# data[].attributes.headline
Засоби охорони об'єкта

# data[].attributes.subject
Засоби охорони об'єкта

# data[].attributes.body
Система охорони об'єкта створюється з метою запобігання несанкціонованого проникнення на територію і в приміщення об'єкта сторонніх осіб. Основні компоненти:
1.Інженерні конструкції, призначені для створення перешкод до проникнення зловмисників.
2.Охоронну сигналізацію, призначену для виявлення спроб проникнення на територію.
3.Широке поширення набув спосіб ідентифікації людей, при якому ідентифікаторами служать пароль, пропуск, жетон, ключ і пластикова карта і т.п.

# data[].attributes.headline
Захист інформації від витоку технічними каналами

# data[].attributes.subject
Захист інформації від витоку технічними каналами

# data[].attributes.body
Захист інформації від витоку технічними каналами досягається шляхом розробки та реалізації наступних заходів:

- організаційних;

- первинних технічних;                      - основних технічних з використанням засобів забезпечення ТЗІ.

Організаційні заходи захисту інформації – це комплекс адмін. і обмежувальних заходів, спрямованих на оперативне вирішення завдань захисту.

Первинні технічні заходи передбачають захист інформації шляхом блокування виявлених загроз без використання спеціальних засобів ТЗІ.

Основні технічні заходи передбачають захист інформації шляхом блокування виявлених загроз із використанням спеціальних засобів ТЗІ.

# data[].attributes.attachment_link.readable_text
Захист інформації від витоку технічними каналами досягається шляхом розробки та реалізації наступних заходів (у різних джерелах ці заходи виділяються і формулюються по-різному):

- організаційних;

- первинних технічних;

- основних технічних з використанням засобів забезпечення ТЗІ.

Організаційні заходи захисту інформації - це комплекс адміністративних і обмежувальних заходів, спрямованих на оперативне вирішення завдань захисту шляхом регламентації діяльності персоналу та порядку функціонування засобів (систем) забезпечення інформаційної діяльності та засобів (систем) забезпечення ТЗІ.

Первинні технічні заходи передбачають захист інформації шляхом блокування виявлених загроз без використання спеціальних засобів ТЗІ.

Основні технічні заходи передбачають захист інформації шляхом блокування виявлених загроз із використанням спеціальних засобів ТЗІ.

Усі заходи розробляються одночасно і ув'язуються один з одним.

Організаційні заходи передбачають встановлення:

- окремих завдань захисту ІзОД та ІПЗ;

- структури й технології функціонування ТЗІ;

- вимог до забезпечення ТЗІ при організації проектування будівництва (нового будівництва, розширення, реконструкції та капітального ремонту) будівель, споруд і окремих приміщень;

- порядку реалізації організаційних, первинних і основних технічних заходів ТЗІ;

- прав і обов'язків підрозділів і осіб, що беруть участь в обробці ІзОД та ІПЗ;

- порядку придбання засобів забезпечення ТЗІ і необхідних нормативних документів;

- контролю й обмежень доступу до виділених приміщень;

- територіальних, частотних, енергетичних, просторових і тимчасових обмежень у режимах використання технічних засобів, що потребують захисту;

- порядку відключення на період проведення закритих заходів технічних засобів, які мають електроакустичні перетворювачі, від ліній зв'язку і т. д.;

- порядку залучення до проведення робіт із захисту інформації організацій, які мають ліцензію на діяльність у сфері захисту інформації, видану відповідними органами (Держспецзв'язок);

- порядку впровадження захищених засобів обробки інформації, програмних і технічних засобів захисту інформації, а також засобів контролю ТЗІ;

- порядку контролю функціонування СЗІ за її якісними характеристиками;

- порядку проведення атестації СЗІ з розробкою програми атестаційних випробувань;

- процедури керування СЗІ, яка полягає у:

вивченні та аналізі технології проходження ІзОД та ІПЗ у процесі функціонування ІС;

оцінці дії загроз на ІзОД та ІПЗ в конкретний момент часу;

оцінці очікуваного ефекту від застосування засобів забезпечення ТЗІ;

визначенні додаткової потреби в засобах забезпечення ТЗІ;

здійсненні збору, обробки й реєстрації даних, що відносяться до ТЗІ;

розробці та реалізації пропозицій щодо коригування "Плану ТЗІ" в цілому або окремих його складових.

