İnformasiya təhlükəsizliyi terminləri

Mənbə: Glossary of Computer Security Terms, National Computer Security Center, NCSC-TG-004.

A

Access (giriş) − subyekt və obyekt arasında qarşılıqlı təsirin xüsusi növü; təsirin nəticəsində birindən digərinə informasiya axını yaranır .

Access control (girişin idarə edilməsi, girişə nəzarət) − sistemin resurslarına girişin yalnız icazə verilmiş proqramlarla, proseslərlə və ya başqa sistemlərlə (şəbəkədə) məhdudlanması prosesi.

Access control mechanism (girişin idarə edilməsi mexanizmi) − avtomatlaşdırılmış sistemlərdə icazəsiz girişi aşkarlayan, qarşısını alan və qanuni girişə icazə verən avadanlıq və ya proqram təminatı, sistem prosedurları, administrator prosedurları və onların müxtəlif kombinasiyaları.

Access level (giriş səviyyəsi) − təhlükəsizlik səviyyəsi nişanının iyerarxik hissəsi, verilənlərin konfidensiallığının və ya subyektlərin şəffaflığının identifikasiyası üçün istifadə edilir. Giriş səviyyəsi qeyri-iyerarxik kateqoriyalarla birlikdə təhlükəsizlik səviyyəsini təşkil edir.

Access type (girişin növü) − müəyyən qurğuya, proqrama, fayla və s. giriş hüququnun mahiyyəti (məsələn, read, write, execute, append, modify, delete).

Accountability (hesabatlılıq) − sistemin müəyyən hərəkətlərə görə cavabdehliyi müəyyən etmək üçün sistemin subyektlərinin fəaliyyətini qeyd etməyə və onları fərdi identifikatorlarla əlaqələndirməyə imkan verən xassəsi.

Assurance (etibar) − təhlükəsizlik siyasətinin düzgün həyata keçirilməsi baxımından sistemin arxitekturasına və təhlükəsizliyin təmin edilməsi vasitələrinə inamın ölçüsü.

Attack (hücum) − sistemin mühafizəsindən keçmə cəhdləri. Hücum verilənlərin dəyişdirilməsinə səbəb olmaqla aktiv və ya passiv ola bilər. Hücumun həyata keçirilməsi faktı hələ onun uğurlu olması demək deyil. Hücumun uğur səviyyəsi sistemin zəifliyindən və mühafizə mexanizmlərinin səmərəliyindən asılıdır.

Audit trail (audit jurnalı) − sistem subyektlərinin fəaliyyəti haqqında xronoloji nizamlanmış yazıların məcmusu; son nəticənin təftişi məqsədi ilə əməliyyatların və prosedurların yerinə yetirilməsinə, həmçinin tranzaksiyalar zamanı hadisələrin baş verməsinə səbəb olan və ya şərait yaradan hərəkətlər ardıcıllığının bərpası, araşdırılması və analizi üçün yetərli olmalıdır.

Authenticate (autentifikasiya, həqiqiliyin yoxlanması)

  • İstifadəçinin, qurğunun və ya sistemin digər komponentinin həqiqiliyinin yoxlanılması; adətən sistemin resurslarına girişə icazə qərarının qəbul edilməsi üçün istifadə edilir;
  • İcazəsiz dəyişdirilməni aşkarlamaq üçün saxlanılan və ya ötürülən verilənlərin tamlığının yoxlanılması.

Authorization (avtorizə etmə) − istifadəçiyə, proqrama və ya prosesə girişin verilməsi.

Automated information system (avtomatlaşdırılmış informasiya sistemi, AİS) − verilənlərin və informasiyanın yaradılması, ötürülməsi, emalı, yayılması, saxlanması və/və ya idarə edilməsi və hesablamaların aparılması üçün nəzərdə tutulmuş proqram və aparat vasitələrinin məcmusu.

