Полная версия

Главная arrow Менеджмент arrow Информационные технологии в менеджменте (управлении)

  • Увеличить шрифт
  • Уменьшить шрифт


<<   СОДЕРЖАНИЕ   >>

19.2.3. Цифровые сертификаты

Цифровые сертификаты – это "подпись" мира интернет- коммерции. Они применяются для аутентификации, удостоверяют, что тот, с кем вы соединяетесь, действительно тот, за кого себя выдает. Проще говоря, сертификат служит "удостоверением" источника данных, содержащим открытый ключ организации. Хэш сертификата шифруется с помощью секретного ключа этой организации или уполномоченной организации – удостоверяющего центра (последнее предпочтительнее). Зная открытый ключ, парный секретному, вы можете проверить подлинность сертификата и тем самым получить подтверждение принадлежности web-сайта интересующей организации.

Сертификаты обычно приписываются определенному домену. Они могут выпускаться удостоверяющим центром или локально, как описано выше. Существует несколько удостоверяющих центров, самым крупным из которых является VeriSign – компания, также поддерживающая доменную систему имен. Удостоверяющие центры наделяют другие организации правом предлагать сертификаты под их ответственность. Получить сертификат от VeriSign или одной из авторизованных организаций – все равно, как если бы кто-то поручился за вас. Обычно сертификат выпускают только после проверки фигурирующих в нем данных, осуществляемой либо по телефону, либо с помощью некоторой бумажной документации, такой как устав организации. После такой проверки удостоверяющий центр берет представленную информацию, включая URL, для которого вы собираетесь применять сертификат, и "подписывает" ее цифровым образом с помощью своего секретного ключа. После этого Web-сервер или другая программа может использовать выданный сертификат. Когда внешние пользователи получают с сервера некоторые данные, например, Web-страницу, с присоединенным к ним сертификатом, они могут применить криптографию с открытым ключом для проверки вашей личности. Чаще всего сертификаты используются на Web-сайтах электронной коммерции, но они могут применяться и для коммуникаций произвольного вида. SSH и Nessus могут использовать сертификаты для аутентификации. В виртуальных защищенных сетях сертификаты также могут применяться для аутентификации вместо паролей.

19.2.4. Алгоритмические методы защиты

К алгоритмическим методам защиты информации относятся:

  • • авторизация доступа;
  • • разграничение доступа;
  • • использование межсетевых экранов (брандмауэров);
  • • обнаружение вирусов и вредоносных программ и их устранение.

Авторизация и разграничение доступа включают:

  • идентификацию – присвоение объекту или лицу уникального идентификатора, а также процесс ввода имени при входе в систему;
  • аутентификацию (установление подлинности) (заключается в проверке, является ли лицо или объект тем, за кого себя выдает);
  • определение полномочий, устанавливающее, дано ли лицу или объекту (и в какой мере) право обращаться к защищаемому ресурсу.

Особо следует выделить меры по предупреждению и выявлению несанкционированного доступа:

  • • регистрацию действий пользователей;
  • • разграничение доступа к ресурсам;
  • • организацию аудита доступа к ресурсам компьютера.

Под термином "регистрация" понимается:

  • 1) запись, фиксация фактов или явлений с целью учета и придания им статуса официально признанных актов (регистрация рождения, брака);
  • 2) внесение в список, в книгу учета.

Учетная запись пользователя информационной системы необходима для работы в системе и содержит сведения о правах пользователя. Каждый пользователь должен иметь отдельную учетную запись.

Политика безопасности – это набор параметров, регулирующих безопасность компьютера. Настраивать данные политики в операционной системе MS Windows (рис. 19.4) можно при помощи оснастки Редактор локальной групповой политики или оснастки Локальная политика безопасности. Оснастка Локальная политика безопасности используется для изменения политики учетных записей и локальной политики на локальном компьютере, а политики учетных записей, привязанных к домену Active Directory, можно настраивать при помощи оснастки Редактор управления групповыми политиками.

Локальная политика безопасности ОС MS Windows

Рис. 19.4. Локальная политика безопасности ОС MS Windows

Для регистрации системных событий и действий пользователей информационной системы могут быть использованы:

  • • системный журнал событий;
  • • журнал событий информационной системы (например, 1C);
  • • журнал событий приложения (например, лог-файл).

Журнал событий в MS Windows состоит из нескольких частей:

  • • приложение;
  • • безопасность;
  • • система;
  • • другие части.

Для просмотра журнала событий в операционной системе MS Windows используется программа Просмотр событий: С:WINDOWSsystem32 eventimr.exe. Выделяются следующие типы событий (рис. 19.5).

Разграничение доступа к ресурсам компьютера осуществляется на уровне файловой системы компьютера, на уровне ресурсов (панок, устройств) и учетных записей пользователей операционной системы компьютера.

Разграничение доступа к ресурсам информационной системы осуществляется на уровне учетных записей пользователей информационной системы.

Аудит, аудиторская проверка – процедура независимой оценки деятельности организации, системы, процесса, проекта или продукта. Необходимо проводить аудит информационной системы на предмет ее соответствия требованиям

Типы событий в операционной системе MS Windows

Рис. 19.5. Типы событий в операционной системе MS Windows

информационной безопасности. Организация аудита доступа к ресурсам компьютера осуществляется с помощью средств регистрации (журналов событий) и средств анализа уязвимостей и сетевого мониторинга.

 
<<   СОДЕРЖАНИЕ   >>