Ақпараттық ресурстар қауіпсіздігі

Кіріспе ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..3

Негізгі бөлім
2.1. Ақпараттық ресурстарды пайдаланушыға қатер төну қауіпсіздігі ... ...4
2.2. Ақпараттық ресурстарға шабуыл ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... 6
2.3. Белгіленген жүйедегі комплекстік қорғыныстағы ақпараттарға
қойылатын талаптар ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... 6
2.4. Мәліметтер базасын шифрлеу ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..7
2.5. МБ.ғы ену құқығының бөлінуі және криптоқорғаныс кілтінің
сақталуы ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... .8
2.6. Ашық кілтті криптография, принциптері мен криптожүйені
криптоанализдеу ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..12

Қорытынды ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..16
Қосымша А ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ...18
Қосымша Б ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ...20
Қолданылған әдебиеттер ... ... ... ... ... ... ... ... ... ... ... ... ... ... ...22

Программалық қамсыздандыру және ақпараттық қауіпсіздік.
Операциялық жүйе кез-келген машинаның негізгі программалық компаненті болып табылады, сондықтан да операциялық жүйе (ОЖ) дамуы мен қауіпсіздігі жалпы ақпараттық жүйенің қауіпсіздігіне байланысты.
MS DOS операциялық жүйесінде барлық резидентті программа мен негізгі программамен ОЗУ-ды пайдаланады. Файлдарды қорғау қарастырылмаған, ал жүйелік қауіпсіздік туралы анықтама беру қиын.
Windows 95, 98, Millenium операциялық жүйелері үй ЭВМ-ге арналған ОЖ-лер.ОЖ-де қорғау режимі жақсы дамыған, бірақ ешқандай қосымша тексеру жүргізілмейді. Дескрипторлық қауіпсіздік жүйесі қалыптаспаған. Нәтижесінде кез-келген қосымша оперативті жадыға енуге рұқсат алады (оқуға да жазуға да) Желілік қауіпсіздік қарастырылған, бірақ олардың дамуы жоғары денгейде емес.
Windows 2000,NT операциялық жүйері Microsoft фирмасының сенімді қорғалған ОЖ-рі. Олар көп қолданушы жүйелер, файлдар өте жақсы қорғалған. (мәліметтерді шифрлеу және файлдарды онай оқуға болады, басқа операциялық жүйеден немесе қатты дисктен)
ОЖ мәліметтері Intel процессорының қорғау режимдерін белсенді қолданады және мәліметтерді сенімді қорғауға, процессорлар кодын басқа программалардан сенімді қорғауға болады. Ұзақ уақыт бойы әртүрлі жүйелік шабуыл мен қауіпсіздік жүйесінде қателер есепке алынды. Қатені түзету өңдеу блогы ретінде шықты.(service pack). Қазірде Windows NT 4.0 версиясына соңғы жаңарту «service pack 6 » қолданылды.
Программаның қамсыздандыру қателіктер зиянкестердің сервер мен жұмыс станциясына еркін енуінежол ашады. Оның объективтік себебі-әр түрлі группадағы өңдеушілер арқылы әр түрлі жолмен программалық қамтамасыз ету. Программалық ОЖ дегі кең таралған қателіктерді «хакерлер» тобы белсенді іздестіреді, бірақта қазірде әр қолданушыда орналасқан іздеуші программалар көп таралған. Мысалы: Microsoft Internet Explorer-ның сонғы версиясында буферді толтырумен байланысты қателіктер табылды. Нәтижесінде URL адресінің бөлігі «орындауға» жоғалып кетті және процессордың командасы ретінеде тактіленді. Осы аймақтың ұзындығы ЭВМ-де желіден трояндық программаны жүктеумен оны басқаруға жіберуге жетті. Ал осы пакеттер соңғы версиясында түзетілді.
Көптеген шабуылдар программалық қамтамасыз етудегі-қателіктерде ғана емес,сондай-ақ программаның стандарттық мүмкіндіктерін қолданатын ойластырылмаған әр түрлі аспектілерді қолданады.

