Арутюнов В.В. Основы информационной безопасности

Подождите немного. Документ загружается.

конфиденциальности информации. Для сервисных информационных служб

реального времени важным является обеспечение доступности (оператив-

ной готовности) подсистем. Для информацион ных хранилищ актуальным

может быть обеспечение целостности дан ных и т. д.

Типовыми целями могут быть следующие: обеспечение уровня безопас-

ности, соответствующего нормативным документам; дости жение экономи-

ческой целесообразности в выборе защитных мер; обеспечение соответ-

ствующего уровня безопасности в конкретных функциональных областях

АС; реализация подотчетности всех дей ствий пользователей с информаци-

онными ресурсами и анализа реги страционной информации; выработка

планов восстановления после критических ситуаций и обеспечения непре-

рывности работы АС и др.

Если АС не является изолированной, цели и задачи рассматри ваются в

более широком контексте: должны быть оговорены вопросы безопасного

взаимного влияния локальных и удаленных подсистем.

В указанном документе могут быть конкретизированы некоторые

принципы стратегий безопасности (вытекающие из целей и задач). Таковы-

ми являются стратегии действий в случае нарушения полити ки безопасно-

сти, взаимодействия с внешними организациями, прес сой и др. В качестве

примера можно привести две стратегии ответ ных действий на нарушение

безопасности:

– «защититься и продолжить», когда оказывается максимальное проти-

водействие нарушению;

– «выследить и осудить», когда злоумышленнику позволяют про-

должить действия с целью его компрометации и наказания.

Политика безопасности затрагивает всех пользователей АС (об-

служивающий персонал и собственно пользователей). Поэтому важно ре-

шить вопросы наделения всех категорий пользователей соответ ствующими

правами, привилегиями и обязанностями. Для этого опре деляется круг

лиц, имеющих доступ к подсистемам и сервисам АС. Для каждой категории

пользователей описываются правильные и не правильные способы исполь-

зования ресурсов — что запрещено и разрешено. Здесь специфицируются

уровни и регламентация доступа различных групп пользователей. Следует

указать, какое из правил умолчания на использование ресурсов принято, а

именно: что явно не запрещено, то разрешено, или что явно не разрешено,

то запрещено.

Одним из самых уязвимых мест в обеспечении ИБ является рас

пределение доступа. В политике безопасности должна быть утверж дена

схема управления распределением прав доступа к сервисам — централи-

зованная, децентрализованная или иная. Должно быть четко определено,

кто распоряжается правами доступа к сервисам и какими именно права-

ми. Целесообразно детально описать практические процедуры наделения

пользователей правами. Здесь следует ука зать должностных лиц, имею-

щих административные привилегии и пароли для определенных серви-

сов. Права и обязанности пользова телей определяются применительно к

безопасному применению под систем и сервисов ИС. При определении прав

и обязанностей адми нистраторов следует стремиться к некоторому балан-

су между правом пользователей на тайну и обязанностью администратора

контролиро вать нарушения безопасности.

В настоящее время лучше всего изучены два вида политики безопасно-

сти — избирательная (дискреционная) и полномочная (ман датная), осно-

ванные соответственно на избирательном и полномоч ном способах управ-

ления доступом. Кроме того, существует набор требований, усиливающий

действие этих политик и предназначенный для управления информацион-

ными потоками в системе.

Следует отметить, что средства защиты, предназначенные для реали-

зации какого-либо из названных способов управления досту пом, только

предоставляют возможности надежного управления до ступом или инфор-

мационными потоками. Определение прав доступа субъектов к объектам

и/или информационным потокам (полномочий субъектов и атрибутов объ-

ектов, присвоение меток критичности и т. д.) входит в компетенцию адми-

нистрации системы.

Основой избирательной политики безопасности является изби-

рательное управление доступом, которое подразумевает следующее:

– все субъекты и объекты системы должны быть идентифици рованы;

– права доступа субъекта к объекту системы определяются на основа-

нии некоторого правила (свойство избирательности).

