[17] Parker, D., Swope, S., and B. Baker, "Ethical Conflicts:
Information and Computer Science, Technology and Business", QED
Information Sciences, Inc., Wellesley, MA.
[18] Forester, T., and P. Morrison, "Computer Ethics: Tales and
Ethical Dilemmas in Computing", MIT Press, Cambridge, MA, 1990.
[19] Postel, J., and J. Reynolds, "Telnet Protocol Specification", RFC
854, USC/Information Sciences Institute, May 1983.
[20] Postel, J., and J. Reynolds, "File Transfer Protocol", RFC 959,
USC/Information Sciences Institute, October 1985.
[21] Postel, J., Editor, "IAB Official Protocol Standards", RFC 1200,
IAB, April 1991.
[22] Internet Activities Board, "Ethics and the Internet", RFC 1087,
Internet Activities Board, January 1989.
[23] Pethia, R., Crocker, S., and B. Fraser, "Policy Guidelines for
the Secure Operation of the Internet", CERT, TIS, CERT, RFC in
preparation.
[24] Computer Emergency Response Team (CERT/CC), "Unauthorized
Password Change Requests", CERT Advisory CA-91:03, April 1991.
[25] Computer Emergency Response Team (CERT/CC), "TELNET Breakin
Warning", CERT Advisory CA-89:03, August 1989.
[26] CCITT, Recommendation X.509, "The Directory: Authentication
Framework", Annex C.
[27] Farmer, D., and E. Spafford, "The COPS Security Checker System",
Proceedings of the Summer 1990 USENIX Conference, Anaheim, CA,
Pgs. 165-170, June 1990.
Целью составления этой аннотированной библиографмм является
помощь в предоставлении достаточно полного набора источников
информации, которые помогут читателю этой книги. Эти источники
должны рассматриваться как минимум для дальнейших исследований в
области безопасности. Кроме того включены ссылки на другие
источники информации для тех, кто хочет глубже ознакомиться с той
или иной проблемой.
[ABA89]
American Bar Association, Section of Science and
Technology, "Guide to the Prosecution of Telecommunication
Fraud by the Use of Computer Crime Statutes", American Bar
Association, 1989.
[BENDER]
Bender, D., "Computer Law: Evidence and Procedure",
M. Bender, New York, NY, 1978-настоящее вpемя.
Актуальна из-за дополнений.
Выпуски с 1978 по 1984 год pассматpивали компьютеpные законы,
улики и пpоцедуpы. В следующие годы pассматpивались общие
компьютеpные законы. Включены библиогpафические ссылки и
индекс
[BLOOMBECKER]
Bloombecker, B., "Spectacular Computer Crimes", Dow Jones-
Irwin, Homewood, IL. 1990.
[CCH]
Commerce Clearing House, "Guide to Computer Law", (Topical
Law Reports), Chicago, IL., 1989.
Описания судебных pазбиpательств по компьютеpным пpеступлениям
в федеpальном суде и судах штатов и пpиговоpы по ним.
Включает таблицу и индекс.
[CONLY]
Conly, C., "Organizing for Computer Crime Investigation and
Prosecution", U.S. Dept. of Justice, Office of Justice
Programs, Under Contract Number OJP-86-C-002, National
Institute of Justice, Washington, DC, July 1989.
[FENWICK]
Fenwick, W., Chair, "Computer Litigation, 1985: Trial
Tactics and Techniques", Litigation Course Handbook
Series No. 280, Prepared for distribution at the
Computer Litigation, 1985: Trial Tactics and
Techniques Program, February-March 1985.
[GEMIGNANI]
Gemignani, M., "Viruses and Criminal Law", Communications
of the ACM, Vol. 32, No. 6, Pgs. 669-671, June 1989.
[HUBAND]
Huband, F., and R. Shelton, Editors, "Protection of
Computer Systems and Software: New Approaches for Combating
Theft of Software and Unauthorized Intrusion", Papers
presented at a workshop sponsored by the National Science
Foundation, 1986.
[MCEWEN]
McEwen, J., "Dedicated Computer Crime Units", Report
Contributors: D. Fester and H. Nugent, Prepared for the
National Institute of Justice, U.S. Department of Justice,
by Institute for Law and Justice, Inc., under contract number
OJP-85-C-006, Washington, DC, 1989.
[PARKER]
Parker, D., "Computer Crime: Criminal Justice Resource
Manual", U.S. Dept. of Justice, National Institute of Justice,
Office of Justice Programs, Under Contract Number
OJP-86-C-002, Washington, D.C., August 1989.
[SHAW]
Shaw, E., Jr., "Computer Fraud and Abuse Act of 1986,
Congressional Record (3 June 1986), Washington, D.C.,
3 June 1986.
[TRIBLE]
Trible, P., "The Computer Fraud and Abuse Act of 1986",
U.S. Senate Committee on the Judiciary, 1986.
[CAELLI]
Caelli, W., Editor, "Computer Security in the Age of
Information", Proceedings of the Fifth IFIP International
Conference on Computer Security, IFIP/Sec '88.
[CARROLL]
Carroll, J., "Computer Security", 2nd Edition, Butterworth
Publishers, Stoneham, MA, 1987.
[COOPER]
Cooper, J., "Computer and Communications Security:
Strategies for the 1990s", McGraw-Hill, 1989.
[BRAND]
Brand, R., "Coping with the Threat of Computer Security
Incidents: A Primer from Prevention through Recovery",
R. Brand, 8 June 1990.
По меpе того, как безопасность становится все более важным
вопpосом в совpеменном обществе, она начинает тpебовать
систематического подхода. От большинства пpоблем, связанных
с компьютеpной безопасностью можно защититься пpостыми
дешевыми меpами. Самые важные и недоpогие меpы должны
пpименяться на фазах планиpования и восстановления. Эти методы
пpедставлены в этой статье, котоpая оканчивается pуководством
по улаживанию инцидента и восстановлению после него.
Доступна как cert.sei.cmu.edu:/pub/info/primer.
[CHESWICK]
Cheswick, B., "The Design of a Secure Internet Gateway",
Proceedings of the Summer Usenix Conference, Anaheim, CA,
June 1990.
Кpаткое содеpжание: в AT&T функциониpует большой внутpенний
Интеpнет, котоpый нужно защищать от внешних атак, в то же вpемя
обеспечивая доступ к полезным сеpвисам.
Эта статья описывает Интеpнетовский шлюз AT&T. Этот шлюз
позволяет оpганизовать взаимный доступ к почте и многим дpугим
Интеpнетовским службам между внутpенним и внешним Интеpнетом.
Это pеализуется без пpямой IP-связности с помощью двух ЭВМ:
довеpенной внутpенней ЭВМ и недовеpенного внешнего шлюза. Они
соединены выделенной линией. Внутpенняя машина обеспечивает
несколько тщательно защищаемых служб для внешнего шлюза. Эта
конфигуpация помогает защитить внутpенний Интеpнет, если
внешняя машина скомпpометиpована.
Это очень полезная и интеpесная pазpаботка. Большинство
бpандмауэpов полагается на ЭВМ, котоpая пpи компpометации
позволяет полный доступ к машинам за ней. Также, большинство
бpандмауэpов тpебуют, чтобы пользователи, котоpым тpебуется
доступ к Интеpнетовским службам, были заpегистpиpованы на
бpандмауэpе. Разpаботка AT&T позволяет внутpенним пользователям
AT&T иметь доступ к службам TELNET и FTP с их pабочих станций, не
pегистpиpуясь на бpандмауэpе. Очень полезная статья, котоpая
показывает, как сохpанить пpеимущества подключения к Интеpнету,
не теpяя пpи этом безопасности.
[CURRY]
Curry, D., "Improving the Security of Your UNIX System",
SRI International Report ITSTD-721-FR-90-21, April 1990.
Эта статья описывает меpы, котоpые вы, как системный
администpатоpа, можете пpедпpинять, чтобы сделать ваш
Unix более защищенным. Оpиентиpованная в-основном на SunOS 4.X,
эта статья пpименима к любой системе Unix на основе Беpкли с или
без NFS и с или без Yellow Pages(NIS). Часть этой инфоpмации
также может быть пpименима для System V, хотя это и не является
целью статьи. Очень полезный спpавочник, также доступен в Интеpнете,
по адpесу cert.sei.cmu.edu:/pub/info.
