Обучение методам и средствам защиты информации при подготовке в области информационных технологий

Хорев Павел Борисович,
к.т.н., доцент кафедры информационной безопасности (pbkh@yandex.ru)
Российский государственный социальный университет, Москва

В последние годы не снижается острота проблемы, связанной с правонарушениями и преступлениями в области компьютерных технологий. Одной из причин этого является все еще недостаточная квалификация в вопросах обеспечения информационной безопасности специалистов различного профиля, использующих компьютерные технологии в своей профессиональной деятельности.

В государственных стандартах высшего и среднего профессионального образования изучение вопросов информационной безопасности включено либо в отдельные дисциплины («Методы и средства защиты компьютерной информации» для специальностей группы «Информатика и вычислительная техника», «Информационная безопасность» для специальностей группы «Прикладная информатика» и т.д.), либо в содержание дисциплины «Информатика». Однако общий взгляд на методику преподавания этих дисциплин и разделов еще не сложился, что, в частности, приводит к тому, что при изучении дисциплины «Информатика» вопросу информационной безопасности не рассматриваются совсем.

Автор данного доклада имеет многолетний опыт преподавательской и практической работы в области разработки и использования методов и средств защиты информации в компьютерных системах. На основе этого опыта при изучении вопросов обеспечения информационной безопасности обязательными разделами должны быть:

• обоснование необходимости комплексного подхода к защите информации, предполагающего совместное использование организационных (в тои числе правовых), инженерно-технических, криптографических и программно-аппаратных методов и средств в период всего жизненного цикла компьютерной системы;
• изучение методов проведения идентификации и аутентификации, авторизации, аудита в компьютерных системах и сетях, моделей управления доступом к их ресурсам;
• освоение средств защиты информации, входящих в состав штатного программного обеспечения операционных систем Windows и Linux;
• изучение методов современной криптографии и их использования для обеспечения конфиденциальности, подлинности и целостности электронных документов;
• освоение средств защиты компьютерных систем от вредоносных программ;
• знакомство с национальными и международными стандартами в области оценки защищенности компьютерных систем и информационных технологий.

Естественно, что глубина изложения и соотношение объемов сформулированных выше разделов может (и должна) быть различной в зависимости от направления подготовки специалистов и типа образовательного учреждения. Но обязательным, на взгляд автора доклада, является включение всех упомянутых тем, что обеспечит всестороннюю подготовку в области выбора наиболее эффективных методов и средств противодействия угрозам безопасности информации в компьютерных системах.

В качестве примера рассмотрим более подробно содержание раздела, посвященного средствам разграничения доступа к ресурсам, входящим в состав операционной системы Microsoft Windows NT и более поздних версий. Изложение материала должно начинаться с указание на использование в этих версиях ОС Windows дискреционного (избирательного) управления доступом к ресурсам, достоинствах и недостатков этой модели разграничения доступа. Далее необходимо остановиться на типах объектов ОС Windows, доступом к которым может управлять пользователь (разделам реестра, файлам и папкам на дисках под управлением файловой системы NTFS, принтеру), а также на стандартных, специальных и общих (родовых) видах доступа к этим объектам.

Следующим вопросом при изучении данной темы должно стать ознакомление с назначением и составом дескриптора безопасности объекта разграничения доступа ОС Windows и алгоритмом проверки прав доступа субъекта к объекту. На практических занятиях, посвященных данной теме, целесообразно освоить средства Проводника, редактора реестра и Панели управления ОС Windows, с помощью которых пользователь может управлять доступом к своим ресурсам.

Дополнительно при изучении данного раздела можно остановиться на рекомендуемых разработчиками Microsoft Windows папках для хранения личных (Мои документы в профиле пользователя) и совместно используемых (Общие документы в профиле All Users) документов, а также с устанавливаемыми по умолчанию разрешениями на доступ к этим папкам.

В заключение изучения данного раздела следует остановиться на вопросах организации в операционной системе Windows аудита попыток доступа к объектам с защищаемой информацией и принципах выбора подмножества таких объектов.

Принципы организации и изложения учебного материала, представленные в данном докладе, использовались автором при подготовке учебных курсов «Методы и средства защиты компьютерной информации», «Информационная безопасность», «Введение в специальность Комплексная защита объектов информатизации», «Программно-аппаратная защита информации» и других.