|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
Access (доступ) - специальный тип взаимодействия между субъектом и объектом, в результате которого создается поток информации от одного к другому.
Access control (управление доступом, контроль доступа) - процесс ограничения доступа к ресурсам системы только разрешенным программам, процесса или другим системам (в сети).
Access control mechanism (механизм контроля доступа) - оборудование или программное обеспечение, процедуры системы, процедуры администратора и их различные комбинации, которые обнаруживают, предотвращают несанкционированный доступ и разрешают законный в автоматизированных системах.
Access level (уровень доступа) - иерархическая часть метки уровня безопасности, используемая для идентификации критичности данных или прозрачности субъектов. Уровень доступа вместе с неиерархическими категориями составляет уровень безопасности.
Access type (тип доступа) - сущность права доступа к определенному устройству, программе, файлу и т.д. (обычно read, write, execute, append, modify, delete).
Advisory (извещение) - информационная статья, бюллетень, письмо, в котором содержится информация об уязвимости или ошибках в ПО. Иногда включает в себя советы по устранению уязвимости или ошибок.
Attack (атака) - попытка преодоления защиты системы. Атака может быть активной, ведущей к изменению данных, или пассивной. Тот факт, что атака была осуществлена еще, не значит, что она успешна. Степень успеха атаки зависит от уязвимости системы и эффективности защитных мер.
Audit trail (системный журнал) - хронологически упорядоченная совокупность записей результатов деятельности субъектов системы, достаточная для восстановления, просмотра и анализа последовательности действий, окружающих или приводящих к выполнению операций, процедур или совершению событий при транзакции с целью инспекции конечного результата. 8)
Authenticate (аутентификация, проверка подлинности) -
1. Проверка идентификации пользователя, устройства или другого компонента в системе, обычно для принятия решения о разрешении доступа к ресурсам системы;
2. Проверка целостности хранящихся или передающихся данных для обнаружения их несанкционированной модификации.
Authorization (авторизация) - предоставление доступа пользователю, программе или процессу.
BackDoor (черный ход) - программа, которая при подключении на заданный порт или приеме условного сигнала выполняет некоторые действия, позволяющие злоумышленнику проникнуть внутрь системы.
Bind-Shell programme - программа, открывающая слушающий сокет на некотором порту и предоставлящая доступ к шеллу при подключении к нему. Часто используется в значении порт-binding шеллкода.
BugTrack - информационный лист, в котором публикуются данные об уязвимостях или ошибках в ПО. Часто используется как собирательное название всех информационных источников связанных с информационной безопасностью.
Confidentiality (конфиденциальность) - содержание критичной информации в секрете, доступ к ней ограничен узким кругом пользователей (отдельных лиц или организаций).
Covert channel (скрытый канал) - путь передачи информации, позволяющий двум взаимодействующим процессам обмениваться информацией таким способом, который нарушает системную политику безопасности.
Cryptography (криптография) - принципы, средства и методы преобразования информации к непонятному виду, а также восстановления информации к виду, пригодному для восприятия.
Daemon (демон) - обозначение фоновой службы в Unix.
Data Integrity (целостность данных) - свойство, при выполнении которого данные сохраняют заранее определенный вид и качество.
Data security (безопасность данных) - защита данных от несанкционированной (случайной или намеренной) модификации, разрушения или раскрытия.
Deface - замена главной страницы сайта или ее части.
Denial of Service (DoS, отказ в обслуживании) - любое действие или последовательность действий, которая приводит любую часть системы к выходу из строя, при котором та перестают выполнять свои функции. Причиной может быть несанкционированный доступ, задержка в обслуживании и т.д.
Domain (область) - уникальный контекст (например, параметры контроля доступа) исполнения программы, множество объектов, к которым субъект может иметь доступ. Имеет иерархическую структуру.
e-zine - электронный журнал (electronic Magazine)
Exploit (разрабатывать\подвиг 8) - программа, обычно выполняющая какое-либо действие для получения лучших прав в системе\вредоносных действий. Эксплойты делятся на приватные (private-) и публичные (public-):
private exploit - не распростроняемый эксплойт, используется ограниченным количеством людей.
public exploit - свободно доступный эксплойт.
Identification (идентификация) - процесс распознавания определенных компонентов системы, обычно с помощью уникальных, воспринимаемых системой имен (идентификаторов).
Least privilege (минимум привилегий) - один из основополагающих принципов организации системы защиты, гласящий, что каждый субъект должен иметь минимально возможный набор привилегий, необходимый для решения поставленных перед ним задач.