Для описания свойств избирательного управления доступом при-

меняется модель системы на основе матрицы доступа (МД), иногда ее на-

зывают матрицей контроля доступа. Такая модель получила название

матричной (дискреционной). Матрица доступа (МД) пред ставляет собой

прямоугольную матрицу, в которой объекту системы соответствует строка,

а субъекту — столбец. На пересечении столбца и строки матрицы указыва-

ется тип разрешенного доступа субъекта к объекту. Обычно выделяют та-

кие типы доступа субъекта к объекту, как «доступ на чтение», «доступ на за-

пись», «доступ на исполнение» и др. Множество объектов и типов доступа к

ним субъекта может изменяться в соответствии с некоторыми правилами,

существующи ми в данной системе. Определение и изменение этих правил

также является задачей МД.

Решение на доступ субъекта к объекту принимается в соответ ствии с

типом доступа, указанным в соответствующей ячейке матри цы доступа.

Обычно избирательное управление доступом реализует принцип «что не

разрешено, то запрещено», предполагающий явное разрешение доступа

субъекта к объекту. Матрица доступа — наибо лее простой подход к моде-

лированию систем доступа.

Избирательная политика безопасности наиболее широко применя ется

в коммерческом секторе, так как ее реализация на практике отвечает тре-

бованиям коммерческих организаций по разграничению доступа и подот-

четности, а также имеет приемлемую стоимость и небольшие накладные

расходы.

Основу полномочной (мандатной) политики безопасности со ставляет

полномочное управление доступом, которое подразумевает следующее:

– все субъекты и объекты системы должны быть однозначно иден-

тифицированы;

– каждому объекту системы присвоена метка критичности, опре-

деляющая ценность содержащейся в нем информации;

– каждому субъекту системы присвоен уровень прозрачности, опреде-

ляющий максимальное значение метки критичности объектов, к которым

субъект имеет доступ.

Когда совокупность меток имеет одинаковые значения, говорят, что

они принадлежат к одному уровню безопасности. Организация меток имеет

иерархическую структуру, и, таким образом, в системе можно реализозать

иерархически восходящий поток информации (например, от рядовых ис-

полнителей к руководству). Чем важнее объект или субъект, тем выше его

метка критичности. Поэтому наиболее защищен ными оказываются объек-

ты с наиболее высокими значениями метки критичности. Каждый субъект,

кроме уровня прозрачности, имеет теку щее значение уровня безопасности,

которое может изменяться от не которого минимапьного значения до зна-

чения его уровня прозрачности.

Основное назначение полномочной политики безопасности — ре гули-

рование доступа субъектов системы к объектам с различным уровнем кри-

тичности и предотвращение утечки информации с верх них уровней долж-

ностной иерархии в нижние.

Важным элементом политики является также распределение от

ветственности. Политика не может предусмотреть всего, однако она долж-

на для каждого вида проблем найти ответственного. Обычно выделяется

несколько уровней ответственности.

На первом уровне каждый пользователь обязан работать в соот ветствии

с политикой безопасности, подчиняться распоряжениям лиц, отвечающих

за отдельные аспекты безопасности, ставить в извест ность руководство

обо всех подозрительных ситуациях. Системные администраторы отвечают

за защиту соответствующих информацион но-вычислительных подсистем.

Администраторы АС должны обеспе чивать реализацию организационно-

технических мер, необходимых для проведения в жизнь сетевой политики

безопасности АС. Более высокий уровень — руководители подразделений

отвечают за дове дение и контроль положений политики безопасности.

Раздел политики, посвященный общим обязанностям, должен описы-

вать процедуру получения полномочий, регистрации, отключе ния и непо-

средственно работы с информационными ресурсами АС со стороны всех

сотрудников предприятий (получение и смена паролей, информирование

администрации о командировках, отпусках для бло кирования учетных за-

писей на данный период, необходимости ис пользования электронной по-

чты и доступа к внешним Web-pecypcaм, требование пользоваться антиви-

русами, процедура установки нового ПО и т.п.), а также предписывать им

строгое соблюдение изложен ных в политике безопасности защитных мер.