Automated information system security (avtomatlaşdırılmış informasiya sisteminin təhlükəsizliyi) − AİS-i xidmətdən imtina hücumlarından, AİS və verilənləri icazəsiz (bilərəkdən və ya təsadüfən) tanış olmaqdan, modifikasiyadan və ya məhv edilməkdən mühafizə edən vasitə və tədbirlərin məcmusu.

Availability of data (verilənlərin əlyetənliyi) − verilənlərin istifadəçiyə lazım olan formada; istifadəçiyə lazım olan yerdə və istifadəçiyə lazım olan zamanda əlyetən olması vəziyyəti.

B

Bell-LaPadula model (Bell-LaPadula modeli) − təhlükəsizlik siyasətinin formal avtomat modeli, girişin idarə edilməsi üçün qaydalar çoxluğunu təsvir edir. Bu modeldə sistemin komponentləri obyektlərə və subyektlərə bölünür. “Təhlükəsiz vəziyyət” anlayışı daxil edilir və isbat edilir ki, əgər hər bir keçid təhlükəsiz vəziyyəti saxlayırsa (yəni, sistemi bir təhlükəsiz vəziyyətdən digər təhlükəsiz vəziyyətə keçirirsə), onda induksiya prinsipinə görə sistem təhlükəsiz olur.

C

Clearance (şəffaflıq səviyyəsi) − verilən subyektə Bell-LaPadula modelinin qaydaları ilə girişə icazə verilən təhlükəsizliyin maksimal səviyyəsi. Subyektin cari səviyyəsi (baxılan anda onun əməliyyatları yerinə yetirdiyi səviyyə) minimaldan şəffaflıq səviyyəsinə qədər dəyişə bilər.

Confidentiality (konfidensiallıq) − konfidensial informasiyanın məxfi saxlanılması, informasiyaya giriş istifadəçilərin (ayrı-ayrı şəxslərin və ya təşkilatların) müvafiq qrupu ilə məhdudlanır.

Contingency plan (backup plan, recovery plan) (fasiləsiz işin təmini və fəaliyyətin bərpası planı) − təhlükəli şəraitə (hala) cavabvermə, ehtiyat surətçıxarma və sonrakı bərpaetmə prosedurlarının planı, təhlükəsizlik proqramının bir hissəsidir, sistemin əsas resurslarının əlyetənliyini və fövqəladə hallarda fəaliyyətin fasiləsizliyini təmin edir.

Covert channel (örtülü kanal) − qarşılıqlı təsirdə olan iki prosesə informasiyanı sistemin təhlükəsizlik siyasətini pozmağa imkan verən üsulla mübadilə etməyə imkan verən kommunikasiya kanalı.

Covert storage channel (örtülü yaddaş kanalı) − informasiyanın yaddaş fəzasına birbaşa və ya dolayısı ilə bir proses tərəfindən yazılmasını və bu informasiyanın başqa bir proses tərəfindən oxunmasını təmin edən örtülü kanal. Örtülü yaddaş kanalı adətən müxtəlif təhlükəsizlik səviyyəsinə malik iki subyekt üçün ortaq olan məhdud həcmli resursların (məsələn, diskdəki sektorların) istifadəsi ilə əlaqədardır.

Covert timing channel (örtülü zaman kanalı) − bir proses informasiyanı digərinə sistem resurslarına öz girişini (məsələn, mərkəzi prosessorun məşğulluq müddətini) modulyasiya etməklə elə tərzdə ötürür ki, bu manipulyasiya digər proses tərəfindən tanına və aşkarlana bilsin.

Cryptography (kriptoqrafiya) − informasiyanın anlaşılmaz şəklə çevrilməsinin və şifrlənmiş informasiyanın qavrayış üçün yararlı şəklə bərpa edilməsinin prinsipləri, vasitələri və metodları.

D

Data Integrity (verilənlərin tamlığı) − verilənlərin əvvəlcədən müəyyən edilmiş şəkil və keyfiyyəti saxlaması xassəsi.

