері
қарастыру;
- ақпаратты шифрлеудің процесі көрсету;
- ақпаратты ашық кілттер қолдануымен шифрлеу әдісін қолданылатын
ақпараттық жүйенің ресурстарын сипаттау;
- ақпаратты шифрлеу жолдарын талдау.
Дипломдық жұмыстың мақсатын жүзеге асыратын Delphi бағдарламалау ортасы
болып табылады. Delphi бағдарламасы қазіргі кезде ең көп тараған бағдарлама
құру жүйесіне жатады. Оның басты ерекшеліктерінің бірі – ол арқылы құрылған
бағдарламалар Windows басқаруында жұмыс істеп қана қоймай, оның өзі
бағдарламаларды жылдам құратын аспаптық құрал (RAD - Rapid Application
Development) тобына жататындығында.
Дипломдық жұмыстың құрылымы: кіріспе, үш бөлімі, қорытынды, қолданылған
әдебиеттер тізімі, қосымшалар.
Дипломның бірінші тарауында ақпараттық қауіпсіздіктің негізгі теориялық
аспектілері, сонымен қатар ақпараттық жүйелердің аппараттық және
программалық платформасын талдау қарастырылған.
Екінші бөлімінде шифрлеу бағдарламасын құру принциптері сипатталған.
Мұнда шифрлеу бағдарламаның есептің қойылымы, ақпараттық, бағдарламалық
және техникалық қамтамасыздандыруы қарастырылған. Сонымен қатар, нақты өз
бағдарламамның орындалуы, оның міндеттері мен талаптары туралы сипатталған.
Үшінші бөлімінде еңбек қорғау және қызметкерлердің қауіпсіздігін
қамтамасыздандыру үшін қолданылатын шаралар туралы сипаттамасы берілген.
Қорытындысында жұмыстың негізгі нәтижесі сипатталған.
1 Талдау бөлімі
1.1 Ақпаратты қорғау
Ақпараттық қауіпсіздік - мемкелеттік ақпараттық ресурстардың, сондай-ақ
ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының
жай-күйі.
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың
сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің,
маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың
алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету
кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық,
программалық және техникалық әдістер мен құралдардан тұрады [1].
Ақпараттық қауіпсіздік режимін қалыптастыру кешендік мәселе болып
табылады. Оны шешу үшін заңнамалық, ұйымдастырушылық, программалық,
техникалық шаралар қажет.
Ақпараттық қауіпсіздіктің өте маңызды 3 жайын атап кетуге болады: қол
жеткізерлік (оңтайлық), тұтастық және жасырындылық.
Қол жетерлік (оңтайлық) - саналы уақыт ішінде керекті ақпараттық қызмет
алуға болатын мүмкіндік. Ақпараттың қол жеткізерлігі - ақпараттың,
техникалық құралдардың және өңдеу технологияларының ақпаратқа кедергісіз
(бөгетсіз) қол жеткізуге тиісті өкілеттілігі бар субъектілердің оған қол
жеткізуін қамтамасыз ететін қабілетімен сипатталатын қасиеті.
Тұтастық - ақпараттың бұзудан және заңсыз өзгертуден қорғанылуы. Ақпарат
тұтастығы деп ақпарат кездейсоқ немесе әдейі бұрмаланған (бұзылған) кезде
есептеу техника құралдарының немесе автоматтандырылған жүйелердің осы
ақпараттың өзгермейтіндігін қамтамасыз ететін қабілетін айтады.
Жасырындылық - заңсыз қол жеткізуден немесе оқудан қорғау.
Қауіпсіз жүйе - белгілі бір тұлғалар немесе олардың атынан әрекет
жасайтын үрдістер ғана ақпаратты оқу, жазу, құрастыру және жою құқығына ие
бола алатындай етіп ақпаратқа қол жеткізуді тиісті құралдар арқылы
басқаратын жүйе.
Сенімді жүйе - әр түрлі құпиялық дәрежелі ақпаратты қатынас құру құқығын
бұзбай пайдаланушылар тобының бір уақытта өңдеуін қамтамасыз ету үшін
жеткілікті ақпараттық және программалық құралдарды қолданатын жүйе.
Жүйенің сенімділігі (немесе сенім дәрежесі) екі негізгі өлшемі бойынша
бағаланады: қауіпсіздік саясаты және кепілділік.
Қауіпсіздік саясаты – мекеменің ақпаратты қалайша өңдейтінін,
қорғайтынын және тарататынын анықтайтын заңдар, ережелер және тәртіп
нормаларының жиыны. Бұл ережелер пайдаланушының қайсы кезде белгілі бір
деректер жинағымен істей алатынын көрсетеді. Қауіпсіздік саясатын құрамына
мүмкін болатын қауіптерге талдау жасайтын және оларға қарсы әрекет шаралар
кіретін қорғаныштың белсенді сыңары деп санауға болады.
Қауіпсіздік саясатының құрамына ең кемінде мына элементтер кіруі керек:
қатынас құруды ерікті басқару, объектілерді қайтадан пайдаланудың
қауіпсіздігі, қауіпсіздік функциялар және қатынас құруды мәжбүрлі басқару
[2].
Кепілділік – жүйенің сәулетіне және жүзеге асырылуына көрсетілетін сенім
өлшемі. Ол қауіпсіздік саясатын іске асыруға жауапты тетіктердің дұрыстығын
көрсетеді. Оны қорғаныштың, қорғаушылар жұмысын қадағалауға арналған,
белсенсіз сыңары деп сипаттауға болады. Кепілділіктің екі түрі болады:
операциялық және технологиялық. Біріншісі жүйенің сәулеті және жүзеге
асырылу жағына, ал екіншісі – құрастыру және сүйемелдеу әдістеріне қатысты.
Хаттамалау тетігі қауіпсіздік қамтамасыз етудің маңызы құралы болып
табылады. Сенімді жүйе қауіпсіздікке байланысты барлық оқиғаларды тіркеп
отыруы керек, ал хаттаманы жазу – жүргізу тексерумен (аудитпен – тіркелу
ақпаратына талдау жасаумен) толықтырылады.
Сенімді есептеу базасы (СЕБ) – компьютерлік жүйенің қауіпсіздік саясатты
жүзеге асыруға жауапты қоршаған тетіктерінің жиынтығы. Компьтерлік жүйенің
сенімділігіне баға беру үшін тек оның есептеу базасын қарастырып шықса
жеткілікті болады. Сенімді есептеу базасының негізгі міндеті – қатынасым
мониторының міндетін орындау, яғни, объектілерімен белгілі бір операциялар
орындау болатындығын бақылау.
Қатынасым мониторы – пайдаланылатын бағдарламаларға немесе деректерге
әрбір қатынасының мүмкін болатын іс-әрекеттер тізімімен келісімді екендігін
тексеретін монитор. Қатынасым мониторынан үш қасиеттің орындалуы талап
етіледі:
- оңашаланғандық. Монитор өзінің жұмысы кезінде аңдудан қорғалуға
тиісті;
- толықтық. Монитор әрбір қатынасу кезінде шақырылады. Бұл кезде оны
орай өтуге мүмкіндік болмау керек;
- иландырылатындық. Мониторды талдау және тестілеуге мүмкін болу үшін ол
жинақы болуы керек.
Қауіпсіздік өзегі – қатынасым мониторының жүзеге асырылуы. Қауіпсіздік
өзегі барлық қорғаныш тетіктерінің құрылу негізі болып табылады. Қатынасым
мониторының аталған қасиеттерінен басқа қауіпсіздік өзегі өзінің
өзгерместігіне кепілдік беруі керек.
Қауіпсіздік периметрі – сенімді есептеу базасының шекарасы. Оның
ішіндегі сенімді, ал сыртындағы сенімсіз деп саналады. Сыртқы және ішкі
әлемдер арасындағы байланыс ретқақпа арқылы жүзеге асырылады. Бұл ретқақпа
сенімсіз немесе дұшпандық қоршауға қарсы тұра алуға қабілеті бар деп
саналады.
Объектінің ақпараттық қауіпсіздігін қамтамасыз етуге арналған жұмыстар
бірнеше кезеңге бөлінеді: даярлық кезеңі, ақпараттық қорларды түгендеу,
қатерлі талдау, қорғаныш жоспарын құрастыру және қорғаныш жоспарын жүзеге
асыру. Осы аталған кезеңдер аяқталған соң эксплуатациялау кезеңі басталады.
Даярлық кезеңі. Бұл кезең барлық келесі шаралардың ұйымдастырушылық
негізін құру, түпқазық құжаттарды әзірлеу және бекіту, сондай-ақ, үрдіске
қатысушылардың өзара қарым – қатанастарын анықтау үшін қажет. Даярлық
кезеңде ақпарат қорғау жүйесінің атқаратын міндеттері анықталады.
Ақпараттық қорларды түгендеу. Бұл кезеңде, әдетте, объект, ақпараттық
ағындар, автоматтандырылған жүйелердің құрылымы, серверлер, хабар
тасушылары, деректер өңдеу және сақтау тәсілдері жайында мәлімет жиналады.
Түгендеу аяқталған соң олардың осалдылығына талдау жасалынады.
Қатерлі талдау. Келесі шаралардың нәтижелігі ақпараттық қорлардың
қорғанылу күй-жағдайының қаншалықты толық және дұрыс талдануына тәуелді
болады. Қатерлі талдау мыналардан түрады: талданатын объектілерді және
оларды қарастырудың нақтылану дәрежесін таңдау; қатерлі бағалау әдіснамасын
таңдау; қауіптерді және олардың салдарын талдау; қатерлі бағалау; қорғаныш
шараларын таңдау; таңдап алынған шараларды жүзеге асыру және тексеру;
қалдық қатерді бағалау.
Қауіп бар жерде қатер пайда болады. Қауіптерді талдау кезеңі қатерді
талдаудың орталық элементі болып табылады. Қауіптердің алдын алу үшін
қорғаныш шаралары мен құралдары қажет. Қауіптерді талдау, біріншеден,
мүмкін болатын қауіптерді анықтаудан (оларды идентификациялаудан) және
екіншіден, келтірілетін болашақ зиянды болжау-бағалаудан тұрады.
Бұл кезеңнің орындалу нәтижесінде объектідегі қауіп-қатер тізбесі және
олардың қауіптік дәрежесі бойынша жіктемесі құрастырылады. Бұлар бәрі
ақпарат қорғау жүйесіне қойылатын талаптарды айқындауға, қорғаныштың ең
әсерлі шаралары мен құралдарын таңдап алуға, сондай-ақ, оларды жүзеге
асыруға қажетті шығындарды анықтауға мүмкіндік береді.
Қорғаныш жоспарын құрастыру. Бұл кезеңде осының алдында жүргізілген
талдаудың нәтижесінде анықталған қатерлерді бейтараптау үшін қорғаныштың
тиісті ұйымдастырушылық және техникалық шаралары таңдап алынады.
Қорғаныш жоспарын құру ақпарат қорғау жүйесінің функционалдық
мүмкіндіктерін әзірлеуден басталады. Ол үшін қорғаныш жүйесінің атқаратын
міндеттері анықталады және нақты объектінің ерекшіліктерін ескере отырып
жүйеге қойылатын талаптар талқыланады. Жоспарға мынадай құжаттар қосылады:
қауіпсіздік саясаты; ақпарат қорғау құралдарының объектіде орналасуы;
қорғаныш жүйесін жұмысқа қосу үшін қажет шығындардың көлемі; ақпарат
қорғаудың ұйымдастырушылық және техникалық шараларын жүзеге асырудың
күнтізбелік жоспары.
Қауіпсіздік саясаты (ұйымдастыру тұрғысынан қарағанда) есептеу және
қатынас қорларын пайдалану тәсілін, сондай-ақ, қауіпсіздік режімін бұзудың
алдын ала және мән беру (жауап қайтару) процедураларын дұрыс анықтайды.
Қауіпсіздік саясатының қалыптастыру іс-әрекетін келесі кезеңдер түрінде
қарастыруға болады:
- ұйымдастыру мәселелерін шешу. Бұл кезеңде ақпараттық қауіпсіздік
қызметі (АҚҚ) құрылады, ақпараттық қауіпсіздік тұрғысынан қарағанда
пайдаланушылардың санаттары, пайдаланушылардың барлық санаттарының
жауаптылық деңгейлері, құқықты және міндеттері аңықталады.
- қатерге талдау жасау. Қатерді талдау үрдісі нені қорғау керек, неден
қорғау керек және қалай қорғау керек деген сияқты сұрақтардың жауабын
анықтайды. Мүмкін болатын қатерлердің бәрін қарастырып шығу керек және
оларды келтіретін зиянының ықтимал мөлшеріне байланысты жіктеу қажет.
Қорғанышқа жұмсалатын қаржы қорғанылатын объектінің құнынан аспауға
тиісті.
- жеңілдектерді анықтау. Қорларды пайдалану құқықтары, қорларды қолдану
ережелері, әкімшілік жеңілдіктер, пайдаланушылардың құқықтары мен
міндеттері, жүйелік әкімшілердің құқықтар мен міндеттері, жасырын
ақпаратпен жұмыс істеу тәртіптері және т.б. анықталады.
- қауіпсіздік саясатының бұзылуына жауап қайтару шараларын анықтау.
Қауіпсіздік режімі бұзушыларды табуға және жауапкершілікке тартуға
бағытталған әрекеттер, сонымен қатар, ақпаратты бұрынғы қалпына
келтіру және бұзулардың зардаптарын жою шаралары анықталады.
- әкімшілік ұйымдастыру құжаттарын дайындау. Қауіпсіздік саясатының
негізгі жайлары әр түрлі нұсқауларда, қағидаларда, ережелерде және
өкімдерде келтіріледі.
Қауіпсіздік саясаты ақпарат қорғау жүйесінің қауіп-қатерлерге қарсы
әрекет жасауға бағытталған құқықтық нормалардың, ұйымдастырушылық
шаралардың, бағдарламалық-техникалық құралдар және процедуралық шешімдер
кешенінің жиынтығын анықтайды.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті
ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады.
Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін
құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік
құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға
және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және
ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың
сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру
шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік
режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді.
Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі
болып табылады [3].
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
проблемалардың кезегі келеді – таңдалған қауіпсіздік саясатын іске асыру
үшін не істеу керек? Қазіргі уақытта құны, атқаратын міндеті және сапасы
жағынан әртүрлі болатын ақпарат қорғау құралдарының көптеген түрі бар.