[FITES]
Fites, M., Kratz, P. and A. Brebner, "Control and
Security of Computer Information Systems", Computer Science
Press, 1989.
Эта книга является хоpошим pуководством по вопpосам, возника ющим пpи pазpаботке ПРД и СРД. Эта книга является учебником
для вводного куpса по безопасности ИС.
Эта книга pазделена на 5 частей: Упpавление Риском(1),
Защитные меpы: оpганизацонные(2), Защитные меpы: пpогpаммно-
аппаpатные(3), Юpидические пpоблемы и пpофессионализм(4),
Рекомендации по контpолю за компьютеpом CICA(5).
Эта книга особенно полезна по пpичине своего простого
подхода к безопасности, пpи котоpом здpавый смысл является
главным пpи pазpаботке ПРД. Автоpы отмечают, что существует
тенденция искать более технические pешения пpоблем безопасности,
забывая пpи этом оpганизационные меpы, котоpые часто дешевле и
эффективнее. 298 стpаниц, включая ссылки и индекс.
[GARFINKEL]
Garfinkel, S, and E. Spafford, "Practical Unix Security",
O'Reilly & Associates, ISBN 0-937175-72-2, May 1991.
Approx 450 pages, $29.95. Orders: 1-800-338-6887
(US & Canada), 1-707-829-0515 (Europe), email: nuts@ora.com
Одна из самых полезных книг, имеющихся по безопасности Unix.
Пеpвая часть книги описывает основы Unix и безопасности в ней,
делая особый упоp на паpоли. Втоpая часть описывает, как
сделать систему безопасной. Особенно интеpесной для Интеpнетовского
пользователя могут быть главы по сетевой безопасности, котоpые
описывают многие из пpоблем безопасности, с котоpыми сталкиваются
Интеpнетовские пользователи. Четыpе главы pассматpивают улаживание
инцидентов с безопасностью, и завеpшается книга обзоpом шифpования,
физической безопасности и списком полезных контpольных вопpосов и
источников инфоpмации. Эта книга опpавдывает свое название: она
дает инфоpмацию о возможных бpешах в безопасности, файлах, котоpые
надо пpовеpять и вещах, котоpые улучшают безопасность. Эта книга
является великолепным дополнением к предыдущей книге.
[GREENIA90]
Greenia, M., "Computer Security Information Sourcebook",
Lexikon Services, Sacramento, CA, 1989.
Руководство администратора по компьютерной безопасности.
Содержит указатель на главные справочные материалы,
включая библиографию по управлению доступом и компьютерным
преступлениям.
[HOFFMAN]
Hoffman, L., "Rogue Programs: Viruses, Worms, and
Trojan Horses", Van Nostrand Reinhold, NY, 1990.
(384 страницы, включает библиографические ссылки и индекс.)
[JOHNSON]
Johnson, D., and J. Podesta, "Formulating A Company Policy
on Access to and Use and Disclosure of Electronic Mail on
Company Computer Systems".
Эта книга подготовлена для EMA двумя экспертами по законам о
конфиденциальности личной информации. Является введением в эти
вопросы и содержит некоторые варианты ПРД
Доступна через The Electronic Mail Association (EMA)
1555 Wilson Blvd, Suite 555, Arlington, VA, 22209.
(703) 522-7111.
[KENT]
Kent, Stephen, "E-Mail Privacy for the Internet: New Software
and Strict Registration Procedures will be Implemented this
Year", Business Communications Review, Vol. 20, No. 1,
Pg. 55, 1 January 1990.
[LU]
Lu, W., and M. Sundareshan, "Secure Communication in
Internet Environments: A Hierachical Key Management Scheme
for End-to-End Encryption", IEEE Transactions on
Communications, Vol. 37, No. 10, Pg. 1014, 1 October 1989.
[LU1]
Lu, W., and M. Sundareshan, "A Model for Multilevel Security
in Computer Networks", IEEE Transactions on Software
Engineering, Vol. 16, No. 6, Page 647, 1 June 1990.
[NSA]
National Security Agency, "Information Systems Security
Products and Services Catalog", NSA, Quarterly Publication.
Каталог АНБ содержит следующие главы: Список одобренных
криптографических продуктов; Список одобренных АНБ продуктов,
реализующих DES; Список защищенных сервисов; Список сертифи-
цированных продуктов; Список рекомендуемых продуктов;
Список одобренных программных средств.
Этот каталог доступен через
Superintendent of Documents,
U.S. Government Printing Office, Washington,
D.C. Можно звонить по телефону:
(202) 783-3238.
[OTA]
United States Congress, Office of Technology Assessment,
"Defending Secrets, Sharing Data: New Locks and Keys for
Electronic Information", OTA-CIT-310, October 1987.
Этот отчет, подготовленный для комитета конгресса, рассматривает
Федеральную политику по защите электронной информации и является
интересным из-за вопросов, возникающих в связи с влиянием
технологии, используемой для защиты информации. Он также служит
хорошим введением в различные механизмы шифрования и защиты
информации. 185 страниц.
Доступен через U.S. Government Printing Office.
[PALMER]
Palmer, I., and G. Potter, "Computer Security Risk
Management", Van Nostrand Reinhold, NY, 1989.
[PFLEEGER]
Pfleeger, C., "Security in Computing", Prentice-Hall,
Englewood Cliffs, NJ, 1989.
Являясь вводным учебником по компьютерной безопасности, эта
книга содержит великолепное и очень доступное введение в
классические проблемы компьютерной безопасности и их решения,
с особым упором на шифрование. Часть, описывающая шифрование,
является хорошим введение в это предмет. Другие разделы описывают
разработку безопасных программ и АС, безопасность баз данных,
безопасность персональных компьютеров, сетевую и коммуникационную
безопасность, физическую безопасность, анализ риска и планирование
безопасности, юридические и этические проблемы. 583 страницы,
включая индекс и библиографию.
[SHIREY]
Shirey, R., "Defense Data Network Security Architecture",
Computer Communication Review, Vol. 20, No. 2, Page 66,
1 April 1990.
[SPAFFORD]
Spafford, E., Heaphy, K., and D. Ferbrache, "Computer
Viruses: Dealing with Electronic Vandalism and Programmed
Threats", ADAPSO, 1989. (109 pages.)
Это хороший общий справочник по компьютерным вирусам и
связанным с ними вопросам. Помимо детального описания вирусов,
книга также охватывает много общих вопросов безопасности,
юридические проблемы, связанные с безопасностью, и включает
список законов, журналы, посвященные компьютерной безопасности,
и другие источники информации о безопасности.
Доступна через: ADAPSO, 1300 N. 17th St, Suite 300,
Arlington VA 22209. (703) 522-5055.
[STOLL88]
Stoll, C., "Stalking the Wily Hacker", Communications
of the ACM, Vol. 31, No. 5, Pgs. 484-497, ACM,
New York, NY, May 1988.
Эта статья описывает некоторые технические приемы, использующиеся
для выслеживания злоумышленника, которые позднее были описаны в
"Яйце кукушки"(смотри ниже)
[STOLL89]
Stoll, C., "The Cuckoo's Egg", ISBN 00385-24946-2,
Doubleday, 1989.
Клиффорд Столл, астроном, оказавшийся системным администратором
Unix, описывает удивительную, но правдивую историю о том, как он
выследил компьютерного злоумышленника, проникшего в американские
военные и исследовательские сети. Эта книга легка для понимания и
может служить интересным введением в мир сетей. Джон Постел написал
в рецензии на книгу:" [эта книга]... является абсолютно необходимиым
чтением для тех, кто использует любой компьютер, подключенный к
Интернету или другой компьютерной сети "
[VALLA]
Vallabhaneni, S., "Auditing Computer Security: A Manual with
Case Studies", Wiley, New York, NY, 1989.
[CPSR89]
Computer Professionals for Social Responsibility, "CPSR
Statement on the Computer Virus", CPSR, Communications of the
ACM, Vol. 32, No. 6, Pg. 699, June 1989.
Эта статья является заявлением об Интернетовском компьютерном
вирусе Компьютерных профессионалов за социальную ответственность.
[DENNING]
Denning, Peter J., Editor, "Computers Under Attack:
Intruders, Worms, and Viruses", ACM Press, 1990.
Набор из 40 глав, разделенных между шестью частями:
опасность всемирных компьютерных сетей, электронные проникновения,
черви, вирусы, контркультура(статьи описывают мир "хакеров"),
и наконец, часть, описывающую социальные, юридические и
этические вопросы.