Data security (verilənlərin təhlükəsizliyi) − verilənlərin icazəsiz (təsadüfi və ya bilərəkdən) modifikasiyadan, məhv edilməkdən və tanış olmaqdan mühafizəsi.

Denial of service (xidmətin imtinası) − sistemin öz funksiyalarını dayandırmasına gətirən istənilən hissəsinin sıradan çıxmasına səbəb olan istənilən hərəkət və ya hərəkətlər ardıcıllığı. Səbəblər icazəsiz giriş, xidmətdə gecikmə və s. ola bilər.

Discretionary access control (DAC) (girişin fərqləndirici idarə edilməsi) − sistemin subyektlərinin obyektlərə girişini istifadəçinin, prosesin və/və ya onun mənsub olduğu qrupun identifikasiyasına və tanınmasına əsaslanan idarəetmə metodu.

Domain (oblast) − proqramların yerinə yetirilməsinin (məsələn, girişə nəzarət parametrləri) unikal konteksti; subyektin girişə malik olduğu obyektlər çoxluğu. Domen iyerarxik struktura malikdir.

E

End-to-end encryption (abonent şifrləməsi) − telekommunikasiya vasitələri ilə ötürülən informasiyanın kriptoqrafik metodlarla bilavasitə göndərənlə alan arasında mühafizəsi.

Evaluated Products List EPL (Aprobasiya olunmuş məhsulların siyahısı) − qiymətləndirilən və TCSEC standartına (Trusted Computer System Evaluation Criteria) − Narıncı kitaba müvafiq olaraq müəyyən sinfə uyğunluğu təsdiqlənən avadanlığın, aparatların və proqram təminatının siyahısı. EPL siyahısı ABŞ Milli Təhlükəsizlik Agentliyinin nəşr etdirdiyi Information System Security Products and Services Catalogue kataloquna daxil edilib.

F

Formal security policy model (təhlükəsizlik siyasətinin formal modeli) − təhlükəsizlik siyasətinin formal riyazi təsviri. Sistemin başlanğıc vəziyyətinin təsvirini, sistemin bir vəziyyətdən digərinə keçid üsullarını, həmçinin təhlükəsiz vəziyyətin müəyyən edilməsini nəzərdə tutur. Modelin ETB üçün əsas qəbul edilməsindən ötrü modeldə aşağıdakı müddəaların formal isbatı olmalıdır:

  • sistemin başlanğıc vəziyyəti təhlükəsizdir;
  • əgər modelin müəyyən etdiyi bütün təhlükəsizlik şərtləri ödənirsə, onda sistemin bütün sonrakı vəziyyətləri təhlükəsiz olacaqdır.

Formal modelə misal Bell-LaPadula modelidir.

I

Identification (identifikasiya) − sistemin müəyyən komponentlərinin tanınması prosesi, adətən unikal, sistem tərəfindən qavranılan adların (identifikatorların) köməyi ilə aparılır.

Information flow control (informasiya axınına nəzarət) − informasiyanın yuxarı təhlükəsizlik səviyyələrindən aşağı səviyyələrə ötürülə bilmədiyini təsdiqləyən idarəetmə prosedurları (Bell-LaPadula modelinin müddəalarına müvafiq olaraq). İnformasiya axınlarına nəzarətin daha ümumi tərifi informasiyanın örtülü kanallarla ötürülə bilmədiyini (yəni təhlükəsizlik siyasətindən yan keçərək) təsdiqləyən idarəetmə prosedurlarını nəzərdə tutur.

Integrity (tamlıq) − Bax. data integrity və system integrity.

L

Least privilege (minimal səlahiyyət) − mühafizə sisteminin təşkilinin əsas prinsiplərindən biridir, hər bir subyekt onun qarşısında qoyulmuş məsələlərin həlli üçün minimal mümkün imtiyazlar çoxluğuna malik olmalıdır. Bu prinsipə əməl edilməsi qəsdlər, səhvlər və imtiyazların icazəsiz istifadəsi nəticəsində mümkün olan pozuntulardan qoruyur.