Олардың ішінен нақты объектінің ерекшелігіне сай келетінін таңдап алу
күрделі мәселелердің бірі болып саналады.
Қауіпсіздік саясаты мынадай элементтерден тұрады: қатынас құруды ерікті
басқару, объектілерді қайтадан пайдаланудың қауіпсіздігі, қауіпсіздік
тамғасы және қатынас құруды мәжбүрлі басқару.
Қатынас құруды ерікті басқару – жеке субъект немесе құрамына осы субъект
кіретін топтың тұлғасын ескеру негізінде жасалған объектілерге қатынас
құруды шектеу. Ерікті басқару – белгілі бір тұлға (әдетте, объектінің иесі)
өзінің қарауынша басқа субъектілерге өзінің шешімі бойынша объектіге
қатынас құру құқығын бере алады (немесе алып тастайды).
Қатынас құрудың ағымдағы жағдайы ерікті басқару кезінде матрица түрінде
көрсетілді. Қатарларында – субъектілер, бағандарында – объектілер, ал
матрицаның түйіндерінде қатынас құру құқығының құру (оқу, жазу, орындау
және т.б.) кодасы көрсетіледі.
Операциялық жүйелердің және дерекқор жүйелерінің көпшілігі осы ерікті
басқаруды жүзеге асырады. Оның негізгі жағымдағы – икемділігі, ал негізгі
кемшіліктері – басқарудың бытыраңқылығы және орталықтандырылған тексерудің
күрделігі, сондай-ақ, қатынас құру құқығының деректерден бөлек қарастырылуы
(қаскүнемдер осыны пайдалана отырып құпия ақпараттарды жалпы қол
жеткізерлік файлдарға көшіріп алуы мүмкін).
Объектілерді қайтадан пайдаланудың қауіпсіздігі. Бұл элемент құпия
ақпаратты кездейсоқ немесе әдейі шығарып алудан сақтайтын қатынас құруды
басқаратын құралдардың маңызды қосымшасы болып табылады.
Объектілерді қайтадан пайдаланудың мүмкін болатын 3 қаупі мыналар: жедел
жадыны қолдану, сыртқы сақтау құрылғыларын қайтадан пайдалану және ақпарат
енгізушығару құрылғыларын қайтадан пайдалану.
Қорғаныш тәсілдерінің бірі – құпия ақпаратпен жұмыс істегеннен кейін
жедел жадыны немесе аралық жадыны тазалау. Жақсы әдіс деп тегерішті
(дискіні) нығыздау программаларын қолдануды да санауға болады.
Мәселен, принтердің аралық жадында (арашықта) құжаттың бірнеше беті
сақталып қалуы мүмкін. Олар басу үрдісі аяқталған соң да жадыда қалып
қояды. Сондықтан оларды арашықтан шығарып тастау үшін арнаулы шаралар
қолдану қажет. Әдетте кездейсоқ биттер тізбегін үш дүркін қайталап жазу
жеткілікті болады.
“Субъектілерді қайтадан пайдаланудың қауіпсіздігі” жайында да қамдану
керек. Пайдаланушы ұйымнан кеткен кезде оны жүйеге кіру мүмкіншіліктерінен
айыру және барлық объектілерге оның қатынас құруына тиым салу керек.
Қауіпсіздік тамғасы. Қатынас құрудың мәжбүрлі басқаруы кезінде
субъектілер және объектілер қауіпсіздік тамғасы арқылы байланысады.
Субъектінің тамғасы оның шүбәсіздігін сипаттайды. Объектінің тамғасы оның
ішіндегі сақталатын ақпараттың жабықтық деңгейін көрсетеді.
Қауіпсіздік таңбасы екі бөліктен тұрады: құпиялық деңгейі (дәрежесі)
және категориялар (санаттар).
Құпиялылық деңгейі реттелген жиынтық құрайды және әр түрлі жүйелерде
құпиялық деңгейлер жиынтығы әр түрлі болуы мүмкін. Қазақстан
Республикасының заңнамасында мемлекеттік құпия құрайтын мәліметтердің үш
құпиялылық дәрежесі тағайындалған және осы дәрежелерге сәйкес аталған
мәліметтердің тасуыштарына мынадай құпиялық белгілері берілген: “ аса
маңызды”, “өте құпия” және “құпия”, ал қызметтік құпия құрайтын
мәліметтерге “құпия” деген құпиялық белгісі беріледі.
Санаттар реттелмеген жиынтық құрайды. Олардың міндеті – деректер жататын
аймақтың тақырыбын сипаттау.
Қауіпсіздік таңбалардың тұтастығын қамтамасыз ету оларға байланысты
негізгі проблемалардың біреуі болып табылады. Біріншіден, тамғаланбаған
субъектілер мен объектілер болмау керек. Әйтпесе тамғалық қауіпсіздікте
саңылаулар пайда болады және қаскүнем осы жағдайды пайдаланып қорғанылатын
ақпаратқа заңсыз қол жеткізуі мүмкін. Екіншіден, қорғанылатын деректермен
қандай да болмасын операция орындалмасын, қаупсіздік тамғалары өзгермей
қалуы керек.
Қауіпсіздік тамғаларының тұтастығын қамтамасыз етуші құралдардың біреуі
– құрылғыларды көпдеңгейлік және бір деңгейлік деп бөлу. Көпдеңгейлік
құрылғыларда әр түрлі құпиялық деңгейлі ақпарат, ал бірдеңгейлік
құрылғыларда тек бір құпиялық деңгейі бар ақпарат сақталады.
Қатынас құруды мәжбүрлі басқару. Қатынас құруды мәжбүрлі басқару деп
атаудың себебі – қатынас құру мүмкіндігі субъектінің ерігіне тәуелді емес.
Мұндай басқару субъектінің және объектінің қауіпсіздік тамғаларын салыстыру
негізінде жүргізіледі.
Егер субъектінің құпиялық деңгейі объектінің құпиялық деңгейінен кем
болмаса, ал объектінің қауіпсіздік тамғасында көрсетілген барлық санаттар
субъектінің тамғасында болса, (яғни, осындай екі шарт орындалған болса),
онда субъект объектіден кез келген ақпаратты оқи алады. Мысалы, “өте құпия”
субъект “өте құпия” және “құпия” файлдарды оқи алады. Бұл жағдайда
“субъектінің қауіпсіздік тамғасы объектінің қауіпсіздік тамғасынан басым”
деп айтады.
1.2 Ақпараттық қауіпсіздендіру
Ақпаратты қорғау мәселесiн үш негiзгi бiрiн-бiрi толықтырушы бағыттарда
қарастыруға болады:
- ақпаратты өндеу технологиясындағы ұйымдастыру техникалық шаралар;
- санкцияланбаған кiрудi болдырмау;
- техникалық құралдар көмегiмен ақпаратты санкцияланбаған алуға жол
бермеу.
Үлкен ЭЕМ-дерге қатысты өңделген қорғау әдiстерi мен құралдары дербес
компьютерде қолданылады. Алайда дербес компьютер үшiн ақпаратты қорғаудың
ерекше мәселелерi де болады.
Оперативті жад әрекет етуiнiң шиналық құрылымы айтарлықтай дәрежеде
микропроцессорлық технологияға сәйкес келедi.
Осылайша, енгiзу-шығару шиналық адресациясының жалпы жүйесi:
- қолданушығы барлық есептеу ресурстарын ұсынады;
- барлық ақпаратқа енгiзу-шығару жүйесi арқылы барлық қолданушылар үшiн
жол ашық болады (қолданушылардың да және жүйелiк);
- басқаруды орталықсыздандыру сенiмдi қорғаныс қамтамасыз етiлетiн
ақпаратты өңдеу процесiн орталықтандырылған бақылау қаждасымен
қайшылыққа түседi.
Ақпараттық жүйе және ақпараттық технологияларға ақпараттық қорғаныс
жүйесін құру келесі принциптерге негізделеді:
1 Ақпараттық өңдеудің технологикалық циклінің барлық кезеңдерін
қолданудағы отандық және шетелдік қорғаныс жүйесін тәжірибе жүзінде құруды
ұстанатын арақатынасы ұйымдастырылған бағдарламалық, аппараттық, физикалық
және басқа да құрлығылардың оптимальді қиылысуын білдіретін қорғаныс
жүйесін құрудағы жүйелік жарасу.
2 Жүйенің өсуінің үзіліссіз принципі. Бұл принцип компьютерлік
ақпараттық жүйе үшін негізге алатын принциптердің бірі, және де ол
ақпаратты қорғау жүйесі үшін актуальді.
3 Өңдеу процедураларына және өңделуші ақпаратқа енуге рұқсат беру
бойынша өкілдікті азайту және бөлу, яғни қолданушылармен қатар
ақпараттық жүйе қызметкерлеріне де өздерінің қызметін атқаруға
жеткілікті.
Бекітілмеген енуге рұқсат беру әрекетін тіркеу және толықтай бақылау,
яғни әрбір қолданушының бірегейлігін толығымен қондыру қажеттілігі
және оның әрекетін хаттамалау.
Функцияланған қорғаныс жүйесіне бақылауды қамтамасыз ету, яғни
қорғау механизмінің жұмыс жасау қабілеттілігіне бақылау жасау құралдарын не
тәсілдерін құру [4].
Зиянды бағдарламалармен күресудің мүмкін болатын барлық құралдарымен
қамтамасыз ету.
Қорғаныс жүйесін экономикалық мақсатқа лайықты қамтамасыз ету.
Қазіргі кездегі ақпараттық жүйе және ақпараттық технология ақпаратын
қорғау қиыншылығын шешу нәтижесінде келесідей негізгі принциптер болуы
керек:
- әртүрлі дәрежеде арнайыланып жасалған ақпараттардың бар болуы;
- ақпараттарды жіберу кезіндегі құпия ақпараттарды әртүрлі
дәрежеде криптографиялық қорғаумен қамтамасыз ету;
- жергілікті желіде ақпаратты жіберу сияқты алшақ қашықтықтағы
байланыс каналдарында ақпаратты жіберу міндетті түрде басқарылады;
- баспаға шығарылатын ақпараттық жүйедегі оқиғада және құжаттарда
бекітілмеген енуге рұқсат алу амалын тіркеу механизмінің бар болуы.
Ішкі жүйелерді қамтамасыз етуді ерекшелеуші - ақпаратты қорғау
жүйенің құрылымын қарастыру кезінде дәстүрлі әрекет жасауы мүмкін.
Ақпараттық қорғаныс жүйесінде кез-келген ақпараттық жүйе сияқты, өзінің
мақсатты функциясын орындай алатын, өзіндік бағдарламалық қамтамасыз
етудің анықталған түрі болуы керек.
1 Құқықтық қамтамасыз ету – құқықтық актілер, нормативті-құқықтық
құжаттар, ауыр жағдайлар, басшылықтар ақпараттық қорғаныс жүйесіндегі
әрекеттер жиынтығы.
2 Ұйымдастыруды қамтамасыз ету. Ақпараттық қорғанысты іске асыру
анықталған құрлымдық бірліктер арқылы іске асады, мысалға, фирманың
қауіпсіздік қызметі және оның құрлымы: ереже, күзетші және т.б.
3 Ақпараттық қорғаныс жүйесінің функциялауын қамтамасыз ететін
тапсырманы шешу негізіндегі параметрлер, көрсетікштер, деректер және
сипаттамаларды қоса алғандағы ақпараттық қамтамасыз ету.
Бөгет – қаскүнемнің қорғалатын ақпаратқа енуіне физикалық тәсілмен
кедергі келтіруі (аппаратқа, ақпаратты жинақтаушыларға және т.б).
Енуге рұқсат алуды басқару – ақпараттық жүйе және ақпараттық
технологияның барлық ресурстарын үнемі қолданудың ақпараттық қорғаныс
тәсілдері. Бұл тәсілдер ақпаратқа енудің барлық мүмкін болатын
жолдарына қарсы тұруы қажет. Енуге рұқсат алуды басқару келесі
қорғаныс функцияларынан тұрады:
Шифрлеу механизмі – ақпаратты криптографиялық жабу. Бұл тәсілдер өңдеу
тәсілінде сонымен қатар ақпаратты магниттік жинақтаушыда сақтау кезінде
барынша кең көлемде қолданылады. Ақпаратты үлкен байланыс каналы арқылы
жіберген кезде бұл тәсіл жалғыз сенімді тәсіл болып табылады [5].
Қорғау амалдарының мақсаты – бұл ақпараттық жүйе администраторын тексеру
ықтималдылығын ойластыру, залалданған жүйенің фактілерін анықтау;
ақпараттық инфекцияның нәтижесінің әсерін азайту, вирустардың жайылып
кетпеуін қадағалау немесе жою; ақпараттық жүйенің ақпараттарын қалпына
келтіру.
Тәртіп белгілеу – қорғалатын ақпаратты сақтау және жіберу
кезінде қорғау стандарттары мен нормаларын үлкен дәрежеде орындауды
автоматтандыру.
Еріксіз көндіру – ақпараттық жүйе қызметкерін немесе қолданушысын
қорғалатын ақпаратты сақтау немесе жіберу кезінде еріксіз өңдеу ережелерін
сақтауға көндіру арқылы орындалатын қорғаныс тәсілі.
Барлық техникалық амалдар жиынтығы аппараттық және физикалық болып
бөлінеді.
Аппараттық амалдар – есептеуіш техникаға қондырылатын құрылғы немесе
онымен стандартты интерфейс арқылы байланысатын құрылғы.
Физикалық амалдар – қаскүнемнің физикалық енуіне қарсы тұратын
әртүрлі инженерлік құралдар және құрылғылар, ол персоналға
материалдық, қаржылық және ақпараттық құралдарын заңға қарсы әрекеттен
сақтайды. Физикалық амалдардың мысалдары: есіктегі кілттер, терезелердегі
тор, электронды қорғаныс сигналдар қою амалдары және т.б.
1.3 Ақпараттық жүйелердің аппараттық және программалық платформасын
талдау
Дербес компьютерді қолдану арзан және тиiмдi қорғаныс құралдарын құруды
талап етедi. Мұнда қолданушылардың арнайы дайындығы болған жөн, әйтпесе
қорғаныс тиiмдiлiгi нөлге апарылады.
Шетел мамандары қолданушыларды қорғау әдiстерi мен құралдарына, сондай-
ақ ақпаратты өндеу технологиясының өңделу мәселелерiне үйретуге ерекше
назар аударады.