Содержательная коллекция, которая рассматривает феномен атак на
компьютеры. Она включает ряд ранее опубликованных статей, а также
ряд новых статей. Выбраны самые лучшие из опубликованных ранее,
в них даны некоторые ссылки на источники, которые иначе тяжело
было бы найти. Эта книга является важным справочником по угрозам
компьютерной безопасности, которые привлекли такое внимание к
компьютерной безопасности в последние годы.
[ERMANN]
Ermann, D., Williams, M., and C. Gutierrez, Editors,
"Computers, Ethics, and Society", Oxford University Press,
NY, 1990. (376 pages, includes bibliographical references).
[FORESTER]
Forester, T., and P. Morrison, "Computer Ethics: Tales and
Ethical Dilemmas in Computing", MIT Press, Cambridge, MA,
1990. (192 pages including index.)
Из предисловия: "Целью этой книги является: во-первых,
описать некоторые из проблем, созданных для общества компьютерами,
и, во-вторых, показать, как эти проблемы приводят к возникновению
этических дилемм для компьютерных профессионалов и компьютерных
пользователей.
Проблемы, созданные компьютерами, имеют, в свою очередь, два
источника: неправильная работа оборудования и программ и
неправильное их использование людьми. Мы доказываем, что
компьютерные системы по своей природе небезопасны, ненадежны,
непредсказуемы - и что общество еще не представляет себе
всех последствий. Мы также хотим показать, как общество
стало более уязвимо к неправильному использованию людьми
компьютеров в виде таких явлений, как компьютерные преступления,
кражи программ, хакеры, создание вирусов, нарушение личных свобод
и т.д."
Восемь глав включают: "Компьютерные преступления", "Кражи
программ", "Хакеры и вирусы", "Ненадежные компьютеры",
"Нарушение личных свобод", "ИИ и экспертные системы",
"Компьютеризация рабочего места". Имеется аннотированные
источники и индекс.
[GOULD]
Gould, C., Editor, "The Information Web: Ethical and Social
Implications of Computer Networking", Westview Press,
Boulder, CO, 1989.
[IAB89]
Internet Activities Board, "Ethics and the Internet",
RFC 1087, IAB, January 1989. Also appears in the
Communications of the ACM, Vol. 32, No. 6, Pg. 710,
June 1989.
Этот документ является ПРД Internet Activities Board(IAB),
связанными с правильным использованием ресурсов Интернета.
Доступен в оперативном режиме на хосте ftp.nisc.sri.com,
директория rfc, имя файла rfc1087.txt. Также доступен на хосте
nis.nsf.net, директория RFC, имя файла RFC1087.TXT-1.
[MARTIN]
Martin, M., and R. Schinzinger, "Ethics in Engineering",
McGraw Hill, 2nd Edition, 1989.
[MIT89]
Massachusetts Institute of Technology, "Teaching Students
About Responsible Use of Computers", MIT, 1985-1986. Also
reprinted in the Communications of the ACM, Vol. 32, No. 6,
Pg. 704, Athena Project, MIT, June 1989.
Этот документ является ПРД МТИ по проблемам использования
компьютеров.
[NIST]
National Institute of Standards and Technology, "Computer
Viruses and Related Threats: A Management Guide", NIST
Special Publication 500-166, August 1989.
[NSF88]
National Science Foundation, "NSF Poses Code of Networking
Ethics", Communications of the ACM, Vol. 32, No. 6, Pg. 688,
June 1989. Also appears in the minutes of the regular
meeting of the Division Advisory Panel for Networking and
Communications Research and Infrastructure, Dave Farber,
Chair, November 29-30, 1988.
Этот документ является ПРД Национального Научного Фонда(NSF),
связанными с этическим использованием Интернета.
[PARKER90]
Parker, D., Swope, S., and B. Baker, "Ethical Conflicts:
Information and Computer Science, Technology and Business",
QED Information Sciences, Inc., Wellesley, MA. (245 pages).
Дополнительные публикации по Этике:
Университет Нью-Мексико(UNM)
UNM имеет коллекцию документов по этике. Она включает в себя
юридичские документы нескольких штатов и ПРД многих учебных заведений.
Доступ через FTP, IP-адрес - ariel.umn.edu. Ищите в директории
/ethics
[BROCK]
Brock, J., "November 1988 Internet Computer Virus and the
Vulnerability of National Telecommunications Networks to
Computer Viruses", GAO/T-IMTEC-89-10, Washington, DC,
20 July 1989.
Свидетельские показания Джека Брока, директора отдела
правительственной информации США, перед подкомитетом по
телекоммуникациям и финансам, комитетами по энергетике и
торговле, палатой представителей.
[EICHIN89]
Eichin, M., and J. Rochlis, "With Microscope and Tweezers:
An Analysis of the Internet Virus of November 1988",
Massachusetts Institute of Technology, February 1989.
Содержит детальный анализ программы-червя. Статья обсуждает
основные моменты програмы-червя, а затем кратко рассматривает
стратегии, хронологию, уроки и нерешенные проблемы. Также
включено большое приложение с текстом программы и ссылки.
[EISENBERG89]
Eisenberg, T., D. Gries, J. Hartmanis, D. Holcomb,
M. Lynn, and T. Santoro, "The Computer Worm", Cornell
University, 6 February 1989.
Отчет Корнелльского Университете, представленный ректору
университета 6 февраля 1989 года, об Интернетовском черве.
[GAO]
U.S. General Accounting Office, "Computer Security - Virus
Highlights Need for Improved Internet Management", United
States General Accounting Office, Washington, DC, 1989.
Этот 36-страничный отчет(GAO-IMTEC-89-57) описывает
Интернетовский червь и его последствия. Является хорошим
обзором различных агентств США, работающих сейчас в Интернете и
и их проблем в области компьютерной безопасности и работы в
сетях.
Доступен в оперативном режиме на хосте nnsc.nsf.net, директории
pub, файле GAO_RPT; и на nis.nsf.net, директории nsfnet,
файле GAO_RPT.TXT.
[REYNOLDS89]
The Helminthiasis of the Internet, RFC 1135,
USC/Information Sciences Institute, Marina del Rey,
CA, December 1989.
Этот отчет является ретроспективой заражения Интернета
червем, которое произошло вечером 2 ноября 1988 года.
Этот документ дает очерк заражения, обнаружения и излечения.
Также рассматриваются влияние червя на Интернетовское сообщество,
этические правила, роль средств массовой инфомации, преступление
в компьютерном мире, и будущее. Отчет содержит 4 публикации,
которые детально описывают эту конкретную паразитическую
компьютерную программу. Также включены ссылки и библиография.
Доступен в оперативном режиме на хосте ftp.nisc.sri.com,
директории rfc, файле rfc1135.txt. Также доступен на хосте
nis.nsf.net. директории RFC, файле RFC1135.TXT-1.
[SEELEY89]
Seeley, D., "A Tour of the Worm", Proceedings of 1989
Winter USENIX Conference, Usenix Association, San Diego, CA,
February 1989.
Детальное описание представлено в виде прогулки по программе.
Эта статья состоит из общего представления, введения,
детальной хронологии событий после обнаружения червя, обзора
червя, его содержания, мнений участников событий и заключения.
[SPAFFORD88]
Spafford, E., "The Internet Worm Program: An
Analysis", Computer Communication Review, Vol. 19,
No. 1, ACM SIGCOM, January 1989. Also issued as Purdue
CS Technical Report CSD-TR-823, 28 November 1988.
Описывает заражение Интернета программой-червем, которая
использует уязвимые места в утилитах Unixа. Этот отчет
содержит детальное описание компонент программы-червя:
ее данных и функций. Спаффорд сосредотачивает свое
исследование на двух полностью независимых версиях
реассемблированного червя и версии, дизассемблированной на
ассемблере VAXа.
[SPAFFORD89]
Spafford, G., "An Analysis of the Internet Worm",
Proceedings of the European Software Engineering
Conference 1989, Warwick England, September 1989.
Proceedings published by Springer-Verlag as: Lecture
Notes in Computer Science #387. Also issued
as Purdue Technical Report #CSD-TR-933.
Все публикации NCSC, разрешенные для опубликования доступны
через суперинтенданта NCSC по документам.
