Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности

Подождите немного. Документ загружается.

7.3. Опасность для информации

Можно указать на ряд главных уязвимых мест для информации, когда

она передается или обрабатывается на сетевых ПК.

Физические угрозы включают кражу данных на носителях или всей

системы целиком; случайное наблюдение секретной информации на дисплее

ПК; кражу напечатанных выведенных документов и незаконное

использование клавиатуры или других устройств ввода для проникновения

через средства контроля безопасности (получая доступ к персональному

компьютеру, его файлам или к сети в целом) или осуществление порчи,

потери или раскрытия информации, когда ПК оставляется в активном или

подключенном к сети состоянии.

Программно-аппаратные угрозы включают подрыв операционной

системы или ее управления с помощью незаконного (неавторизованного)

использования клавиатурного ввода; подрыв системы контроля ПК через

удаленный доступ или ее обман, используя сетевое соединение; размещение

троянских коней и часовых бомб, поступивших вместе с свободным или

приобретенным ПО; потерю секретности данных в результате

неавторизованного преднамеренного или случайного просмотра файлов

данных, которые могут находиться на жестком диске ПК или на файл-

сервере ЛВС. Разработаны вирусные программы, которые могут

путешествовать по сети от одного компьютера к другому, попутно разрушая

файлы, или получая управление операционной системой.

Организационные угрозы включают раскрытие данных из-за того, что

пользователь, недооценив значение локально созданной информации, забыл

провести классификацию согласно стандартам предприятия и обеспечить

защиту; вторжение в контролируемые файлы или рабочие области по

причине слабых, легко угадываемых паролей или длительного

использования старых паролей, которые уже раскрыты; потерю или

обнаружение секретной информации из-за того, что сетевой принтер

недостаточно защищен, или пользователи ПК не забрали или не защитили

напечатанные документы; отсутствие инсталляции и использования ПО для

безопасности ПК, которое позволяет защитить файлы с помощью паролей

или других средств, а также служит для защиты файлов, имеющих высокое

значение, и каналов посредством шифрования; отсутствие плана на случай

форс-мажорных обстоятельств, таких как пожар, кража, потеря данных

вследствие технических ошибок файловой системы.

Новый уровень риска возникает, когда сотрудники работают дома на

ПК, возможно, через сетевое соединение со своим отделом или сервером баз

данных. Порядок в этом случае почти целиком основывается на доброй воле

сотрудников следовать правильной процедуре. Что может остановить

сотрудника от передачи паролей членам семьи или от использования

носителей с данными предприятия для других целей? Только мотивация.

7.4. Сетевая защита персонального компьютера

В настоящее время безопасность большинства вычислительных

центров поддерживается на достаточно высоком уровне. Здесь почти нет

исключений. Установлены многочисленные уровни безопасности, как

физической, так и технической. Штат специалистов по безопасности и

вооруженная охрана делают очевидным, что защита информации

соответствует стандартам предприятия по безопасности.

С другой стороны, ПК обычно находится в типичной среде отдела.

Хотя доступ во многие коммерческие отделы должен контролироваться на

основе пропускной системы или дверей с цифровыми замками, практически

все они свободно посещаются. Однако комплекс персональных компьютеров

отдела, соединенный с ЛВС, которая связана с файл-серверами,

коммуникационными серверами и принтерами, является значительно более

мощным, чем средний вычислительный центр. Однако там нет технического

штата по безопасности, нет центральной программной системы

безопасности, имеющей хорошее сопровождение и содержащей профили

авторизованных пользователей, и даже нет закрытых помещений, куда

разрешен доступ только авторизованному персоналу. Вместо этого вся

ответственность возлагается на коллектив группы пользователей. Они сами

себе руководители вычислительного центра и должностные лица по

безопасности. Определенно, здесь можно применить теорию слабого звена.

Эффективная безопасность для ПК в сети требует, чтобы (1) были

установлены правильные формы производственной деятельности людей, и

(2) эта деятельность стала для них желаемой. Мотивация уже

рассматривалась; далее будут рассмотрены только требования по

безопасности для ПК.

7.5. Планирование безопасной работы на персональном компьютере

Необходимо признать, что производственные отношения

основываются на управлении информационными средствами и требуют

принятия решений относительно них. Эти решения по структуре, стоимости

и защите информации составляют основу, на которой строится эффективная

программа по безопасности ПК. Предприятие должно принять решение по

стратегическим целям, приложениям и контролю над сетью, связывающей

ПК, и отдельными ПК.

Поскольку прикладные задачи перешли от больших компьютеров на

ПК, а современные новые приложения разрабатываются для сетей ПК,

руководство должно иметь процесс, гарантирующий продолжение уровня

качества информации. Он включает меры по защите информации. Эти меры

должны выполняться на основе стандартов, как было описано в главе 3.