1.Ш.Столлингс «Криптография и защита сетей»
2.С.П.Расторгуев «Программные методы защиты информации
в компьютерных сетях »
3.М.Е.Масленников «Практическая криптография»
4.В.А. Герасименко «Защита информаци в автоматизированных системах
обработки данных»
5.В.В. Фарманов «Практика программирования»
6.В.И. Нечаев «Элементы криптографии»

Пән: Информатика, Программалау, Мәліметтер қоры
Жұмыс түрі: Курстық жұмыс
Тегін: Антиплагиат
Көлемі: 18 бет
Таңдаулыға:

Жоспары
Кіріспе ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..
... ... ... ... ... ... .3

Негізгі бөлім
2.1. Ақпараттық ресурстарды пайдаланушыға қатер төну
қауіпсіздігі ... ...4
2.2. Ақпараттық ресурстарға
шабуыл ... ... ... ... ... ... ... . ... ... ... ... ... ... ... ...6
2.3. Белгіленген жүйедегі комплекстік қорғыныстағы ақпараттарға
қойылатын
талаптар ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... .
... ... ... ... .6
2.4. Мәліметтер базасын
шифрлеу ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ...7
2.5. МБ-ғы ену құқығының бөлінуі және криптоқорғаныс кілтінің

сақталуы ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..
... ... ... ... ... ... ... ... ... ..8
2.6. Ашық кілтті криптография, принциптері мен криптожүйені

криптоанализдеу ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ..
... ... ... ... ... ... ... .12

Қорытынды ... ... ... ... ... ... .. ... ... ... ... ... ... ... ... ... ... ..
... ... ... ...16
Қосымша
А ... ... ... ... ... ... ... ... .. ... ... ... ... ... ... ... ... ... ... ..
... ... 18
Қосымша
Б ... ... ... ... ... ... ... ... .. ... ... ... ... ... ... ... ... ... ... ..
... ... 20
Қолданылған
әдебиеттер ... ... ... ... ... ... . ... ... ... ... ... ... ... ... ..2 2

Кіріспе
Программалық қамсыздандыру және ақпараттық қауіпсіздік.
Операциялық жүйе кез-келген машинаның негізгі программалық компаненті
болып табылады, сондықтан да операциялық жүйе (ОЖ) дамуы мен қауіпсіздігі
жалпы ақпараттық жүйенің қауіпсіздігіне байланысты.
MS DOS операциялық жүйесінде барлық резидентті программа мен негізгі
программамен ОЗУ-ды пайдаланады. Файлдарды қорғау қарастырылмаған, ал
жүйелік қауіпсіздік туралы анықтама беру қиын.
Windows 95, 98, Millenium операциялық жүйелері үй ЭВМ-ге арналған ОЖ-
лер.ОЖ-де қорғау режимі жақсы дамыған, бірақ ешқандай қосымша тексеру
жүргізілмейді. Дескрипторлық қауіпсіздік жүйесі қалыптаспаған. Нәтижесінде
кез-келген қосымша оперативті жадыға енуге рұқсат алады (оқуға да жазуға
да) Желілік қауіпсіздік қарастырылған, бірақ олардың дамуы жоғары денгейде
емес.
Windows 2000,NT операциялық жүйері Microsoft фирмасының сенімді қорғалған
ОЖ-рі. Олар көп қолданушы жүйелер, файлдар өте жақсы қорғалған.
(мәліметтерді шифрлеу және файлдарды онай оқуға болады, басқа операциялық
жүйеден немесе қатты дисктен)
ОЖ мәліметтері Intel процессорының қорғау режимдерін белсенді қолданады
және мәліметтерді сенімді қорғауға, процессорлар кодын басқа
программалардан сенімді қорғауға болады. Ұзақ уақыт бойы әртүрлі жүйелік
шабуыл мен қауіпсіздік жүйесінде қателер есепке алынды. Қатені түзету
өңдеу блогы ретінде шықты.(service pack). Қазірде Windows NT 4.0 версиясына
соңғы жаңарту service pack 6 қолданылды.
Программаның қамсыздандыру қателіктер зиянкестердің сервер мен жұмыс
станциясына еркін енуінежол ашады. Оның объективтік себебі-әр түрлі
группадағы өңдеушілер арқылы әр түрлі жолмен программалық қамтамасыз ету.
Программалық ОЖ дегі кең таралған қателіктерді хакерлер тобы белсенді
іздестіреді, бірақта қазірде әр қолданушыда орналасқан іздеуші программалар
көп таралған. Мысалы: Microsoft Internet Explorer-ның сонғы версиясында
буферді толтырумен байланысты қателіктер табылды. Нәтижесінде URL адресінің
бөлігі орындауға жоғалып кетті және процессордың командасы ретінеде
тактіленді. Осы аймақтың ұзындығы ЭВМ-де желіден трояндық программаны
жүктеумен оны басқаруға жіберуге жетті. Ал осы пакеттер соңғы версиясында
түзетілді.
Көптеген шабуылдар программалық қамтамасыз етудегі-қателіктерде ғана
емес,сондай-ақ программаның стандарттық мүмкіндіктерін қолданатын
ойластырылмаған әр түрлі аспектілерді қолданады.