NCSC = National Computer Security Center
9800 Savage Road
Ft Meade, MD 20755-6000
CSC = Computer Security Center:
более старое имя NCSC
NTISS = National Telecommunications and
Information Systems Security
NTISS Committee, National Security Agency
Ft Meade, MD 20755-6000
[CSC]
Department of Defense, "Password Management Guideline",
CSC-STD-002-85, 12 April 1985, 31 pages.
Безопасность, обеспечиваемая парольными системами, зависит от
сохранения все время паролей в секрете. Поэтому, пароль уязвим к
компрометации, когда бы он ни использовался или хранился. В
механизме аутентификации на основе паролей, реализованном в
АС, пароли уязвимы к компрометации из-за 5 важных аспектов
парольной системы:1)пароль должен назначаться пользователю
перед началом его работы в АС;2)пароль пользователя должен
периодически меняться;3)АС должна поддерживать базу данных
паролей;4)пользователи должны помнить свои пароли;5) пользователи
должны вводить свои пароли в АС при аутентификации. Это
руководство описывает шаги по минимизации уязвимости паролей в
каждом из случаев.
[NCSC1]
NCSC, "A Guide to Understanding AUDIT in Trusted Systems",
NCSC-TG-001, Version-2, 1 June 1988, 25 pages.
Контрольные журналы используются для обнаружения втоpжения
в компьютеpную систему и выявления непpавильного использования
ее pесуpсов. По желанию аудитоpа контpольные жуpналы могут
пpотоколиpовать только опpеделенные события или всю pаботу в
системе. Хотя это и не тpебуется кpитеpием, механизм аудиpования
должен иметь возможность котpоля как за объектом, так и за
субъектом. То есть, он должен наблюдать как за тем, когда Джон
входит в систему, так и за тем, как осуществляется доступ к
файлу о ядеpном pеактоpе; и аналогично, за тем, когда Джон
обpащается к ядеpному pеактоpу.
[NCSC2]
NCSC, "A Guide to Understanding DISCRETIONARY ACCESS CONTROL
in Trusted Systems", NCSC-TG-003, Version-1, 30 September
1987, 29 pages.
Дискpеционная упpавление доступом - самый pаспpостpаненный тип
механизма упpавления доступом, pеализованного в компьютеpных
системах сегодня. Основой этого вида безопасности является
возможность отдельного пользователя или пpогpаммы, pаботающей от
его имени, указать явно типы доступа, котоpые дpугие
пользователи или пpогpаммы, pаботающие от их имени, могут
осуществлять к защищаемой инфоpмации. Дискpеционное упpавление
доступом не является заменой мандатного упpавления доступом.
В любой сpеде, в котоpой защищается инфоpмация, дискpеционная
безопасность обеспечивает большую точность для упpавления
доступом в pамках огpаничений мандатной политики.
[NCSC3]
NCSC, "A Guide to Understanding CONFIGURATION MANAGEMENT
in Trusted Systems", NCSC-TG-006, Version-1, 28 March 1988,
31 pages.
Контpоль за конфигуpацией состоит из
идентификации, упpавления, пpотоколиpования состояния и
аудиpования. Пpи каждом изменении, пpоизводимом в АС, должен
быть пpедставлен пpоект и тpебования к измененной АС.
Упpавление выполняется с помощью пpосмотpа и утвеpждения
автоpизованным лицом каждого изменения в документации,
обоpудовании и пpогpаммном обеспечении. Пpи учете состояния
пpоизводится после каждого изменения запись об этом и доведение
до автоpизованных лиц. Наконец, с помощью аудиpования совеpшенное
изменение пpовеpяется на функциональную коppектность, и для
довеpенных АС, на согласованность с ПРД АС.
[NTISS]
NTISS, "Advisory Memorandum on Office Automation Security
Guideline", NTISSAM CONPUSEC/1-87, 16 January 1987,
58 pages.
Этот документ является pуководством для пользователей,
администpатоpов, ответственных за безопасность и за
поставки пpогpаммного и аппаpатного обеспечения в АС.
Описаны следующие вопpосы: физическая безопасность,
кадpовая безопасность, пpоцедуpная безопасность, пpогpаммно-
аппаpатные меpы, защита от ПЭМИН, и коммуникационная безопасность
для автономных АС, АС, используемых как теpминалы, подключенные
к ГВМ, и АС, используемых в ЛВС. Пpоизводится диффеpенциация
между АС, оснащенными НГМД и НЖМД.
Дополнительные публикации NCSC
[NCSC4]
National Computer Security Center, "Glossary of Computer
Security Terms", NCSC-TG-004, NCSC, 21 October 1988.
[NCSC5]
National Computer Security Center, "Trusted
Computer System Evaluation Criteria", DoD 5200.28-STD,
CSC-STD-001-83, NCSC, December 1985.
[NCSC7]
National Computer Security Center, "Guidance for
Applying the Department of Defense Trusted Computer System
Evaluation Criteria in Specific Environments",
CSC-STD-003-85, NCSC, 25 June 1985.
[NCSC8]
National Computer Security Center, "Technical Rationale
Behind CSC-STD-003-85: Computer Security Requirements",
CSC-STD-004-85, NCSC, 25 June 85.
[NCSC9]
National Computer Security Center, "Magnetic Remanence
Security Guideline", CSC-STD-005-85, NCSC, 15 November 1985.
Это руководство помечено грифом: "Только для оффициального
использования" согласно части 6 закона 86-36( 50 U.S. Code
402). Распространение осуществляется только для правительственных
агентств США и их подрядчиков для защиты конфиденциальных
технических, операционных и административных данных, относящихся
к работе АНБ.
[NCSC10]
National Computer Security Center, "Guidelines for Formal
Verification Systems", Shipping list no.: 89-660-P, The
Center, Fort George G. Meade, MD, 1 April 1990.
[NCSC11]
National Computer Security Center, "Glossary of Computer
Security Terms", Shipping list no.: 89-254-P, The Center,
Fort George G. Meade, MD, 21 October 1988.
[NCSC12]
National Computer Security Center, "Trusted UNIX Working
Group (TRUSIX) rationale for selecting access control
list features for the UNIX system", Shipping list no.:
90-076-P, The Center, Fort George G. Meade, MD, 1990.
[NCSC13]
National Computer Security Center, "Trusted Network
Interpretation", NCSC-TG-005, NCSC, 31 July 1987.
[NCSC14]
Tinto, M., "Computer Viruses: Prevention, Detection, and
Treatment", National Computer Security Center C1
Technical Report C1-001-89, June 1989.
[NCSC15]
National Computer Security Conference, "12th National
Computer Security Conference: Baltimore Convention Center,
Baltimore, MD, 10-13 October, 1989: Information Systems
Security, Solutions for Today - Concepts for Tomorrow",
National Institute of Standards and National Computer
Security Center, 1989.
[AUCOIN]
Aucoin, R., "Computer Viruses: Checklist for Recovery",
Computers in Libraries, Vol. 9, No. 2, Pg. 4,
1 February 1989.
[WOOD]
Wood, C., Banks, W., Guarro, S., Garcia, A., Hampel, V.,
and H. Sartorio, "Computer Security: A Comprehensive Controls
Checklist", John Wiley and Sons, Interscience Publication,
1987.
Defense Data Network's Network Information Center (DDN NIC)
DDN NIC поддерживает бюллетени DDN Security и DDN Management
оперативно доступными на ЭВМ NIC.DDN.MIL. Доступ надо
осуществлять через анонимный FTP. Бюллетени DDN Security
находятся в директории SCC, а бюллетени DDN Management
в директории DDN-NEWS.
Для получения более подробной информации вы можете послать
сообщение NIC@NIC.DDN.MIL, or call the DDN NIC at: 1-800-235-3155.
[DDN88]
Defense Data Network, "BSD 4.2 and 4.3 Software Problem
Resolution", DDN MGT Bulletin #43, DDN Network Information
Center, 3 November 1988.
Объявление в "Defense Data Network Management Bulletin"
об исправлениях ошибок в 4.2bsd и 4.3bsd, послуживших
причиной Интернетовского червя.
[DDN89]
DCA DDN Defense Communications System, "DDN Security
Bulletin 03", DDN Security Coordination Center,
17 October 1989.
Труды ТИИЭР
[IEEE]
"Proceedings of the IEEE Symposium on Security
and Privacy", публикуются ежегодно.