7.5.1. Стандарты предприятия по использованию ПК

Каждое предприятие должно принять стандарты, которые

устанавливают средства контроля за применением ПК. В решение

руководства, которое является предварительным условием принятия

стандартов, должно входить следующее:

1. Анализ риска, определяющий ослабленные позиции, возникающие на

предприятии вследствие использования сетевых ПК, на работе или в

домашних условиях. Этот анализ позволит вывести основные требования

политики, т.е. на каких формах производственной деятельности сотрудников

следует настаивать. Ослабленные позиции могут быть разными для

различных приложений. Одна из проблем состоит в том, что предприятие

может не знать, кто использует персональные компьютеры, видя только

результат их деятельности. Руководящие указания и стандарты,

рассматривающие использование ПК, должны обеспечить механизм

контроля, гарантирующий персональную ответственность пользователя при

работе на ПК с информацией предприятия.

2. Процедура получения, использования и контроля ПК. ПК не должны

рассматриваться, как простой элемент информационного оборудования

отдела по нескольким причинам, включающим совместимость с другим

оборудованием и информационный контроль. Так как ПК дешевы,

сотрудники могут покупать их произвольным образом, используя деньги,

выделяемые на нужды отдела. Предприятие должно иметь строгие правила

относительно того, как должно приобретаться любое компьютерное

оборудование, или, более того, предприятие должно указать, какие ПК

можно использовать, с какими операционными системами можно работать, а

также ограничения, накладываемые на прикладные программы.

3. Формальное принятие ответственности сотрудниками в случае, когда они

хотят использовать ПК или другое терминальное устройство за пределами

предприятия. С целью защиты интересов производства каждый сотрудник

должен подписать контракт, в котором оговариваются его обязательства

перед предприятием. Контракт должен устанавливать в письменной форме

ответственность сотрудника по защите информации предприятия во время

работы с ней, и то, что сотрудник обещает следовать практике предприятия

по безопасности. Нарушение условий контракта может привести к

юридической ответственности сотрудника, что в дальнейшем может повлечь

за собой освобождение его от занимаемой должности.

4. Средства контроля, препятствующие случайному доступу к сетям или

большим компьютерам. Конечно, предприятие не может контролировать

деятельность каждого сотрудника, но оно может контролировать доступ к

портам компьютера, а это – пункт контроля за соединениями ПК с серверами

баз данных или сетями. Одним из способов является применение одной из

систем контроля порта, доступных в настоящее время. Другой – требует от

пользователя наличия электронного ключа, который генерирует код в

процессе аутентификации. Такая система гарантирует точную

идентификацию вне зависимости от того, какое оборудование используется

или с какого места запрашивается доступ.

5. Опубликованные руководящие указания по использованию ПО из мест

вне предприятия. Это важно для гарантии поддержания контроля, особенно

когда устройства соединены с сетями. Системы так называемых электронных

досок объявлений предлагают бесплатное или условно-бесплатное ПО,

которое пользователя просят оплатить. Применение таких программ является

очень рискованным; предприятие должно четко установить в письменной

форме в контракте с каждым сотрудником обязательство не использовать

ПО, которое не получило официального одобрения.

Программное обеспечение для ПК не только является источником

финансовых расходов, но также может представлять источник беспокойства

для предприятия, если сотрудники нарушат контрактные обязательства,

принятые при покупке ПО для производственной деятельности. Все

программное обеспечение для ПК, такое как утилиты для операционных

систем или прикладные программы (такие как разработанные

программистами предприятия системы анализа смет) должно быть

защищено. Слабые стороны программного обеспечения ПК включают:

- нелегальное копирование или нелегальное применение ПО, которое имеет

авторские права и куплено по лицензии;

- скрытное изменение операционной системы, контроля безопасности или

прикладной программы на диске для обмана или с другими тайными целями;

- потерю ПО, наступившую как вследствие необдуманной перезаписи или

стирания программ, так и кражи диска.

Программы должны быть защищены так же, как данные. Диски

должны иметь маркировку, включая при необходимости соответствующую

метку классификации. Они должны храниться в определенном порядке, так

чтобы мог быть замечен отсутствующий диск. Следует подумать о

замыкающихся кабинетах и выдвижных полках для безопасного хранения

неиспользуемых дисков.

Ряд важных требований по контролю включают следующие

требования:

1. Для выполнения производственных задач следует использовать только те

ПК и такие пакеты программ, которые получили одобрение

информационного руководства предприятия. Это согласуется с правилами по

безопасности информации, касающимися получения классифицированных

документов и их защиты вне помещений предприятия. Ограничение ПО

только одобренным предприятием важно для гарантии целостности

информации. Ограничение типов используемых компьютеров увеличивает

ценность библиотек ПО и упрощает соединения между компьютерами.

