Садердинов А.А. Информационная безопасность предприятия

Подождите немного. Документ загружается.

сканирование антивирусными программами, в том чис ле

Symantec, Dr. Solomon's Anti-Virus Toolkit, McAfee

VirusScan, Sophos Anti-Virus (включая SAVI), F-Prot, Thun-

derbyte Anti-Virus, VET Anti-Virus, Leprechaun Cyberbuster,

Norman Virus Control;

одновременное сканирование несколькими различны ми ан-

тивирусными программами;

проверку слов и фраз в теме и «теле» письма или вложении,

например, наличие конфиденциальной информации, нено р-

мативной лексики и т. д.;

проверку вложений по количеству, типу, размеру или имени

файла;

проверку на основе атрибутов, созданны х на этапе авто -

ризации пользователей, например, блокировки исполняемых

файлов для о дного домена, или поиска слов в письмах от о п-

ределенного пользователя.

И, наконец, последний этап — ре агирование (Classification) с

ред актированием сообщения. В этом случае могут иметь место:

добавление текста к посланию, например, уведомления

о конфиденциальности вложений:

- текст может быть добавлен до или после текста письма;

- поддерживается неограниченное число создаваемых по д-

писей;

- выбор уведомления по отправителю, по получателю со

держимому, например, по ключевым словам

откладывание сообщений, их доставка, копирование, заар-

хивирование, у даление или задержание на "заданное пользо-

вателем время;

при возникновении любого события (например обнаружение

вируса) информационное письмо с оповещением может быть

автоматически доставлено отправителю, получателю, адми-

нистратору или на любой другой адрес. В информационное

письмо могут добавить лог обработки или копию исхо дного

письма;

передача уведомления через SNMP или журнал прило жения

(для SMS).

Рис. 16. Примене ние «скрытого» почтового ящика MAILsweep for Ехсhange

Обычно MAILsweeper for Exchange устанавливается на сервер

Exchange для сканирования всех писем, отправляемых через этот

сервер. MAILsweeper for Exchange создает новый, «скрытый» поч-

товый ящик для каждого имеющегося почтового ящика, и вся почта

доставляется сначала в это т новый ящик. Затем пись мо после про-

верки доставляется в почтовый ящик пользователя. « Скрытые»

почтовые ящики могут быть о тключены. При этом письма будут

сканироваться при попадании в пользо вательский ящик. MIMEs-

weeper Manager обеспечивает следую щие возможности по локаль-

ному и удаленному управлению:

• просмотр последних полученных сообщений;

• контроль задержанных сообщений (отправка, копирова ние

или удаление);

• архивирование системных журналов.

MIMEsweeper for Domino

Опасные вложения электронной почты и вирусы обычно обна-

руживаются в точке подключения к Интернет. Однако они могут

проникнуть в корпоративную сеть не только через элек тронную

почту. Сотрудники могут загрузить опасные програм мы из Интер-

нет, принести на дис кетах и компакт-дисках или создать вну три

компании. Вну тренняя электронная почта в та ких случаях стано-

вится источником активного и свободного распространения таких

вложений в рамках компании.

MIMEsweeper for Domino специально разработан для компаний,

использующих Lotus Domino для автоматизации своей деятельно-

сти.

MIMEsweeper for Domino - э то решение для проверки безо-

пасности содержимого Domino Mail и баз данных Domino. Приме-

нение MIMEsweeper for Domino повысит безопасность вашего биз-

неса за счет:

защиты от файлов запрещенного формата, например, файлов

картинок пересылаемых внутри предприятия или получен-

ных из Интернет;

• защиты о т пересылки запрещенных материалов, например,

конфиденциальных сведений, путем анализа по клю чевым

словам и фразам;

добавления к пересылаемым вложениям уведомлений, на-

пример, о конфиденциальности вложений;

защиты от «спама» по ключевым словам и по известным до-

менам;

управления шифрованием в базах данных Domino и Domino

Mail.

Кроме того, MIMEsweeper for Domino обеспечит:

защиту от вирусов;

защиту от вредоносного ко да, Lotus script, Actions и Java пу-

тем анализа скриптов;

защиту сети от перегрузки файлами большого размера;

блокировку запуска исполняемых файлов.