Ақпараттық ресурстарды пайдаланушыға қатер төну қауіпсіздігі.
Байланыста бағалылық артқанда потенциалды қатар төну қауіпсіздігі туады.
Мәліметтерді өңдеудегі компоненттік жүйенің мысалын қарастырады.
Ақпаратқа әсер етуді талдау мен оған несанкционды ену қатер төнуді 2-ге
бөлу керектігін көрсетуге болады.
1. Кездейсоқ
2. Болжалған.
Болжалған қауіп төну-вирустық программалармен сұраныс кезіндегі шабуылда
қолданады. Қауіп төнудің аляғы бұзылуға(ақпараттың жоғалуына)
модификацияға, (шын ақпаратты өтірік ақпаратқа алмастыру,дәл сол формада ал
мағанасы басқа) т.б Бұл жағдайдың бағалылығы әр түрлі болуы мүмкін, кішкене
түсінбеушіліктен үлкен қаржылық апатқа дейін әкелуі мүмкін. Қатер төнгенін
алдын ала ескерту мақсаты – ақпараттық жүйеде қаіпсіздік жүйесін негіздеу
болып табылады.
Ақпараттың қорғау құралдарын анықтау үшін қатер төнудің табиғатын,
формасын, пайда болу жолын және ақпараттық жүйеде негізделуін анықтау
қажет.Түсінікті болу үшін оны кесте түрінде келтіруге болады.
Кездейсоқ қатер төну-ақпаратты енгізу, сақтау, өңдеу беру және тасымалдау
ақпараттық жүйенің функциясын бұзатын әртүрлі кездейсоқ әрекетке әкелуі
мүмкін. АЖ функционерлеудегі кездейсоқ әрекеттердің негізгі себептері
келесілер болуы мүмкін:
• Аппаратураның қабылдамауы
• Сыртқы ортанын әсерінен байланыс сымдарындағы кедергілер
• Адамның қателіктері
• Ақпараттық жүйенің құрамына енетін аппаратураны өңдеушілердің схемалық
және схематехникалық қателіктері
• Структуралық алгоритімдік және программалық қателіктер
• Авариялық ситуациялар
• Басқа мәселелер
Болжалған қатер төну- адамның іс-әрекетімен байланысты, өз өміріне көңілі
толмаған немесе материалды қызығушылық немесе өз қабілетін көрсеткісі
келетін адамдар болуы мүмкін. (Хекерлер)
Ақпаратқа енудің негізгі каналдары:
• АЖ қолданушы терминалы
• АЖ админстратор терминалы
• Функционалды контроль оператор терминалы
• Компьютерге программалық қамсыздандыру жүктеу құралы
• Ақпаратты тасымалдаушылар
• Сыртқы байланыс каналы (Интернет)