Первинні технічні заходи передбачають:

- блокування каналів витоку інформації без використання спеціальних засобів ТЗІ, яке може здійснюватися шляхом:

демонтажу технічних засобів, ліній зв'язку, сигналізації та управління, енергетичних мереж, використання яких не пов'язане з життєзабезпеченням підприємства і обробкою ІзОД;

видалення окремих елементів технічних засобів, які є середовищем поширення полів і сигналів, з приміщень, де циркулює ІзОД;

тимчасового відключення технічних засобів, що не беруть участь в обробці ІзОД, від ліній зв'язку, сигналізації, управління і енергетичних мереж;

застосування способів і схемних рішень із захисту інформації, які не порушують основних технічних характеристик засобів забезпечення інформаційної діяльності;

- блокування несанкціонованого доступу до інформації або її носіїв без використання спеціальних засобів ТЗІ, яке може здійснюватися шляхом:

створення умов роботи в межах встановленого регламенту;

виключення можливості використання (випробування) програмних, програмно-апаратних засобів, які не пройшли перевірку;

- перевірку справності та працездатності технічних засобів і систем забезпечення інформаційної діяльності відповідно до експлуатаційних документів. Виявлені несправні блоки та елементи можуть сприяти витоку або порушенню цілісності інформації й підлягають негайній заміні (демонтажу).

Основою первинних технічних заходів є використання захищених засобів (систем) забезпечення інформаційної діяльності, до яких включають:

- програмні засоби обробки інформації;

- технічні засоби (системи) обробки інформації;

- технічні засоби (системи) життєзабезпечення;

- оргтехніку;

- продукцію, процеси;

- інженерно-технічні споруди, будівлі, приміщення.

Основні технічні заходи спрямовані на блокування КВІ, ґрунтуються на одному з показаних на наступному рисунку принципів.

# data[].attributes.attachment_link.title
Методи та засоби захисту від витоку інформації - Канали витоку інформації

# data[].attributes.attachment_link.description
Захист інформації від витоку технічними каналами досягається шляхом розробки та реалізації наступних заходів (у різних джерелах ці заходи виділяються і формулюються по-різному): - організаційних; - первинних технічних; - основних технічних з використанням засобів забезпечення ТЗІ.

# data[].attributes.headline
Ідентифікація та аутентифікація суб'єктів

# data[].attributes.subject
Ідентифікація та аутентифікація суб'єктів

# data[].attributes.body
Ідентифікацію та аутентифікацію можна вважати основою програмно-технічних засобів безпеки.

Ідентифікація дозволяє суб’єкту, що діє від імені певного користувача, назвати себе.За допомогою аутентифікації друга сторона переконується, що суб’єкт дійсно той, за кого він себе видає.

Синонім до “аутентифікації” - “перевірка достовірності”.

# data[].attributes.attachment_link.readable_text
Ідентифікацію та автентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки решта сервісів розраховані на обслуговування іменованих суб'єктів.

Ідентифікаціядозволяє суб'єкту (користувачу, процесу, що діє від імені певного користувача, або іншому апаратно-програмному компоненту) назвати себе (повідомити своє ім'я). За допомогою автентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає.

Як синонім слова "автентифікація" іноді використовують словосполучення "перевірка достовірності".

Автентифікація може бути односторонньою (звичайно клієнт доводить свою достовірність серверу) і двосторонньою (взаємною). Приклад односторонньої автентифікації - процедура входу користувача в систему.