Ұйымдастыру шараларын кеңiнен пайдалану ұсынылады:
- ақпаратты қорғауды қамтамасыз етiлуiне дербес жауапкершiлiк;
- құпиялы ақпаратты өндеу үшiн жабық орындарды пайдалану;
- құпиялы ақпараттарды арнайы иiлгiш дисктерде сақтау;
- тек тексерiлген және аттестацияланған бағдарламаларды қолдану.
Қызмет етудiң күрделiлiгi және орталықсыздандыру қағидасы енгiзу-
шығаруды басқару құқығы үшiн даулардың туындауын мүмкiн етедi. Асинхрондық
операцияларды пайдалану әрекет етушi қорғау жүйелерiнiң механизмдерiн
айналып өтуге мүмкiндiк бередi.
Мысалы: операциялық жүйесі мәліметтердiң ұсынылуына сұрауды тексерiп,
оны санкциялай алады. Енгiзу-шығарудың асинхрондық операциясы неғұрлым
басымды сұраулармен үзiлуi мүмкiн, олардан кейiн үзiлген сұраудың мекен-
жайы модификацияланады. Яғни сұраулар мен олардың орындалуы арасындағы
уақыт кезеңiнде санкцияланбаған модификация орындала алады.
Хабарды қорғау мәселелері заңшығарушы аспекттер қорғанысынан нақтылы
техникалық құрылғыларға дейін кең диапазонды қамтиды.
Бағдарламалық өнімді өңдеушілер хабарды қорғаудың жоғары дәрежесін
қамтамасыз ететін, техникалық қорғаныс құралдарының қажеттілігі туралы
көзқарасты ұсынады.
Бағдарламалық құралдарды пайдаланушыларға қорғаныс пайдалануда қосымша
қиындықтар туғызады. Авторлық құқықты жалғыз қорғаныс құралы ретінде
мойындау, бағдарламалық құралдарды сатылуының экономикалық пайдасы
болмауына әкеледі. Бұдан басқа, қорғалатын хабардың және оны өңдеу
әдістерінің жасырушылығын жоғарлату қажеттілігі бар (әңгіме ноу-хау
туралы болып жатыр).
Коммерциялық қатынас кезінде қорғалатын хабарды көшіруге озбырланушылық
санын азайту оны пайдалануда шектеуді пайдаланушының қабылдамауына қатысты
болуы керек (көшірменің шығаруына тыйым салу, есептеуіш желінің қорлары
бөлігінің қорғаныс құралдарының қызмет етуіне пайдалану, т.б.). Сондықтан,
бұл қарама-қайшы талаптарды қанағаттандыра алатын әдістерді іздеу
жүргізілуде (қорғаныстың жоғары дәрежесі және пайдаланудың ыңғайлылығы).
Қорғаныс құралдары пайдаланушы оны көшіріп, орындауды талаптанғанға
дейін көрінбеуі тиіс.
Мұндай ыңғайдың талабы АҚШ-тағы өңдеу жүйелерін қызмет ету бойынша
ұйымдардың Ассоциациясы Бағдарламалық қамтамасыз етуді қорғау Комитетімен
дыбыс шығаратын перне деп аталған қорғаныс аппаратурасының стандартын
ұсынған.
Бағдарламалық қамтамасыз етуді қорғау әдістерін және ЭЕМ мен
мәліметтерді қорғау әдістерін айырады.
ЭЕМ-ді қорғау парольдерді пайдалануда және аппаратураға физикалық
рұқсатқа тыйым салуда негізделген. ЭЕМ-ді үлкен емес ғимаратта орналастыру
ақылды, оның қорғанысын бақылау оңайлана түседі, ал қорғанысты жеңу уақыты
мен мүмкіншіліктері шектелген.
Жеке сатылатын және почтамен жіберілетін бағдарламалық қамтамасыз етуді
қорғаныс құралдарын жеңуге шектелмеген уақыт аралығында сынауға болады.
Қорғаныс құралдарының келесі категорияларын белгілейді:
- жекеменшікті қорғаныс;
- есептеуіш желінің құрамындағы қорғаныс;
- хабарды сұратумен қорғаныс;
- белсенді қорғаныс;
- енжарлы қорғаныс.
Бағдарламалық қамтамасыз етуді ере жүретін құжаттау, авторлық құқықтың
субъектісі болып табылады және қорғаныс функцияларын атқаруы мүмкін. Оның
репродуциясы қымбат тұрады және анықталған қиыншылықтарды келтіреді.
Құжаттаусыз бағдарламалық қамтамасыз ету толығымен қолданыла алмайды.
Машина кодында таралатын бағдарламалар олардың құрылымының анализін
қиындатады, ал бұл бағдарламаны қорғайтын фактор болып табылады.
Шектелген қолдануы пайдаланушылар санын азайтады. Барлық пайдаланушылар
белгілі, сенімге ие.
Тапсырыспен істелінген жобалау – арнайы мақсаттар үшін бағдарламалық
қамтамасыз етуді өңдеу. Сирек қолданылатын бағдарламалық қамтамасыз етуді
ұрлау күмәнді. Ағып кету көздері белгілі.
Стандартты бағдарламалық модульдерді ерекше таңбалармен, ұқсастыратын
бағдарламалармен жабдықтайды, солай авторлық құқықты қамтамасыз етеді.
Дербес белгілер бағасы күтілетін коммерциялық пайдамен сәйкес келуі қажет.
1.4 Ақпаратты қорғаудың криптографиялық жүйелері
Криптографиялық әдістер ақпаратты қорғаудың ең тиімді құралдары болып
табылады.
Кезкелген криптографиялық әдіс қажырлылығы және еңбек сыйымдылығымы
деген көрсеткіштермен сипатталады:
- әдістің қажырлылығы – бұл шифрленген мәтіннің ең кіші көлемі. Оны
статистикалық талдау арқылы бастапқы мәтінді ашып көруге болады.
Солай, шифрдың қажырлылығы бір кілтті қолданған кезде шифрленетін
ақпараттың ықтимал шамасын анықтайды;
- әдістің еңбек сыйымдылығы бастапқы мәтіннің бір символды шифрлеу үшін
қажетті элементарлы операциялар санымен анықталады.
Криптоалгоритмдердің классификациясы.
Барлық криптоалгоритмдер классификацияның негізгі схемасы болып келесі
табылады:
- жасырып жазу. Хат жіберуші және хат алушы хабарламамен екеуіне ғана
белгілі өзгерістерді жасайды. Бөтен адамдарға шифрлеу өзінің алгоритмы
белгісіз. Жасырып жазу криптография болып санамайды;
- кілтпен криптография. Берілетін деректерге әсердің алгоритмі барлық
бөтен адамдарға белгілі, бірақ ол бір параметрден тәуелді болады (хат
жіберуші және хат алушы білетін "кілт");
- симметриялы криптоалгоритмдер. Хабарламаны шифрлеу және дешифрлеу үшін
ақпараттың бір блогы қолданылады;
- асимметриялы криптоалгоритмдер. Алгоритмдер – хабарламаны шифрлеу үшін
бәріне белгілі ("ашық") кілт, ал дешифрлеу үшін басқа ("жабық") кілт
пайдаланылады;
- стеганография. Осы өнердің негізінде құпиялы хабарламасын бар екенін
жасыру жатады. Мұнда келесілерді пайдалануға болады: "астар болатын
хат", бұл жерде жазба қорғаныстық тыспен жасырылады [6].
Компьютерлік стеганография екі принциптерде негізделінеді:
- сандық сурет немесе дыбыс;
- адамның сезім мүшелерің сипаттау міндетті емес.
Симметриялы криптоалгоритмдер.
Осы жағдайда хат жіберушінің шифраторында және хат алушының
дешифраторында бір кілт пайдаланылады. Шифрлеуші ашық мәтіннің функция
болып табылатын шифрограмманы құрайды. Шифрлеу функцияның нақты түрі
сиқырлы кілтпен анықталады. Хабарламаның хат алушысының дешифраторы
шифраторде өзгеріске кері өзгерісті орындайды. Құпиялы кілті сыртта
сақталады және хабарлама жіберушімен арна бойынша жіберіледі.
Дербес компьютердің қорғаныс жүйесін қолданудың қажеттілігі бірқатар
қиындықтармен байланысты:
- автордың интеллектуалды меншігі болып табылатын алгоритмдерді заңсыз
қолдану;
- өнімнің аналогтарын жазу кезінде (өндірістік шпионаж);
- дербес компьютерді рұқсатсыз қолдану (ұрлық және көшірме);
- арнайы программаларды енгізу үшін дербес компьютерді рұқсатсыз
модификациялау;
- дербес компьютерді заңсыз тарату және сату (пираттылық).
Программалық қамтуды қорғау жүйелерін бірнеше белгілері бойынша
классификациялауға болады:
- орнату әдісі;
- қолданылатын қорғаудың әдістері;
- жұмыс істетудің немесе іске қосудың қағидалары.
Орнату әдісі бойынша ДК қорғау жүйесін былай бөлуге болады:
- дербес компьютерді компиляцияланған модуліне орнатылған жүйе;
- құрамдастыру.
Бірінші типті жүйелер ДК өндірушілері үшін ең оңтайлы, себебі, тестіден
толық өткен және дайын ДК оңай қорғауға болады (әдетте қорғанысты орнату
процессі максималды түрде автоматтандырылған және қорғалатын файлдың атын
енгізіп, "Enter" басумен ғана шектеледі), сондықтан кең танымал. Сонымен
қатар, бұл жүйелердің тұрақтылығы айтарлықтай төмен, себебі, қорғанысты
айналып өту үшін қорғаныс конвертінің жұмысын аяқтау нүктесін анықтап,
қорғалған программаға басқаруды беріп, күшпен қорғалмаған күйінде сақтау
қажет [7].
Екінші типті жүйе ДК өндірушілер үшін ыңғайсыз, себебі, прогараммалық
интерфейсті қызметшілерге үйретуге тура келеді. Бұл қаражат және уақыт
жағынан тиімсіз. Бірақ, бұл жүйелер шабуылға тұрақты болып табылады.
Өйткені қорғаныс жүйесі және ДК арасындағы шекара жойылады.
Комбинацияланған қорғаныс жүйелері ең тиімді болып табылады. Екінші
типті жүйенің артықшылықтарын және кемшіліктерін сақтай отырып, олар
өздерінің алгоритмдерінің анализін және деактивациясын қиындатады.
Қорғаныс жүйелерін қорғау механизмін қолдану бойынша былай
классификациялауға болады:
- күрделі логикалық механизмдерді қолданылатын жүйелер;
- қорғалатын ДК шифрлеуді қолданатын жүйелер;
- комбинацияланған жүйелер.
Бірінші типті жүйелер, қорғалатын дербес компьютерді және қорғау
жүйелерінің алгоритмінің талдауына, ретке келтірілуіне және
дизассембиляциясының қиындатылуына бағдарланған әртүрлі тәсілдерді және
әдістерді қолданады. Қорғау жүйенің бұл түрінің шабуылға тұрақтылығы төмен,
себебі, оның қорғанысын бұзу үшін тексеру процедурасының логикасын талдап,
оларды модификациялау жеткілікті.
Екінші типті жүйелер анағұрлым тұрақты. Мұндай қорғаныстарды
белсенділігін толықтау үшін ДК дешифрациясының кілтін анықтау қажет.
Шабуылға тұрақтылығы жоғары комбинацияланған жүйелер.
Қорғау жүйелерін жұмыс істеу қағидасы бойынша мынадай топқа бөлуге
болады:
- буып-түюшілершифраторлар;
- рұқсат етілмеген көшіруден қорғау жүйесі;
- рұқсат етілмеген кіру қорғау жүйесі.
Буып-түюшілершифраторлар. Олардың мақсаты – дербес компьютердің
алгоритмдерін талдаудан және рұқсатсыз модификациялаудан сақтау болып
табылады. Бұған жету үшін мәліметтерді компрессиялау алгоритмі,
мәліметтерді шифрлау, мутация алгоритмдері, программаның логикасын
шатыстыру, дербес компьютердің жұмысы кезінде операциялық жүйені тұрақсыз
күйге келтіру және т.б. қолданылады.
Рұқсатсыз көшіруден қорғау жүйесі дербес компьютерді дистрибутивті
тасымалдағышқа байлау арқылы жүзеге асады. Қорғаныстың бұл түрі
жинақтағыш контроллерлердің жұмысын зерттеуге, олардың физикалық
көрсеткіштеріне, бөлудің қалыпты емес тәртібіне, оқужазу және т.б.
негізделген [8].
Рұқсатсыз енуден қорғану жүйесі. Дербес компьютердің ақпаратына рұқсат
етілмеген ену деп жоспарланбаған таныстыру, өңдеуді, көшіруді, әртүрлі
вирустарды қолдануды, әсіресе программалық өнімдерді жоюды, сонымен қатар,
енуге қойылған шектеулердің ережелерінің ақпараттарын құртуын немесе
модификациялануын айтады. Дербес компьютердің ақпараттарын рұқсатсыз енуден
қорғауда үш негізгі бағытты көрсетуге болады:
- қолданушыны анықтайтын арнайы техникалық тәсіл;
- ақпаратты қорғайтын арнайы программалық қамту;
- дербес компьютердің ақпараттарын рұқсат етілмеген енуден қорғайтын
арнайы тәсіл.
Кез-келген қолданушының шынайлығын тексеру мүмкіндігі ақпараттардың
қауіпсіздігін қамтамассыз етудің бірінші адымы болып табылады.
Қолданушының жеке тұлғасын тексеру кепілдігі идентификация және
аутентификация әртүрлі механизмдерінің тапсырмасы болып табылады.
Идентификация мынаған негізделген: әр қолданушыға (қолданушылар тобына)
арнайы ерекшелендіретін белгі – идентификатор берілген және ол
тағайындалған мәнімен салыстырылады. Қолданушының жеке тұлғасын тексеру
процесі аутентификация деп аталады. Бұл процесс қолданушының арнайы
ерекшелендіретін белгіні – аутентификаторды көрсету арқылы жүзеге асады.
Идентификацияның және аутентификацияның нақты механизмдері келесі
ақпаратты қорғау тәсілдерінің және процедураларының негізінде жүзеге асады:
- пароль;
- биометрия тәсілі;
- интеллектулды карталар;
- желіге кіруге рұқсат бермеу, компьютердің (пернетақтасының) немесе
парольдің көмегімен аутоматтандырылған жұмыс орнының жұмысына бөгет
жасау;
- әр қолданушы үшін ерекше кілтті крипография.
