Садердинов А.А. Информационная безопасность предприятия

Подождите немного. Документ загружается.

данная группа пользователей и весь «мир» (все другие авторизо-

ванные пользователи). Это позволяе т владельцу файла (или катало-

га) иметь права доступа, отличающиеся от прав всех других поль-

зователей. В общем случае, существуют следующие виды доступа:

по чтению, по записи, и для выполнения каких-то ины х операций.

Некоторые операционные системы ЛВС обеспечивают допо лни-

тельные права доступа, которые позволяю т осуществлять модиф и-

кацию или только соответствующее добавление и т. д.

Операционная система ЛВС может поддерживать профили

пользователя и списки возможностей или управления досту пом для

большого количества отдельных пользователей и различны х групп.

Эти механизмы обеспечивают большую гибкость в предоставлении

прав доступа для различных пользова телей, которые могут обеспе-

чить в этом случае более строгий контроль за доступом к файлам

(или каталогам). Списки управления доступом определяют права

доступа специфициали-зированных пользователей и групп к дан-

ному файлу или ката логу. Спис ки возможностей и профили поль-

зователя опреде ляют файлы и каталоги, к которым можно обра-

щаться данным пользователям (или пользователю).

Управление доступом пользователя может осуществляться на

уровне каталогов или на уровне файлов. Управление доступом на

уровне каталога приводит к тому, что права доступа для всех фай-

лов в каталоге становятся одинаковыми. Например, пользователь,

который имеет доступ по чтению к каталогу, мо жет читать (и, воз-

можно, копировать) любой файл в этом ка талоге. Права доступа к

директории могут также обеспечить явный запрет доступа, кото-

рый предотвратит любой доступ пользователя к файлам в ката логе.

Средства управления дос тупом могут также испо льзовать ся,

чтобы ограничить типы взаимодействия между серверами в ЛВС.

Большое количество операционных систем ЛВС могут огранич и-

вать тип трафика, существующего между серверами. Вообще как

не существовать никаких ограничений, что при ведет к тому, что

для всех пользователей будут доступны ресурсы всех серверов (в

зависимости от прав доступа пользовате лей на каждом сервере),

так и существовать части из них (ограничений), которые будут по-

зволять то лько определенные типы трафика, например, только со-

общения электронной почты, или боляе сильные ограничения, ко-

торые вовсе запретят, скажем, трафик между определенными сер-

верами. Политика Л ВС должна указать, какими типами информа-

ции необхо димо обмениваться между серверами. На передачу ин-

формации, в совместном использовании которого вовсе не нужда-

ются сразу несколько серверов, должны быть, разумеется, на -

ложены ограничения.

Меха низмы привилегий позволяю т авторизованным поль-

зователям игнорировать ограничения на доступ или легально обхо-

дить управление доступом, чтобы выполнить какую-либо функ-

цию, получить доступ к файлу и т. д. Механизм привиле гий дол-

жен включать концепцию минимальны х привилегий. Например,

принцип минимальных привилегий должен при меняться при вы-

полнении функции резервного копирования. Пользовате ль, кото-

рый авторизован выполнять функцию резервного копирования,

должен иметь доступ по чтению ко всем файлам, чтобы копировать

их на резервные носители ин формации, одн ако ему нельзя давать

доступ по чтению ко всем файлам через иеханизм управления дос-

тупом. Типы механизмов защиты, которые могли бы быть исполь-

зованы для обеспечения службм управления доступом, приво дятся

ниже:

■ механизм управления доступом, определяющий права вла-

дельца, группы и всех остальных пользователей);

■ механизм управления доступом, использующий списки

управления доступом, профили пользователей и списки во з-

можностей;

■ управление доступом, использующее механизмы манда тного

управления доступом;

■ управление доступом с использованием детально го ме-

ханизма привилегий.

6.7. Конфиденциальность данных и сообщений [^]

Служба обеспечения конфиденциальности данных и сооб -

щений может использоваться, когда необходимо соблюдение сек-

ретности информации. В качестве передней линии защи ты, э та

служба может включать в себя механизмы, слу жбы уп равления

доступом, или шифрование, когда информация пре образуется в

непонятный шифротекст. Таким образом, если служба управления

доступом будет обойдена, и к файлу доступ может быть осуществ-

лен. Зашифрованной информацией воспользоваться все-таки не

удастся.

Очень трудно предотвратить неавторизованный доступ к тра-

фику ЛВС. Использование шифрования уменьшает риск како го-

либо перехвата и чтения про ходящих транзитом через ЛВС сооб-

щений. Только авторизованный пользователь, который имеет пр а-

вильный ключ, сможет расшифровать сообщение.

