Лабораторний практикум Захист інформації та програмних продуктів, КСУ, Київський славістичний університет

КИЇВСЬКИЙ СЛАВІСТИЧНИЙ УНІВЕРСИТЕТ

ДЕПАРТАМЕНТ РЕГІОНАЛЬНИХ ПІДРОЗДІЛІВ ТА ПЕРСПЕКТИВНОГО РОЗВИТКУ

КАФЕДРА ІНФОРМАТИКИ І УПРАВЛЯЮЧИХ СИСТЕМ

ЗАХИСТ ІНФОРМАЦІЇ ТА ПРОГРАМНИХ ПРОДУКТІВ

ЛАБОРАТОРНИЙ ПРАКТИКУМ

Київ – 2007

Коваленко О. Є. Захист інформації та програмних продуктів. Лабораторний практикум: Навч. посібник. – К.: КСУ, 2007. – 254 с.

Запропоновано комплекс завдань для отримання практичних навичок організації захисту інформації в комп’ютерних системах. Кожне завдання містить необхідні теоретичні відомості і контрольні запитання для визначення ступеня засвоєння матеріалу. Наведено перелік законів і стандартів, що регулюють діяльність, пов’язану із захистом інформації, а також літературних джерел і веб-сайтів.

Адресовано студентам спеціальностей «Менеджмент організацій» та «Інформаційні управляючі системи та технології» денної та заочної форм навчання.

Рекомендовано на засіданні кафедри інформатики і управляючих систем технологій «28» січня 2007 р., протокол №    5      

Схвалено на засіданні вченої ради Департаменту регіональних підрозділів  і перспективного розвитку КСУ «   »                  2007 р., протокол №

© Коваленко О.Є., 2007

ЗМІСТ

ПЕРЕДМОВА

МЕТА І ЗАВДАННЯ КУРСУ ЙОГО МІСЦЕ В НАВЧАЛЬНОМУ ПЛАНІ

Лабораторна робота №1 Інвентаризація ресурсів комп’ютерних систем

1. Методи несанкціонованого доступу до комп’ютерних систем

1.1. Атаки на рівні СУБД

1.2. Атаки на рівні операційної системи

1.3. Атаки на рівні мережних програмних засобів

2. Порушники комп’ютерної безпеки

3. Захист комп’ютерних систем від несанкціонованого доступу

Практичні завдання

Контрольні запитання

Лабораторна робота №2 Захист комп’ютерних систем від вірусів

1. Поняття вірусу

2. Класифікація комп’ютерних вірусів

2.1. Троянські коні

2.2. Поліморфні віруси

2.3. Стелс-віруси

2.4. Ретро-вируси

2.5. Складені віруси

2.6. Озброєні віруси

2.7. Віруси-компаньйони

2.8. Віруси-фаги

2.9. Черв'яки

3. Зараження комп’ютерних систем

3.1. Небезпеки пов'язані з вірусами

3.2. Віруси й електронна пошта

4. Методи захисту від вірусів

Практичне завдання

Контрольні запитання

Лабораторна робота №3 Захист від небажаних поштових повідомлень та програм-шпигунів