У відкритому мережевому середовищі між сторонами ідентифікації/автентифікації не існує довіреного маршруту. Це означає, що, в загальному випадку, дані, передані суб'єктом, можуть не збігатися з даними, одержаними і використаними для перевірки достовірності. Необхідно забезпечити захист від пасивного і активного прослуховування мережі, тобто від перехоплення, зміни та/або відтворення даних. Передача паролів у відкритому вигляді, очевидно, незадовільна. Не рятує положення і шифрування паролів, оскільки воно не захищає від відтворення. Потрібні складніші протоколи автентифікації.

Надійна ідентифікація утруднена не тільки через мережеві загрози, але і з цілого ряду причин. По-перше, майже всі автентифікаційні параметри можна дізнатися, вкрасти або підробити. По-друге, є суперечність між надійністю автентифікації, з одного боку, і зручностями користувача і системного адміністратора з іншого. Так, з міркування безпеки необхідно з певною частотою просити користувача повторно вводити автентифікаційну інформацію (адже на його місце могла сісти інша людина), а це не тільки складно, але і підвищує вірогідність того, що хтось може підглянути за введенням даних. По-третє, чим надійніше засіб захисту, тим він дорожче.

Сучасні засоби ідентифікації/автентифікації повинні підтримувати концепцію єдиного входу в мережу. Якщо в корпоративній мережі багато інформаційних сервісів, що допускають незалежне звернення, то багатократна ідентифікація/автентифікація стає дуже обтяжливою. На жаль, поки не можна сказати, що єдиний вхід в мережу став нормою, домінуючі рішення поки не сформувалися.

Таким чином, необхідно шукати компроміс між надійністю, доступністю за ціною і зручністю використання і адміністрування засобів ідентифікації та автентифікації.

Відзначимо, що сервіс ідентифікції/автентифікації може стати об'єктом атак на доступність. Якщо система сконфігурована так, що після певної кількості невдалих спроб пристрій введення ідентифікаційної інформації блокується, то зловмисник може зупинити роботу легального користувача буквально декількома натисненнями клавіш.

Головна перевага парольної автентифікації - простота і звичність. Паролі давно вбудовані в операційні системи та інші сервіси. При правильному використанні паролі можуть забезпечити прийнятний для багатьох організацій рівень безпеки. Проте, за сукупністю характеристик їх слід визнати найслабкішим засобом перевірки достовірності, з таких причин:

часто пароль вибирають так, щоб його було легко запам'ятати. Але простій пароль неважко вгадати, особливо якщо знати пристрасті даного користувача;

іноді паролі із самого початку не зберігаються в таємниці, оскільки мають стандартні значення, вказані в документації, і далеко не завжди після установки системи проводиться їх заміна;

введення пароля можна підглянути. Іноді для підглядання використовуються навіть оптичні прилади;

паролі нерідко повідомляють колегам, щоб ті могли, наприклад, підмінити на деякий час власника пароля. Теоретично в подібних випадках необхідно використовувати засоби управління доступом, але на практиці так ніхто не робить;

пароль можна вгадати "методом грубої сили", використовуючи, скажімо, словник. Якщо файл паролів зашифрований, але доступний для читання, його можна викачати до себе на комп'ютер і спробувати підібрати пароль, запрограмувавши повний перебір (передбачається, що алгоритм шифрування відомий).

Значно підвищити надійність парольного захисту дозволяють такі заходи:

накладення технічних обмежень (пароль повинен бути не дуже коротким, та містити букви, цифри, знаки пунктуації тощо);

управління терміном дії паролів, їх періодична зміна;

обмеження доступу до файлу паролів;

обмеження кількості невдалих спроб входу в систему;

навчання користувачів;

використання програмних генераторів паролів.

Перераховані заходи доцільно застосовувати завжди, навіть якщо разом з паролями використовуються інші методи автентифікації.

Такі паролі називають багаторазовими. Їх розкриття дозволяє зловмиснику діяти від імені легального користувача. Набагато сильнішим засобом, стійким до пасивного прослуховування мережі, є одноразові паролі.