Хорошей политикой безопасности обычно предусматриваются

типы информации, настолько критичные, что для них треб уется

шифрование. Концептуальная политика безопасно сти организации

может обозначать широкие кате гории ин формации, которые долж-

ны быть обязательно защищены, в то время как по литика безопас-

ности конкретной ИИСУП может лишь детализировать определе н-

ные типы информации и оп ределенные среды работы (ОС), для

которы х по требуется защита в виде шифрования. На каком бы

уровне политики безо пасности не предписывалось использование

шифрования, решение о его применении должно быть принято ли-

цом из руководства организации, ответственным за защиту крити-

ческой информации. Если в политике не указывается, какая именно

информация подлежит шифрованию, то владелец данны х полно-

стью сам отвечает за принятие или непринятие такого решения.

Криптографию можно разделить на использующую секретные

или открытые ключи. Первая из них основана на исполь зовании

единственного криптографического ключа, известного двум сторо-

нам. Один и тот же ключ используется для ши фрования и расшиф-

ровки данных. Ключ хранится в тайне обеими сторонами. Крипто-

графия с открытыми ключами — форма криптографии, которая

использует два ключа: открытый ключ и секретный ключ. Эти два

ключа взаимно связаны, однако открытому ключу невозможно вы-

числить секретный ключ. В криптосистеме с открытыми ключами

каждая сторона имеет собственную пару из открытого и секретного

ключей. Техно логия открыты х ключей в форме цифровых подп и-

сей может также обеспечить целостность информации и контроль

за участниками взаимодействия.

Типы механизмов безопасности, которые могли бы быть ре али-

зованы, чтобы обеспечить службу конфиденциальности сообщений

и данны х, приведены ниже:

■ технология шифрования файлов и сообщений;

■ защита резервных копий на лентах, дискетах, и т. д.;

■ физическая защита физической среды ЛВС и устройств;

■ использование маршрутизаторов, которые обеспечивают

фильтрацию для ограничения широковещательной передачи (путем

блокировки, или маскированием содержания сообщения).

6.8. Целостность данных и сообщений [^]

Служба целостности данных и сообщений помогает защи-

тить данные и программное обеспечение на автоматизированны х

рабочих местах, файловых серверах и других компонентах ЛВС от

неавторизованной модификации. Неавторизованная модификация

может быть намеренной или случайной. Эта служба может быть

обеспечена при помощи криптографических контрольных сумм и

очень детальных механизмов управления доступом и привилегий.

Чем больше точность управления доступом или механизма приви-

легий, тем менее вероятна возможность неавторизованной или слу-

чайной модификации.

Служба целостности данны х и сообщений также помогает га-

рантировать, что сообщение не изменено, не удалено или не увели-

чено в объеме любым способом в течение передачи (не корректная

модификация пакета сообщения обрабатывается на уровне управ-

ления доступом к среде, осуществляемого в рамках протоко ла

ЛВС).

Из типов механизмов защиты, которые могли бы быть реа-

лизованы, чтобы обеспечить службу целостности данных и со -

общений, следует назвать:

■ коды аутентификации сообщения, используемые для пр о-

граммного обеспечения или файлов;

■ использование электронной подписи, основанной на секре т-

ных ключах;

■ использование электронной по дписи, основанной на о ткр ы-

тых ключах;

■ детальный механизм привилегий;

■ соответствующее назначение прав при управлении до ступом

(то есть отсутствие ненужных разрешений на за пись);

■ программное обеспечение для обнаружения вирусов;

■ бездисковые автоматизированные рабочие места (для пр е-

дотвращения локального хранения программного обеспечения и

файлов);

■ автоматизированные рабочие места без накопителей для дис-

кет или лент для предотвращения появления подозри тельного

программного обеспечения.

6.9. Контроль участников взаимодействия [^]

Служба контроля участников взаимодействия гарантирует

невозможность субъектов взаимодействия отрицать свое участие

во всем взаимодействии или какой-либо его части. Когда главной

функцией ЛВС является электронная почта, эта служ ба безопасно-

сти становится очень важной. Контроль участни ков взаимодейст-

вия с подтверждением отправи теля дает получателю некоторую

степень уверенности в том, что сообщение действительно прибыло

от названного отправителя. Службу контроля участников взаим о-

действия можно обеспечить с помощью криптографических мето-

дов с использованием откры ты х ключей, реализующих э лектрон-

ную подпись. Механизм защиты, для обеспечения службы контр о-

ля участников взаи модействия заключается в использовании элек-

тронны х подписей с открытыми ключами.

6.10. Регистрация и наблюдение [^]

Эта служба исполняе т две функции. Первая - обнаружение уг-

розы. Во всех случаях нарушения безопасности очень важно пр о-

следить действия нарушителя в различных частях систе мы, что

вполне возможно при соответствующих масштабах регистрации.