1. Програмні закладки

2. Троянські програми

2.1. Джерела троянських програм

2.2. Поширення троянських програм

2.3. Розпізнавання троянських програм

3. Захист від небажаної електронної пошти

Практичне завдання

Контрольні запитання

Лабораторна робота №4 Симетричні системи шифрування

1. Основні поняття і терміни

2. Перестановочні шифри

2.1. Простий стовпчиковий перестановочний шифр

2.2. Перестановочний шифр із ключовим словом

3. Підстановочні шифри

3.1. Шифр Цезаря

3.2. Аффінна криптосистема

3.3. Шифр Полібія

4. Багатоалфавітні системи

4.1. XOR-алгоритм

4.2. Шифр Віженера

4.3. Шифр Бофорта

4.4. Шифр Віженера із перемішаним один раз алфавітом

4.5. Шифр з автоключем

5. Блочні шифри

5.1. Режим електронної шифрувальної книги

5.2. Режим зчеплення блоків шифру

Практичне завдання

Контрольні запитання

Лабораторна робота № 5 Асиметричні системи шифрування

1. Асиметричні алгоритми шифрування

2. Огляд можливостей програмного інтерфейсу Crypto API

2.1. Простір імен Cryptography

2.2. Реалізація алгоритму RSA засобами програмного інтерфейсу Crypto API

Практичне завдання

Контрольні запитання

Лабораторна робота № 6 Захист даних від модифікацій та підміни

1. Електронний цифровий підпис

1.1. Класична схема створення цифрового підпису

1.2. Схема цифового підпису на основі алгоритму RSA

2. Хеш-функція

2.1. Використання хеш-функції для перевірки незмінності даних

2.2. Створення хеш-коду, захищеного від підміни

3. Створення цифрового підпису для ХМL-документу

Практичне завдання

Контрольні запитання

Лабораторна робота № 7 Використання міжмережного екрану MS Windows XP

1. Загальні відомості про компоненти домашньої або малої офісної мережі

1.1. Майстер налагодження мережі

1.2. Майстер створення підключення

1.3. Загальний доступ до підключення Інтернету

1.4. Брандмауер підключення до Інтернету

1.5. Мережний міст

1.6. Функція виявлення і контролю ICS

2. Брандмауер  підключення  до Інтернету

2.1. Загальні відомості про брандмауер  підключення  до Інтернету

2.2. Опис роботи брандмауера підключення до Інтернету

2.3. ICF і з'єднання домашньої або невеликої офісної мережі

2.4. ICF і повідомлення

2.5. Додаткові параметри ICF

3. Служби

4. Журнал безпеки брандмауера підключення до Інтернету

Практичне завдання

Контрольні запитання

Лабораторна робота № 8 Засоби адміністрування і управління безпекою

1. Основні поняття

2. Політики облікових записів і локальні політики

2.1. Політики облікових записів

2.2. Локальні політики

3. Засоби управління налагодженням безпеки. Шаблони безпеки

3.1. Загальні відомості про оснащення «Шаблоны безопасности»

3.2. Нові і готові шаблони

3.3. Готові шаблони безпеки

3.4. Безпека за умовчанням (Setup security.inf)

3.5. Сумісний (Compatws.inf)

3.6. Захист (Secure*.inf)

3.7. Підвищений захист (hisec*.inf)

3.8. Безпека системного кореневого каталогу (Rootsec.inf)

3.9. Відсутність SID користувача серверу терміналів (Notssid.inf)

4. Microsoft Management Console

5. Аналіз безпеки

6. Налагодження системи безпеки

7. Автоматизація задач налагодження системи безпеки

Практичне завдання

Контрольні запитання

Лабораторна робота № 9 Налагодження безпеки комп'ютера з використанням групової політики

1. Основні поняття

2. Загальні відомості про групову політику

3. Об'єкти групової політики

4. Політика локальної групи

4.1. Використання групової політики на комп'ютері

4.2. Використання групової політики на комп'ютері, що входить в мережний домен

5. Способи відкриття оснащення «Групповая политика»

5.1. Відкриття оснащення «Групповая политика» як автономного оснащення MMC

5.2. Перегляд відомостей про політику

5.3. Відкриття групової політики з оснащення «Active Directory — сайты и службы»

5.4. Відкриття групової політики з оснащення «Active Directory — пользователи и компьютеры»

6. Засоби командного рядка для оснащення «Групповая политика»