Відомим програмним генератором одноразових паролів є система S/KEY компанії Bellcore. За рахунок використання односторонньої функції, відомої користувачу та серверу, та секретного ключа, відомого тільки користувачу, перехоплення пароля, рівно як і отримання доступу до сервера автентифікації, не дозволяють дізнатися секретний ключ і передбачити наступний одноразовий пароль. Система S/KEY має статус Internet-стандарту (RFC 1938).

Інший підхід до надійної автентифікації полягає в генеруванні нового пароля через невеликий проміжок часу (наприклад, кожні 60 секунд), для чого можуть використовуватися програми або спеціальні інтелектуальні карти (з практичної точки зору такі паролі можна вважати одноразовими). Серверу автентифікації повинен бути відомий алгоритм генерування паролів і асоційовані з ним параметри. Крім того, годинники клієнта і сервера повинні бути синхронізовані.

Сервер автентифікації Kerberos - це програмний продукт, розроблений у середині 1980-х років в Массачусетському технологічному інституті. Клієнтські компоненти Kerberos, з певними змінами, присутні в більшості сучасних операційних систем.

Kerberos призначений для вирішення такого завдання. Є відкрита (незахищена) мережа, у вузлах якої зосереджені суб'єкти-користувачі, а також клієнтські і серверні програмні системи. Кожен суб'єкт володіє секретним ключем. Щоб суб'єкт C міг довести свою достовірність суб'єкту S (без цього S не стане обслуговувати C), він повинен не тільки назвати себе, але і продемонструвати знання секретного ключа. C не може просто послати S свій секретний ключ, по-перше, тому, що мережа відкрита (доступна для пасивного і активного прослуховування), а, по-друге, тому, що S не знає (і не повинен знати) секретний ключ C. Потрібен менш прямолінійний спосіб демонстрації знання секретного ключа.

Система Kerberos є довіреною третьою стороною (тобто стороною, якій довіряють все), що володіє секретними ключами обслуговуваних суб'єктів і допомагає їм у попарній перевірці достовірності.

Щоб за допомогою Kerberos дістати доступ до S, C посилає Kerberos запит, який містить відомості про нього і про запрошувану послугу. У відповідь Kerberos повертає так званий "квиток", зашифрований секретним ключем сервера, і копію частини інформації з "квитка", зашифровану секретним ключем клієнта. Клієнт повинен розшифрувати другу порцію даних і переслати її разом з "квитком" серверу. Сервер, розшифрувавши "квиток", може порівняти його вміст з додатковою інформацією, присланою клієнтом. Збіг свідчить про те, що клієнт зміг розшифрувати призначені йому дані (адже вміст "квитка" нікому, окрім сервера і Kerberos, недоступно), тобто продемонстрував знання секретного ключа. Отже, клієнт - саме той, за кого себе видає. Секретні ключі в процесі перевірки достовірності не передавалися по мережі (навіть у зашифрованому вигляді) - вони тільки використовувалися для шифрування.

Наведена схема є спрощеною версією реальної процедури перевірки достовірності. Відзначимо, що Kerberos не тільки стійкий до мережевих загроз, але і підтримує концепцію єдиного входу в мережу.

# data[].attributes.attachment_link.keywords[]
пос_бник_о_б_мон

# data[].attributes.attachment_link.keywords[]
ідентифікація

# data[].attributes.attachment_link.keywords[]
автентифікація

# data[].attributes.attachment_link.title
Ідентифікація та автентифікація

# data[].attributes.attachment_link.description
Ідентифікацію та автентифікацію можна вважати основою програмно-технічних засобів безпеки, оскільки решта сервісів розраховані на обслуговування іменованих суб'єктів. Ідентифікаціядозволяє суб'єкту (користувачу, процесу, що діє від імені певного користувача, або іншому апаратно-програмному компоненту) назвати себе (повідомити своє ім'я). За допомогою автентифікації друга сторона переконується, що суб'єкт дійсно той, за кого він себе видає.

