Subwencja ogólna składa się z 3 części

Klasa D

Minimalna ochrona (ang. minimal protection).Klasa D określa najniższy poziom bezpieczeństwa oznaczający całkowity brak wiarygodności systemu. Poziom ten nie wymaga weryfikacji, ponieważ cechuje go brak jakichkolwiek zabezpieczeń.

Jedynie co można zrobić to ograniczyć dostęp fizyczny do systemu. Każdy użytkownik, który ma dostęp do systemu może z nim zrobić wszystko

Klasa C1

Dobrowolna kontrola dostępu (ang. discetionary security protection). Każdy użytkownik kontroluje dostęp do obiektów, których jest właścicielem i zezwala na dostęp według własnego uznania. Dostęp może być inny dla właściciela, grupy czy pozostałych użytkowników. Przed rozpoczęciem pracy użytkownik musi załogować się do systemu podając swoje hasło. System operacyjny kontroluje uprawnienia użytkowników do odczytu i zapisu plików i kartotek oraz dysponuje mechanizmem autoryzacji dostępu. System taki nie ma na ogół zdefiniowanego tzw. superużytkownika (np. root w systemie Unix) lub użytkownik taki nie jest bardziej bezpieczny niż pozostali. Klasa C1 jest pozbawiona mechanizmów rejestrowania zdarzeń. Informacja o nazwach kont oraz zakodowane hasła są dostępne dla wszystkich użytkowników. Istnieje duże niebezpieczeństwo rozkodowania hasła na postawie zaszyfrowanego ciągu.
Klasa C2

Dostęp kontrolowany (ang. controlled access protection). System operacyjny pracujący na tym poziomie gwarantuje automatyczne rejestrowanie wszystkich istotnych z punktu widzenia bezpieczeństwa zdarzeń i zapewnia silniejszą ochronę kluczowych danych, takich jak baza danych haseł użytkowników systemu.

Istnieje również możliwość zablokowania niektórych instrukcji poszczególnym użytkownikom.
Klasa B1

Etykiety poziomu bezpieczeństwa (ang. labeled security protection). Etykiety pozwalają na stopniowanie poziomu poufności obiektów i poziomu zaufania do poszczególnych użytkowników. Klasa ta obsługuje bezpieczeństwo na kilku poziomach takich jak „tajne” i „ściśle tajne”. Ma wdrożone mechanizmy uznaniowej kontroli dostępu do zasobów systemu. Klasa ta blokuje możliwość zmiany praw dostępu do obiektu przez jego właściciela.

Klasa B2

Zabezpieczenie strukturalne (ang. structure protection). Poziom wymaga przypisanie każdemu obiektowi systemu etykiety bezpieczeństwa określającej status tego obiektu w odniesieniu do przyjętej polityki bezpieczeństwa. Przykładowo, gdy obiekt użytkownik żąda dostępu do obiektu folder, system ochrony przyjmuje lub odrzuca to żądanie na podstawie porównania zawartości etykiet bezpieczeństwa tych obiektów. Etykiety te mogą się zmieniać dynamicznie w zależności od tego co jest aktualnie użytkowane.

Klasa B3

Obszary poufne (ang. security domains). Jest to rozszerzenie problemu bezpieczeństwa na sprzęt komputerowy. W tym przypadku obowiązkowe jest chronienie zarówno przesyłanej jak i przechowywanej informacji. Dla przykładu: terminale muszą być połączone z serwerem za pośrednictwem specjalizowanego sprzęty i wiarygodnego okablowania, co da gwarancje że nikt nie będzie w stanie przechwycić znaków wciskanych na naszej klawiaturze.

Klasa A1

Zweryfikowana realizacja systemu (ang. verified design). To najwyższy poziom bezpieczeństwa. Cała konfiguracja sprzętowo-programowa wymaga matematycznej weryfikacji. Zarówno sprzęt jak i oprogramowanie musi podlegać specjalnej ochronie w trakcie transportu zapewniającej jego nienaruszalność. Wymaga formalnego dowodu, że system jest zgodny z wymaganiami. Problemem pojawiającym się jednak w systemie pracującym w tej klasie jest duże obciążenie spowodowane uaktywnieniem opcji bezpieczeństwa. Może okazać się, że serwery nie będą w stanie obsłużyć wszystkich użytkowników po uruchomieniu wszystkich programów zabezpieczających, co ciągnie za sobą duże obciążenie procesora i powierzchni dyskowej[44].

Aktualnie na rynku dostępnych jest wiele narzędzi przeznaczonych do ochrony systemów komputerowych. W pewnym sensie mamy do czynienia z bardzo modnym trendem rynkowym zabezpieczania systemów. Moda ta jest bardziej nakazem chwili niż nie mającym podstaw wymysłem, ale zarówno najbardziej zaawansowane aplikacje programowe i produkty sprzętowe dedykowane do ochrony naszej sieci nie zastąpią kluczowego elementu - polityki bezpieczeństwa.
Polityka bezpieczeństwa
Polityka bezpieczeństwa to plan lub sposób działania przyjęty w celu zapewnienia bezpieczeństwa systemów i ochrony danych[45]. Jest to zbiór dokumentów określający zasady ochrony informacji w danej organizacji. Dokumenty te powinny zawierać: wyjaśnienia, jasno sformułowane prawa, obowiązki i zakres odpowiedzialności osób mających związek z obiegiem informacji, procedury ochrony informacji oraz procedury działania w przypadku naruszenia bezpieczeństwa systemu[46]. Bezpieczeństwo systemów komputerowych z punktu widzenia polityki bezpieczeństwa należy postrzegać bardzo szeroko. Niezbędne jest rozważenie wszystkich możliwych zagrożeń - zarówno tych zewnętrznych jak i wewnętrznych. Należy wziąć pod uwagę wiele czynników takich jak: topologia sieci, użytkowane systemy operacyjne i sposoby autoryzacji użytkowników.

Budowa polityki bezpieczeństwa realizowana jest w następujących etapach:

?Określenie wymagań użytkowników lokalnych w zakresie korzystania z usług sieci Internet.

?Weryfikacja wymagań użytkowników lokalnych.

?Określenie zakresu usług sieci prywatnej dostępnych dla użytkowników sieci Internet.

?Weryfikacja udostępnianych usług sieci prywatnej.

?Planowanie polityki bezpieczeństwa.

?Zatwierdzenie przyjętej koncepcji ochrony.

?Wdrożenie polityki bezpieczeństwa.

?Testowanie systemu pod względem szczelności i efektywności.

?Szkolenia użytkowników (jeżeli jest to konieczne).
Dopiero w momencie zatwierdzenia projektu systemu ochrony przez kierownictwo organizacji można przystąpić do wyboru oprogramowania, które sprosta zadaniu wdrożenia przyjętej polityki bezpieczeństwa. Z uwagi na dużą ilość dostępnych rozwiązań, wybór najbardziej odpowiedniego produktu nie jest łatwy.
3.2 Techniki zabezpieczeń przed włamaniami
3.2.1 Firewall
Najbardziej skutecznym sposobem zmniejszania potencjalnych zagrożeń bezpieczeństwa wynikających z podłączenia do sieci, jest fizyczne

http://www.EduAkademia.pl