С практической точки зрения политику безопасности целесообразно

разделить на несколько уровней. Как правило, выделяют три уровня.

Верхний уровень носит общий характер и определяет политику АС в

целом; основное внимание уделяется следующему:

– порядку создания и пересмотра политики безопасности;

– целям, преследуемым ИС в области информационной безо пасности;

– вопросам выделения и распределения ресурсов;

– принципам технической политики в области выбора методов и средств

защиты информации;

– координированию мер безопасности;

– стратегическому планированию и контролю;

– внешним взаимодействиям и другим вопросам, имеющим об щеор-

ганизационный характер.

На указанном уровне формулируются главные цели в области ИБ

(определяемые сферой деятельности): обеспечение конфиденциаль ности,

целостности и (или) доступности.

Средний уровень политики безопасности выделяют в случае струк-

турной сложности ИС (наличие филиалов и т. п.) или при необ ходимости

обозначить специальные подсистемы организации. Это касается отноше-

ния к перспективным, еще недостаточно апробиро ванным технологиям.

Например, использование новых сервисов Internet, организация связи и об-

работка информации на домашних и портативных компьютерах, степень

соблюдения положений компью терного права и др. Кроме того, на среднем

уровне политики безо пасности могут быть выделены особо значимые кон-

туры АС, напри мер, обрабатывающие конфиденциальную или критически

важную информацию.

За разработку и реализацию политики безопасности верхнего и средне-

го уровня отвечают руководитель службы безопасности, ад министраторы

безопасности АС, администраторы ИС.

Нижний уровень политики безопасности относится к конкрет ным

службам или подразделениям ИС и детализирует верхние уровни поли-

тики безопасности. Этот уровень необходим, когда вопросы безопасности

конкретных подсистем требуют решения на управлен ческом, а не только

на техническом уровне. На данном уровне определяются конкретные цели,

частные критерии и показатели ин формационной безопасности, задаются

права конкретных групп пользователей, формулируются соответствующие

условия доступа к информации и т. п. Здесь из конкретных целей выводятся

(обычно формальные) правила безопасности, описывающие, кто, что и при

каких условиях может или не может делать. Более детальные и формаль-

ные правила упростят внедрение системы и настройку си стемы ЗИ. На ниж-

нем уровне описываются механизмы защиты ин формации и используемые

программно-технические средства для их реализации. За политику безопас-

ности нижнего уровня отвечают системные администраторы.

В ходе разработки политики безопасности с целью минимизации затрат

на обеспечение ИБ проводится анализ рисков.

Основной принцип безопасности: затраты на средства защиты не долж-

ны превышать стоимости защищаемых объектов. При этом если политика

безопасности оформляется в виде высокоуровневого документа, описыва-

ющего общую стратегию, то анализ рисков (как приложение) оформляется

в виде списка активов, нуждающихся в защите.

Более детально в документ, характеризующий политику безопас ности

организации, рекомендуется включать следующие разделы:

– вводный, подтверждающий озабоченность высшего руковод ства про-

блемами информационной безопасности;

– организационный, содержащий описание подразделений, ко миссий,

групп и т. д., отвечающих за работы в области ИБ;

– классификационный, описывающий имеющиеся в организации мате-

риальные и информационные ресурсы и необходимый уровень их защиты;

– штатный, характеризующий меры безопасности, применяемые к пер-

соналу (описание должностей с точки зрения информационной безопасно-

сти, организация обучения и переподготовки персонала, по рядок реагиро-

вания на нарушения режима безопасности и т. п.);

– раздел, освещающий вопросы физической защиты;

– управляющий раздел, описывающий подход к управлению ком-

пьютерами и компьютерными сетями;

– раздел, описывающий правила разграничения доступа к произ-

водственной информации;

– раздел, характеризующий порядок разработки и сопровожде ния си-

стем;

– раздел, описывающий меры, направленные на обеспечение непрерыв-

ной работы организации;

– юридический раздел, подтверждающий соответствие политики безо-

пасности действующему законодательству.