Жүзеге асырылуы оңай болғандықтан парольдер жиі қолданылады.
Кәдімгі парольдер қорағаныс тәсілі болып табылмайды, себебі олар жүйеге
кіруді басқару механизмі болып табылады. Парольдер есептеу жүйесіндегі
программалық қамтудың тұтастығының сақталуын қамтамассыз етеді. Парольдер
есте сақталуы үшін оңай болуы керек, бірақ айқын болмауы тиіс. Сұрақ-жауап
жүйесі жоғары дәрежелі қорғаныспен қамтамасыз етіледі, бірақ есептеу
жүйесінің көп жұмыс уақыты және анағұрлым ресурстары қажет. Егер парольдің
көшірмесін сақтау қажет болса (хакермен ұрлануы мүмкін), онда бұл қорғаныс
тәсілі тиімді болмайды.
Пароль программалық қамтудың қорғаныс тәсілі болып табылмайды, себебі
пароль берілген заңды қолданушы хакер болуы мүмкін. Парольды құру кезінде
арнайы құрылғыны пайдалануға болады. Бұл құрылғы қолданушы тағайындаған
мәліметтер бойынша сан немесе әріптердің тізбегін тудырады. Мұндай құрылғы
ақпаратты түрлендіргіш деп аталады. Шын мәнінде есептегіш жүйе кездейсоқ
сандарды тудырады және қолданушы оған аз уақыт ішінде қандайда бір сан
беруін талап етеді. Мұндай жүйелер компьютердің интерфейсынан тәуелсіз.
Парольдік қорғау жүйесі, көбінесе, логикалық механизмдер қолданылады –
парольдіңкодтың және жүктелудің дұрыстығын тексеру немесе тексеру
нәтижелеріне байланысты дербес компьютерді жүктемеу.
Енгізілген паролькодтың дұрыстығын тексеру блогы парольді қорғаныстың
әлсіздігі болып табылады. Мұны тексеру үшін енгізілген парольді дербес
компьютердің кодында жазылған нақты мәнімен немесе қосымша мәліметтердің
көмегімен келтірілген парольмен салыстыруға болады. Сонымен қатар,
енгізілген және тура парольдің туындыларының шамаларын салыстыруға болады,
мысалы олардың ХЭШ-функцияларын. Демек, кодта олардың туындысының шамасын
ғана сақтауға болады, бұл қорғаныстың тұрақтылығын арттырады. Тексеру
процедурасын анализдеу арқылы дербес компьютердің кодында жазылған нағыз
парольді, енгізілген мәліметтерден керекті парольді немесе ХЭШ-суммасы тура
парольді табу үшін парольді теретін программа жасау қажет. Егер дербес
компьютердің қорғау жүйесі шифрлерді қолданбаса, онда дербес компьютерге
оңай ену үшін тексерудің логикасын күштеп өзгерту жеткілікті.
Барлық парольді жүйелер үшін авторланған қолданушының енуі кезінде
парольді қағып алу қаупі бар. Бұл типтес дербес компьютердің қорғау
жүйесінің тексеру процедурасы, тек, тіркелу және дербес компьютерді орнату
кезінде ғана орындалып, содан кейін қорғаныс жүйесі өшіріледі. Бұл дербес
компьютерді көшіру қаупін тудырады.
Қолданушының дербес компьютердің байлану жүйесін орнату кезінде
компьютерлік жүйенің ерекше белгілері іздестіріледі немесе олар қорғаныс
жүйесімен орнатылады. Содан кейін дербес компьютердегі қорғаныс модулінің
өзі-ақ белгілерді іздестіріп, идентификациялауға икемделеді. Соның
көмегімен дербес компьютердің авторластырылған немесе заңсыз
қолданылатындығы анықталады. Нәтижесінде, процессордың, аналық платаның,
қосымша құрылғылардың жылдамдығын және басқа да көрсеткіштерін, операциялық
жүйе, оқужазуды энергиясы тәуелсіз жадыны, жиі қолданылатын жедел еске
сақтау құрылғысы картасын икемдеу және т.б. әдістерін қолдануға болады [9].
Құжаттама кез-келген программалық қамтамассыз етумен қатар жүреді, ол
авторлық құқықтың субъектісі болып табылады және қорғаныс қызметін атқара
алады. Бұған келесі факторлар себепші болады: оның репродукциясы қымбат
тұрады, әсіресе, егер түп нұсқасы түрлі-түспен орындалған болса, онда бір
түсті көшірме машинасымен қайта өндіруге болмайды; көбіне программалар
машиналық код түрінде таратылады, бұл оның құрылысының талдауын қиындатып,
белгілі дәрежеде қорғаныспен қамтамассыз етеді. Программа толық ретке
келтірілмеген жағдайда автордың қолдауы қажет.
Белсенді қорғаныстың сыртқы тәсілдері көптеген шарттар туындаған кезде
іске қосылуы мүмкін. Программаның аталуын немесе иесінің атын қағазға басып
шығару үшін сыртқы факторлардың ішіне өзекті сөздерді қолдану да кіреді.
Жоғары да келтірілген қорғаныс тәсілі пираттылықтан қорғамаса да кездейсоқ
көшірмелерден қорғап, сатылымның мөлшерін арттырады. Жалпыға ортақ қауіп
дабылы, көшірме жасау кезінде операцияның шынайлығын растауды талап ететін
компьютердің қорғаныс ортасы сияқты.
Этикетканы немесе программаның қорғалған аудандарынан басқа да
бөліктерді қағазға басу, тек өзекті сөздің көмегімен ғана жүзеге асады.
1.5 Кілті ашық жүйелердегі мәліметтерді криптографиялық әдіспен қорғау
Мәліметтерді криптографиялық түрлену арқылы қорғау қауіпсіздік
мәселесінің тиімді шешімі болып табылады. Шифрленген мәліметтерді кілті бар
қолданушылар ғана дешифрлей алады.
Кілті ашық жүйелер мәліметтерді шифрлеуде болашағы зор криптографиялық
стандарт болып табылады. Мұндай жүйелерде шифрлеу үшін бір кілт, ал шифрді
ашу үшін екінші кілт қолданылады. Бірінші кілт ашық болып табылады және өз
ақпараттарын шифрлеуде кез-келген қолданушының пайдалануы үшін желі бойынша
жарияланады. Шифрленген ақпаратты қабылдаушы мәліметтерді дешифрлеу үшін
екінші кілтті қолданады. Ал екінші кілт құпиялы. Сонымен қатар, мынадай
шарт орындалуы тиіс: жарияланған бірінші кілттен екінші кілт анықталмауы
тиіс [10].
Кілті ашық криптографиялық жүйелер қайтымсыз немесе бірбағытты
функцияларды қолданады, соңғысының қасиеті мынадай: х мәні берілсе f (х)
мәнін есептеу оңай, бірақ кері функцияны есептеу қиын.
Қазіргі уақытта мәліметті қорғауда RSA ашық кілтті криптографилық әдіс
кең таралған. Мұндағы, RSA дегеніміз жасаған адамдардың аттарының бірінші
әріптері (Rivest, Shamir, Adieman). Оның криптотұрақтылығы жоғары және
қарапайым программалық, аппараттық тәсілдерде іске асыруға болады. Бұл
әдістің көмегімен қағазсыз мәлімет алмасу және тасымалдау жағдайындағы жеке
қолтаңба мәселесі шешілді.
Ақпараттарды криптографиялық қорғау үшін RSA әдісін қолдану құрылымдық
сызба арқылы түсіндіріледі [11].
RSA әдісі негізінде криптожүйенің жұмыс істеуі ашық және құпия
кілттердің қалыптасуын болжайды. Осы мақсатта келесі математикалық
операцияларды орындау қажет:
- екі үлкен жай сандарды р және q аламыз, жай сандар дегеніміз өзіне
және 1 бөлінетін сандар;
- n = p x q анықтаймыз;
- k = (р - 1) (q - 1) санын есептейміз;
- k саны сияқты үлкен кедейсоқ d санын таңдаймыз (d- 1-ден басқа ортақ
бөлгіші жоқ сан);
- е санын анықтаймыз, ол үшін (е " d) mod k = 1 қатынасы тән;
- ашық кілт ретінде {е, n} сандар жұбын аламыз;
- {d, n} сандар жұбы түрінде құпия кілт қалыптасады.
Берілетін мәліметтерді ашық кілттің көмегімен шифрлеу үшін келесі
операция орындалады:
- шифрленетін мәтінді блоктарға бөлу, олардың әрқайсысы M(i) = 0, 1,...,
n -1 сандары түрінде болуы мүмкін;
- C(i) = (M(i)e) mod n формуласы бойынша M(i) сандар тізбегі ретінде
мәтінді шифрлеу;
- келесі есептеулерді орындаған кезде құпия кілтпен {d, n} шифротекст
дешифрленеді: M9i) = (C(i)d ) mod n.
Нәтижесінде, бастапқы мәліметтерді сипаттайтын M(i) сандар тізбегін
аламыз. Іс жүзінде RSA әдісін қолдану кезінде р және q ұзындығы 100 тең,
бұл шифротексттің жоғары тұрақтылығын қамтамассыз етеді.
Ұсынылған алгоритм программаны жазу үшін қолданылуы мүмкін:
- р және q жай сандарын енгізу;
- n=p**q, k= (p-1)(q-1) есептеп, экранға шығарамыз;
- k санымен өзара жай е санын шығару;
- 1-ден k дейінгі циклде d санын анықтаймыз, ол үшін (e**d)modk = 1
қатынасы орындалады және оны экранға шығарамыз;
- шифрленетін бастапқы хабарламаны енгізу;
- 1-ден l дейінгі l- хабарламанынң ұзындығы) циклде операцияны
орындаймыз.
Жазылатын символды жолаққа түрлендіріп, оның ASCII-кодын аламыз. ASCII-
кодынан 65 шегеріп, 0-ден 25 интервал аралығындағы оның кодын аламыз (латын
алфавитінің 26 әрпіне сәйкес келеді).
- 1-ден ... жалғасы
Сіз бұл жұмысты біздің қосымшамыз арқылы толығымен тегін көре аласыз.
Қазақстан Республикасының Евразиялық аймаққа кіруі, ХХІ ғасырға аяқ
басуы ел Президентінің Қазақстан-2030 атты стратегиялық бағдарламасына
сәйкес жаңа техника мен технология үдерістерінің дамуы келешекте жоғары оқу
орындарында білім беру қандай бағытта өрбуі керек деген өзекті мәселе
туғызады. Барлық өркениетті елдерде азаматтардың қауыпсіздік сақшысы
ретінде зандар тұр, барлық есептегіш техника саласында құқық қолданатын іс-
тәжірибе әзірге дамымаған, ал заң шығарушы процесс технология дамуына ілесе
алмайды, сондықтан компьютерлік жүйе жұмысының сенімділігі көбіне өзін-өзі
қорғау шараларына сүйенеді.
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың
сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің,
маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың
алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету
кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық,
программалық және техникалық әдістер мен құралдардан тұрады.
Ақпараттық қауіпсіздік - мемлекеттік ақпараттық ресурстардың, сондай-ақ
ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының
жай-күйі. Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті
ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады.
Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін
құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік
құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға
және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және
ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың
сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру
шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік
режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді.
Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі
болып табылады.
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
проблемалардың кезегі келеді – таңдалған қауіпсіздік саясатын іске асыру
үшін не істеу керек? Қазіргі уақытта құны, атқаратын міндеті және сапасы
жағынан әртүрлі болатын ақпарат қорғау құралдарының көптеген түрі бар.
Олардың ішінен нақты объектінің ерекшелігіне сай келетінін таңдап алу
күрделі мәселелердің бірі болып саналады.
Қауіпсіздік саясаты мынадай элементтерден тұрады: қатынас құруды ерікті
басқару, объектілерді қайтадан пайдаланудың қауіпсіздігі, қауіпсіздік
тамғасы және қатынас құруды мәжбүрлі басқару.
Қазіргі кезде ақпараттық жүйелерде криптограграфиялық әдістерді қолдану
мәселесі туындады.
Жұмыстың көкейкестілігі қазіргі заманғы ақпараттық жүйелерде
криптограграфиялық әдістерді қолдану мәселесі туындады. Сондықтан қазіргі
кезде ақпаратты қорғау үлкен мәнге ие болып отыр.
Кілті ашық жүйелер мәліметтерді шифрлеуде болашағы зор криптографиялық
стандарт болып табылады. Мұндай жүйелерде шифрлеу үшін бір кілт, ал шифрді
ашу үшін екінші кілт қолданылады. Бірінші кілт ашық болып табылады және өз
ақпараттарын шифрлеуде кез-келген қолданушының пайдалануы үшін желі бойынша
жарияланады. Шифрленген ақпаратты қабылдаушы мәліметтерді дешифрлеу үшін
екінші кілтті қолданады. Ал екінші кілт құпиялы. Сонымен қатар, мынадай
шарт орындалуы тиіс: жарияланған бірінші кілттен екінші кілт анықталмауы
тиіс.
Кілті ашық криптографиялық жүйелер қайтымсыз немесе бірбағытты
функцияларды қолданады, соңғысының қасиеті мынадай: х мәні берілсе f (х)
мәнін есептеу оңай, бірақ кері функцияны есептеу қиын.
Қазіргі уақытта мәліметті қорғауда RSA ашық кілтті криптографилық әдіс
кең таралған. Мұндағы, RSA дегеніміз жасаған адамдардың аттарының бірінші
әріптері (Rivest, Shamir, Adieman). Оның криптотұрақтылығы жоғары және
қарапайым программалық, аппараттық тәсілдерде іске асыруға болады. Бұл
әдістің көмегімен қағазсыз мәлімет алмасу және тасымалдау жағдайындағы жеке
қолтаңба мәселесі шешілді.
Бағдарламаны жобалаудың негізгі міндеттері бұл ең алдымен ақпаратты
қорғау.
Бағдарламаны жобалаудың негізгі мақсаттары: жоғарыда келтірілген
міндеттерді орындау үрдісінде бағдарламаны ендіру, бағдарламаның дұрыс
жүзеге асырылуын қадағалау, қолданушылармен кері байланыс орнату, жұмыс
істеу үрдісінде кемшіліктерді анықтау және жою, бағдарламаны толықтыру,
жаңа функцияларды енгізу және жалпы орындалуын бақылау болып табылады.