6.1. Засіб Gpresult

6.2. Відкриття групової політики з командного рядка засобом Gpedit

6.3. Редагування об'єкту групової політики

7. Застосовність комп'ютерної політики

7.1. Пріоритет політики, коли застосовані декілька політик

7.2. Постійність дії параметрів безпеки

7.3. Фільтрування параметрів безпеки відповідно до членства в групах

Практичне завдання

Контрольні запитання

Лабораторна робота № 10 Робота з журналами подій у MS Windows XP

1. Журнали подій

1.1. Журнал додатків

1.2. Журнал безпеки

1.3. Журнал системи

1.4. Журнали контролеру домену

1.5. Журнал DNS-сервера

1.6. Опис події

2. Налагодження параметрів подій, що заносяться в журнал

3. Робота з журналами

3.1. Включення журналу безпеки

3.2. Робота з журналом подій

3.3. Управління журналами подій з командного рядка

Практичне завдання

Контрольні запитання

Лабораторна робота № 11 Політики аудиту у MS Windows XP

1. Основні поняття

2. Політики аудиту

2.1. Типи подій

2.2. Аудит подій входу в систему

2.3. Аудит входу в систему

2.4. Аудит управління обліковими записами

2.5. Аудит доступу до служби каталогів

2.6. Аудит зміни політики

2.7. Аудит використання привілеїв

2.8. Аудит відстеження процесів

2.9. Аудит системних подій

2.10. Аудит доступу до об'єктів

2.11. Параметри аудиту об'єктів

3. Аудит доступу до файлів і папок

3.1. Вплив наслідування на аудит файлів і папок

3.2. Включення політики «Аудит доступа к объектам»

3.3. Вибір об'єктів для застосування елементів аудиту

3.4. Включеня і налагодження аудиту файлів і папок

3.5. Вибір файлів і папок для аудиту

3.6. Налагодження, перегляд, зміна або відміна аудиту файлу або папки

3.7. Відображення вкладки «Безопасность»

3.8. Використання вікна перегляду подій

Практичне завдання

Контрольні запитання

Лабораторна робота № 12 Оцінка безпеки інформаційних технологій  за стандартом ISO/IEC 15408

1. Подання і загальна модель інформаційних технологій для узагальнених критеріїв

1.1. Цільова спрямованість загальних критеріїв

1.2. Організація загальних критеріїв

1.3. Можливості і застосовність

1.4. Концепції загальних критеріїв

2. Загальні вимоги до сервісів безпеки

2.1. Загальні припущення безпеки

2.2. Загальні загрози безпеці

2.3. Загальні елементи політики безпеки

2.4. Загальні цілі безпеки для об'єкту оцінки

2.5. Загальні цілі безпеки для середовища

2.6. Загальні функціональні вимоги

2.7. Загальні вимоги довіри безпеці

3. Специфічні вимоги до сервісів безпеки

Практичне завдання

Контрольні запитання

Лабораторна робота № 13 Розробка політики інформаційної безпеки  за стандартом ISO/IEC 17799

1. Спрямованість стандарту ISO17799

2. Зміст інформаційної безпеки

3. Необхідність захисту

4. Структура стандарту ISO/IEC 17799

5. Застосовність засобів управління безпекою

6. Ключові засоби контролю

7. Задання вимог до інформаційної безпеки організації

8. Оцінка ризиків порушення безпеки

9. Умови успішної реалізації системи інформаційної безпеки

10. Розробка власних рекомендацій

10.1. Політика інформаційної безпеки

10.2. Документ про політику інформаційної безпеки

10.3. Приклад політики безпеки

Практичне завдання

Контрольні запитання

Лабораторна робота № 14 Організація захисту та створення безпечного зовнішнього середовища за стандартом ISO/IEC 17799