Таким образом, основой мер административного уровня, то есть мер,

предпринимаемых руководством организации, является полити ка безопас-

ности, под которой понимается совокупность документиро ванных управ-

ленческих решений, направленных на защиту информа ции и ассоциирован-

ных с ней ресурсов.

Главными этапами построения политики безопасности являются сле-

дующие:

– обследование информационной системы на предмет установле ния ее

организационной и информационной структуры и угроз безо пасности ин-

формации;

– выбор и установка средств защиты;

– подготовка персонала к работе со средствами защиты;

– организация обслуживания по вопросам информационной безо-

пасности;

– создание системы периодического контроля информационной безо-

пасности АС.

По окончании работ первого этапа — обследования АС — необхо димо

иметь полное представление о том, в каком состоянии находит ся корпора-

тивная сеть и о том, что нужно сделать, чтобы обеспечить в ней защиту ин-

формации.

На основе данных обследования можно перейти ко второму эта пу — вы-

бору, приобретению, установке, настройке и эксплуатации систем защиты в

соответствии с разработанными рекомендациями.

Любое средство защиты создает дополнительные неудобства в рабо-

те пользователя, при этом препятствий тем больше, чем меньше времени

уделяется настройке систем защиты. Администратор безопасности должен

ежедневно обрабатывать данные регистрации, что бы своевременно кор-

ректировать настройки, обеспечивающие адап тацию к изменениям в тех-

нологии обработки информации. Без этого любая система защиты, какой

бы хорошей она ни была, обречена на медленное вымирание.

Третий этап — обучение администраторов безопасности работы со

средствами защиты. В процессе обучения администратор получает базовые

знания о технологии обеспечения информационной безопас ности, об име-

ющихся в операционных системах подсистемах безо пасности и о возмож-

ностях систем защиты, о технологических прие мах, используемых при их

настройке и эксплуатации.

Четвертый этап — информационное обслуживание по вопросам безо-

пасности. Наличие своевременной информации об уязвимых местах и спосо-

бах защиты способствует принятию адекватных мер обеспечения безопас-

ности. Источники подобных сведений - книги, журналы, Web-серверы и т. п.

Однако администратор безопасности не всегда имеет достаточное количе-

ство времени для поиска необ ходимых сведений в этом море информации.

Поэтому при выборе системы защиты необходимо учитывать возможности

обеспечения последующей информационной поддержки.

Пятый этап — периодический аудит системы информационной бе-

зопасности. Корпоративная сеть является постоянно изменяющейся струк-

турой: появляются новые серверы и рабочие станции, меняется программ-

ное обеспечение и его настройки, состав информации, пер сонал, работаю-

щий в организации, и т. д. Все это приводит к тому, что степень защищен-

ности системы постоянно изменяется и, что наиболее опасно, снижается.

Чтобы адаптировать систему информационной безопасности к новым

условиям работы, необходимо отслеживать изменения и сво евременно

реагировать на них. Многие работы по анализу состоя ния защищенности

корпоративной сети могут быть выполнены при помощи специальных про-

граммных средств, например, Internet Scanner и System Security Scanner из

семейства SAFESUITE корпо рации Internet Security Systems Inc. Такие про-

граммные средства существенно облегчают работу администратора безо-

пасности по поиску ошибок в настройках и выявлению критичного про-

граммного обеспечения, а также позволяют в автоматизированном режиме

отслеживать состояние корпоративной сети, своевременно обнару живать и

устранять возможные источники проблем.

Составной частью работ пятого этапа является корректировка плана

защиты в соответствии с реальным состоянием корпоративной сети, по-

скольку самая совершенная схема рано или поздно устаревает и становится

препятствием на пути совершенствования технологии об работки данных.