Дипломдық жұмыстың мақсаты – қазіргі ақпараттық технология негізінде
ашық кілттер қолдануымен шифрлеу бағдарламасын құру.
Дипломдық жұмыстың объектісі ақпарат болып табылады.
Дипломдық жұмыстың мақсатына жету үшін келесі есептер шешілді:
- ақпаратты криптографиялық әдістерімен шифрлеудің теориялық негіздері
қарастыру;
- ақпаратты шифрлеудің процесі көрсету;
- ақпаратты ашық кілттер қолдануымен шифрлеу әдісін қолданылатын
ақпараттық жүйенің ресурстарын сипаттау;
- ақпаратты шифрлеу жолдарын талдау.
Дипломдық жұмыстың мақсатын жүзеге асыратын Delphi бағдарламалау ортасы
болып табылады. Delphi бағдарламасы қазіргі кезде ең көп тараған бағдарлама
құру жүйесіне жатады. Оның басты ерекшеліктерінің бірі – ол арқылы құрылған
бағдарламалар Windows басқаруында жұмыс істеп қана қоймай, оның өзі
бағдарламаларды жылдам құратын аспаптық құрал (RAD - Rapid Application
Development) тобына жататындығында.
Дипломдық жұмыстың құрылымы: кіріспе, үш бөлімі, қорытынды, қолданылған
әдебиеттер тізімі, қосымшалар.
Дипломның бірінші тарауында ақпараттық қауіпсіздіктің негізгі теориялық
аспектілері, сонымен қатар ақпараттық жүйелердің аппараттық және
программалық платформасын талдау қарастырылған.
Екінші бөлімінде шифрлеу бағдарламасын құру принциптері сипатталған.
Мұнда шифрлеу бағдарламаның есептің қойылымы, ақпараттық, бағдарламалық
және техникалық қамтамасыздандыруы қарастырылған. Сонымен қатар, нақты өз
бағдарламамның орындалуы, оның міндеттері мен талаптары туралы сипатталған.
Үшінші бөлімінде еңбек қорғау және қызметкерлердің қауіпсіздігін
қамтамасыздандыру үшін қолданылатын шаралар туралы сипаттамасы берілген.
Қорытындысында жұмыстың негізгі нәтижесі сипатталған.
1 Талдау бөлімі
1.1 Ақпаратты қорғау
Ақпараттық қауіпсіздік - мемкелеттік ақпараттық ресурстардың, сондай-ақ
ақпарат саласында жеке адамның құқықтары мен қоғам мүдделері қорғалуының
жай-күйі.
Ақпаратты қорғау - ақпараттық қауіпсіздікті қамтамасыз етуге
бағытталған шаралар кешені. Тәжірибе жүзінде ақпаратты қорғау деп
деректерді енгізу, сақтау, өңдеу және тасымалдау үшін қолданылатын ақпарат
пен қорлардың тұтастығын, қол жеткізулік оңтайлығын және керек болса,
жасырындылығын қолдауды түсінеді. Сонымен, ақпаратты қорғау - ақпараттың
сыртқа кетуінің, оны ұрлаудың, жоғалтудың, рұқсатсыз жоюдың, өзгертудің,
маңызына тимей түрлендірудің, рұқсатсыз көшірмесін жасаудың, бұғаттаудың
алдын алу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету
кезін қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық,
программалық және техникалық әдістер мен құралдардан тұрады [1].
Ақпараттық қауіпсіздік режимін қалыптастыру кешендік мәселе болып
табылады. Оны шешу үшін заңнамалық, ұйымдастырушылық, программалық,
техникалық шаралар қажет.
Ақпараттық қауіпсіздіктің өте маңызды 3 жайын атап кетуге болады: қол
жеткізерлік (оңтайлық), тұтастық және жасырындылық.
Қол жетерлік (оңтайлық) - саналы уақыт ішінде керекті ақпараттық қызмет
алуға болатын мүмкіндік. Ақпараттың қол жеткізерлігі - ақпараттың,
техникалық құралдардың және өңдеу технологияларының ақпаратқа кедергісіз
(бөгетсіз) қол жеткізуге тиісті өкілеттілігі бар субъектілердің оған қол
жеткізуін қамтамасыз ететін қабілетімен сипатталатын қасиеті.
Тұтастық - ақпараттың бұзудан және заңсыз өзгертуден қорғанылуы. Ақпарат
тұтастығы деп ақпарат кездейсоқ немесе әдейі бұрмаланған (бұзылған) кезде
есептеу техника құралдарының немесе автоматтандырылған жүйелердің осы
ақпараттың өзгермейтіндігін қамтамасыз ететін қабілетін айтады.
Жасырындылық - заңсыз қол жеткізуден немесе оқудан қорғау.
Қауіпсіз жүйе - белгілі бір тұлғалар немесе олардың атынан әрекет
жасайтын үрдістер ғана ақпаратты оқу, жазу, құрастыру және жою құқығына ие
бола алатындай етіп ақпаратқа қол жеткізуді тиісті құралдар арқылы
басқаратын жүйе.
Сенімді жүйе - әр түрлі құпиялық дәрежелі ақпаратты қатынас құру құқығын
бұзбай пайдаланушылар тобының бір уақытта өңдеуін қамтамасыз ету үшін
жеткілікті ақпараттық және программалық құралдарды қолданатын жүйе.
Жүйенің сенімділігі (немесе сенім дәрежесі) екі негізгі өлшемі бойынша
бағаланады: қауіпсіздік саясаты және кепілділік.
Қауіпсіздік саясаты – мекеменің ақпаратты қалайша өңдейтінін,
қорғайтынын және тарататынын анықтайтын заңдар, ережелер және тәртіп
нормаларының жиыны. Бұл ережелер пайдаланушының қайсы кезде белгілі бір
деректер жинағымен істей алатынын көрсетеді. Қауіпсіздік саясатын құрамына
мүмкін болатын қауіптерге талдау жасайтын және оларға қарсы әрекет шаралар
кіретін қорғаныштың белсенді сыңары деп санауға болады.
Қауіпсіздік саясатының құрамына ең кемінде мына элементтер кіруі керек:
қатынас құруды ерікті басқару, объектілерді қайтадан пайдаланудың
қауіпсіздігі, қауіпсіздік функциялар және қатынас құруды мәжбүрлі басқару
[2].
Кепілділік – жүйенің сәулетіне және жүзеге асырылуына көрсетілетін сенім
өлшемі. Ол қауіпсіздік саясатын іске асыруға жауапты тетіктердің дұрыстығын
көрсетеді. Оны қорғаныштың, қорғаушылар жұмысын қадағалауға арналған,
белсенсіз сыңары деп сипаттауға болады. Кепілділіктің екі түрі болады:
операциялық және технологиялық. Біріншісі жүйенің сәулеті және жүзеге
асырылу жағына, ал екіншісі – құрастыру және сүйемелдеу әдістеріне қатысты.
Хаттамалау тетігі қауіпсіздік қамтамасыз етудің маңызы құралы болып
табылады. Сенімді жүйе қауіпсіздікке байланысты барлық оқиғаларды тіркеп
отыруы керек, ал хаттаманы жазу – жүргізу тексерумен (аудитпен – тіркелу
ақпаратына талдау жасаумен) толықтырылады.
Сенімді есептеу базасы (СЕБ) – компьютерлік жүйенің қауіпсіздік саясатты
жүзеге асыруға жауапты қоршаған тетіктерінің жиынтығы. Компьтерлік жүйенің
сенімділігіне баға беру үшін тек оның есептеу базасын қарастырып шықса
жеткілікті болады. Сенімді есептеу базасының негізгі міндеті – қатынасым
мониторының міндетін орындау, яғни, объектілерімен белгілі бір операциялар
орындау болатындығын бақылау.
Қатынасым мониторы – пайдаланылатын бағдарламаларға немесе деректерге
әрбір қатынасының мүмкін болатын іс-әрекеттер тізімімен келісімді екендігін
тексеретін монитор. Қатынасым мониторынан үш қасиеттің орындалуы талап
етіледі:
- оңашаланғандық. Монитор өзінің жұмысы кезінде аңдудан қорғалуға
тиісті;
- толықтық. Монитор әрбір қатынасу кезінде шақырылады. Бұл кезде оны
орай өтуге мүмкіндік болмау керек;
- иландырылатындық. Мониторды талдау және тестілеуге мүмкін болу үшін ол
жинақы болуы керек.
Қауіпсіздік өзегі – қатынасым мониторының жүзеге асырылуы. Қауіпсіздік
өзегі барлық қорғаныш тетіктерінің құрылу негізі болып табылады. Қатынасым
мониторының аталған қасиеттерінен басқа қауіпсіздік өзегі өзінің
өзгерместігіне кепілдік беруі керек.
Қауіпсіздік периметрі – сенімді есептеу базасының шекарасы. Оның
ішіндегі сенімді, ал сыртындағы сенімсіз деп саналады. Сыртқы және ішкі
әлемдер арасындағы байланыс ретқақпа арқылы жүзеге асырылады. Бұл ретқақпа
сенімсіз немесе дұшпандық қоршауға қарсы тұра алуға қабілеті бар деп
саналады.
Объектінің ақпараттық қауіпсіздігін қамтамасыз етуге арналған жұмыстар
бірнеше кезеңге бөлінеді: даярлық кезеңі, ақпараттық қорларды түгендеу,
қатерлі талдау, қорғаныш жоспарын құрастыру және қорғаныш жоспарын жүзеге
асыру. Осы аталған кезеңдер аяқталған соң эксплуатациялау кезеңі басталады.
Даярлық кезеңі. Бұл кезең барлық келесі шаралардың ұйымдастырушылық
негізін құру, түпқазық құжаттарды әзірлеу және бекіту, сондай-ақ, үрдіске
қатысушылардың өзара қарым – қатанастарын анықтау үшін қажет. Даярлық
кезеңде ақпарат қорғау жүйесінің атқаратын міндеттері анықталады.
Ақпараттық қорларды түгендеу. Бұл кезеңде, әдетте, объект, ақпараттық
ағындар, автоматтандырылған жүйелердің құрылымы, серверлер, хабар
тасушылары, деректер өңдеу және сақтау тәсілдері жайында мәлімет жиналады.
Түгендеу аяқталған соң олардың осалдылығына талдау жасалынады.
Қатерлі талдау. Келесі шаралардың нәтижелігі ақпараттық қорлардың
қорғанылу күй-жағдайының қаншалықты толық және дұрыс талдануына тәуелді
болады. Қатерлі талдау мыналардан түрады: талданатын объектілерді және
оларды қарастырудың нақтылану дәрежесін таңдау; қатерлі бағалау әдіснамасын
таңдау; қауіптерді және олардың салдарын талдау; қатерлі бағалау; қорғаныш
шараларын таңдау; таңдап алынған шараларды жүзеге асыру және тексеру;
қалдық қатерді бағалау.
Қауіп бар жерде қатер пайда болады. Қауіптерді талдау кезеңі қатерді
талдаудың орталық элементі болып табылады. Қауіптердің алдын алу үшін
қорғаныш шаралары мен құралдары қажет. Қауіптерді талдау, біріншеден,
мүмкін болатын қауіптерді анықтаудан (оларды идентификациялаудан) және
екіншіден, келтірілетін болашақ зиянды болжау-бағалаудан тұрады.
Бұл кезеңнің орындалу нәтижесінде объектідегі қауіп-қатер тізбесі және
олардың қауіптік дәрежесі бойынша жіктемесі құрастырылады. Бұлар бәрі
ақпарат қорғау жүйесіне қойылатын талаптарды айқындауға, қорғаныштың ең
әсерлі шаралары мен құралдарын таңдап алуға, сондай-ақ, оларды жүзеге
асыруға қажетті шығындарды анықтауға мүмкіндік береді.
Қорғаныш жоспарын құрастыру. Бұл кезеңде осының алдында жүргізілген
талдаудың нәтижесінде анықталған қатерлерді бейтараптау үшін қорғаныштың
тиісті ұйымдастырушылық және техникалық шаралары таңдап алынады.
Қорғаныш жоспарын құру ақпарат қорғау жүйесінің функционалдық
мүмкіндіктерін әзірлеуден басталады. Ол үшін қорғаныш жүйесінің атқаратын
міндеттері анықталады және нақты объектінің ерекшіліктерін ескере отырып
жүйеге қойылатын талаптар талқыланады. Жоспарға мынадай құжаттар қосылады:
қауіпсіздік саясаты; ақпарат қорғау құралдарының объектіде орналасуы;
қорғаныш жүйесін жұмысқа қосу үшін қажет шығындардың көлемі; ақпарат
қорғаудың ұйымдастырушылық және техникалық шараларын жүзеге асырудың
күнтізбелік жоспары.
Қауіпсіздік саясаты (ұйымдастыру тұрғысынан қарағанда) есептеу және
қатынас қорларын пайдалану тәсілін, сондай-ақ, қауіпсіздік режімін бұзудың
алдын ала және мән беру (жауап қайтару) процедураларын дұрыс анықтайды.
Қауіпсіздік саясатының қалыптастыру іс-әрекетін келесі кезеңдер түрінде
қарастыруға болады:
- ұйымдастыру мәселелерін шешу. Бұл кезеңде ақпараттық қауіпсіздік
қызметі (АҚҚ) құрылады, ақпараттық қауіпсіздік тұрғысынан қарағанда
пайдаланушылардың санаттары, пайдаланушылардың барлық санаттарының
жауаптылық деңгейлері, құқықты және міндеттері аңықталады.
- қатерге талдау жасау. Қатерді талдау үрдісі нені қорғау керек, неден
қорғау керек және қалай қорғау керек деген сияқты сұрақтардың жауабын
анықтайды. Мүмкін болатын қатерлердің бәрін қарастырып шығу керек және
оларды келтіретін зиянының ықтимал мөлшеріне байланысты жіктеу қажет.
Қорғанышқа жұмсалатын қаржы қорғанылатын объектінің құнынан аспауға
тиісті.
- жеңілдектерді анықтау. Қорларды пайдалану құқықтары, қорларды қолдану
ережелері, әкімшілік жеңілдіктер, пайдаланушылардың құқықтары мен
міндеттері, жүйелік әкімшілердің құқықтар мен міндеттері, жасырын
ақпаратпен жұмыс істеу тәртіптері және т.б. анықталады.