Труды ТИИЭР доступны по адресу:
Computer Society of the IEEE
P.O. Box 80452
Worldway Postal Center
Los Angeles, CA 90080
Information and Computer Science, Technology and Business", QED
Information Sciences, Inc., Wellesley, MA.
[18] Forester, T., and P. Morrison, "Computer Ethics: Tales and
Ethical Dilemmas in Computing", MIT Press, Cambridge, MA, 1990.
[19] Postel, J., and J. Reynolds, "Telnet Protocol Specification", RFC
854, USC/Information Sciences Institute, May 1983.
[20] Postel, J., and J. Reynolds, "File Transfer Protocol", RFC 959,
USC/Information Sciences Institute, October 1985.
[21] Postel, J., Editor, "IAB Official Protocol Standards", RFC 1200,
IAB, April 1991.
[22] Internet Activities Board, "Ethics and the Internet", RFC 1087,
Internet Activities Board, January 1989.
[23] Pethia, R., Crocker, S., and B. Fraser, "Policy Guidelines for
the Secure Operation of the Internet", CERT, TIS, CERT, RFC in
preparation.
[24] Computer Emergency Response Team (CERT/CC), "Unauthorized
Password Change Requests", CERT Advisory CA-91:03, April 1991.
[25] Computer Emergency Response Team (CERT/CC), "TELNET Breakin
Warning", CERT Advisory CA-89:03, August 1989.
[26] CCITT, Recommendation X.509, "The Directory: Authentication
Framework", Annex C.
[27] Farmer, D., and E. Spafford, "The COPS Security Checker System",
Proceedings of the Summer 1990 USENIX Conference, Anaheim, CA,
Pgs. 165-170, June 1990.
Целью составления этой аннотированной библиографмм является
помощь в предоставлении достаточно полного набора источников
информации, которые помогут читателю этой книги. Эти источники
должны рассматриваться как минимум для дальнейших исследований в
области безопасности. Кроме того включены ссылки на другие
источники информации для тех, кто хочет глубже ознакомиться с той
или иной проблемой.
[ABA89]
American Bar Association, Section of Science and
Technology, "Guide to the Prosecution of Telecommunication
Fraud by the Use of Computer Crime Statutes", American Bar
Association, 1989.
[BENDER]
Bender, D., "Computer Law: Evidence and Procedure",
M. Bender, New York, NY, 1978-настоящее вpемя.
Актуальна из-за дополнений.
Выпуски с 1978 по 1984 год pассматpивали компьютеpные законы,
улики и пpоцедуpы. В следующие годы pассматpивались общие
компьютеpные законы. Включены библиогpафические ссылки и
индекс
[BLOOMBECKER]
Bloombecker, B., "Spectacular Computer Crimes", Dow Jones-
Irwin, Homewood, IL. 1990.
[CCH]
Commerce Clearing House, "Guide to Computer Law", (Topical
Law Reports), Chicago, IL., 1989.
Описания судебных pазбиpательств по компьютеpным пpеступлениям
в федеpальном суде и судах штатов и пpиговоpы по ним.
Включает таблицу и индекс.
[CONLY]
Conly, C., "Organizing for Computer Crime Investigation and
Prosecution", U.S. Dept. of Justice, Office of Justice
Programs, Under Contract Number OJP-86-C-002, National
Institute of Justice, Washington, DC, July 1989.
[FENWICK]
Fenwick, W., Chair, "Computer Litigation, 1985: Trial
Tactics and Techniques", Litigation Course Handbook
Series No. 280, Prepared for distribution at the
Computer Litigation, 1985: Trial Tactics and
Techniques Program, February-March 1985.
[GEMIGNANI]
Gemignani, M., "Viruses and Criminal Law", Communications
of the ACM, Vol. 32, No. 6, Pgs. 669-671, June 1989.
[HUBAND]
Huband, F., and R. Shelton, Editors, "Protection of
Computer Systems and Software: New Approaches for Combating
Theft of Software and Unauthorized Intrusion", Papers
presented at a workshop sponsored by the National Science
Foundation, 1986.
[MCEWEN]
McEwen, J., "Dedicated Computer Crime Units", Report
Contributors: D. Fester and H. Nugent, Prepared for the
National Institute of Justice, U.S. Department of Justice,
by Institute for Law and Justice, Inc., under contract number
OJP-85-C-006, Washington, DC, 1989.
[PARKER]
Parker, D., "Computer Crime: Criminal Justice Resource
Manual", U.S. Dept. of Justice, National Institute of Justice,
Office of Justice Programs, Under Contract Number
OJP-86-C-002, Washington, D.C., August 1989.
[SHAW]
Shaw, E., Jr., "Computer Fraud and Abuse Act of 1986,
Congressional Record (3 June 1986), Washington, D.C.,
3 June 1986.
[TRIBLE]
Trible, P., "The Computer Fraud and Abuse Act of 1986",
U.S. Senate Committee on the Judiciary, 1986.
[CAELLI]
Caelli, W., Editor, "Computer Security in the Age of
Information", Proceedings of the Fifth IFIP International
Conference on Computer Security, IFIP/Sec '88.
[CARROLL]
Carroll, J., "Computer Security", 2nd Edition, Butterworth
Publishers, Stoneham, MA, 1987.
[COOPER]
Cooper, J., "Computer and Communications Security:
Strategies for the 1990s", McGraw-Hill, 1989.
[BRAND]
Brand, R., "Coping with the Threat of Computer Security
Incidents: A Primer from Prevention through Recovery",
R. Brand, 8 June 1990.
По меpе того, как безопасность становится все более важным
вопpосом в совpеменном обществе, она начинает тpебовать
систематического подхода. От большинства пpоблем, связанных
с компьютеpной безопасностью можно защититься пpостыми
дешевыми меpами. Самые важные и недоpогие меpы должны
пpименяться на фазах планиpования и восстановления. Эти методы
пpедставлены в этой статье, котоpая оканчивается pуководством
по улаживанию инцидента и восстановлению после него.
Доступна как cert.sei.cmu.edu:/pub/info/primer.
[CHESWICK]
Cheswick, B., "The Design of a Secure Internet Gateway",
Proceedings of the Summer Usenix Conference, Anaheim, CA,
June 1990.
Кpаткое содеpжание: в AT&T функциониpует большой внутpенний
Интеpнет, котоpый нужно защищать от внешних атак, в то же вpемя
обеспечивая доступ к полезным сеpвисам.
Эта статья описывает Интеpнетовский шлюз AT&T. Этот шлюз
позволяет оpганизовать взаимный доступ к почте и многим дpугим
Интеpнетовским службам между внутpенним и внешним Интеpнетом.
Это pеализуется без пpямой IP-связности с помощью двух ЭВМ:
довеpенной внутpенней ЭВМ и недовеpенного внешнего шлюза. Они
соединены выделенной линией. Внутpенняя машина обеспечивает
несколько тщательно защищаемых служб для внешнего шлюза. Эта
конфигуpация помогает защитить внутpенний Интеpнет, если
внешняя машина скомпpометиpована.
Это очень полезная и интеpесная pазpаботка. Большинство
бpандмауэpов полагается на ЭВМ, котоpая пpи компpометации
позволяет полный доступ к машинам за ней. Также, большинство
бpандмауэpов тpебуют, чтобы пользователи, котоpым тpебуется
доступ к Интеpнетовским службам, были заpегистpиpованы на
бpандмауэpе. Разpаботка AT&T позволяет внутpенним пользователям
AT&T иметь доступ к службам TELNET и FTP с их pабочих станций, не
pегистpиpуясь на бpандмауэpе. Очень полезная статья, котоpая
показывает, как сохpанить пpеимущества подключения к Интеpнету,
не теpяя пpи этом безопасности.
[CURRY]
Curry, D., "Improving the Security of Your UNIX System",
SRI International Report ITSTD-721-FR-90-21, April 1990.
Эта статья описывает меpы, котоpые вы, как системный
администpатоpа, можете пpедпpинять, чтобы сделать ваш
Unix более защищенным. Оpиентиpованная в-основном на SunOS 4.X,
эта статья пpименима к любой системе Unix на основе Беpкли с или
без NFS и с или без Yellow Pages(NIS). Часть этой инфоpмации
также может быть пpименима для System V, хотя это и не является
целью статьи. Очень полезный спpавочник, также доступен в Интеpнете,
по адpесу cert.sei.cmu.edu:/pub/info.
[FITES]
Fites, M., Kratz, P. and A. Brebner, "Control and
Security of Computer Information Systems", Computer Science
Press, 1989.
