Реферат: Редлагается подход к обучению студентов, изучающих курс операционных систем (ОС), с использованием системы оценки рисков на множестве параметров безопасности ос

УДК 004.056:378(06) Проблемы информационной безопасности в системе высшей школы

М.О. КАЛИНИН, Р.А. АБДУЛЬМАНОВ

Санкт-Петербургский государственный политехнический университет


ПРИМЕНЕНИЕ СИСТЕМЫ АНАЛИЗА РИСКОВ

В КУРСЕ ИЗУЧЕНИЯ ОПЕРАЦИОННЫХ СИСТЕМ


В данной статье авторами предлагается подход к обучению студентов, изучающих курс операционных систем (ОС), с использованием системы оценки рисков на множестве параметров безопасности ОС.


Согласно ГОСТ Р ИСО 17799 под анализом рисков понимается систематический анализ вероятного ущерба, наносимого в результате нарушений в сфере информационной безопасности с учетом последствий от потери конфиденциальности, целостности или доступности информации [1].

В современных методиках и реализованных на их основе программных средствах, применяемых для оценки рисков, информационная система рассматривается с обобщенных позиций. Посредством анкетирования эксперты описывают информационные активы и ресурсы систем, учитывая количественные и стоимостные характеристики, взаимосвязи компонентов, вероятные уязвимости безопасности. Примерами таких методов являются CRAMM [2], ISO/IEC 17799:2005, Marion.

Однако при оценке рисков информационной безопасности в современных системах высокоуровневое описание компонентов является недостаточным, так как оно не учитывает наличие сложной распределенной архитектуры, неявных взаимосвязей активов и информационных ресурсов, механизмов управления информационными потоками, особенностей организации подсистем контроля и управления доступом.

В рамках данной статьи рассматриваются ОС семейства Windows как наиболее распространенные среди пользователей персональных компьютеров.

Таким образом, оценивая риск нарушения безопасности системы, построенной на базе ОС Windows, эксперт должен учитывать такие параметры безопасности, как иерархия файловой системы, структура системного реестра, распространение прав доступа, назначаемых субъектам, привилегии пользователей и т.п.

С одной стороны, количество параметров безопасности, участвующих в организации контроля и управления доступом, а также их взаимосвязей, огромно и не может быть подвергнуто оценке, выполняемой экспертом с использованием традиционного подхода на основе анкетирования. С другой стороны, не учитывать при оценке рисков информационной безопасности множество этих параметров нельзя, т.к. они могут послужить причиной недопустимого получения доступа непривилегированными пользователями к секретной информации организации или недоступности информационных ресурсов. Следовательно, при оценке информационных рисков в системах, в которых контроль и управление доступом осуществляется посредством управления параметрами безопасности, требуется разработка нового подхода к оценке рисков, позволяющего учитывать эти особенности организации защиты.

Авторами предложен подход и базирующееся на его основе программное средство (ПС), позволяющие проводить оценку риска уязвимости систем на множестве параметров безопасности ОС Windows XP/2003, по результатам которой возможно определить множество объектов ОС, оказавших наибольшее влияние на увеличение риска нарушения безопасности.

В рамках методического курса по изучению операционных систем разработанное программное средство является незаменимым инструментом позволяющим выявить неочевидные взаимосвязи в настройках безопасности ОС семейства Windows. Использование предложенного средства позволяет глубже понять организацию безопасности ОС Windows и выявить важнейшие параметры системы, оказывающие наибольшие влияние на применяемые механизмы безопасности.


Список литературы


Федеральное агентство по техническому регулированию и метрологии, ГОСТ Р ИСО/МЭК 17799-2005. С. 5.

Симонов С.В. Анализ рисков, управление рисками. М.: JetInfo. 1999. № 1. C. 11 – 17.




ISBN 978-5-7262-0886-2. XV Всероссийская научная конференция