# data[].attributes.headline
Системи розмежування за управлінням доступу

# data[].attributes.subject
Системи розмежування за управлінням доступу

# data[].attributes.body
Система контролю й управління доступу (СКУД) призначена для організації контрольно-пропускного режиму. Призначення-обмеження доступу небажаних гостей до захищенних локацій, одночасно забезпечивши можливість безперешкодного переміщення авторизованих осіб з правом доступу.
Класифікація:

1.Автономні
2.Мережеві

# data[].attributes.attachment_link.provider_name
Киевское охранное агентство Охорона24

# data[].attributes.attachment_link.readable_text
Навіщо потрібна система контролю доступу. Система контролю й управління доступу (СКУД) призначена для організації контрольно-пропускного режиму. Її прямим призначенням є обмеження доступу небажаних гостей до локацій, що захищаються, одночасно забезпечивши можливість безперешкодного переміщення авторизованих осіб з правом доступу. Сучасні вимоги до безпеки диктують необхідність установки таких систем на багатьох підприємствах, діяльність яких пов'язана з матеріальними цінностями й дорогоцінною інтелектуальною власністю. Також ці системи широко використовуються фізичними особами в приватних цілях.

Класифікація СКУД

Залежно від архітектури й функціонального призначення, існують такі варіанти виконання:

Автономні. Для них характерний скромний функціонал, правда, й ціна установки є найнижчою, порівняно з іншими варіантами. Має просту архітектуру, включає в себе невелику кількість пристроїв. Наприклад, звичайний домофон в багатоквартирному будинку - хороший приклад такої системи: всього одна контрольна точка. Складається з електрозамка на двері під'їзду, зчитувача (місце, до якого потрібно прикладати брелок), контролера (в цьому випадку об'єднаний зі зчитувачем в одному корпусі) та ідентифікаторів (брелоки).

Типове застосування автономних систем - об'єкти з невеликою кількістю підконтрольних точок входу й відсутністю необхідності персональної ідентифікації з докладним веденням звітів. По-великому рахунку, має тільки одну функцію - забезпечує можливість доступу власників персональних ідентифікаторів (картки, брелоки). Безсумнівним плюсом автономок є відсутність необхідності в їх регулярному обслуговуванні.

Мережеві. Ці системи застосовуються на великих об'єктах з великою кількістю охоронюваних приміщень й площ. Вони дозволяють розмежовувати доступ на кілька рівнів як для певних груп відвідувачів, так і індивідуально для кожного ідентифікатора дозволити або заборонити доступ в ті чи інші локації.

Система дозволяє вести облік робочого часу працівників підприємства, підраховувати кількість відвідувачів в автоматичному режимі (затребувана в сфері торгівлі та послуг) з веденням докладних звітів всіх подій, що контролюються та спостерігаються системою. Компоненти систем контролю й управління доступом мережевого типу об'єднуються в єдиний комплекс і управляються за допомогою контролера, з'єднаного з комп'ютером. Системи великого масштабу передбачають наявність оператора, який здійснює моніторинг роботи системи в режимі реального часу, змінює налаштування виходячи з поточної обстановки, видає нові та анулює недійсні перепустки, формує звіти для керівництва. Велика гнучкість мережевих СКУД дозволяє інтегрувати їх з охоронною сигналізацією, з протипожежними системами й системами відеоспостереження. Також підключення нових пристроїв до існуючої системи не викличе особливих труднощів.

Пам'ятайте, що самостійно встановити й налаштувати СКУД - завдання не з легких. Організацію навіть простенької автономної системи складно здійснити самотужки, але все ж таки можливо. Тим не менше, безпека - точно не та річ, на якій варто економити. Тому рекомендуємо звернутися до профільних фахівців, які спеціалізуються на розробці й установці СКУД, вони нададуть вичерпну інформацію, підкажуть на що звернути увагу при виборі СКД, професійно розроблять, встановлять, налаштують й запустять систему в експлуатацію.