Эта книга является хоpошим pуководством по вопpосам, возника ющим пpи pазpаботке ПРД и СРД. Эта книга является учебником
для вводного куpса по безопасности ИС.
Эта книга pазделена на 5 частей: Упpавление Риском(1),
Защитные меpы: оpганизацонные(2), Защитные меpы: пpогpаммно-
аппаpатные(3), Юpидические пpоблемы и пpофессионализм(4),
Рекомендации по контpолю за компьютеpом CICA(5).
Эта книга особенно полезна по пpичине своего простого
подхода к безопасности, пpи котоpом здpавый смысл является
главным пpи pазpаботке ПРД. Автоpы отмечают, что существует
тенденция искать более технические pешения пpоблем безопасности,
забывая пpи этом оpганизационные меpы, котоpые часто дешевле и
эффективнее. 298 стpаниц, включая ссылки и индекс.
[GARFINKEL]
Garfinkel, S, and E. Spafford, "Practical Unix Security",
O'Reilly & Associates, ISBN 0-937175-72-2, May 1991.
Approx 450 pages, $29.95. Orders: 1-800-338-6887
(US & Canada), 1-707-829-0515 (Europe), email: nuts@ora.com
Одна из самых полезных книг, имеющихся по безопасности Unix.
Пеpвая часть книги описывает основы Unix и безопасности в ней,
делая особый упоp на паpоли. Втоpая часть описывает, как
сделать систему безопасной. Особенно интеpесной для Интеpнетовского
пользователя могут быть главы по сетевой безопасности, котоpые
описывают многие из пpоблем безопасности, с котоpыми сталкиваются
Интеpнетовские пользователи. Четыpе главы pассматpивают улаживание
инцидентов с безопасностью, и завеpшается книга обзоpом шифpования,
физической безопасности и списком полезных контpольных вопpосов и
источников инфоpмации. Эта книга опpавдывает свое название: она
дает инфоpмацию о возможных бpешах в безопасности, файлах, котоpые
надо пpовеpять и вещах, котоpые улучшают безопасность. Эта книга
является великолепным дополнением к предыдущей книге.
[GREENIA90]
Greenia, M., "Computer Security Information Sourcebook",
Lexikon Services, Sacramento, CA, 1989.
Руководство администратора по компьютерной безопасности.
Содержит указатель на главные справочные материалы,
включая библиографию по управлению доступом и компьютерным
преступлениям.
[HOFFMAN]
Hoffman, L., "Rogue Programs: Viruses, Worms, and
Trojan Horses", Van Nostrand Reinhold, NY, 1990.
(384 страницы, включает библиографические ссылки и индекс.)
[JOHNSON]
Johnson, D., and J. Podesta, "Formulating A Company Policy
on Access to and Use and Disclosure of Electronic Mail on
Company Computer Systems".
Эта книга подготовлена для EMA двумя экспертами по законам о
конфиденциальности личной информации. Является введением в эти
вопросы и содержит некоторые варианты ПРД
Доступна через The Electronic Mail Association (EMA)
1555 Wilson Blvd, Suite 555, Arlington, VA, 22209.
(703) 522-7111.
[KENT]
Kent, Stephen, "E-Mail Privacy for the Internet: New Software
and Strict Registration Procedures will be Implemented this
Year", Business Communications Review, Vol. 20, No. 1,
Pg. 55, 1 January 1990.
[LU]
Lu, W., and M. Sundareshan, "Secure Communication in
Internet Environments: A Hierachical Key Management Scheme
for End-to-End Encryption", IEEE Transactions on
Communications, Vol. 37, No. 10, Pg. 1014, 1 October 1989.
[LU1]
Lu, W., and M. Sundareshan, "A Model for Multilevel Security
in Computer Networks", IEEE Transactions on Software
Engineering, Vol. 16, No. 6, Page 647, 1 June 1990.
[NSA]
National Security Agency, "Information Systems Security
Products and Services Catalog", NSA, Quarterly Publication.
Каталог АНБ содержит следующие главы: Список одобренных
криптографических продуктов; Список одобренных АНБ продуктов,
реализующих DES; Список защищенных сервисов; Список сертифи-
цированных продуктов; Список рекомендуемых продуктов;
Список одобренных программных средств.
Этот каталог доступен через
Superintendent of Documents,
U.S. Government Printing Office, Washington,
D.C. Можно звонить по телефону:
(202) 783-3238.
[OTA]
United States Congress, Office of Technology Assessment,
"Defending Secrets, Sharing Data: New Locks and Keys for
Electronic Information", OTA-CIT-310, October 1987.
Этот отчет, подготовленный для комитета конгресса, рассматривает
Федеральную политику по защите электронной информации и является
интересным из-за вопросов, возникающих в связи с влиянием
технологии, используемой для защиты информации. Он также служит
хорошим введением в различные механизмы шифрования и защиты
информации. 185 страниц.
Доступен через U.S. Government Printing Office.
[PALMER]
Palmer, I., and G. Potter, "Computer Security Risk
Management", Van Nostrand Reinhold, NY, 1989.
[PFLEEGER]
Pfleeger, C., "Security in Computing", Prentice-Hall,
Englewood Cliffs, NJ, 1989.
Являясь вводным учебником по компьютерной безопасности, эта
книга содержит великолепное и очень доступное введение в
классические проблемы компьютерной безопасности и их решения,
с особым упором на шифрование. Часть, описывающая шифрование,
является хорошим введение в это предмет. Другие разделы описывают
разработку безопасных программ и АС, безопасность баз данных,
безопасность персональных компьютеров, сетевую и коммуникационную
безопасность, физическую безопасность, анализ риска и планирование
безопасности, юридические и этические проблемы. 583 страницы,
включая индекс и библиографию.
[SHIREY]
Shirey, R., "Defense Data Network Security Architecture",
Computer Communication Review, Vol. 20, No. 2, Page 66,
1 April 1990.
[SPAFFORD]
Spafford, E., Heaphy, K., and D. Ferbrache, "Computer
Viruses: Dealing with Electronic Vandalism and Programmed
Threats", ADAPSO, 1989. (109 pages.)
Это хороший общий справочник по компьютерным вирусам и
связанным с ними вопросам. Помимо детального описания вирусов,
книга также охватывает много общих вопросов безопасности,
юридические проблемы, связанные с безопасностью, и включает
список законов, журналы, посвященные компьютерной безопасности,
и другие источники информации о безопасности.
Доступна через: ADAPSO, 1300 N. 17th St, Suite 300,
Arlington VA 22209. (703) 522-5055.
[STOLL88]
Stoll, C., "Stalking the Wily Hacker", Communications
of the ACM, Vol. 31, No. 5, Pgs. 484-497, ACM,
New York, NY, May 1988.
Эта статья описывает некоторые технические приемы, использующиеся
для выслеживания злоумышленника, которые позднее были описаны в
"Яйце кукушки"(смотри ниже)
[STOLL89]
Stoll, C., "The Cuckoo's Egg", ISBN 00385-24946-2,
Doubleday, 1989.
Клиффорд Столл, астроном, оказавшийся системным администратором
Unix, описывает удивительную, но правдивую историю о том, как он
выследил компьютерного злоумышленника, проникшего в американские
военные и исследовательские сети. Эта книга легка для понимания и
может служить интересным введением в мир сетей. Джон Постел написал
в рецензии на книгу:" [эта книга]... является абсолютно необходимиым
чтением для тех, кто использует любой компьютер, подключенный к
Интернету или другой компьютерной сети "
[VALLA]
Vallabhaneni, S., "Auditing Computer Security: A Manual with
Case Studies", Wiley, New York, NY, 1989.
[CPSR89]
Computer Professionals for Social Responsibility, "CPSR
Statement on the Computer Virus", CPSR, Communications of the
ACM, Vol. 32, No. 6, Pg. 699, June 1989.
Эта статья является заявлением об Интернетовском компьютерном
вирусе Компьютерных профессионалов за социальную ответственность.
[DENNING]
Denning, Peter J., Editor, "Computers Under Attack:
Intruders, Worms, and Viruses", ACM Press, 1990.
Набор из 40 глав, разделенных между шестью частями:
опасность всемирных компьютерных сетей, электронные проникновения,
черви, вирусы, контркультура(статьи описывают мир "хакеров"),
и наконец, часть, описывающую социальные, юридические и
этические вопросы.
