 |
 |
№ 3 май – июнь 2005 г.
Тема номера: ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ СЕТЕЙ СВЯЗИ
|
|
КОМПЕНСАЦИЯ ВОЗДЕЙСТВИЙ ПОЛЬЗОВАТЕЛЯ
ПРИ РАБОТЕ С ЗАЩИЩАЕМЫМ ИНФОРМАЦИОННЫМ РЕСУРСОМ
А. В. Воронов, начальник отделения информационной безопасности |
|
  |
Не так давно один мой знакомый высказал свое разочарование в средствах защиты информации. Более того, он пришел к выводу, что таковые вообще бесполезны. Разумеется, столь печальные убеждения овладели им не сами собой, но явились следствием конкретного случая. В организацию, где работает знакомый, поступил в ремонт компьютер с установленной системой защиты «Спектр-Z». Один из его коллег, человек любопытный, сумел преодолеть защиту и войти в систему. На мой вопрос: «Он что, профессиональный взломщик?», – мне ответили: «Нет, просто пароль администратора был «123»…
В настоящее время нередко мож-но услышать разговоры о низкой эффективности достаточно сложных, надежных и качественных средств защиты информации. Причина проста – человеческий фактор. Каковы бы ни были сложность и надежность системы защиты, человек своими действиями может свести их на «нет». Проблема эта не нова. Она возникла, когда в офисах организаций в большом количестве появились персональные ЭВМ, а стоимость обрабатываемой на них информации превысила стоимость компьютерного «железа».
Всякая нормально функционирующая и правильно настроенная система защиты теоретически должна отрабатывать любые попытки вторжения на «охраняемую территорию» – попытки доступа к защищаемому информационному ресурсу. Если доступ субъекту или процессу разрешен на основе соответствующих прав, то он его получает. Если доступ запрещен, то действия субъекта (процесса) блокируются, и отмечается факт несанкционированного доступа.
В реальности на работу системы защиты всегда будет оказывать влияние человеческий фактор. И если несанкционированным воздействиям извне система, как правило, успешно противостоит, то перед воздействиями допущенных пользователей она может оказаться совершенно беззащитной. Причины этого могут быть как объективного, так и субъективного характера. Человеку свойственно ошибаться. Ошибки возможны как при создании системы защиты, так и при ее настройке, и при контроле функционирования. Плюс к этому администратор всегда может иметь субъективные симпатии и антипатии к определенным пользователям системы. Кроме того, сегодня встает вопрос о контроле действий самого администратора – задача практически не решаемая средствами современных операционных систем. Администратор сегодня – человек с неограниченными в системе правами и полным отсутствием контроля со стороны. Не надо быть сильным аналитиком, чтобы понять, к каким последствиям данная ситуация может привести.
Помимо администратора, опасность могут представлять и рядовые пользователи защищаемой системы. Одновременно с выдачей им прав на определенные действия с защищаемыми ресурсами на них налагаются определенные обязанности, как правило, отраженные в соответствующих инструкциях. Однако правда жизни такова, что положения инструкций исполняются далеко не всегда. Нарушения инструкций по защите информации можно разделить на два основных типа:
- выполнение запрещенных действий;
- не выполнение положенных действий.
Эти нарушения могут происходить как умышленно, так и неумышленно.
Как правило, современные системы защиты при грамотной политике безопасности способны прореагировать на выполнение пользователем большинства запрещенных действий. Заставить пользователя выполнять требования инструкции с помощью штатных средств информационной системы (или системы защиты) достаточно сложно (например, закрыть сессию по окончании сеанса работы или проверить на наличие вирусов принесенную извне дискету). Для этого обычно необходимы дополнительные системные модули и алгоритмы взаимодействия, что усложняет и удорожает систему защиты.
< ... >
| |
 |
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд» |
Обращайтесь!!!
e-mail: magazine@inside-zi.ru
тел.: +7 (921) 958-25-50, +7 (911) 921-68-24
Предыдущая статья СОДЕРЖАНИЕ НОМЕРА Следующая статья
|