Ақпараттық ресурстарға қатер төндіру
Ақпаратқа қатер төндіру-мүмкін болатын жағдай, АЖ-ге кері әсер етеді
және ондағы ақпаратқа әсер етеді.
Қатер төнуді 3 негізгі топқа бөлуге болады.
1. Ақпараттық ресурстарды ашу
2. Олардың бүтіндігін бұзу
3. Қызмет етуден бас тарту
Ақпараттық ресурстарды ашуда - ақпарат, мәліметтер мен білім білу керек
емес адамдарға мәлім болады.
Ақпараттық ресурстардың бүтіндігінің бұзылуыны - ақпараттық жүйеде
сақталған немесе бір жүйеден екіншіге берілген ақпаратқа кез-келген өзгеріс
енгізу жатады.(модификация,жою т.б)
Қызмет көрсетуден бас тарту ақпараттық жүйенің бір немесе бірнеше
ресурстарына енуіне блок қою кезінде болады.Блоктау тұрақты болуы мүмкін,
сұралып отырған ресурсқа ешқашан ене алмайтындай.
Қазіргі АЖ-ге кең тараған қатер төнулерді қарастырайық. Кең қолданылатын
және өте қауіпті- қолданушының мақсатсыз қателіктері.Мұндай қателіктер
кейде қатер төндіруі мүмкін (мәліметтерді қате енгізу,программадағы
қателіктер т.б) кейде олар қаскүнем пайдалана алатындай жағдайлар тудыруы
мүмкін.(әдетте мұндай қателіктер админстратордан болуы мүмкін).АЖ болатын
жоғалудың 65% - i осы қатенің әсерінен болады. Қате жібермеудің негізгі
жолы – максималды автоматтандыру мен іс-әрекетті қатаң қадағалау.Екінші
орында ақпараттықресурстарды ашу немесе ұрлық жасау жатады. Бұл жағдайда
көбінесе кінәлілер мекеменің штаттық қызметкерлері болып табылады.(жұмыс
режимімен жақсы таныс) Ішкі қауіп қатер сыртқыға қарағанда қауіптірек.
Қоршаған ортадан шығатын қатерлер басқалардан қатты ерекшеленеді.
Инфрақұрылымының бұзылуынан болатындар-электр апаты, байланыстың уақытша
болмауы,азаматтық тәртіпсіздік т.б. Ең қауіпті қатер программалық вирустар
болып табылады. Вирустар- өздігінен көшіріліп көбейетін программа. Вирус
жүйеде инкубациялық кезеңде көбейіп, сосын іс-әрекет жасауға көшеді. Олар
төмендегідей болуы мүмкін.
• экранға хабарлама шығару
• дискідегі ақпаратты өшіру
• операцияның орындалуын баяулату т.б.

Кілттерді және парольдерді ашу.
Мұнда келесі әдістер қолданылады.
• парольдерді жинау
• вирустар көмегімен парольдерді ұстау.
• шифрленген парольдер
Кілттер мен парольдерді бір әдіспен ашуға болады.Агентуралық желі жағынан
компьютерге қатер төндіру келесі мақсаттар үшін орындалуы мүмкін
• жабық ақпаратқа ену мүмкіндігі
• Кілттерді,парольдерді,идентификатор ларды,қолданушылар тізімін ұрлау.
• ЭЕМ жұмысына кедергі келтіру.
• Мекеменің бір бөлігін немесе барлық есептеуіш қуаттылығын жұмысқа
жарамсыз жағдайға түсіру.
Агентуралық шабуыл мекеменің басқа түрлерден ерекшелігі барлық қаскүнем
құралдары комплексте болады.