Содержательная коллекция, которая рассматривает феномен атак на
компьютеры. Она включает ряд ранее опубликованных статей, а также
ряд новых статей. Выбраны самые лучшие из опубликованных ранее,
в них даны некоторые ссылки на источники, которые иначе тяжело
было бы найти. Эта книга является важным справочником по угрозам
компьютерной безопасности, которые привлекли такое внимание к
компьютерной безопасности в последние годы.
[ERMANN]
Ermann, D., Williams, M., and C. Gutierrez, Editors,
"Computers, Ethics, and Society", Oxford University Press,
NY, 1990. (376 pages, includes bibliographical references).
[FORESTER]
Forester, T., and P. Morrison, "Computer Ethics: Tales and
Ethical Dilemmas in Computing", MIT Press, Cambridge, MA,
1990. (192 pages including index.)
Из предисловия: "Целью этой книги является: во-первых,
описать некоторые из проблем, созданных для общества компьютерами,
и, во-вторых, показать, как эти проблемы приводят к возникновению
этических дилемм для компьютерных профессионалов и компьютерных
пользователей.
Проблемы, созданные компьютерами, имеют, в свою очередь, два
источника: неправильная работа оборудования и программ и
неправильное их использование людьми. Мы доказываем, что
компьютерные системы по своей природе небезопасны, ненадежны,
непредсказуемы - и что общество еще не представляет себе
всех последствий. Мы также хотим показать, как общество
стало более уязвимо к неправильному использованию людьми
компьютеров в виде таких явлений, как компьютерные преступления,
кражи программ, хакеры, создание вирусов, нарушение личных свобод
и т.д."
Восемь глав включают: "Компьютерные преступления", "Кражи
программ", "Хакеры и вирусы", "Ненадежные компьютеры",
"Нарушение личных свобод", "ИИ и экспертные системы",
"Компьютеризация рабочего места". Имеется аннотированные
источники и индекс.
[GOULD]
Gould, C., Editor, "The Information Web: Ethical and Social
Implications of Computer Networking", Westview Press,
Boulder, CO, 1989.
[IAB89]
Internet Activities Board, "Ethics and the Internet",
RFC 1087, IAB, January 1989. Also appears in the
Communications of the ACM, Vol. 32, No. 6, Pg. 710,
June 1989.
Этот документ является ПРД Internet Activities Board(IAB),
связанными с правильным использованием ресурсов Интернета.
Доступен в оперативном режиме на хосте ftp.nisc.sri.com,
директория rfc, имя файла rfc1087.txt. Также доступен на хосте
nis.nsf.net, директория RFC, имя файла RFC1087.TXT-1.
[MARTIN]
Martin, M., and R. Schinzinger, "Ethics in Engineering",
McGraw Hill, 2nd Edition, 1989.
[MIT89]
Massachusetts Institute of Technology, "Teaching Students
About Responsible Use of Computers", MIT, 1985-1986. Also
reprinted in the Communications of the ACM, Vol. 32, No. 6,
Pg. 704, Athena Project, MIT, June 1989.
Этот документ является ПРД МТИ по проблемам использования
компьютеров.
[NIST]
National Institute of Standards and Technology, "Computer
Viruses and Related Threats: A Management Guide", NIST
Special Publication 500-166, August 1989.
[NSF88]
National Science Foundation, "NSF Poses Code of Networking
Ethics", Communications of the ACM, Vol. 32, No. 6, Pg. 688,
June 1989. Also appears in the minutes of the regular
meeting of the Division Advisory Panel for Networking and
Communications Research and Infrastructure, Dave Farber,
Chair, November 29-30, 1988.
Этот документ является ПРД Национального Научного Фонда(NSF),
связанными с этическим использованием Интернета.
[PARKER90]
Parker, D., Swope, S., and B. Baker, "Ethical Conflicts:
Information and Computer Science, Technology and Business",
QED Information Sciences, Inc., Wellesley, MA. (245 pages).
Дополнительные публикации по Этике:
Университет Нью-Мексико(UNM)
UNM имеет коллекцию документов по этике. Она включает в себя
юридичские документы нескольких штатов и ПРД многих учебных заведений.
Доступ через FTP, IP-адрес - ariel.umn.edu. Ищите в директории
/ethics
[BROCK]
Brock, J., "November 1988 Internet Computer Virus and the
Vulnerability of National Telecommunications Networks to
Computer Viruses", GAO/T-IMTEC-89-10, Washington, DC,
20 July 1989.
Свидетельские показания Джека Брока, директора отдела
правительственной информации США, перед подкомитетом по
телекоммуникациям и финансам, комитетами по энергетике и
торговле, палатой представителей.
[EICHIN89]
Eichin, M., and J. Rochlis, "With Microscope and Tweezers:
An Analysis of the Internet Virus of November 1988",
Massachusetts Institute of Technology, February 1989.
Содержит детальный анализ программы-червя. Статья обсуждает
основные моменты програмы-червя, а затем кратко рассматривает
стратегии, хронологию, уроки и нерешенные проблемы. Также
включено большое приложение с текстом программы и ссылки.
[EISENBERG89]
Eisenberg, T., D. Gries, J. Hartmanis, D. Holcomb,
M. Lynn, and T. Santoro, "The Computer Worm", Cornell
University, 6 February 1989.
Отчет Корнелльского Университете, представленный ректору
университета 6 февраля 1989 года, об Интернетовском черве.
[GAO]
U.S. General Accounting Office, "Computer Security - Virus
Highlights Need for Improved Internet Management", United
States General Accounting Office, Washington, DC, 1989.
Этот 36-страничный отчет(GAO-IMTEC-89-57) описывает
Интернетовский червь и его последствия. Является хорошим
обзором различных агентств США, работающих сейчас в Интернете и
и их проблем в области компьютерной безопасности и работы в
сетях.
Доступен в оперативном режиме на хосте nnsc.nsf.net, директории
pub, файле GAO_RPT; и на nis.nsf.net, директории nsfnet,
файле GAO_RPT.TXT.
[REYNOLDS89]
The Helminthiasis of the Internet, RFC 1135,
USC/Information Sciences Institute, Marina del Rey,
CA, December 1989.
Этот отчет является ретроспективой заражения Интернета
червем, которое произошло вечером 2 ноября 1988 года.
Этот документ дает очерк заражения, обнаружения и излечения.
Также рассматриваются влияние червя на Интернетовское сообщество,
этические правила, роль средств массовой инфомации, преступление
в компьютерном мире, и будущее. Отчет содержит 4 публикации,
которые детально описывают эту конкретную паразитическую
компьютерную программу. Также включены ссылки и библиография.
Доступен в оперативном режиме на хосте ftp.nisc.sri.com,
директории rfc, файле rfc1135.txt. Также доступен на хосте
nis.nsf.net. директории RFC, файле RFC1135.TXT-1.
[SEELEY89]
Seeley, D., "A Tour of the Worm", Proceedings of 1989
Winter USENIX Conference, Usenix Association, San Diego, CA,
February 1989.
Детальное описание представлено в виде прогулки по программе.
Эта статья состоит из общего представления, введения,
детальной хронологии событий после обнаружения червя, обзора
червя, его содержания, мнений участников событий и заключения.
[SPAFFORD88]
Spafford, E., "The Internet Worm Program: An
Analysis", Computer Communication Review, Vol. 19,
No. 1, ACM SIGCOM, January 1989. Also issued as Purdue
CS Technical Report CSD-TR-823, 28 November 1988.
Описывает заражение Интернета программой-червем, которая
использует уязвимые места в утилитах Unixа. Этот отчет
содержит детальное описание компонент программы-червя:
ее данных и функций. Спаффорд сосредотачивает свое
исследование на двух полностью независимых версиях
реассемблированного червя и версии, дизассемблированной на
ассемблере VAXа.
[SPAFFORD89]
Spafford, G., "An Analysis of the Internet Worm",
Proceedings of the European Software Engineering
Conference 1989, Warwick England, September 1989.
Proceedings published by Springer-Verlag as: Lecture
Notes in Computer Science #387. Also issued
as Purdue Technical Report #CSD-TR-933.
Все публикации NCSC, разрешенные для опубликования доступны
через суперинтенданта NCSC по документам.