Следует помнить, что не существует стандартных решений, одина ково

хорошо работающих в разных условиях. Всегда возможны и необходимы

дополнения к рассмотренному общему плану организа ции защиты корпо-

ративной сети, учитывающие особые условия той или иной организации.

Однако реализация комплекса рассмотренных мероприятий с учетом воз-

можных дополнений способна обеспечить достаточный уровень защищен-

ности информации в корпоративной сети.

3.2.1. Анализ рисков

Политика безопасности строится на основе анализа рисков, кото рые

признаются реальными для информационной системы организа ции. Ког-

да риски проанализированы и стратегия защиты определена, составляет-

ся программа, реализация которой должна обеспечить ин формационную

безопасность. Под эту программу выделяются ресур сы, назначаются ответ-

ственные, определяется порядок контроля вы полнения программы и т. п.

При обеспечении ИБ важно не упустить каких-либо существен ных

аспектов. Это будет гарантировать некоторый минимальный (ба зовый)

уровень ИБ, обязательный для любой информационной техно логии. Для

обеспечения базового уровня ИБ используется упрощенный подход к ана-

лизу рисков, при котором рассматривается стандартный набор наиболее

распространенных угроз безопасности без оценки их вероятностей. Для

нейтрализации угроз применяется типовой набор контрмер, а вопросы

эффективности защиты не рассматриваются. Подобный подход приемлем,

если ценность защищаемых ресурсов с точки зрения организации не явля-

ется чрезмерно высокой.

Рассмотрим теперь иерархию защитных мероприятий, способных про-

тивостоять угрозам.

В ряде случаев базового уровня безопасности оказывается недо-

статочно. Примером может служить АС предприятия с непрерывным ци-

клом производства, когда даже кратковременный выход из строя АС при-

водит к очень тяжелым последствиям. В этом и подобных случаях важно

знать параметры, характеризующие уровень ИБ АС (технологии): количе-

ственные оценки угроз безопасности, уязвимостей, ценности информаци-

онных ресурсов. В случае повышенных требований в области ИБ исполь-

зуется полный вариант анализа рис ков. В отличие от базового варианта в

том или ином виде производится оценка ценности ресурсов, характеристик

рисков и уязвимостей. Как правило, проводится анализ по критерию стои-

мость/эффек тивность нескольких вариантов защиты.

Несмотря на существенную разницу в методологии обеспечения базо-

вого и повышенного уровней безопасности, можно говорить о единой кон-

цепции анализа рисков и выработки политики безопасно сти (см. рис. 3.1 и

3.2).

Вне зависимости от размеров организации и специфики ее АС работы

по обеспечению режима ИБ должны содержать следую щие этапы:

– определение методологии разработки политики безопасности;

– определение сферы (границ) системы управления информаци онной

безопасностью и конкретизацию целей ее создания;

– оценку рисков;

– управление рисками;

– выбор контрмер, обеспечивающих режим ИБ;

– аудит системы управления ИБ.

Определение методологии разработки политики безопасности сводит-

ся к следующим практическим шагам:

1. Определение используемых руководящих документов и стан дартов в

области ИБ, а также основных положений политики ИБ, включая:

– управление доступом к СВТ, программам и данным;

– антивирусную защиту;

– вопросы резервного копирования;

– проведение ремонтных и восстановительных работ;

– информирование об инцидентах в области ИБ.

2. Определение подходов к управлению рисками: является ли доста-

точным базовый уровень защищенности, или требуется прово дить полный

анализ рисков.

3. Структуризация контрмер по уровням.

4. Порядок сертификации на соответствие стандартам в обла сти ИБ.

Необходимо определить границы системы, для которой должен быть

обеспечен режим ИБ. Соответственно, система управления ИБ должна стро-

иться именно в этих границах.

Описание границ системы рекомендуется выполнять по следую щему

плану: