Нижче наведені принципи або механізми ( методи захисту інформації ) Які вирішують проблеми захисту інформації :
Ідентифікація - це процедура визначення кожного користувача в інформаційних взаємодіях перед тим, як він зможе користуватися цією ж системою.
Політика - це список затверджених або сформованих правил, які пояснюють принцип роботи засоби інформаційної безпеки.
Аутентифікація - процес, який дає систем зрозуміти, що користувач представився тим які ввідні дані він ввів.
Авторизація - це процес створення профілю прав на окремого користувача з існуючих правил контролю.
Контроль доступу - Творення і підтримання списку правил, які при створенні профілю дає певний доступ до тих чи інших ресурсів. Також може бути реалізований за допомогою контролю віддаленого доступу .
Моніторинг і аудит - це процес постійного відстеження подій, які відбуваються в ІС. Моніторинг передбачає в режимі реального часу, а аудит - аналіз подій, що відбулися.
Управління конфігурацією - творення і підтримання функцій середовища ІС для підтримці її відповідно до вимог які можуть бути наведеними в політиці безпеки підприємства .
Реагування на інциденти - це безліч заходів і процедур, які вступають в дію на порушення або підозру інформаційної безпеки.
Управління користувачами - це підтримка умов для роботи співробітників в ІС. Ці умови можуть бути описані в політиці безпеки.
Управління ризиками - підтримання захисних засобів щодо можливих втрат в грошовому еквіваленті.
Також опис інструменти, якими реалізуються вище описані механізми і принципи і зменшує ризик загроз інформаційній безпеці . Повний список привести неможливо, так як він залежить від конкретної ситуації в якій знаходиться ІС. Основні засоби інформаційної безпеки:
Нормативне забезпечення - це документи, які дають можливість проводити захист і функціонування інформаційної безпеки.
Персонал - це люди, забезпечуватимуть життя ІС. Впроваджувати, підтримувати, розробляти і виконувати.
Моделі безпеки - це алгоритми або схеми яка закладена в основі захисту інформації в ІС.
Антивірусні ПО - інструмент для виявлення і ліквідації шкідливого коду. Віруси і тд.
Криптографія - це безліч засобів модифікації інформації в вигляд, який не дає проаналізувати інформацію у відкритому вигляді. ( RSA ).
Міжмережеві екрани - це пристрої які контролюють трафік з однієї мережі в іншу.
Системи виявлення атак - Це інструмент моніторингу активності інформаційної діяльності, іноді з самостійним прийняттям рішень.
Сканери безпеки - це інструмент для перевірки якості моделі безпеки для певної ІС.
Резервне копіювання - дублювання інформації на надлишкові копії, на випадок їх потреби.
Навчання користувачів - підготовка до користування інформаційним середовищем активних учасників. Які будуть слідувати правилам інформаційної безпеки.
Аварійний план - це список заходів, який на випадок подій які не призначені правилами інформаційної безпеки.
Механізми наведені на комп'ютерною безпеку інформаційного середовища. Також потрібно враховувати фізичну безпеку, для цього потрібно додатково повідомляти про можливі ознаки фізичного впливу на апаратуру ІС.
шифрування застосовується для забезпечення секретності, що дозволяє змінювати дані в зашифрований вид, при якому перевести початкову інформацію можна тільки за наявності спеціального ключа розшифрованих. Системам шифрування існують стільки років, скільки письмовою обміну інформацією.
Секретність інформації працює на основі введення алгоритму закритих або відкритих ключів (кодів) .Закритий ключ в шифруванні дає два істотних переваги відносно. По-перше, при використанні одного алгоритму можна використовувати різні ключі для відправки повідомлень різним одержувачам. По-друге, якщо секретність ключа якимось чином буде порушена, ключ можна легко замінити, при цьому не змінюючи алгоритм шифрування. Роблячи підсумок, безпеку систем шифрування безпосередньо залежить не від секретності алгоритму шифрування, а від секретності ключа. Також Багато алгоритми шифрування є відкритими в мережі.
Кількість можливих ключів залежить від використовуваного алгоритму, що в свою чергу залежить від довжини або числа біт в ключе.К наприклад, 16-бітний ключ дає 612 (56) всіх комбінацій ключів. Очевидно, що чим більше комбінацій ключів, тим важче підібрати ключ, тим надійніше зашифровано повідомлення. Так, наприклад, якщо використовувати 128-бітний ключ, то необхідно буде перебрати 2128 ключів, що не під силу навіть самим потужним комп'ютерам. Потрібно відзначити, що зростаюча продуктивність техніки призводить до зменшення часу, потрібного для розтину ключів, і системам забезпечення безпеки доводиться використання все більш довгих ключів, в свою чергу призводить до збільшення витрат на шифрування.
Основною проблемою подібних систем є генерація і передача ключа. Є два варіанти шифрування: симетричне шифрування (шифрування з секретним ключем) і асиметричне шифрування (з відкритим ключем).
Використання симетричного шифрування на увазі, що адресат і адресант мають один і той же ключ (секретний), з його допомогою вони можуть робити операції з даними шифрування і розшифрованих. У симетричному шифруванні використовуються ключі невеликої довжини, тому можна швидко шифрувати великі обсяги данних.Однако складно знайти безпечний механізм, за допомогою якого відправник і одержувач можуть таємно від інших вибрати один і той же ключ. Існує проблема безпечного поширення секретних ключів по незахищеної мережі. При цьому для кожного адресата необхідно зберігати окремий секретний ключ. Використовуючи схему шифрування з відкритим ключем для шифрування використовуються два різних ключа. За допомогою одного послання зашифрована, а за допомогою другого - розшифровується. Недоліком асиметричного шифрування є необхідність використовувати довгі ключ, щодо симетричного шифрування.
Контрольні суми використовуються для подання довгих повідомлень шляхом створення резюме фіксованої довжини. Алгоритми подщета контрольних сум розроблені спеціальним чином, щоб вони були унікальні для кожного блоку даних. Таким чином, усувається можливість підміни одного повідомлення іншим.
Однак при використанні контрольних сум існує проблема передачі їх одержувачу. Для вирішення цієї проблеми використовують електронний підпис.
За допомогою електронного підпису одержувач переконується в тому, що він отримав лист від правильного співрозмовника а не від шахрая. Електронний підпис створюється за допомогою шифрування контрольної суми блоку інформації і доп. інформації особистого ключа відправника. Таким чином, розшифрувати підпис може хто завгодно використовуючи відкритий ключ. А правильно створити підпис може тільки власник.