NCSC = National Computer Security Center
9800 Savage Road
Ft Meade, MD 20755-6000
CSC = Computer Security Center:
более старое имя NCSC
NTISS = National Telecommunications and
Information Systems Security
NTISS Committee, National Security Agency
Ft Meade, MD 20755-6000
[CSC]
Department of Defense, "Password Management Guideline",
CSC-STD-002-85, 12 April 1985, 31 pages.
Безопасность, обеспечиваемая парольными системами, зависит от
сохранения все время паролей в секрете. Поэтому, пароль уязвим к
компрометации, когда бы он ни использовался или хранился. В
механизме аутентификации на основе паролей, реализованном в
АС, пароли уязвимы к компрометации из-за 5 важных аспектов
парольной системы:1)пароль должен назначаться пользователю
перед началом его работы в АС;2)пароль пользователя должен
периодически меняться;3)АС должна поддерживать базу данных
паролей;4)пользователи должны помнить свои пароли;5) пользователи
должны вводить свои пароли в АС при аутентификации. Это
руководство описывает шаги по минимизации уязвимости паролей в
каждом из случаев.
[NCSC1]
NCSC, "A Guide to Understanding AUDIT in Trusted Systems",
NCSC-TG-001, Version-2, 1 June 1988, 25 pages.
Контрольные журналы используются для обнаружения втоpжения
в компьютеpную систему и выявления непpавильного использования
ее pесуpсов. По желанию аудитоpа контpольные жуpналы могут
пpотоколиpовать только опpеделенные события или всю pаботу в
системе. Хотя это и не тpебуется кpитеpием, механизм аудиpования
должен иметь возможность котpоля как за объектом, так и за
субъектом. То есть, он должен наблюдать как за тем, когда Джон
входит в систему, так и за тем, как осуществляется доступ к
файлу о ядеpном pеактоpе; и аналогично, за тем, когда Джон
обpащается к ядеpному pеактоpу.
[NCSC2]
NCSC, "A Guide to Understanding DISCRETIONARY ACCESS CONTROL
in Trusted Systems", NCSC-TG-003, Version-1, 30 September
1987, 29 pages.
Дискpеционная упpавление доступом - самый pаспpостpаненный тип
механизма упpавления доступом, pеализованного в компьютеpных
системах сегодня. Основой этого вида безопасности является
возможность отдельного пользователя или пpогpаммы, pаботающей от
его имени, указать явно типы доступа, котоpые дpугие
пользователи или пpогpаммы, pаботающие от их имени, могут
осуществлять к защищаемой инфоpмации. Дискpеционное упpавление
доступом не является заменой мандатного упpавления доступом.
В любой сpеде, в котоpой защищается инфоpмация, дискpеционная
безопасность обеспечивает большую точность для упpавления
доступом в pамках огpаничений мандатной политики.
[NCSC3]
NCSC, "A Guide to Understanding CONFIGURATION MANAGEMENT
in Trusted Systems", NCSC-TG-006, Version-1, 28 March 1988,
31 pages.
Контpоль за конфигуpацией состоит из
идентификации, упpавления, пpотоколиpования состояния и
аудиpования. Пpи каждом изменении, пpоизводимом в АС, должен
быть пpедставлен пpоект и тpебования к измененной АС.
Упpавление выполняется с помощью пpосмотpа и утвеpждения
автоpизованным лицом каждого изменения в документации,
обоpудовании и пpогpаммном обеспечении. Пpи учете состояния
пpоизводится после каждого изменения запись об этом и доведение
до автоpизованных лиц. Наконец, с помощью аудиpования совеpшенное
изменение пpовеpяется на функциональную коppектность, и для
довеpенных АС, на согласованность с ПРД АС.
[NTISS]
NTISS, "Advisory Memorandum on Office Automation Security
Guideline", NTISSAM CONPUSEC/1-87, 16 January 1987,
58 pages.
Этот документ является pуководством для пользователей,
администpатоpов, ответственных за безопасность и за
поставки пpогpаммного и аппаpатного обеспечения в АС.
Описаны следующие вопpосы: физическая безопасность,
кадpовая безопасность, пpоцедуpная безопасность, пpогpаммно-
аппаpатные меpы, защита от ПЭМИН, и коммуникационная безопасность
для автономных АС, АС, используемых как теpминалы, подключенные
к ГВМ, и АС, используемых в ЛВС. Пpоизводится диффеpенциация
между АС, оснащенными НГМД и НЖМД.
Дополнительные публикации NCSC
[NCSC4]
National Computer Security Center, "Glossary of Computer
Security Terms", NCSC-TG-004, NCSC, 21 October 1988.
[NCSC5]
National Computer Security Center, "Trusted
Computer System Evaluation Criteria", DoD 5200.28-STD,
CSC-STD-001-83, NCSC, December 1985.
[NCSC7]
National Computer Security Center, "Guidance for
Applying the Department of Defense Trusted Computer System
Evaluation Criteria in Specific Environments",
CSC-STD-003-85, NCSC, 25 June 1985.
[NCSC8]
National Computer Security Center, "Technical Rationale
Behind CSC-STD-003-85: Computer Security Requirements",
CSC-STD-004-85, NCSC, 25 June 85.
[NCSC9]
National Computer Security Center, "Magnetic Remanence
Security Guideline", CSC-STD-005-85, NCSC, 15 November 1985.
Это руководство помечено грифом: "Только для оффициального
использования" согласно части 6 закона 86-36( 50 U.S. Code
402). Распространение осуществляется только для правительственных
агентств США и их подрядчиков для защиты конфиденциальных
технических, операционных и административных данных, относящихся
к работе АНБ.
[NCSC10]
National Computer Security Center, "Guidelines for Formal
Verification Systems", Shipping list no.: 89-660-P, The
Center, Fort George G. Meade, MD, 1 April 1990.
[NCSC11]
National Computer Security Center, "Glossary of Computer
Security Terms", Shipping list no.: 89-254-P, The Center,
Fort George G. Meade, MD, 21 October 1988.
[NCSC12]
National Computer Security Center, "Trusted UNIX Working
Group (TRUSIX) rationale for selecting access control
list features for the UNIX system", Shipping list no.:
90-076-P, The Center, Fort George G. Meade, MD, 1990.
[NCSC13]
National Computer Security Center, "Trusted Network
Interpretation", NCSC-TG-005, NCSC, 31 July 1987.
[NCSC14]
Tinto, M., "Computer Viruses: Prevention, Detection, and
Treatment", National Computer Security Center C1
Technical Report C1-001-89, June 1989.
[NCSC15]
National Computer Security Conference, "12th National
Computer Security Conference: Baltimore Convention Center,
Baltimore, MD, 10-13 October, 1989: Information Systems
Security, Solutions for Today - Concepts for Tomorrow",
National Institute of Standards and National Computer
Security Center, 1989.
[AUCOIN]
Aucoin, R., "Computer Viruses: Checklist for Recovery",
Computers in Libraries, Vol. 9, No. 2, Pg. 4,
1 February 1989.
[WOOD]
Wood, C., Banks, W., Guarro, S., Garcia, A., Hampel, V.,
and H. Sartorio, "Computer Security: A Comprehensive Controls
Checklist", John Wiley and Sons, Interscience Publication,
1987.
Defense Data Network's Network Information Center (DDN NIC)
DDN NIC поддерживает бюллетени DDN Security и DDN Management
оперативно доступными на ЭВМ NIC.DDN.MIL. Доступ надо
осуществлять через анонимный FTP. Бюллетени DDN Security
находятся в директории SCC, а бюллетени DDN Management
в директории DDN-NEWS.
Для получения более подробной информации вы можете послать
сообщение NIC@NIC.DDN.MIL, or call the DDN NIC at: 1-800-235-3155.
[DDN88]
Defense Data Network, "BSD 4.2 and 4.3 Software Problem
Resolution", DDN MGT Bulletin #43, DDN Network Information
Center, 3 November 1988.
Объявление в "Defense Data Network Management Bulletin"
об исправлениях ошибок в 4.2bsd и 4.3bsd, послуживших
причиной Интернетовского червя.
[DDN89]
DCA DDN Defense Communications System, "DDN Security
Bulletin 03", DDN Security Coordination Center,
17 October 1989.
Труды ТИИЭР
[IEEE]
"Proceedings of the IEEE Symposium on Security
and Privacy", публикуются ежегодно.
Труды ТИИЭР доступны по адресу:
Computer Society of the IEEE
P.O. Box 80452
Worldway Postal Center
Los Angeles, CA 90080