2. ПК предприятия могут использоваться только для производственных

целей предприятия. Если сотрудник имеет собственный ПК, то в

руководящих указаниях следует отметить, возможно или нет его

использование для производственных целей, и если так, то как должна

контролироваться информация. Совместное использование ПК работающим

сотрудником и членами его семьи не является правильной идеей.

3. Классифицированная информация не должна быть получена или введена

с удаленного терминала. Это правило отражает тот факт, что сложно

установить эффективный контроль над получением информации после

аутентификации пользователя терминала. Для компьютера путь сообщения

или файла, который получает аутентифицированный пользователь не имеет

значения, зато этот путь очень важен с точки зрения безопасности.

4. Классифицированная информация не должна обрабатываться в

присутствии посторонних лиц в помещении. Это является более общим

правилом, которое применяется также при работе внутри предприятия. Оно

применимо в каждом случае.

5. Каждый сотрудник несет персональную ответственность за защиту

классифицированной информации и за надлежащее использование

специальных мер безопасности. Индивидуальное понимание и желание

использовать надежные инструкции по безопасности являются главными

требованиями при эксплуатации сетей. Сотрудники должны быть обеспечены

инструкциями по безопасности.

6. Каждый пользователь должен получить уникальный идентификатор и

аутентификатор перед тем, как войти в сеть. Полномочия не должны

использоваться совместно; пароли или другие токены должны оберегаться

самим пользователем.

7. Пароли должны храниться в тайне и периодически меняться согласно

стандартам предприятия. Предприятия, которые заботятся о своих

информационных средствах, считают тайну и защиту паролей или других

аутентификационных токенов вопросом доверия. Нарушение считается

тяжелым проступком, часто приводящим к увольнению.

8. Присоединенные ПК должны быть отключены от сети или переведены в

пассивное состояние, если устройство осталось без надзора. Сеть

самостоятельно может установить тайм-аут, если отсутствие активности

очевидно.

9. Периодически руководство должно заново рассматривать подтверждение

для работы каждого сотрудника на ПК. Владение и использование ПК на

работе должно быть регулярным пунктом ревизий на предприятии. Хорошим

способом проверки использования ПК вне предприятия, возможно, служат

периодические обследования доступов «по вызову» в системных протоколах.

7.5.2. Практические меры безопасности для ПК

Как описано ранее, следует разделять меры безопасности, требуемые

различными уровнями элементов безопасности, на физические, логические и

процедурные меры безопасности.

Физические меры:

Помещения, в которых находятся ПК, должны иметь безопасность

согласно степени секретности обрабатываемой информации. За исключением

информации высшего значения, которая может потребовать специальных

усилий, ПК, установленные в отделе, обычно обеспечиваются средней

степенью защиты.

Оборудование должно иметь крепеж безопасности для закрепления

устройства на столе или на полу. Отсутствие его допускается в случае, когда

помещение считается безопасным при отсутствии людей в здании. Для лент и

дисков следует предусмотреть безопасное хранилище. Это хранилище

должно иметь тот же уровень защиты, как и для документов, имеющих

данную классификацию. В большинстве случаев, информация высшего

значения должна храниться в сейфе или запирающемся кабинете. ПО

является дорогостоящим и хранится аналогично важным данным.

Ленты и диски, которые были использованы для секретной

информации, не должны возвращаться производителю или продаваться как

утиль. Вне зависимости от того, какие действия были выполнены по

стиранию информации на дисках, могут быть найдены технические способы

ее извлечения. Большинство команд только вычеркивает заголовки файлов и

входы в таблице ссылок, а сами данные остаются на диске.

В некоторых случаях требуется блокировка аппаратуры (например,

отключение блока питания). Преимущество элементов безопасности

различных уровней в том, что можно разработать простое экономичное

решение. Простой замок на ПК или блоке питания диска может служить

таким решением, особенно в охраняемых помещениях.

Программно-аппаратные меры:

Многие операционные системы ПК (такие как Unix) били разработаны

с точки зрения удобства для пользователя, а не безопасности для

информации. Большинство ПК (за исключением последних, более мощных

моделей) не имеет системной организации, которая эффективно

приспособлена для размещения механизмов безопасности. Можно сказать,

что большая часть средств контроля ПК просто не является надежной и не

предназначена для безопасного управления системными ресурсами или

данными. Например, дисковая операционная система ПК имеет указатели

статуса файлов, такие как “только чтение” или “скрытый”. Они обеспечивают

некоторый вид контроля (зависящий от личного усмотрения), но, имея

минимальные технические навыки, можно легко манипулировать флажками

операционной системы, которые контролируют эти состояния. Файлы на

персональных компьютерах, только что полученных от производителей,

следует считать доступными для любого, кто имеет физический доступ к

машине.