Link encryption (kanal şifrləməsi) − telekommunikasiya vasitələri ilə ötürülən informasiyanın kriptoqrafik metodlarla mühafizəsi; şifrləmə iki qovşaq arasındakı rabitə kanalında həyata keçirilir (onlar göndərənlə alan arasında yerləşə bilərlər).

M

Mandatory access control (MAC, girişi mandatlı idarəetmə) − obyektlərə girişi idarəetmə üsulu, obyektdə olan informasiyanın (xüsusi nişanlarla təsvir olunmuş) konfidensiallıq səviyyəsinə və verilən konfidensiallıq səviyyəsinə malik informasiyaya giriş zamanı subyektin səlahiyyətlərinin və hüquqlarının (məsələn, şəffaflıq səviyyəsinin) formal yoxlanmasına əsaslanır.

Masquerading (maskarad) − müvafiq əməliyyatlara səlahiyyətləri olmayan və özünü bu əməliyyatlara icazəsi olan subyekt kimi qələmə verən subyektlər tərəfindən sistemə və obyektə giriş əldə etmək və ya digər əməliyyatları yerinə yetirmək cəhdləri.

Multilevel security (çoxsəviyyəli təhlükəsizlik) − müxtəlif konfidensiallıq səviyyəsi olan infortmasiyaya malik olan, müxtəlif şəffaflıq səviyyələrinə malik subyektlərin obyektlərə eyni anda girişinə icazə verən və bu zaman icazəsiz girişi qadağan edən sistemlər sinfi.

N

National Computer Security Center (NCSC, Milli kompyuter Təhlükəsizliyi Mərkəzi, ABŞ) − Federal hökumət təşkilatlarında mühafizəli sistemlərin yayılmasını dəstəkləyən və stimullaşdıran təşkilat. Zəmanətli mühafizə sistemlərinin yaradılması və analizi sahəsində əlaqələndirici orqandır. İlkin adı − ABŞ Müdafiə Nazirliyi kompyuter Təhlükəsizliyi Mərkəzidir (DoD Computer Security Center).

Need-to-know (bilmək lazımdır) − öz səlahiyyətlərini yerinə yetirmək üçün xüsusi informasiyaya girişi olmaq, onu bilmək və ya ona malik olmaq zərurəti.

O

Object (obyekt) − sistemin informasiyanı saxlayan, qəbul edən və ötürən passiv komponenti. Obyektə giriş obyektdə olan informasiyaya girişi nəzərdə tutur. Obyektlərə misallar: yazılar, bloklar, səhifələr, seqmentlər, fayllar, kataloqlar və proqramlar, həmçinin ayrıca bitlər, baytlar, sözlər, sahələr; müxtəlif qurğular (terminallar, printerlər, disk qurğuları və s.); müxtəlif şəbəkə qurğuları (ayrıca qovşaqlar, kabellər və s.).

Object reuse (obyektin təkrar istifadəsi) − əvvəl bir və ya bir neçə obyektin yerləşdiyi yaddaş fəzasının (məsələn, səhifənin, freymin, diskin, maqnit lenti sektorunun) təkrar istifadəsi. Təhlükəsizliyi təmin etmək üçün bu fəzada onu yeni obyektə ayıranda köhnə obyektlərin informasiyası olmamalıdır.

P

Penetration (nüfuzetmə) − sistemin mühafizə mexanizmlərindən uğurla keçmə.

Personnel security (şəxsi təhlükəsizlik) − konfidensial informasiyaya girişi olan bütün şəxslərin zəruri icazə və müvafiq səlahiyyətlər almasını təsdiqləyən prosedurlar.