- қауіпсіздік саясатының бұзылуына жауап қайтару шараларын анықтау.
Қауіпсіздік режімі бұзушыларды табуға және жауапкершілікке тартуға
бағытталған әрекеттер, сонымен қатар, ақпаратты бұрынғы қалпына
келтіру және бұзулардың зардаптарын жою шаралары анықталады.
- әкімшілік ұйымдастыру құжаттарын дайындау. Қауіпсіздік саясатының
негізгі жайлары әр түрлі нұсқауларда, қағидаларда, ережелерде және
өкімдерде келтіріледі.
Қауіпсіздік саясаты ақпарат қорғау жүйесінің қауіп-қатерлерге қарсы
әрекет жасауға бағытталған құқықтық нормалардың, ұйымдастырушылық
шаралардың, бағдарламалық-техникалық құралдар және процедуралық шешімдер
кешенінің жиынтығын анықтайды.
Ақпарат қауіпсіздігінің жоғарғы дәрежесіне қол жету тек тиісті
ұйымдастыру шараларын қолдану негізінде ғана мүмкін болады.
Ұйымдастырушылық шаралар кешенінің құрамына ақпараттық қауіпсіздік қызметін
құру, жасақтау және оның іс-әрекеттерін қолдану, ұйымдастыру-әкімгерлік
құжаттар жүйесін дайындау жұмыстары, сондай-ақ, қорғаныш жүйесін құруға
және оның жұмысын сүйемелдеуге арналған бірқатар ұйымдастырушылық және
ұйымдастыру-техникалық шаралар кіреді.
Ұйымдастырушылық және ұйымдастыру-техникалық шаралар жүргізу ақпараттың
сыртқа кететін жаңа арналарын дер кезінде табуға, оларды бейтараптандыру
шараларын қолдануға, қорғаныш жүйелерін толық жетілдіруге және қауіпсіздік
режімін бұзу әрекеттеріне жедел қарсы шара қолдануға мүмкіндік береді.
Қатерге талдау жүргізу қауіпсіздік саясатын қалыптастырудың негізгі кезеңі
болып табылады [3].
Ұйымдастыру мәселері шешілгеннен кейін бағдарламалық-техникалық
проблемалардың кезегі келеді – таңдалған қауіпсіздік саясатын іске асыру
үшін не істеу керек? Қазіргі уақытта құны, атқаратын міндеті және сапасы
жағынан әртүрлі болатын ақпарат қорғау құралдарының көптеген түрі бар.
Олардың ішінен нақты объектінің ерекшелігіне сай келетінін таңдап алу
күрделі мәселелердің бірі болып саналады.
Қауіпсіздік саясаты мынадай элементтерден тұрады: қатынас құруды ерікті
басқару, объектілерді қайтадан пайдаланудың қауіпсіздігі, қауіпсіздік
тамғасы және қатынас құруды мәжбүрлі басқару.
Қатынас құруды ерікті басқару – жеке субъект немесе құрамына осы субъект
кіретін топтың тұлғасын ескеру негізінде жасалған объектілерге қатынас
құруды шектеу. Ерікті басқару – белгілі бір тұлға (әдетте, объектінің иесі)
өзінің қарауынша басқа субъектілерге өзінің шешімі бойынша объектіге
қатынас құру құқығын бере алады (немесе алып тастайды).
Қатынас құрудың ағымдағы жағдайы ерікті басқару кезінде матрица түрінде
көрсетілді. Қатарларында – субъектілер, бағандарында – объектілер, ал
матрицаның түйіндерінде қатынас құру құқығының құру (оқу, жазу, орындау
және т.б.) кодасы көрсетіледі.
Операциялық жүйелердің және дерекқор жүйелерінің көпшілігі осы ерікті
басқаруды жүзеге асырады. Оның негізгі жағымдағы – икемділігі, ал негізгі
кемшіліктері – басқарудың бытыраңқылығы және орталықтандырылған тексерудің
күрделігі, сондай-ақ, қатынас құру құқығының деректерден бөлек қарастырылуы
(қаскүнемдер осыны пайдалана отырып құпия ақпараттарды жалпы қол
жеткізерлік файлдарға көшіріп алуы мүмкін).
Объектілерді қайтадан пайдаланудың қауіпсіздігі. Бұл элемент құпия
ақпаратты кездейсоқ немесе әдейі шығарып алудан сақтайтын қатынас құруды
басқаратын құралдардың маңызды қосымшасы болып табылады.
Объектілерді қайтадан пайдаланудың мүмкін болатын 3 қаупі мыналар: жедел
жадыны қолдану, сыртқы сақтау құрылғыларын қайтадан пайдалану және ақпарат
енгізушығару құрылғыларын қайтадан пайдалану.
Қорғаныш тәсілдерінің бірі – құпия ақпаратпен жұмыс істегеннен кейін
жедел жадыны немесе аралық жадыны тазалау. Жақсы әдіс деп тегерішті
(дискіні) нығыздау программаларын қолдануды да санауға болады.
Мәселен, принтердің аралық жадында (арашықта) құжаттың бірнеше беті
сақталып қалуы мүмкін. Олар басу үрдісі аяқталған соң да жадыда қалып
қояды. Сондықтан оларды арашықтан шығарып тастау үшін арнаулы шаралар
қолдану қажет. Әдетте кездейсоқ биттер тізбегін үш дүркін қайталап жазу
жеткілікті болады.
“Субъектілерді қайтадан пайдаланудың қауіпсіздігі” жайында да қамдану
керек. Пайдаланушы ұйымнан кеткен кезде оны жүйеге кіру мүмкіншіліктерінен
айыру және барлық объектілерге оның қатынас құруына тиым салу керек.
Қауіпсіздік тамғасы. Қатынас құрудың мәжбүрлі басқаруы кезінде
субъектілер және объектілер қауіпсіздік тамғасы арқылы байланысады.
Субъектінің тамғасы оның шүбәсіздігін сипаттайды. Объектінің тамғасы оның
ішіндегі сақталатын ақпараттың жабықтық деңгейін көрсетеді.
Қауіпсіздік таңбасы екі бөліктен тұрады: құпиялық деңгейі (дәрежесі)
және категориялар (санаттар).
Құпиялылық деңгейі реттелген жиынтық құрайды және әр түрлі жүйелерде
құпиялық деңгейлер жиынтығы әр түрлі болуы мүмкін. Қазақстан
Республикасының заңнамасында мемлекеттік құпия құрайтын мәліметтердің үш
құпиялылық дәрежесі тағайындалған және осы дәрежелерге сәйкес аталған
мәліметтердің тасуыштарына мынадай құпиялық белгілері берілген: “ аса
маңызды”, “өте құпия” және “құпия”, ал қызметтік құпия құрайтын
мәліметтерге “құпия” деген құпиялық белгісі беріледі.
Санаттар реттелмеген жиынтық құрайды. Олардың міндеті – деректер жататын
аймақтың тақырыбын сипаттау.
Қауіпсіздік таңбалардың тұтастығын қамтамасыз ету оларға байланысты
негізгі проблемалардың біреуі болып табылады. Біріншіден, тамғаланбаған
субъектілер мен объектілер болмау керек. Әйтпесе тамғалық қауіпсіздікте
саңылаулар пайда болады және қаскүнем осы жағдайды пайдаланып қорғанылатын
ақпаратқа заңсыз қол жеткізуі мүмкін. Екіншіден, қорғанылатын деректермен
қандай да болмасын операция орындалмасын, қаупсіздік тамғалары өзгермей
қалуы керек.
Қауіпсіздік тамғаларының тұтастығын қамтамасыз етуші құралдардың біреуі
– құрылғыларды көпдеңгейлік және бір деңгейлік деп бөлу. Көпдеңгейлік
құрылғыларда әр түрлі құпиялық деңгейлі ақпарат, ал бірдеңгейлік
құрылғыларда тек бір құпиялық деңгейі бар ақпарат сақталады.
Қатынас құруды мәжбүрлі басқару. Қатынас құруды мәжбүрлі басқару деп
атаудың себебі – қатынас құру мүмкіндігі субъектінің ерігіне тәуелді емес.
Мұндай басқару субъектінің және объектінің қауіпсіздік тамғаларын салыстыру
негізінде жүргізіледі.
Егер субъектінің құпиялық деңгейі объектінің құпиялық деңгейінен кем
болмаса, ал объектінің қауіпсіздік тамғасында көрсетілген барлық санаттар
субъектінің тамғасында болса, (яғни, осындай екі шарт орындалған болса),
онда субъект объектіден кез келген ақпаратты оқи алады. Мысалы, “өте құпия”
субъект “өте құпия” және “құпия” файлдарды оқи алады. Бұл жағдайда
“субъектінің қауіпсіздік тамғасы объектінің қауіпсіздік тамғасынан басым”
деп айтады.
1.2 Ақпараттық қауіпсіздендіру
Ақпаратты қорғау мәселесiн үш негiзгi бiрiн-бiрi толықтырушы бағыттарда
қарастыруға болады:
- ақпаратты өндеу технологиясындағы ұйымдастыру техникалық шаралар;
- санкцияланбаған кiрудi болдырмау;
- техникалық құралдар көмегiмен ақпаратты санкцияланбаған алуға жол
бермеу.
Үлкен ЭЕМ-дерге қатысты өңделген қорғау әдiстерi мен құралдары дербес
компьютерде қолданылады. Алайда дербес компьютер үшiн ақпаратты қорғаудың
ерекше мәселелерi де болады.
Оперативті жад әрекет етуiнiң шиналық құрылымы айтарлықтай дәрежеде
микропроцессорлық технологияға сәйкес келедi.
Осылайша, енгiзу-шығару шиналық адресациясының жалпы жүйесi:
- қолданушығы барлық есептеу ресурстарын ұсынады;
- барлық ақпаратқа енгiзу-шығару жүйесi арқылы барлық қолданушылар үшiн
жол ашық болады (қолданушылардың да және жүйелiк);
- басқаруды орталықсыздандыру сенiмдi қорғаныс қамтамасыз етiлетiн
ақпаратты өңдеу процесiн орталықтандырылған бақылау қаждасымен
қайшылыққа түседi.
Ақпараттық жүйе және ақпараттық технологияларға ақпараттық қорғаныс
жүйесін құру келесі принциптерге негізделеді:
1 Ақпараттық өңдеудің технологикалық циклінің барлық кезеңдерін
қолданудағы отандық және шетелдік қорғаныс жүйесін тәжірибе жүзінде құруды
ұстанатын арақатынасы ұйымдастырылған бағдарламалық, аппараттық, физикалық
және басқа да құрлығылардың оптимальді қиылысуын білдіретін қорғаныс
жүйесін құрудағы жүйелік жарасу.
2 Жүйенің өсуінің үзіліссіз принципі. Бұл принцип компьютерлік
ақпараттық жүйе үшін негізге алатын принциптердің бірі, және де ол
ақпаратты қорғау жүйесі үшін актуальді.
3 Өңдеу процедураларына және өңделуші ақпаратқа енуге рұқсат беру
бойынша өкілдікті азайту және бөлу, яғни қолданушылармен қатар
ақпараттық жүйе қызметкерлеріне де өздерінің қызметін атқаруға
жеткілікті.
Бекітілмеген енуге рұқсат беру әрекетін тіркеу және толықтай бақылау,
яғни әрбір қолданушының бірегейлігін толығымен қондыру қажеттілігі
және оның әрекетін хаттамалау.
Функцияланған қорғаныс жүйесіне бақылауды қамтамасыз ету, яғни
қорғау механизмінің жұмыс жасау қабілеттілігіне бақылау жасау құралдарын не
тәсілдерін құру [4].
Зиянды бағдарламалармен күресудің мүмкін болатын барлық құралдарымен
қамтамасыз ету.
Қорғаныс жүйесін экономикалық мақсатқа лайықты қамтамасыз ету.
Қазіргі кездегі ақпараттық жүйе және ақпараттық технология ақпаратын
қорғау қиыншылығын шешу нәтижесінде келесідей негізгі принциптер болуы
керек:
- әртүрлі дәрежеде арнайыланып жасалған ақпараттардың бар болуы;
- ақпараттарды жіберу кезіндегі құпия ақпараттарды әртүрлі
дәрежеде криптографиялық қорғаумен қамтамасыз ету;
- жергілікті желіде ақпаратты жіберу сияқты алшақ қашықтықтағы
байланыс каналдарында ақпаратты жіберу міндетті түрде басқарылады;
- баспаға шығарылатын ақпараттық жүйедегі оқиғада және құжаттарда
бекітілмеген енуге рұқсат алу амалын тіркеу механизмінің бар болуы.
Ішкі жүйелерді қамтамасыз етуді ерекшелеуші - ақпаратты қорғау
жүйенің құрылымын қарастыру кезінде дәстүрлі әрекет жасауы мүмкін.
Ақпараттық қорғаныс жүйесінде кез-келген ақпараттық жүйе сияқты, өзінің
мақсатты функциясын орындай алатын, өзіндік бағдарламалық қамтамасыз
етудің анықталған түрі болуы керек.
1 Құқықтық қамтамасыз ету – құқықтық актілер, нормативті-құқықтық
құжаттар, ауыр жағдайлар, басшылықтар ақпараттық қорғаныс жүйесіндегі
әрекеттер жиынтығы.
2 Ұйымдастыруды қамтамасыз ету. Ақпараттық қорғанысты іске асыру
анықталған құрлымдық бірліктер арқылы іске асады, мысалға, фирманың
қауіпсіздік қызметі және оның құрлымы: ереже, күзетші және т.б.
3 Ақпараттық қорғаныс жүйесінің функциялауын қамтамасыз ететін
тапсырманы шешу негізіндегі параметрлер, көрсетікштер, деректер және
сипаттамаларды қоса алғандағы ақпараттық қамтамасыз ету.
Бөгет – қаскүнемнің қорғалатын ақпаратқа енуіне физикалық тәсілмен
кедергі келтіруі (аппаратқа, ақпаратты жинақтаушыларға және т.б).