Ақпараттық ресурстарға шабуыл.
Қатерді жүзеге асыруға талаптанған іс-әрекет оны қаскүнемдер жүзеге
асырады.
Шабуылды жүзеге асыратын технологиялар мен әдістер.
1. Мәліметтермен алдау кен тараған компьютерлік қылмыс түрі, ол қиын
техникалық білімді талап етпейді және аса қауіпті емес.Ақпаратты
компьютерге енгізу кезінде немесе шығару кезінде өзгереді.
2. Сканерлеу – қылмысқа әкелетін ақпаратты алудың кен тараған әдісі.
Басқа файлды оқушылар өз қызметтестері туралы ақпаратты ала алады.
Столда қалған дискета көшірмеленген, оқылған немесе ұрланган болуы
мүмкін.
3. Трояндық. Қолданушы компьютерлік программа өзіне қосымша функцияларды
қосып өзгергенін байқамай қалады.
4. Люк ақпараттық механизмі мен жасырын программаны қолдану негізінде
жасалған.
Жойылған шабуылдар
Шабуылдың дәстүрлі моделі бірден-бірге немесе бірден-көпке қатынасымен
құрылады. Мұнда шабуыл бір нүктеден шығады. Қорғаудың желілік құралдарын
өңдеушілері осы дәстүрлік модельге негізделген. Қорғалатын желінің әр түрлі
нүктелерінде желінің қорғау агенті орналастырылады.Ол ақпаратты басқарудың
орталық консулына береді,бұл басқару масштабын өзгертеді.Бірақ бұл модель
анықталған шабуылмен күресе алмайды. Бірден-бірге Бірден-көпке
қатынасын қолданатын дәстурлі модельден анықталған модель көптен-бірге
көптен-көпке қатынасын қолданумен ерекшеленеді. Анықталған шабуыл
классикалық қызмет етуден бас тарту типіне жатады.

Шабуылдың даму этапы
Шабуылдың дамуын келесі этаптарға бөлуге болады.
• Ақпаратты жинау
• Шабуылдың дамуы
• Шабуылдың аяқталуы
Негізгі этап- ақпаратты жинақтау. Бірінші кезекте шабуылдың мақсаты
таңдалады және сол туралы ақпарат жиналады.ОЖ типі, версиясы, ашық
порттары, рұқсат етілген желілік сервистер,орнатылған жүйелік және
программалық қамсыздандырулар.Бұл этапта қаскүнем шабуыл мақсатының басқа
түйіндермен әсерін түсіндіретін барлық каналдарды ашуға тырысады.

Белгіленген жүйедегі комплекстік қорғыныстағы ақпараттарға қойылатын
талаптар:

Жұмыс станция денгейіндегі қорғаныс
Логикалық бизнес сервер денгейіндегі қорғаныс
Желі денгейіндегі қорғаныс
МББЖ денгейіндегі қорғаныс
жабық зона

крипто канал
Логикалық бизнес сервер

МББЖ-ны қорғау түрлерінің дәстурлі жетіспеушіліктері
• Қорғау дәстүрін клиент-сервер бірігу денгейінде іске асырылады.
• Админстаратор және басқа қызметкерлер МБ тікелей ене алады жәнеде
хакерлер МБ бұзып кіруі мүмкін
Жұмыс станциясы

Лог.бизн.серв. жабық зона

крипто канал

Хакер логикалық бизнес
Егер хакер жабық
серверіне қосылуға зонаға керсе
онда
мүмкіндігі болмайды
МБ тікелей ене алады.