1. Організація захисту та створення безпечного зовнішнього середовища

2. Інфраструктура інформаційної безпеки

2.1. Нарада керівництва по проблемах захисту інформації

2.2. Координація дій із захисту інформації

2.3. Розподіл обов'язків по забезпеченню інформаційної безпеки

2.4. Процес затвердження інформаційних систем

2.5. Рекомендації фахівців з інформаційної безпеки

2.6. Співпраця між організаціями

2.7. Незалежний аналіз інформаційної безпеки

3. Безпека доступу сторонніх організацій

3.1. Ідентифікація ризиків, пов'язаних з підключеннями сторонніх організацій

3.2. Умови безпеки в контрактах, укладених із сторонніми організаціями

4. Класифікація ресурсів та їх контроль

4.1. Відповідальність за ресурси

4.2. Інвентаризація інформаційних ресурсів

4.3. Класифікація інформації

4.4. Присвоєння грифів секретності

5. Безпека персоналу

5.1. Безпека в посадових інструкціях і при виділенні ресурсів

5.2. Навчання користувачів

5.3. Реагування на події, що містять загрозу безпеці

6. Фізична безпека і безпека навколишнього середовища

6.1. Захищені області

6.2. Захист устаткування

Практичне завдання

Контрольні запитання

Лабораторна робота № 15 Проведення аудиту безпеки інформаційної системи

1. Поняття аудиту безпеки і мети його проведення

2. Етапність робіт по проведенню аудиту безпеки інформаційних систем

2.1. Ініціація процедури аудиту

2.2. Збір інформації аудиту

2.3. Аналіз даних аудиту

3. Зміст аналізу ризиків і управління ризиками

4. Оцінка відповідності вимогам стандарту

5. Вироблення рекомендацій

6. Підготовка звітних документів

7. Методика аналізу захищеності

7.1. Початкові дані по обстежуваній ІС

7.2. Аналіз конфігурації засобів захисту зовнішнього периметра LAN

7.3. Методи тестування системи захисту

Практичне завдання

Контрольні запитання

РЕКОМЕНДОВАНА ЛІТЕРАТУРА

Закони і стандарти

Основна

Додаткова

Веб-сайти

Додаток А. Таблиця Віженера для українського алфавіту

Додаток Б. Таблиця Бофорта для українського алфавіту

Додаток В. Зразок оформлення звітів до лабораторних робіт

ПЕРЕДМОВА

Інтерес до проблем захисту інформації з кожним роком зростає. Це пов'язано з розширенням використання мереж, а, отже, і можливостей несанкціонованого доступу до інформації.

Актуальність проблеми захисту інформації пов'язана з ростом можливостей обчислювальної техніки. Розвиток засобів, методів і форм автоматизації процесів обробки інформації і масове застосування персональних комп'ютерів роблять інформацію значно вразливішою. Основними чинниками, що сприяють підвищенню її вразливості, є:

• збільшення обсягів інформації, що накопичується, зберігається та обробляється за допомогою комп'ютерів та інших засобів автоматизації;

• зосередження в єдиних базах даних інформації різноманітного призначення і різноманітної належності;

• розширення кола користувачів, що мають безпосередній  доступ до ресурсів обчислювальної системи і масивів даних, що знаходяться у ній;

• ускладнення режимів роботи технічних засобів обчислювальних систем: широке впровадження мультипрограмного режиму, а також режиму поділу часу;

• автоматизація міжмашинного обміну інформацією, у тому числі на великих відстанях.

В умовах широкого застосування обчислювальної техніки і засобів обміну інформацією зростають можливості несанкціонованого використання або модифікації інформації. Це може призвести  до величезної шкоди, у зв'язку з чим, захисту інформації від несанкціонованого доступу приділяється усе більше уваги.

Особливо вразливі незахищені системи зв'язку, у тому числі обчислювальні мережі. Інформація, що циркулює у ній, може бути незаконно змінена, викрадена або знищена.

Розкриття комп'ютерних злочинів істотно ускладнюється їх специфічністю і тим, що цим питанням займаються, як правило, люди з незаплямованою репутацією, а також вони добре володіють тонкощами інформаційних технологій.

Для протидії комп'ютерним злочинам або хоча б для зменшення шкоди від них, необхідно грамотно обирати заходи та засоби забезпечення захисту інформації від навмисної руйнації, крадіжки, псування і несанкціонованого доступу. Необхідне знання основних законодавчих положень у цій області: організаційних, економічних та інших заходів по забезпеченню безпеки інформації.

Знання та навички щодо тематики даного навчального курсу дадуть можливість чіткіше усвідомити знання тематики інших навчальних дисциплін, що вивчаються у вищому навчальному закладі.

Слід також зазначити, що проблематика програми належить до таких соціальних відносин, які бурхливо розвиваються як в інженерно-технічному, так і в організаційно-правовому аспектах.