Например, в случае вторжения злоумышленника в систему, журнал

должен указать, кто проводил сеанс с системой в это время, а также

все критичные файлы , для ко торых имелись аварийно заверши в-

шиеся попытки доступа, все программы, которые запускались, и т.

д. Он до лжен также о тметить критичные файлы и программы, к

которым были успеш ные обращения в это т же период времени.

Вторая функция этой службы - обеспечить системны х и сете-

вых администраторов статистикой, которая показывает, что систе-

ма и сеть в целом функционируют должным образом. Это может

быть сделано при помощи механизма аудирования, который ис-

пользует файл журнала в качестве исхо дных дан ных и перерабаты-

вает его в информацию относительно ис пользования системы и ее

защиты . Могут та кже быть задействованы средства наблюдения за

ЛВС, которые помогали бы обнаружить проблемы с ее доступно-

стью по мере их возникновения. Из механизмов защиты, которые

могли бы использоваться, чтобы обеспечить службу регистрации и

наблюдения, следует назвать:

■ регистрацию информации о сеансах пользователей (включая

исходящую машину, модем, и т. д.);

■ регистрацию изменений прав пользователей для управ ления

доступом;

■ регистрацию испо льзования критичных файлов;

■ регистрацию модификаций, сделанны х в критическом пр о-

граммном обеспечении;

■ использование инструментов управления трафиком ЛВС;

■ использование средств аудирования. Персональные компью-

теры обычно не имеют встроенных программно-аппаратных

средств для аутентификации пользо вателя, управления доступом

или защиты памяти, которая де лилась бы на системную память и

память, используемую для приложений пользователя. Из-за отсут-

ствия сре дств защиты и свободы действий, с которой пользователи

могут совместно применять и модифицировать программное обе с-

печение, персональные компьютеры очень уязвимы для атак вир у-

сов, неправомочных пользователей и связанны х с этим угроз.

Исключение попадания вирусов в среду ПК невозможно без по-

стоянного внимания пользователя к э той проблеме. По льзователи

персонального компьютера являются в сущности администратора-

ми своего персонального компьютера, и должны на практике осу-

ществлять и эту часть своей работы. Персональные компьютеры,

как правило, не позволяют про водить аудирование, поэтому поль-

зователь должен всегда сле дить за работой компьютера, чтобы

знать, что является его нормальной, а что ненормальной работой.

Правда чтобы обнаруживать проблемы с безопасностью и восста-

навливать среду ПК в нормальное состояние, пользователи ПК

должны до известных пределов разбираться в компью терах, чего,

увы, сплошь и рядом не бывает, отсюда понятно, сколь остро стоит

и сегодня проблема обучения пользователей, чтобы в дальней шем

активизировать его участие в борьбе с вирусами.

7. Структура защиты информации в интег-

рированной информационной системе

управления предприятием [^]

7.1. Структурная схема системы защиты информа-

ции интегрированной информационной системы

управления предприятием [^]

Одной из существенны х особенностей ИИСУП является реали-

зация в ней принципа централизованного управления, благодаря

чему стало возможным выполнение таких важных для руководства

предприятием функций, как:

■ авторизация и управление распределенной информацией в

масштабах всего предприятия;

■ возможность централизованной аутентификации и уп-

равление контролем доступа ко всем Web-серверам вне за-

висимости от их платформ (централизованное управление Web-

пространством за счет связи Web-серверов в одно логическое

Web-пространство);

■ управление доступом к персональной информации по -

требителей;

■ централизованное кроссплатформенное управление учетны-

ми записями пользователей;

■ управление цифровыми сертификатами для электронного

бизнеса;

■ централизованное кроссплатформенное управление до -

ступом пользователей к информационным ресурсам;

■ управление рисками на предприятии, позволяющее сис-

темным администраторам контролировать все несанкцио-

нированные вторжения на пре дприятие.

Последняя функция представляет особый интерес, по скольку из

нее вытекает, ч то централизованное управление позволяет систем-

ным администраторам взять под свой контроль вторжения на

предприятия.

Сего дня корпорации развертывают множество решений за щиты,

типа Firewalls, систем обнаружения вторжений и меха низмов кон-

троля доступа как часть своей общей стратегии бе зопасности. По-

литика безопасности, осуществляемая на сетевом уровне, уровне

хоста и уровне приложений, разрешает до ступ только к авторизуе-

мым пользовательским приложениям и системам. Предпринимате-

ли постоянно сталкиваются с увеличивающимися рисками от ви-

русных атак, несанкционированного доступа, а также с атаками по

блокированию программно-технического обеспечения предпри-

ятия. Угрозы могут быть внутренними и внешними (из Internet).