Енуге рұқсат алуды басқару – ақпараттық жүйе және ақпараттық
технологияның барлық ресурстарын үнемі қолданудың ақпараттық қорғаныс
тәсілдері. Бұл тәсілдер ақпаратқа енудің барлық мүмкін болатын
жолдарына қарсы тұруы қажет. Енуге рұқсат алуды басқару келесі
қорғаныс функцияларынан тұрады:
Шифрлеу механизмі – ақпаратты криптографиялық жабу. Бұл тәсілдер өңдеу
тәсілінде сонымен қатар ақпаратты магниттік жинақтаушыда сақтау кезінде
барынша кең көлемде қолданылады. Ақпаратты үлкен байланыс каналы арқылы
жіберген кезде бұл тәсіл жалғыз сенімді тәсіл болып табылады [5].
Қорғау амалдарының мақсаты – бұл ақпараттық жүйе администраторын тексеру
ықтималдылығын ойластыру, залалданған жүйенің фактілерін анықтау;
ақпараттық инфекцияның нәтижесінің әсерін азайту, вирустардың жайылып
кетпеуін қадағалау немесе жою; ақпараттық жүйенің ақпараттарын қалпына
келтіру.
Тәртіп белгілеу – қорғалатын ақпаратты сақтау және жіберу
кезінде қорғау стандарттары мен нормаларын үлкен дәрежеде орындауды
автоматтандыру.
Еріксіз көндіру – ақпараттық жүйе қызметкерін немесе қолданушысын
қорғалатын ақпаратты сақтау немесе жіберу кезінде еріксіз өңдеу ережелерін
сақтауға көндіру арқылы орындалатын қорғаныс тәсілі.
Барлық техникалық амалдар жиынтығы аппараттық және физикалық болып
бөлінеді.
Аппараттық амалдар – есептеуіш техникаға қондырылатын құрылғы немесе
онымен стандартты интерфейс арқылы байланысатын құрылғы.
Физикалық амалдар – қаскүнемнің физикалық енуіне қарсы тұратын
әртүрлі инженерлік құралдар және құрылғылар, ол персоналға
материалдық, қаржылық және ақпараттық құралдарын заңға қарсы әрекеттен
сақтайды. Физикалық амалдардың мысалдары: есіктегі кілттер, терезелердегі
тор, электронды қорғаныс сигналдар қою амалдары және т.б.
1.3 Ақпараттық жүйелердің аппараттық және программалық платформасын
талдау
Дербес компьютерді қолдану арзан және тиiмдi қорғаныс құралдарын құруды
талап етедi. Мұнда қолданушылардың арнайы дайындығы болған жөн, әйтпесе
қорғаныс тиiмдiлiгi нөлге апарылады.
Шетел мамандары қолданушыларды қорғау әдiстерi мен құралдарына, сондай-
ақ ақпаратты өндеу технологиясының өңделу мәселелерiне үйретуге ерекше
назар аударады.
Ұйымдастыру шараларын кеңiнен пайдалану ұсынылады:
- ақпаратты қорғауды қамтамасыз етiлуiне дербес жауапкершiлiк;
- құпиялы ақпаратты өндеу үшiн жабық орындарды пайдалану;
- құпиялы ақпараттарды арнайы иiлгiш дисктерде сақтау;
- тек тексерiлген және аттестацияланған бағдарламаларды қолдану.
Қызмет етудiң күрделiлiгi және орталықсыздандыру қағидасы енгiзу-
шығаруды басқару құқығы үшiн даулардың туындауын мүмкiн етедi. Асинхрондық
операцияларды пайдалану әрекет етушi қорғау жүйелерiнiң механизмдерiн
айналып өтуге мүмкiндiк бередi.
Мысалы: операциялық жүйесі мәліметтердiң ұсынылуына сұрауды тексерiп,
оны санкциялай алады. Енгiзу-шығарудың асинхрондық операциясы неғұрлым
басымды сұраулармен үзiлуi мүмкiн, олардан кейiн үзiлген сұраудың мекен-
жайы модификацияланады. Яғни сұраулар мен олардың орындалуы арасындағы
уақыт кезеңiнде санкцияланбаған модификация орындала алады.
Хабарды қорғау мәселелері заңшығарушы аспекттер қорғанысынан нақтылы
техникалық құрылғыларға дейін кең диапазонды қамтиды.
Бағдарламалық өнімді өңдеушілер хабарды қорғаудың жоғары дәрежесін
қамтамасыз ететін, техникалық қорғаныс құралдарының қажеттілігі туралы
көзқарасты ұсынады.
Бағдарламалық құралдарды пайдаланушыларға қорғаныс пайдалануда қосымша
қиындықтар туғызады. Авторлық құқықты жалғыз қорғаныс құралы ретінде
мойындау, бағдарламалық құралдарды сатылуының экономикалық пайдасы
болмауына әкеледі. Бұдан басқа, қорғалатын хабардың және оны өңдеу
әдістерінің жасырушылығын жоғарлату қажеттілігі бар (әңгіме ноу-хау
туралы болып жатыр).
Коммерциялық қатынас кезінде қорғалатын хабарды көшіруге озбырланушылық
санын азайту оны пайдалануда шектеуді пайдаланушының қабылдамауына қатысты
болуы керек (көшірменің шығаруына тыйым салу, есептеуіш желінің қорлары
бөлігінің қорғаныс құралдарының қызмет етуіне пайдалану, т.б.). Сондықтан,
бұл қарама-қайшы талаптарды қанағаттандыра алатын әдістерді іздеу
жүргізілуде (қорғаныстың жоғары дәрежесі және пайдаланудың ыңғайлылығы).
Қорғаныс құралдары пайдаланушы оны көшіріп, орындауды талаптанғанға
дейін көрінбеуі тиіс.
Мұндай ыңғайдың талабы АҚШ-тағы өңдеу жүйелерін қызмет ету бойынша
ұйымдардың Ассоциациясы Бағдарламалық қамтамасыз етуді қорғау Комитетімен
дыбыс шығаратын перне деп аталған қорғаныс аппаратурасының стандартын
ұсынған.
Бағдарламалық қамтамасыз етуді қорғау әдістерін және ЭЕМ мен
мәліметтерді қорғау әдістерін айырады.
ЭЕМ-ді қорғау парольдерді пайдалануда және аппаратураға физикалық
рұқсатқа тыйым салуда негізделген. ЭЕМ-ді үлкен емес ғимаратта орналастыру
ақылды, оның қорғанысын бақылау оңайлана түседі, ал қорғанысты жеңу уақыты
мен мүмкіншіліктері шектелген.
Жеке сатылатын және почтамен жіберілетін бағдарламалық қамтамасыз етуді
қорғаныс құралдарын жеңуге шектелмеген уақыт аралығында сынауға болады.
Қорғаныс құралдарының келесі категорияларын белгілейді:
- жекеменшікті қорғаныс;
- есептеуіш желінің құрамындағы қорғаныс;
- хабарды сұратумен қорғаныс;
- белсенді қорғаныс;
- енжарлы қорғаныс.
Бағдарламалық қамтамасыз етуді ере жүретін құжаттау, авторлық құқықтың
субъектісі болып табылады және қорғаныс функцияларын атқаруы мүмкін. Оның
репродуциясы қымбат тұрады және анықталған қиыншылықтарды келтіреді.
Құжаттаусыз бағдарламалық қамтамасыз ету толығымен қолданыла алмайды.
Машина кодында таралатын бағдарламалар олардың құрылымының анализін
қиындатады, ал бұл бағдарламаны қорғайтын фактор болып табылады.
Шектелген қолдануы пайдаланушылар санын азайтады. Барлық пайдаланушылар
белгілі, сенімге ие.
Тапсырыспен істелінген жобалау – арнайы мақсаттар үшін бағдарламалық
қамтамасыз етуді өңдеу. Сирек қолданылатын бағдарламалық қамтамасыз етуді
ұрлау күмәнді. Ағып кету көздері белгілі.
Стандартты бағдарламалық модульдерді ерекше таңбалармен, ұқсастыратын
бағдарламалармен жабдықтайды, солай авторлық құқықты қамтамасыз етеді.
Дербес белгілер бағасы күтілетін коммерциялық пайдамен сәйкес келуі қажет.
1.4 Ақпаратты қорғаудың криптографиялық жүйелері
Криптографиялық әдістер ақпаратты қорғаудың ең тиімді құралдары болып
табылады.
Кезкелген криптографиялық әдіс қажырлылығы және еңбек сыйымдылығымы
деген көрсеткіштермен сипатталады:
- әдістің қажырлылығы – бұл шифрленген мәтіннің ең кіші көлемі. Оны
статистикалық талдау арқылы бастапқы мәтінді ашып көруге болады.
Солай, шифрдың қажырлылығы бір кілтті қолданған кезде шифрленетін
ақпараттың ықтимал шамасын анықтайды;
- әдістің еңбек сыйымдылығы бастапқы мәтіннің бір символды шифрлеу үшін
қажетті элементарлы операциялар санымен анықталады.
Криптоалгоритмдердің классификациясы.
Барлық криптоалгоритмдер классификацияның негізгі схемасы болып келесі
табылады:
- жасырып жазу. Хат жіберуші және хат алушы хабарламамен екеуіне ғана
белгілі өзгерістерді жасайды. Бөтен адамдарға шифрлеу өзінің алгоритмы
белгісіз. Жасырып жазу криптография болып санамайды;
- кілтпен криптография. Берілетін деректерге әсердің алгоритмі барлық
бөтен адамдарға белгілі, бірақ ол бір параметрден тәуелді болады (хат
жіберуші және хат алушы білетін "кілт");
- симметриялы криптоалгоритмдер. Хабарламаны шифрлеу және дешифрлеу үшін
ақпараттың бір блогы қолданылады;
- асимметриялы криптоалгоритмдер. Алгоритмдер – хабарламаны шифрлеу үшін
бәріне белгілі ("ашық") кілт, ал дешифрлеу үшін басқа ("жабық") кілт
пайдаланылады;
- стеганография. Осы өнердің негізінде құпиялы хабарламасын бар екенін
жасыру жатады. Мұнда келесілерді пайдалануға болады: "астар болатын
хат", бұл жерде жазба қорғаныстық тыспен жасырылады [6].
Компьютерлік стеганография екі принциптерде негізделінеді:
- сандық сурет немесе дыбыс;
- адамның сезім мүшелерің сипаттау міндетті емес.
Симметриялы криптоалгоритмдер.
Осы жағдайда хат жіберушінің шифраторында және хат алушының
дешифраторында бір кілт пайдаланылады. Шифрлеуші ашық мәтіннің функция
болып табылатын шифрограмманы құрайды. Шифрлеу функцияның нақты түрі
сиқырлы кілтпен анықталады. Хабарламаның хат алушысының дешифраторы
шифраторде өзгеріске кері өзгерісті орындайды. Құпиялы кілті сыртта
сақталады және хабарлама жіберушімен арна бойынша жіберіледі.
Дербес компьютердің қорғаныс жүйесін қолданудың қажеттілігі бірқатар
қиындықтармен байланысты:
- автордың интеллектуалды меншігі болып табылатын алгоритмдерді заңсыз
қолдану;
- өнімнің аналогтарын жазу кезінде (өндірістік шпионаж);
- дербес компьютерді рұқсатсыз қолдану (ұрлық және көшірме);
- арнайы программаларды енгізу үшін дербес компьютерді рұқсатсыз
модификациялау;
- дербес компьютерді заңсыз тарату және сату (пираттылық).
Программалық қамтуды қорғау жүйелерін бірнеше белгілері бойынша
классификациялауға болады:
- орнату әдісі;
- қолданылатын қорғаудың әдістері;
- жұмыс істетудің немесе іске қосудың қағидалары.
Орнату әдісі бойынша ДК қорғау жүйесін былай бөлуге болады:
- дербес компьютерді компиляцияланған модуліне орнатылған жүйе;
- құрамдастыру.
Бірінші типті жүйелер ДК өндірушілері үшін ең оңтайлы, себебі, тестіден
толық өткен және дайын ДК оңай қорғауға болады (әдетте қорғанысты орнату
процессі максималды түрде автоматтандырылған және қорғалатын файлдың атын
енгізіп, "Enter" басумен ғана шектеледі), сондықтан кең танымал. Сонымен
қатар, бұл жүйелердің тұрақтылығы айтарлықтай төмен, себебі, қорғанысты
айналып өту үшін қорғаныс конвертінің жұмысын аяқтау нүктесін анықтап,
қорғалған программаға басқаруды беріп, күшпен қорғалмаған күйінде сақтау
қажет [7].
Екінші типті жүйе ДК өндірушілер үшін ыңғайсыз, себебі, прогараммалық
интерфейсті қызметшілерге үйретуге тура келеді. Бұл қаражат және уақыт
жағынан тиімсіз. Бірақ, бұл жүйелер шабуылға тұрақты болып табылады.
Өйткені қорғаныс жүйесі және ДК арасындағы шекара жойылады.
Комбинацияланған қорғаныс жүйелері ең тиімді болып табылады. Екінші
типті жүйенің артықшылықтарын және кемшіліктерін сақтай отырып, олар
өздерінің алгоритмдерінің анализін және деактивациясын қиындатады.
Қорғаныс жүйелерін қорғау механизмін қолдану бойынша былай
классификациялауға болады:
- күрделі логикалық механизмдерді қолданылатын жүйелер;
- қорғалатын ДК шифрлеуді қолданатын жүйелер;
- комбинацияланған жүйелер.
Бірінші типті жүйелер, қорғалатын дербес компьютерді және қорғау
жүйелерінің алгоритмінің талдауына, ретке келтірілуіне және
дизассембиляциясының қиындатылуына бағдарланған әртүрлі тәсілдерді және
әдістерді қолданады. Қорғау жүйенің бұл түрінің шабуылға тұрақтылығы төмен,
себебі, оның қорғанысын бұзу үшін тексеру процедурасының логикасын талдап,
оларды модификациялау жеткілікті.
Екінші типті жүйелер анағұрлым тұрақты. Мұндай қорғаныстарды
белсенділігін толықтау үшін ДК дешифрациясының кілтін анықтау қажет.
Шабуылға тұрақтылығы жоғары комбинацияланған жүйелер.
Қорғау жүйелерін жұмыс істеу қағидасы бойынша мынадай топқа бөлуге
болады:
- буып-түюшілершифраторлар;
- рұқсат етілмеген көшіруден қорғау жүйесі;
- рұқсат етілмеген кіру қорғау жүйесі.