МБ қамтамасыздандыру үшін қауіпсіздік орнатуға қажетті мәліметтер
• МБ құжаттарды оқу мүмкіндігі болмайтын алгоритмдік шифрлеуді қолдану
• МБ ға санкцияланбаған өзгерістердіқорғайтын алгоритмдерді қолдану
• Әр түрлі базаларға мәліметтерді тарату алгоритмін колдану
• Санкцияланбаған енуден сақтайтан админстраторлық әдістерді қолдану

Мәліметтер базасын шифрлеу
МБ шифрлеу арқылы қорғау
• МБ мәліметтерді санкцияланбаған көшіруден шифрлеу жолдары арқылы
қорғау
• Алгоритмдік шифрлеу және дешифрлеу жолдары арқылы МБ логикалық бизнес
сервер басқарады
• Мәлімет бұзушылар МБ нан көшірмесін алғанмен шифрлеу кілтісіз
мәліметтерді оқи алмайды.

Лог.бизн.серв. МБ шифрлеу
шифрлік құжат
алмасу
крипто канал

Бұзушылар үшін шифрленген МБ кошірмесі

МБ-ғы шифрлеудегі іс-әрекеттері
• Шифрленген мәліметтерді сақтауда стандартты МББЖ қолданылады
(Мыс:Oracle, MySQL, MSSQL және т.б )
• Шифрлеу операциясы МБ жолдарында іске асырылады
• Мәліметтерді дешифрлеу логика бизнес серверінде жүргізіледі
• Тұтынушы сұранысты өңдеу кезінде жұмыс МББЖ-дан логика бизнес
серверіне аударылады.

МБ-ғы ену құқығының бөлінуі және криптоқорғаныс кілтінің сақталуы
Криптоқорғаныс кілтін сақтаудың бірінші ережесі
• Криптоқорғаныс(шифрлеу және дешифрлеу кілті) кілті логикалық бизнес
серверінде сақталады.
• МБ сақталатын шифрлеу және дешифрлеу мәліметтері логикалық бизнес
сервер операцияны іске асырады
• Жұмыс станциясымен хабар алмасу қорғалған байланыс каналы арқылы іске
асырылады.
• Шифрлеу және дешифрлеу операциясы жұмыстың жылдамдығын жоғарылату,
қорғанысты күшейту арнайы қондырғыш аппаратында құрылады.
• ВедаПроект компаниясының аппараттық қондырғышы санкцияланбаған
кілтпен санау мумкіндігін жоққа шығарады
Криптоқорғаныс кілтін сақтаудың екінші ережесі
• Әрбір криптоқорғау кілті 2 бөліктен тұрады. Бір бөлігі логикалық
бизнес серверде сақталады,ал екіншісі кезекші тұтынушыда болады.
• Тұтынушының жартылай кілті қорғалған канал жұмыс станциясынан МБ
шифрлеу және дешифрлеу функциясын аткаратын логикалық бизнес серверге
беріледі.
• Жұмыс станциясымен хабар алмасы қорғалған криптоканал арқылы беріледі

• Ең жиі қолданатын қорғаныс ережесі болып логикалық бизнес сервер
шифрлеу аппарат қондырғышының бар-жоқтығына байланысты
• Тұтынушының криптоқорғаныс аппарат қондырғысы переносный(жалғағыш)
немесе стационарлық .
• Мәліметке ену бұл жағдайда екі еселік криптографиялық қорғаныс
дәрежесіне жетеді.

Санкциоланбаған өзгертілген кесте жолдарынан жалған құжаттан қорғау

МБ бақылау соммасы
• МБ санкцияланбаған құжаттардан сақтау үшін арнайы қосымша МБ түзіледі.
Құжаттарды санкцияланбаған өзгертуге кедергі жасау
• Бақылау соммасының бар болуы бұзушының санкцияланбаған көрсеткіштерді
өзгертуіне кедергі болады.Өйткені өзгертілген бақылау соммасы басқа МБ-
ғы жазбаларға тура келмейді.
• Бұзушы ол үшін түзу кілтпен өзінің өзгерткен сандарын шифрлеу
керек(оған беймәлім), МБ бақылау соммасына тура келетіндей етіп
жазбаларды түзу, модификациялау керек(бұл жазбаның ... жалғасы

Сіз бұл жұмысты біздің қосымшамыз арқылы толығымен тегін көре аласыз.