Physical security (fiziki təhlükəsizlik) − sistemin resurslarına və konfidensial informasiyaya fiziki təhdidlərə (sındırılma, oğurluq, terror aktı, həmçinin yanğın, daşqın və s.) qarşı preventiv əks-tədbirlər kimi fiziki baryerlərin və yoxlama prosedurlarının realizəsi.

Preferred Products List (PPL, Üstün məhsulların siyahısı) − TEMPEST proqramı üzrə sınaqlardan keçən və ABŞ Milli Təhlükəsizlik Agentliyinin digər tələblərinə cavab verən kommersiya məhsullarının (aparatlar və avadanlıq) siyahısı. PPL Milli Təhlükəsizlik Agentliyi tərəfindən nəşr edilən Information System Security Products and Services Catalogue kataloquna daxildir.

Prosess (proses) − yerinə yetirilən proqramlar. Həmçinin bax. domain və subject.

Protocols (protokollar) − sistemin müxtəlif komponentlərinə (məsələn, şəbəkə qovşaqlarına) informasiya mübadiləsi etməyə imkan verən semantik və sintaksis qaydalar və formatlar toplusu.

R

Recovery procedures (bərpaetmə prosedurları) − sistemin informasiyanı emal etmək qabiliyyətinin bərpası, həmçinin qəza və xətadan sonra verilənlərin bərpası üçün həyata keçirilən hərəkətlər.

Reference monitor concept (müraciətlər monitoru konsepsiyası) − subyektlərin obyektlərə bütün giriş cəhdlərini ayıran abstrakt maşın anlayışına əsaslanan girişə nəzarət konsepsiyası. Təhlükəsizlik nüvəsi şəklində praktik realizə edilir.

Risk analysis (risk analizi) − sistemin və onun ayrı-ayrı komponentlərinin təhlükəsizliyinə təhdidlərin, onların xarakteristikalarının və potensial ziyanın müəyyən edilməsi, həmçinin əks-tədbirlərin seçilməsi prosesi.

S

Secure state (təhlükəsiz vəziyyət) − yerinə yetirildiyi halda malik olduğu səlahiyyətləri yoxlamaqdan başqa digər yolla heç bir subyektin heç bir obyektə giriş ala bilmədiyi şərt.

Security flaw (təhlükəsizlik çatı) − mühafizənin yarılmasına səbəb ola bilən səlahiyyətlərin təyin edilməsi səhvləri və ya sistemin mühafizə vasitələrinin yaradılması, realizəsi və ya idarə edilməsi zamanı buraxılan nöqsanlar.

Security kernel (təhlükəsizlik nüvəsi) − EHB-in müraciətlər monitoru konsepsiyasını realizə edən proqram və aparat elementləri. Onlar subyektlərin obyektlərə bütün giriş cəhdlərini ayırmalı, dəyişikliklərdən mühafizəli olmalı və öz funksiyalarını düzgün yerinə yetirmələri yoxlanılmalıdır.

Security level (təhlükəsizlik səviyyəsi) − informasiyanın konfidensiallıq səviyyəsini göstərən iyerarxik təsnifatın (giriş səviyyəsi) və qeyri-iyerarxik kateqoriyaların kombinasiyası.

Security policy (təhlükəsizlik siyasəti) − əsasında konfidensial informasiyanın idarə edilməsi, yayılması və mühafizəsi təşkil olunan qanunlar, qaydalar və praktiki təcrübələr.

Security policy model (təhlükəsizlik siyasəti modeli) − sistem üçün işlənmiş təhlükəsizlik siyasətinin formal təsviri. Modeldə konfidensial informasiyanın idarə edilməsini, yayılmasını və mühafizəsini müəyyən edən formal təsvirlər olmalıdır.