Чтобы контроль доступа был эффективным, необходимо обеспечить

средства аутентификации каждого пользователя. Конечно, в случае, когда

только одно лицо использует ПК и физически контролирует доступ к нему,

можно обойтись без этого. Но каждый ПК, обрабатывающий

классифицированную информацию, должен быть обеспечен пакетом

контроля безопасности или соответствующей комбинацией аппаратных и

программных средств. Они дадут возможность установить контроль с

применением паролей или, возможно, использовать ручные

аутентификационные устройства.

Пакеты программ по безопасности имеют широкий спектр

приложений. Администратор ПК может установить и контролировать

различные уровни привилегий. Он, соответственно, имеет общий доступ и

административные права. Директории с секретными файлами могут быть

скрыты, так что случайный пользователь не сможет увидеть имена файлов. В

качестве опции предлагается шифрование файлов. В таблице 5 проводится

сравнение некоторых операционных систем ПК и предлагаемых услуг.

При соединении с сетью ПК должны использовать для аутентификации

средства центральной программы безопасности (функция безопасности

учетного сервера для ЛВС). В добавление к аутентификации легальных

пользователей, пакет по безопасности может применяться для ограничения

действий только теми, которые авторизованы владельцами данных.

Некоторые пакеты контроля безопасности ПК предлагают опции,

поддерживающие интерфейс с системой безопасности большого компьютера.

Системы шифрования, предпочтительно, использующие

аутентификацию сообщений, являются важными в случаях, когда ПК

используется для коммуникаций стратегического характера или для

обработки производственной информации, имеющей высшее значение.

Шифрование является высшей степенью защиты, известной до сего времени,

но оно требует строгого управления ключами шифрования. При потере

ключей одновременно теряется информация.

Организационные меры:

Все пользователи ПК, а также владельцы, должны быть

идентифицированы с целью руководящего контроля. Пользователи должны

подписать заявку на аппаратные и программные средства и заявление об

ответственности. Серийный номер и местоположение каждого ПК должны

быть записаны и периодически проверяться.

Сетевые средства контроля и средства контроля центрального

компьютера должны корректироваться согласно текущим назначениям

сотрудников. Должен действовать процесс, гарантирующий изменение или

отмену полномочий при увольнении сотрудника или переводе его на другую

работу.

Должны быть разработаны и тщательно проверены планы на случай

форс-мажорных обстоятельств для восстановления необходимой

производственной информации в случае, если пожар или другое бедствие

выведут из строя средства ПК. От пользователей необходимо требовать

хранения резервных дисков, процедур, программ и т.п. для гарантии

восстановления.

Локально разработанные программы (например, прикладные

программы, разработанные пользователем для выполнения производственной

задачи) должны пройти проверку на качество до начала применения. Такое

локальное ПО обычно не имеет преимуществ формальной сертификации,

принятой в профессиональных группах программистов и разработчиков

систем. Текст может содержать серьезные ошибки, как случайные, так и

преднамеренные. До одобрения руководством выводимых данных и

использования их в производственных целях, следует провести объективную

проверку и испытание этих программ, возможно комиссией вышестоящей

организации.

Каждый пользователь ПК должен знать требования по безопасности,

полученные при персональной подготовке или же изложенные в брошюре

или листовке.

7.5.3. Безопасность и соединения

Здесь будет рассмотрена проблема безопасности при работе в

глобальной сети, такой как сеть «Интернет». Фактически сеть «Интернет»

соединяет корпоративную сеть с остальным миром, поэтому проблему

безопасности трудно переоценить.

Безопасность сети «Интернет» обеспечивают системы защиты от

несанкционированного доступа, т.н. межсетевые экраны, которые способны

установить разницу между разрешенным трафиком, например, к веб-

страницам и электронной почте, и запрещенным, таким как запросы на

чтение файлов корпоративных файл-серверов или ПК клиентов рабочих

групп.

ПК и другие микрокомпьютерные устройства обеспечивают огромный

рост обработки информации и производственных коммуникаций. Но эти

устройства, особенно в случае соединения с сетями, создают серьезную

угрозу для безопасности информации. Необходимо тщательное внимание

руководства, чтобы установить стратегические направления использования

ПК, установить требования безопасности и контроля и убедить сотрудников

поступать так, как необходимо.

Таблица 5

Сравнение операционных систем (ОС) ПК и предлагаемых услуг

ОС Плюсы Минусы и примечания

100