Половина вну тренних угроз злонамеренна, другая по ловина слу-

чайна и является результатом нарушения системы или слабой по-

литики защиты . Противостоять всем этим угрозам можно лишь с

помощью соответствующей эффективной защиты предприятия. По

мнению специалистов, лучшею ее разновидностью является так

называемое «управление рисками предприятия», когда к его м е-

неджерам своевременно и в необходимых объемах поступает из

различных контрольных точек системы безопасности предприятия,

необхо димая для своевременных управляю щих воз действий ин-

формация.

Управление рисками предприятия обеспечивается с испо ль-

зованием простого, легкого в испо льзовании централизованно го

пульта (console) безопасности предприятия. С его помощью фик-

сируются, контролируются и устраняю тся аварийные события во

всем предприятии. Этот пульт позволяе т осуществлять управле ние

угрозами и уязвимостью по всему предприятию, а также га-

рантировать доступ к сетям, сис темам, приложениям и рабочим

столам, совместимый с политикой защиты предприятия.

Управляя рисками предприятия, системные администрато ры

могут:

■ Точно идентифицировать различные типы угроз и нападений,

используя современную технику корреляций, что очень важно

для быстрого ответа по защите предприятия.

■ Обеспечивать средствами поддержки принятие решений по-

зволяющих организациям осуществлять профилактиче-ские ме-

ры по сокращению деловых рисков. Располагая, подобными

средствами, администраторы по безопасности могут точно

определять уязвимые «горячие точки» (hotspots) и осуществ-

лять корректирующие действия, модернизирующие их полити-

ку защиты.

■ Быстро принимать решения по защите от атак по блокирова-

нию программно - технического обеспечения, от вирусов или

несанкционированного доступа. Меры, предлагаемые в таких

случаях, включают в себя нередко реконфигурирова-ние бранд-

мауэров, аннулирующее учетные записи пользова теля на серве-

рах и у даляющее вирусы с рабочего стола.

Управление рисками предприятия вполне интегрируется с

идеологией неоднородной технологии безопасности разно образных

компьютерных программ. В итоге выстраивается та ким образом

всестороннее абсолютное, можно сказать, управ ление информаци-

онной безопасностью предприятия.

Подобная платформа управления предприятием уже суще ствует

и представляет собой открытую, кроссплатформенную,

Рис. 7. Структурная схема системы защиты информации интегрированной инфор-

мационной системы управления предприятием

базирующуюся на стандартах систему, позволяющую клиен там

эффективно бороться с вторжениями и безопасно управ лять уязви-

мостью во всех сетях, хостах, операционны х систе мах, приложени-

ях, серверах и настольных компьютерах.

В этом случае, структурная схема системы защиты информации

ИИСУП может быть представлена в виде, как э то пока зано на рис.

7, где слева изображены уровни защиты информации ИИСУП.

7.2. Основные функции уровней защиты информа-

ции интегрированной информационней системы

управления предприятием [^]

С точки зрения централизованного управления фунвд ии уров-

ней системы защиты могут быть сформулированы следу ющим об-

разом.

Централизованное управление рискам и и администрирование

системы безопасности

■ Управление событиями.

■ Управление рисками.

■ Управление принятием решений по управлению рисками:

- на предприятии в целом;

- по сбоям и отказам программно-технического оборудования;

- по обнаружению несанкционированных вторжений; по угр о-

зам от вирусов.

■ Связь с централизованной консолью управления пред-

приятием.

■ Долговременное хранение тревог и вторжений (статис тика).

■ Централизованное администрирование.

■ Автоматизированный безопасный способ управления ат-

рибутами пользователей (учетными записями по льзовате лей) и

обслуживание пользователей в разнородных распреде ленны х

сетях (для каждого пользователя создается единственная за-

пись-шаблон данного служащего и автоматическая генерация

значений атрибутов пользователя для различны х ресурсов).

■ Делегирование части полномочий младшим админист-

раторам отдельных ресурсов.

■ Административный контроль полномочий главным ад-

министратором.

■ Осуществление логическим пространством централизо-

ванной аутентификации и управления контролем доступа ко

всем Web-серверам, вне зависимости от их платформ.

■ Установление логическим пространством имен Web (names-

pace).

■ Обеспечение консолью центрального управления служ бой

безопасности:

■ управления пользователями: группами и ролями в пол ной

сети предприятия;

■ управления директориями;

■ управления пользовательскими привилегиями; -

делегирования части административных по лномочий млад-

шим администраторам;

■ управления набором ресурсов и распределения адми-

нистрирования между младшими администраторами.

При этом сама консоль должна позволять отделять управление

разработкой политики безопасности от ее реализации.