Буып-түюшілершифраторлар. Олардың мақсаты – дербес компьютердің
алгоритмдерін талдаудан және рұқсатсыз модификациялаудан сақтау болып
табылады. Бұған жету үшін мәліметтерді компрессиялау алгоритмі,
мәліметтерді шифрлау, мутация алгоритмдері, программаның логикасын
шатыстыру, дербес компьютердің жұмысы кезінде операциялық жүйені тұрақсыз
күйге келтіру және т.б. қолданылады.
Рұқсатсыз көшіруден қорғау жүйесі дербес компьютерді дистрибутивті
тасымалдағышқа байлау арқылы жүзеге асады. Қорғаныстың бұл түрі
жинақтағыш контроллерлердің жұмысын зерттеуге, олардың физикалық
көрсеткіштеріне, бөлудің қалыпты емес тәртібіне, оқужазу және т.б.
негізделген [8].
Рұқсатсыз енуден қорғану жүйесі. Дербес компьютердің ақпаратына рұқсат
етілмеген ену деп жоспарланбаған таныстыру, өңдеуді, көшіруді, әртүрлі
вирустарды қолдануды, әсіресе программалық өнімдерді жоюды, сонымен қатар,
енуге қойылған шектеулердің ережелерінің ақпараттарын құртуын немесе
модификациялануын айтады. Дербес компьютердің ақпараттарын рұқсатсыз енуден
қорғауда үш негізгі бағытты көрсетуге болады:
- қолданушыны анықтайтын арнайы техникалық тәсіл;
- ақпаратты қорғайтын арнайы программалық қамту;
- дербес компьютердің ақпараттарын рұқсат етілмеген енуден қорғайтын
арнайы тәсіл.
Кез-келген қолданушының шынайлығын тексеру мүмкіндігі ақпараттардың
қауіпсіздігін қамтамассыз етудің бірінші адымы болып табылады.
Қолданушының жеке тұлғасын тексеру кепілдігі идентификация және
аутентификация әртүрлі механизмдерінің тапсырмасы болып табылады.
Идентификация мынаған негізделген: әр қолданушыға (қолданушылар тобына)
арнайы ерекшелендіретін белгі – идентификатор берілген және ол
тағайындалған мәнімен салыстырылады. Қолданушының жеке тұлғасын тексеру
процесі аутентификация деп аталады. Бұл процесс қолданушының арнайы
ерекшелендіретін белгіні – аутентификаторды көрсету арқылы жүзеге асады.
Идентификацияның және аутентификацияның нақты механизмдері келесі
ақпаратты қорғау тәсілдерінің және процедураларының негізінде жүзеге асады:
- пароль;
- биометрия тәсілі;
- интеллектулды карталар;
- желіге кіруге рұқсат бермеу, компьютердің (пернетақтасының) немесе
парольдің көмегімен аутоматтандырылған жұмыс орнының жұмысына бөгет
жасау;
- әр қолданушы үшін ерекше кілтті крипография.
Жүзеге асырылуы оңай болғандықтан парольдер жиі қолданылады.
Кәдімгі парольдер қорағаныс тәсілі болып табылмайды, себебі олар жүйеге
кіруді басқару механизмі болып табылады. Парольдер есептеу жүйесіндегі
программалық қамтудың тұтастығының сақталуын қамтамассыз етеді. Парольдер
есте сақталуы үшін оңай болуы керек, бірақ айқын болмауы тиіс. Сұрақ-жауап
жүйесі жоғары дәрежелі қорғаныспен қамтамасыз етіледі, бірақ есептеу
жүйесінің көп жұмыс уақыты және анағұрлым ресурстары қажет. Егер парольдің
көшірмесін сақтау қажет болса (хакермен ұрлануы мүмкін), онда бұл қорғаныс
тәсілі тиімді болмайды.
Пароль программалық қамтудың қорғаныс тәсілі болып табылмайды, себебі
пароль берілген заңды қолданушы хакер болуы мүмкін. Парольды құру кезінде
арнайы құрылғыны пайдалануға болады. Бұл құрылғы қолданушы тағайындаған
мәліметтер бойынша сан немесе әріптердің тізбегін тудырады. Мұндай құрылғы
ақпаратты түрлендіргіш деп аталады. Шын мәнінде есептегіш жүйе кездейсоқ
сандарды тудырады және қолданушы оған аз уақыт ішінде қандайда бір сан
беруін талап етеді. Мұндай жүйелер компьютердің интерфейсынан тәуелсіз.
Парольдік қорғау жүйесі, көбінесе, логикалық механизмдер қолданылады –
парольдіңкодтың және жүктелудің дұрыстығын тексеру немесе тексеру
нәтижелеріне байланысты дербес компьютерді жүктемеу.
Енгізілген паролькодтың дұрыстығын тексеру блогы парольді қорғаныстың
әлсіздігі болып табылады. Мұны тексеру үшін енгізілген парольді дербес
компьютердің кодында жазылған нақты мәнімен немесе қосымша мәліметтердің
көмегімен келтірілген парольмен салыстыруға болады. Сонымен қатар,
енгізілген және тура парольдің туындыларының шамаларын салыстыруға болады,
мысалы олардың ХЭШ-функцияларын. Демек, кодта олардың туындысының шамасын
ғана сақтауға болады, бұл қорғаныстың тұрақтылығын арттырады. Тексеру
процедурасын анализдеу арқылы дербес компьютердің кодында жазылған нағыз
парольді, енгізілген мәліметтерден керекті парольді немесе ХЭШ-суммасы тура
парольді табу үшін парольді теретін программа жасау қажет. Егер дербес
компьютердің қорғау жүйесі шифрлерді қолданбаса, онда дербес компьютерге
оңай ену үшін тексерудің логикасын күштеп өзгерту жеткілікті.
Барлық парольді жүйелер үшін авторланған қолданушының енуі кезінде
парольді қағып алу қаупі бар. Бұл типтес дербес компьютердің қорғау
жүйесінің тексеру процедурасы, тек, тіркелу және дербес компьютерді орнату
кезінде ғана орындалып, содан кейін қорғаныс жүйесі өшіріледі. Бұл дербес
компьютерді көшіру қаупін тудырады.
Қолданушының дербес компьютердің байлану жүйесін орнату кезінде
компьютерлік жүйенің ерекше белгілері іздестіріледі немесе олар қорғаныс
жүйесімен орнатылады. Содан кейін дербес компьютердегі қорғаныс модулінің
өзі-ақ белгілерді іздестіріп, идентификациялауға икемделеді. Соның
көмегімен дербес компьютердің авторластырылған немесе заңсыз
қолданылатындығы анықталады. Нәтижесінде, процессордың, аналық платаның,
қосымша құрылғылардың жылдамдығын және басқа да көрсеткіштерін, операциялық
жүйе, оқужазуды энергиясы тәуелсіз жадыны, жиі қолданылатын жедел еске
сақтау құрылғысы картасын икемдеу және т.б. әдістерін қолдануға болады [9].
Құжаттама кез-келген программалық қамтамассыз етумен қатар жүреді, ол
авторлық құқықтың субъектісі болып табылады және қорғаныс қызметін атқара
алады. Бұған келесі факторлар себепші болады: оның репродукциясы қымбат
тұрады, әсіресе, егер түп нұсқасы түрлі-түспен орындалған болса, онда бір
түсті көшірме машинасымен қайта өндіруге болмайды; көбіне программалар
машиналық код түрінде таратылады, бұл оның құрылысының талдауын қиындатып,
белгілі дәрежеде қорғаныспен қамтамассыз етеді. Программа толық ретке
келтірілмеген жағдайда автордың қолдауы қажет.
Белсенді қорғаныстың сыртқы тәсілдері көптеген шарттар туындаған кезде
іске қосылуы мүмкін. Программаның аталуын немесе иесінің атын қағазға басып
шығару үшін сыртқы факторлардың ішіне өзекті сөздерді қолдану да кіреді.
Жоғары да келтірілген қорғаныс тәсілі пираттылықтан қорғамаса да кездейсоқ
көшірмелерден қорғап, сатылымның мөлшерін арттырады. Жалпыға ортақ қауіп
дабылы, көшірме жасау кезінде операцияның шынайлығын растауды талап ететін
компьютердің қорғаныс ортасы сияқты.
Этикетканы немесе программаның қорғалған аудандарынан басқа да
бөліктерді қағазға басу, тек өзекті сөздің көмегімен ғана жүзеге асады.
1.5 Кілті ашық жүйелердегі мәліметтерді криптографиялық әдіспен қорғау
Мәліметтерді криптографиялық түрлену арқылы қорғау қауіпсіздік
мәселесінің тиімді шешімі болып табылады. Шифрленген мәліметтерді кілті бар
қолданушылар ғана дешифрлей алады.
Кілті ашық жүйелер мәліметтерді шифрлеуде болашағы зор криптографиялық
стандарт болып табылады. Мұндай жүйелерде шифрлеу үшін бір кілт, ал шифрді
ашу үшін екінші кілт қолданылады. Бірінші кілт ашық болып табылады және өз
ақпараттарын шифрлеуде кез-келген қолданушының пайдалануы үшін желі бойынша
жарияланады. Шифрленген ақпаратты қабылдаушы мәліметтерді дешифрлеу үшін
екінші кілтті қолданады. Ал екінші кілт құпиялы. Сонымен қатар, мынадай
шарт орындалуы тиіс: жарияланған бірінші кілттен екінші кілт анықталмауы
тиіс [10].
Кілті ашық криптографиялық жүйелер қайтымсыз немесе бірбағытты
функцияларды қолданады, соңғысының қасиеті мынадай: х мәні берілсе f (х)
мәнін есептеу оңай, бірақ кері функцияны есептеу қиын.
Қазіргі уақытта мәліметті қорғауда RSA ашық кілтті криптографилық әдіс
кең таралған. Мұндағы, RSA дегеніміз жасаған адамдардың аттарының бірінші
әріптері (Rivest, Shamir, Adieman). Оның криптотұрақтылығы жоғары және
қарапайым программалық, аппараттық тәсілдерде іске асыруға болады. Бұл
әдістің көмегімен қағазсыз мәлімет алмасу және тасымалдау жағдайындағы жеке
қолтаңба мәселесі шешілді.
Ақпараттарды криптографиялық қорғау үшін RSA әдісін қолдану құрылымдық
сызба арқылы түсіндіріледі [11].
RSA әдісі негізінде криптожүйенің жұмыс істеуі ашық және құпия
кілттердің қалыптасуын болжайды. Осы мақсатта келесі математикалық
операцияларды орындау қажет:
- екі үлкен жай сандарды р және q аламыз, жай сандар дегеніміз өзіне
және 1 бөлінетін сандар;
- n = p x q анықтаймыз;
- k = (р - 1) (q - 1) санын есептейміз;
- k саны сияқты үлкен кедейсоқ d санын таңдаймыз (d- 1-ден басқа ортақ
бөлгіші жоқ сан);
- е санын анықтаймыз, ол үшін (е " d) mod k = 1 қатынасы тән;
- ашық кілт ретінде {е, n} сандар жұбын аламыз;
- {d, n} сандар жұбы түрінде құпия кілт қалыптасады.
Берілетін мәліметтерді ашық кілттің көмегімен шифрлеу үшін келесі
операция орындалады:
- шифрленетін мәтінді блоктарға бөлу, олардың әрқайсысы M(i) = 0, 1,...,
n -1 сандары түрінде болуы мүмкін;
- C(i) = (M(i)e) mod n формуласы бойынша M(i) сандар тізбегі ретінде
мәтінді шифрлеу;
- келесі есептеулерді орындаған кезде құпия кілтпен {d, n} шифротекст
дешифрленеді: M9i) = (C(i)d ) mod n.
Нәтижесінде, бастапқы мәліметтерді сипаттайтын M(i) сандар тізбегін
аламыз. Іс жүзінде RSA әдісін қолдану кезінде р және q ұзындығы 100 тең,
бұл шифротексттің жоғары тұрақтылығын қамтамассыз етеді.
Ұсынылған алгоритм программаны жазу үшін қолданылуы мүмкін:
- р және q жай сандарын енгізу;
- n=p**q, k= (p-1)(q-1) есептеп, экранға шығарамыз;
- k санымен өзара жай е санын шығару;
- 1-ден k дейінгі циклде d санын анықтаймыз, ол үшін (e**d)modk = 1
қатынасы орындалады және оны экранға шығарамыз;
- шифрленетін бастапқы хабарламаны енгізу;
- 1-ден l дейінгі l- хабарламанынң ұзындығы) циклде операцияны
орындаймыз.
Жазылатын символды жолаққа түрлендіріп, оның ASCII-кодын аламыз. ASCII-
кодынан 65 шегеріп, 0-ден 25 интервал аралығындағы оның кодын аламыз (латын
алфавитінің 26 әрпіне сәйкес келеді).
- 1-ден ... жалғасы
Сіз бұл жұмысты біздің қосымшамыз арқылы толығымен тегін көре аласыз.
Ұқсас жұмыстар
Пәндер
- Іс жүргізу
- Автоматтандыру, Техника
- Алғашқы әскери дайындық
- Астрономия
- Ауыл шаруашылығы
- Банк ісі
- Бизнесті бағалау
- Биология
- Бухгалтерлік іс
- Валеология
- Ветеринария
- География
- Геология, Геофизика, Геодезия
- Дін
- Ет, сүт, шарап өнімдері
- Жалпы тарих
- Жер кадастрі, Жылжымайтын мүлік
- Журналистика
- Информатика
- Кеден ісі
- Маркетинг
- Математика, Геометрия
- Медицина
- Мемлекеттік басқару
- Менеджмент
- Мұнай, Газ
- Мұрағат ісі
- Мәдениеттану
- ОБЖ (Основы безопасности жизнедеятельности)
- Педагогика
- Полиграфия
- Психология
- Салық
- Саясаттану
- Сақтандыру
- Сертификаттау, стандарттау
- Социология, Демография
- Спорт
- Статистика
- Тілтану, Филология
- Тарихи тұлғалар
- Тау-кен ісі
- Транспорт
- Туризм
- Физика
- Философия
- Халықаралық қатынастар
- Химия
- Экология, Қоршаған ортаны қорғау
- Экономика
- Экономикалық география
- Электротехника
- Қазақстан тарихы
- Қаржы
- Құрылыс
- Құқық, Криминалистика
- Әдебиет
- Өнер, музыка
- Өнеркәсіп, Өндіріс
Қазақ тілінде жазылған рефераттар, курстық жұмыстар, дипломдық жұмыстар бойынша біздің қор #1 болып табылады.
Ақпарат
Қосымша
Email: info@stud.kz