# data[].attributes.attachment_link.title
Яку систему контролю доступу обрати?

# data[].attributes.attachment_link.description
Навіщо потрібна система контролю доступу. Система контролю й управління доступу (СКУД) призначена для організації контрольно-пропускного режиму. Її прямим призначенням є обмеження доступу небажаних гостей до локацій, що захищаються, одночасно забезпечивши можливість безперешкодного переміщення авторизованих осіб з правом доступу.

# data[].attributes.headline
Матрична модель доступу

# data[].attributes.subject
Матрична модель доступу

# data[].attributes.body
Найбільш ефективним засобом розподілу повноважень суб'єктів по відношенню до об'єктів є матриця доступу. У матричної моделі, реалізуються діскреціонное управління доступом суб'єктів до об'єктів і контроль над поширенням прав доступу. Повноваження на виконання відповідних дій визначаються безліччю прав доступу (володіти інформацією, читати, писати, додавати інформацію, і т.д.). Елемент матриці містить список видів доступу суб'єкта до об'єкта. У процесі роботи інформаційної системи доступ до об'єктів контролюється спеціальним монітором, який перехоплює, перевіряє і присікає всі недозволені спроби доступу до об'єктів.

# data[].attributes.headline
Особливості реалізації системи

# data[].attributes.subject
Особливості реалізації системи

# data[].attributes.body
В системі розмежування доступу повинен бути використаний диспетчер, який здійснює розмежування доступу. Основою такого розмежування є обрана модель управління доступом, що реалізується диспетчером доступу. Диспетчер забезпечує виконання правил розмежування доступу суб'єктів до об'єктів доступу, які зберігаються в базі повноважень і характеристик доступу. За результатами аналізу формується сигнал дозволу або відмови в допуску. Якщо число сигналів "Відмовити" перевищить заданий рівень (наприклад, 5 разів), який фіксується блоком реєстрації, то блок прийняття рішень видає  сигнал "Несанкціонований доступ". На підставі цього сигналу адміністратор системи безпеки може заблокувати роботу суб'єкта.

# data[].attributes.headline
 Сенс поняття "Розмежування доступу"

# data[].attributes.subject
 Сенс поняття "Розмежування доступу"

# data[].attributes.body
сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі правил розмежування доступу можливості надання доступу. Правила розмежування доступу — частина політики безпеки, що регламентує правила доступу користувачів і процесів до пасивних об'єктів.

# data[].attributes.attachment_link.readable_text
Розмежування доступу ( англ. access mediation) - сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу.

Правила розмежування доступу (access mediation rules) - частина політики безпеки, що регламентує правила доступу користувачів і процесів до пасивних об'єктів.

При розгляді взаємодії двох об'єктів комп'ютерної системи, що виступають як приймальники або джерела інформації, слід виділити пасивний об'єкт, над яким виконується операція, і активний об'єкт, який виконує або ініціює цю операцію.

Коли користувачі або процеси намагаються одержати доступ до пасивних об'єктів, механізми, що реалізують керування доступом, на підставі політики безпеки і перевірки атрибутів доступу можуть "прийняти рішення" про легальність запиту. Використовуючи набір атрибутів доступу відповідно до прийнятої політики безпеки, можна реалізувати довірче керування доступом, адміністративне, контроль за цілісністю та інші види керування доступом.

Для відображення функціональностi комп'ютерної системи використовується концепція матриці доступу. Матриця доступу являє собою таблицю, уздовж кожного виміру якої відкладені iдентифікатори об'єктів комп'ютерної системи, а елементами матриці виступають дозволені або заборонені режими доступу. Матриця доступу може бути двомірною (наприклад, користувачі/пасивні об'єкти або процеси/пасивні об'єкти) або тримірною (користувачі/процеси/пасивні об'єкти).

Термінологія в галузі захисту інформації в комп'ютерних системах від несанкціонованого доступу

# data[].attributes.attachment_link.title
Розмежування доступу

# data[].attributes.attachment_link.description
Розмежування доступу ( англ. access mediation) - сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу. Правила розмежування доступу (access mediation rules) - частина політики безпеки, що регламентує правила доступу користувачів і процесів до пасивних об'єктів.