Таблица 3

Возможности MIMEs weeper for Domi no

Domino

E-mail

Domino

Databases

Поддержка нескольких почтовых ящиков

Да

Нет

Архивирование почты

Да

Нет

Проверка на наличие вирусов

Да

Возможность проверки несколькими антиви -

русными программами

Да

Контроль вредоносных скриптов для Notes и

распознавание Java

Да

Нет

Проверка баз данных по расписанию

Нет

Да

Поиск по словам и фразам

Да

Нет

Управление файлами по типу (двоичные

шаблоны)

Да

Управление файлами по имени

Да

Управление файлами по размеру

Да

Распознавание форматов сжатия

Да

Блокировка по количеству получателей

Да

Нет

Сортировка сообщений по отправителю

Да

Нет

Управление до кументами, зашифрованными

в Domino

Да

Добавление уведомлений

Да

Нет

Составление отчетов в системе отчетов

Domino

Да

Предупреждения и сигналы тревоги, в зави-

симости от содержания

Да

MIMEsweeper for Domino анализирует содержание элек-

тронной почты Domino в соответствии с политикой безо пасности

компании пропускает сообщения, очищает их о т вирусов или

блокирует. Базы данных проверяются на наличие вирусов запре-

щенны х типов и имен файлов, и, если найдены какие-либо угрозы

файлы могут быть удалены, исправлены или заар хивированы.

MIMEsweeper for Domino устанавливается на сервер Domino.

Если в компании используется несколько серверов Domino, MI-

MEsweeper for Domino устанавливается на каждый из них.

Рис. 17. Применение MlMesweeper for Domino.

Преимущества MIMEsweeper for Domino:

• масштабируемая архитектура;

• возможности удаленного управления настройками;

• политики для баз данны х могут тиражироваться на все сер-

веры компании и таким образом обеспечивать единый по дхо д

к ним по всей компании.

8.20. Сканирование электронной почты с помощью

MIMEsweeper for Domino [^]

Сканирование электронной почты выполняется в соо тветствии

с политикой безопасности компании и состоит из сле дующих ос-

новных этапов:

Рис 18. С канирование электронной почты

Определение политики (Policy Identification)

Определение набора проводимых проверок (политики) по пр а-

вилам, задаваемым пользователем :

для различных отправителей и получателей сообщений;

для любого сообщения.

Декод ирование содерж имого (Content Disassembly)

Рекурсивное декодирование для определения исходного со-

держимого:

распознавание форматов сжатия, шифрования, а также

файлов различных типов, включая:

o документы;

o программы;

o рисунки;

o звуковые и видео форматы;

распознавание пользовательских форматов данных на ос-

нове гибких двоичных шаблонов;

определение содержимого по имени файла и его расши-

рению.

Анализ содерж имого (Content analysis)

Анализ письма в соответствии с политикой:

сканирование антивирусными программами по выбору поль-

зователя (из предложенного списка), в том числе и о д-

новременная обработка несколькими антивирусными про -

граммами;

очистка зараженных писем от вирусов;

анализ текста по ключевым словам и фразам;

управление письмами в зависимости от типа присоеди-

ненны х файлов;

различные дейс твия в зависимости от размера письма и вло-

жений;

добавление к письму текста на любом языке, например, уве-

домления о конфиденциальности содержимого письма; р ас-

познавание «спама» и определение атак через электрон ную

почту;

определение вредоносного кода, например, скрипты Java,

VBscript, Notes;

настраиваемое управление письмами с использованием пр а-

вил, заданных скриптами Notes или другими программами.

Реагирование (Classification)

Выбор действия для каждого письма:

удаление нежелательных вложений;

архивирование писем;

оповещение администратора и/или отправителя;

блокировка или доставка писем.

Сканирование баз данных

MIMEsweeper for Domino анализирует базы данных либо при

возникновении определенны х событий, либо по расписанию. Ана-

лиз состоит из трех основных этапов.

Рис. 19. Сканирование баз данных

Декод ирование содерж имого (Content Disassembly)

Декодирование для определения исхо дного содержимого:

• распознавание основных форматов данных (распознаю тся те

же форматы, что и при сканировании электронной почты);

• распознавание пользовательских форматов данных на основе

гибких двоичных шаблонов;

• определение содержимого по имени файла и его расши-

рению.

Анализ содерж имого (Content analysis)

Анализ баз данных в соответствии с политикой:

• сканирование антивирусными программами по выбору поль-

зователя (из предложенного списка), в том числе и одновремен-

ная обработка несколькими антивирусными программами;

• управление файлами базы данных по типу вложения, именам

файлов и расширению.

Реагирование (Classification)

Выбор реакции:

• удаление нежелательных вложений;

• архивация;

• оповещение администратора.

8.21. Применение средств контроля и регистрации

событий безопасности [^]

Средства обнаружения атак

RealSecure Guard

RealSecure Guard — первая система, использующая новую, так

называемую «активную» или «inline», технологию обнаружения

атак, что позволяет не только обнаруживать, но и б ло кировать на-

падения в реальном времени (в полном понимании этого термина).

Так как весь сетевой трафик про ходит че рез систему RealSecure

Guard, то несанкционированные действия могут быть блокированы

или правилами встроенного межсетевого экрана или же обнаруже-

ны с помощью механизма расширенного анализа протоколов. В

случае обнаружения атаки RealSecure Guard может полностью бло-

кировать ее, не позволяя ей достичь своей цели. В отличие о т др у-

гих аналогичны х средств, RealSecure Guard за счет использования

специализированного драйвера при этом не снижает производи -

тельность сети и не замедляет работы приложений.