Следование этому принципу предохраняет от нарушений, возможных в результате злого умысла, ошибки или несанкционированного использования привилегий.
Link encryption (канальное шифрование) - защита информации, передаваемой средствами телекоммуникаций криптографическими методами; шифрование осуществляется в канале связи между двумя узлами (которые могут быть промежуточными на пути от отправителя к получателю).
Masquerading (маскарад) - попытка получить доступ к системе, объекту или выполнение других действий субъектом, не обладающим полномочиями на соответствующее действие и выдающим себя за другого, которому эти действия разрешены.
Multilevel security (многоуровневая безопасность) - класс систем, содержащих информацию с различными уровнями критичности, которые разрешают одновременный доступ к объектам субъектам с различными уровнями прозрачности, но запрещают при этом несанкционированный доступ.
National Computer Security Center (NCSC, Национальный Центр Компьютерной Безопасности, США) - организация, поддерживающая и стимулирующая распространение защищенных систем в учреждениях Федерального правительства. Является координирующим органом в области анализа и разработки систем с гарантированной защитой. Первичное название - Центр Компьютерной Безопасности министерства обороны США (DoD Computer Security Center).
Object (объект) - пассивный компонент системы, хранящий, принимающий или передающий информацию. Доступ к объекту подразумевает доступ к содержащейся в нем информации. Примеры объектов: записи, блоки, страницы, сегменты, файлы, директории и программы, а также отдельные биты, байты, слова, поля; различные устройства (терминалы, принтеры, дисководы и т.д.); различные сетевые устройства (отдельные узлы, кабели и т.д.).
Penetration (проникновение) - успешное преодоление механизмов защиты системы.
Personnel security (личная безопасность) - процедуры, удостоверяющие, что все, кто имеет доступ к критичной информации, получили необходимое разрешение и соответствующие полномочия.
Physical security (физическая безопасность) - реализация физических барьеров и контрольных процедур, как превентивная или контрмера против физических угроз (взлома, кражи, террористического акта, а также пожара, наводнения и т.д.) ресурсам системы и критичной информации.
Prосеss (процесс) - выполняющаяся программа.
Protocols (протоколы) - набор правил и форматов, семантических и синтаксических, позволяющих различным компонентам системы обмениваться информацией (например, узлам сети).
Recovery procedures (восстановительные процедуры) - действия, предпринимаемые для восстановления способности системы обрабатывать информацию, а также восстановление наборов данных после аварии или сбоя.
Rooting - получение прав суперпользователя.
Secure state (безопасное состояние) - условие, при выполнении которого ни один субъект не может получить доступ ни к какому объекту иначе как на основе проверки имеющихся у него полномочий.
Security flaw (брешь безопасности) - ошибка при назначении полномочий или упущение при разработке, реализации или управлении средствами защиты системы, которые могут привести к преодолению защиты.
Security level (уровень безопасности) - комбинация иерархической классификации (уровень доступа) и неиерархической категории, представляющих уровень критичности информации.
Security policy (политика безопасности) - набор законов, правил и практического опыта, на основе которых строится управление, защита и распределение критичной информации.
Security policy model (модель политики безопасности) - формальное представление политики безопасности, разработанной для системы. Оно должно содержать формальное описание определяющих управление, распределение и защиту критической информации.
Shell (оболочка) - оболочка, осуществляющая взамодействие человека с операционной системой.
Shellcode - код, позволяющий запустить шелл.
Subject (субъект) - активный компонент системы, обычно представленный в виде пользователя, процесса или устройства, который может явиться причиной потока информации от объекта к объекту или изменения состояния системы. Обычно субъект представляется парой процесс - область.
System integrity (целостность системы) - качество системы, которым она обладает, если корректно выполняет все свои функции, свободна от намеренных или случайных несанкционированных манипуляций.
Unix-Like OS (Unix ОС) - операционные системы с примерно одинаковым строением, похожие на Unix, имеют единый набор ключевых слов командной строки. Яркими примерами являются: FreeBSD, Linux, MacOS.
Verification (верификация) - процесс сопоставления двух уровней спецификаций системы (например, модели политики безопасности и спецификаций системы, спецификаций системы и исходных кодов, исходных кодов и выполняемых кодов) для установления необходимого соответствия между ними. Этот процесс может быть полностью или частично автоматизирован.
Vulnerability (уязвимость) - слабость в системных средствах защиты, вызванная ошибками или слабостями в процедурах, проекте, реализации, внутреннем контроле системы, которая может быть использована для нарушения системной политики безопасности.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
| |