Враховуючи, що курс програми має відкритий зміст, у ньому забороняється використовувати інформацію закритого (таємного) змісту (відповідно до Закону України «Про державну таємницю»).

Даний лабораторний практикум включає 15 лабораторних робіт і два проміжних підсумкових заняття, які розраховані на 34 години аудиторних занять і 24 години самостійної роботи. Кожна лабораторна робота включає три частини:

1) теоретичні відомості, необхідні для виконання роботи;

2) практичне завдання, яке необхідно виконати і захистити;

3) контрольні запитання, для перевірки рівня засвоєння матеріалу роботи або самоконтролю.

Лабораторний практикум може бути використаний також і для самоосвіти.

МЕТА І ЗАВДАННЯ КУРСУ ТА ЙОГО МІСЦЕ В НАВЧАЛЬНОМУ ПЛАНІ

Бурхливий розвиток інформаційних технологій в останні десятиріччя вимагає відповідного розвитку загальноосвітньої інформаційної культури, зокрема, створення цілої системи навчання у навчальних установах всіх рівнів. Захист інформації завжди був необхідним атрибутом інформаційних технологій, що обумовлює важливість вивчення цієї дисципліни – сучасний фахівець повинен бути знайомий з основами захисту інформації. У більшості країн світу в вищих навчальних установах введено підготовку зі спеціальностей, що стосуються захисту інформації. Значні досягнення в теорії та практиці захисту інформації, криптології, створення численних практичних курсів забезпечують підвищення загального рівня інформованості фахівців у питаннях захисту комп’ютерної інформації. Базовим загальним курсом для сучасних фахівців, пов’язаних із використанням і розробкою нових інформаційних технологій, повинен бути курс «Захист інформації та програмних продуктів».

Дисципліна «Захист інформації та програмних продуктів» призначена для підготовки спеціалістів, що навчаються за спеціальностями «Менеджмент організацій»,  «Інформаційні управляючі системи та технології».

Предметом навчальної дисципліни є методи, способи і засоби захисту інформаційних систем та їх компонентів (обладнання, програм і даних) від можливих загроз доступності, цілісності та конфіденційності.

Мета і завдання дисципліни. У результаті вивчення дисципліни студенти повинні ознайомитись з основними елементами сучасної теорії та практики захисту інформації, зокрема:

- засвоїти основи нормативно-правових знань у сфері захисту інформації;

- засвоїти класифікацію загроз інформаційним системам, програмам і даним;

- вивчити основи проектування систем захисту;

- ознайомитись із методами і засобами захисту і способами їх застосування;

- навчитись оцінювати рівень захищеності компонентів інформаційних систем від зовнішніх і внутрішніх загроз.

Завдання вивчення дисципліни полягає у набутті студентами базових знань і практичних навичок у сфері захисту інформації, засвоєнні основних методів та засобів захисту інформації, вивченні основ проектування та побудови систем захисту інформації, засвоєнні основних правових положень захисту інформації, вміння працювати з літературою з питань захисту інформації.

В результаті вивчення дисципліни студент повинен знати основні поняття захисту комп’ютерної інформації, моделі порушників інформаційної безпеки, моделі захищених інформаційних систем, методи і засоби захисту, основи проектування систем захисту, основи нормативно-правових способів захисту інформації, основні стандарти у сфері захисту інформації.

Студент повинен вміти здійснювати аналіз загроз компонентам інформаційних систем, обирати модель захисту на основі сучасних стандартів, використовуватиметоди і засоби захисту, орієнтуватись у системі нормативно-правових та регламентуючих документів, що регулюють діяльність у сфері використання і захисту інформації.

Місце курсу. Курс «Захист інформації та програмних продуктів» є логічним продовженням курсів «Інформатика та комп’ютерна техніка», «Комп’ютерні мережі і телекомунікації», «Основи програмування». Дисципліна вимагає відповідних знань названих курсів, загального курсу математики, а також базових знань з методів проектування та розробки інформаційних систем.

З повагою ІЦ “KURSOVIKS”!