Кроме того, RealSecure Guard может испо льзоваться для за щиты

серверов и иных наиболее критичных устройств, располо женных

определенных выделенных сегментах (например, Web-серверы или

серверы баз данных и приложений). Применяемая технология по-

зволяет защитить эти серверы без установки на них специальных

агентов и тем более без перезагрузки этих важ ных узлов. К досто-

инствам RealSecure Guard можно отнести:

Способность предотвращать нанесение ущерба сети ин-

формации. RealSecure Guard динамически блокирует раз-

личные ата ки и предо твращает нанесение ущерба критич-

ным узлам сети. Это реализуется за счет использования

статических правил межсетевого экрана и динамических

сигнатур, объединенных в одном устройстве.

Высокую производительнос ть. RealSecure Guard позво ляет

обнаруживать атаки в полностью загруженны х сетях Ether-

net (10 Мбит/сек) и Fast Ethernet (100 Мбит/сек) в по лу- и

полнодуплексном режимах.

Простоту использования. RealSecure Guard защищает весь

входящий и исходящий трафик без вмешательства опер а-

тора, что является одним из основных требований для ком-

паний, не имеющих возможности содержать штат высоко-

квалифициро-ванных специалистов по безопасности, рабо-

тающих в круглосуточном режиме.

Наличие возможностей для осуществления мониторин га

критичны х систем. RealSecure Guard может быть уста-

новлен перед наиболее важными и критичными системами

с целью слежения за атаками, направленными на них.

Сис темы анализа защищенности

Компания Internet Security Systems предлагает целый ряд систем

анализа защищенности, охватывающих все уровни ин -

формационной системы предприятия, начиная с самого нижнего,

сетевого, и заканчивая уровнем прикладного ПО. Речь идет о сис-

темах анализа защищенности:

• на уровне сети Internet Scanner;

• серверов Systen Scanner;

• рабочих станций Desktop Scanner;

• на уровне СУБД Database Scanner;

• для Internet-банков, порталов и провайдеров Online Scanner.

Эти средства позволяют обнаруживать и своевременно уст-

ранять около 3000 уязвимостей в различном программно -ап-

паратном обеспечении — файловых серверах и рабочих стан циях,

маршрутизаторах и межсетевых экранах, Web-серверах и интел-

лектуальных принтера х и др., функционирующих под управлением

широкого спектра операционных систем (начи ная с Windows NT и

Solaris и заканчивая HP UX).

Распределенная ар хитектура средств анализа защищеннос ти по-

зволяет устанавливать их компоненты таким образом, чтобы обн а-

руживать уязвимости как изнутри, так и снаружи корпоративной

сети, имитируя деятельность внешних и внутренних злоумышлен-

ников.

Достоинства систем анализа защищенности, выпущенны х ком-

панией ISS, были по праву оценены более чем 7500 компа ниями во

всем мире (в том числе и в России), испо льзующими их как осно в-

ной компонент системы обеспечения сетевой безопасности. Кроме

того, эти системы имеют множество на град от различны х органи-

заций и печатны х изданий, работающих в области информацион-

ной безопасности.

Сис тема анализа защищенности Internet Scanner

Система анализа защищенности Internet Scanner разработана

американской компанией Internet Security Systems, Inc. и пред-

назначена для обнаружения уязвимостей в различном программ-

но-аппаратном обеспечении корпоративной сети. При помощи да н-

ной системы можно проводить регулярные всесторонние или вы-

борочные тесты сетевых сервисов, операционных систем, распр о-

страненного прикладного программного обеспечения, маршрутиза-

торов, межсетевых экранов, Wfeb-серверов и т. п. На основе прове-

денных тестов система Internet Scanner вырабатывает отчеты, со-

держащие подробное описание каждой обнаруженной уязвимости,

ее расположение на узлах корпоративной сети и рекомендации по

их коррекции или устранению.

Система Internet Scanner может быть использована для ана лиза

защищенности любых систем, основанных на стеке протоколов

TCP/IP. Это могут быть как компьютеры, по дключен ные к локаль-

ной или глобальной сети (Internet), так и автономные компьютеры с

установленной поддержкой TCP/IP. Система Internet Scanner со-

держит обширный список по тен циальных уязвимостей операцион-

ной системы Windows NT, что выгодно отличает ее от других кон-

курирующих продуктов.

Рис 20 С истема анализа защищенности Internet ScenftW

Система Internet Scanner обеспечивает вь*

СО

кий уровень зяаяшэ

затящеяяости за счет проведенияж^оторонних про-верок и своих

следующих ключевых ВОЗМОЖНОСТИ:

• большое число проводимых проверок;

• идентификация операционных сис тем;