Sensitive information (konfidensial informasiya) − itirilməsi, qeyri-düzgün istifadəsi, modifikasiyası və ya açılması milli maraqlara ziyan vura bilən və ya milli proqramların yerinə yetirilməsinə mane ola bilən və ya ayrıca şəxslərin maraqlarına ziyan vura bilən, lakin bununla belə milli müdafiə və ya xarici siyasət maraqlarına toxunmayan istənilən informasiya. Özəl sektorda konfidensial informasiya anlayışı analoji daxil edilir − itirilməsi, qeyri-düzgün istifadəsi, modifikasiyası və ya açılması şirkətin və ya digər təşkilatın maraqlarına maddi (pul ziyanı) və ya qeyri-maddi (mənəvi ziyan) formada ifadə olunan ziyan vura bilən informasiya.

Subject (subyekt) − sistemin aktiv komponenti, adətən obyektdən obyektə informasiya axınının və ya sistemin vəziyyətinin dəyişməsinin səbəbi ola bilən istifadəçi, proses və ya qurğu kimi təsvir edilir. Adətən subyekt proses-oblast cütü ilə göstərilir.

System integrity (sistemin bütünlüyü) − sistemin özünün bütün funksiyalarını korrekt yerinə yetirdikdə və qəsdli və ya təsadüfi manipulyasiyalardan azad olduqda malik olduğu keyfiyyəti.

T

TEMPEST (Transient Electromagnetic Pulse Emanation Standard) − elektrik və elektron avadanlığın şüalandırdığı əlavə elektron siqnalların analizi və onlara nəzarət standartı.

Threat (təhdid) − sistemə verilənlərin məhv edilməsi, açılması və ya dəyişdırilməsi və/və ya xidmətdən imtina şəklində ziyan vurulmasına səbəb ola bilən istənilən hal və ya hadisələr.

Trusted Computing Base (Etibarlı Hesablama Bazası; EHB) − hesablama sisteminin təhlükəsizlik siyasətinin dəstəklənməsi üçün cavabdeh olan proqram və aparat komponentləri daxil olmaqla mühafizə mexanizmlərı. EHB bir və ya bir neçə komponentdən ibarətdir, onlar birlikdə sistem çərçivəsində vahid təhlükəsizlik siyasətinin realizəsinə cavabdehdirlər. EHB-nin vahid təhlükəsizlik siyasətini korrekt həyata keçirməsi qabiliyyəti ilk növbədə EHB-nin özünün mexanizmlərindən, həmçinin sistem inzibatçılığının korrekt idarə edilməsindən asılıdır.

Trusted path (etibarlı marşrut) − terminal arxasındakı istifadəçinin EHB ilə bilavasitə qarşılıqlı əlaqədə olmasına kömək edən mexanizm. O yalnız istifadəçi və ya EHB tərəfindən aktivləşdirilə bilər, onun işi şübhəli proqram təminatı tərəfindən dayandırıla, imitasiya edilə və ya pozula bilməz.

Trusted software (etibarlı proqram təminatı) − EHB-na daxil olan proqram təminatı.

V

Verification (verifikasiya) − sistemin spesifikasiyalarının iki səviyyəsinin (məsələn, təhlükəsizlik siyasəti modelinin və sistemin spesifikasiyalarının; sistemin spesifikasiyalarının və ilkin kodların; ilkin kodların və yerinə yetirilən kodların) onlar arasında zəruri uyğunluğu sübut etmək üçün qarşılaşdırılması prosesi. Bu proses tamamilə və ya qismən avtomatlaşdırıla bilər.

Vulnerability (boşluq) − sistemin mühafizə vasitələrində zəiflik; sistemin prosedurlarında, layihəsində, realizəsində, daxili nəzarətində səhvlər və ya zəifliklər nəticəsində meydana çıxır, sistemin təhlükəsizlik siyasətinin pozulması üçün istifadə edilə bilər.


 Əlaqə:
 Telefon: (994 12) 5104253
 E-poçt: info at sciencecert dot az
2013 © AMEA İnformasiya Texnologiyaları İnstitutu
Saytdakı məlumatlardan istifadə edərkən www.sciencecert.az saytına istinad zəruridir.