Проект обеспечения инженерно-технической защиты объекта офиса для усиления его информационной безопасности

Маршрутизаторы нижнего класса предназначаются для локальных сетей подразделений; они связывают небольшие офисы с сетью предприятия. Типичная конфигурация: один порт локальной сети (Ethernet или Token Ring) и два порта глобальной сети, рассчитанные на низкоскоростные выделенные линии или коммутируемые соединения. Тем не менее, подобные маршрутизаторы пользуются большим спросом у администраторов, которым необходимо расширить имеющиеся межсетевые объединения.

На данный момент на рынке сетевого оборудования имеется огромное количество маршрутизаторов с различными функциями. Тем не менее несомненным лидером по производству практически всех типов и функциональных назначений маршрутизаторов является компания Cisco.

Маршрутизаторы с интегрированными сервисами компании Cisco объединяют передачу данных, голоса, видео и беспроводную связь в едином безопасном устройстве, которое гарантирует надежность и обеспечивает модульность, позволяя добавлять новое оборудование для удовлетворения меняющихся бизнес-потребностей.

Маршрутизаторы с интегрированными сервисами компании Cisco поддерживают следующие функции:

- беспроводные сети. Дают возможность быть более производительными и лучше осуществлять совместную работу благодаря беспроводному доступу к сети из любой точки офиса;

- голосовая связь. Использует расширенные средства связи, такие как обработка вызовов, голосовая почта, автосекретарь и конференции, что позволяет быстрее реагировать на заявки клиентов и экономить дополнительные затраты на удаленную связь;

- видеосвязь. Позволяет пользоваться более рентабельными системами контроля и обеспечения безопасности или обслуживайте передачу мультимедийных потоков по запросу и интерактивно;

- безопасность. Уменьшает бизнес-риски, связанные с вирусами и другими угрозами безопасности;

- виртуальные частные сети. Предоставляет удаленному персоналу и надомным работникам безопасный доступ к активам компании посредством защищенного соединения;

- модульная архитектура. Благодаря широкому спектру доступных вариантов локальных и глобальных сетей можно обновлять сетевые интерфейсы для обслуживания перспективных технологий. Маршрутизаторы Cisco также предлагают несколько типов слотов, что упрощает добавление подключений и сервисов в будущем на основе концепции «интеграция по мере роста требований»;

- гибкость. Возможности подключения посредством DSL, кабельного модема, T1 или беспроводной связи 3G обеспечивают максимальное число вариантов для основных и резервных соединений.

В данном дипломном проекте для реализации сетевых аспектов безопасности, в роли ключевых управляющих элементов сети будут использоваться маршрутизаторы компании Cisco, серии 2800 и 7200.

2. Разработка системы управления объектом защиты и безопасности

2.1 Постановка задачи проектирования

Современное развитие инфраструктуры систем передачи данных, неизменно привело к образованию широкомасштабных по своему планированию сетевых структур. Для защиты данных в подобных сетях необходим комплексный подход в виде создания системы безопасности управления сетью.

Системы управления безопасностью сети могут быть спланированными и внедренными в момент проектирования сооружения и создания в нем кабельной системы передачи данных. В данном случае разрабатывается сетевая модель объекта, анализируются данные об угрозах доступа в сеть данного объекта и принимаются соответствующие меры безопасности. Это весьма дорогостоящее средство защиты информации, оправданное при применении, поскольку позволяет при создании закрыть многие бреши в системе управления безопасностью сети. Которые достаточно сложно ликвидировать в уже спроектированных системах

Модернизация и усиление информационной безопасности передаваемых данных для уже существующих систем управления безопасностью сети представляет собой весьма не простую задачу, поскольку могут возникнуть проблемы планирования сети, внедрения или замены ключевых управляющих элементов системы управления безопасностью сети.

В данном дипломном проекте были выявлены следующие цели и задачи проектирования:

- провести технический анализ состояния информационной защиты здания;

- определить возможные места съема акустической информации;

- определить потенциальные места съема визуальной информации;

- осуществить анализ защищенности кабельной системы объекта;

- провести мониторинг сети передачи данных объекта. Определить потенциальные уязвимости в сети;

- разработать комплекс мер по усилению инженерно-технической защиты объекта;

- осуществить модернизацию системы передачи данных объекта, путем внедрения и настройки аппаратных сетевых устройств компании Cisco;

- на основе анализа существующих программных продуктов обеспечения защиты и сохранности данных, подобрать и внедрить в систему управления безопасностью объекта программные средства защиты передаваемых и хранимых данных.

- для создания модели сети передачи данных объекта, а так же отображения процесса настройки внедряемых с систему маршрутизаторов будет использована программа моделирования работы сети Cisco Packet Tracer.

2.2 Анализ объекта защиты

Объект защиты представляет собой десятиэтажное здание, находящееся на огражденной по периметру территории. Справа и слева имеется граничная территория посторонних компании со смежными границами. Кроме здания на территории присутствует место парковки автомобилей. План прилегающей территории и расположения здания приведен в приложении Б.

Зона расположения объекта защиты информации находится на пятом этаже указанного здания. В контролируемую зону входят следующие объекты и помещения:

- кабинет проведения совещаний;

- кабинет руководителя;

- серверная;

- приборы и техника, система обработки, хранения и передачи данных.

Физико-технические характеристики помещений имеют следующие свойства:

Стены наружные:

- материал: железобетонные;

- толщина (0,8 м);

- экранирование и штукатурка: присутствует;

- другие материалы: с внутренней стороны стены отделаны под

«евростандарт».

Окна:

- размер проема: 2,0*1,5 м;

- тип окна: стеклопакет с двойным утолщенным стеклом.

Двери:

- размер проема: 2,2*1,8м

- тип: одностворчатые, железные двери, замок механический.

Система вентиляции:

- приточно-вытяжная.

Система отопления:

- центральное водяное.

Система электропитания (освещение):

- сеть: 220 В / 50 Гц;

- тип светильников: галогенные потолочные светильники

Система заземления: отсутствует

Телефонные линии:

- тип ТА.

2.2.1 Контролируемая зона

Контролируемая зона - это территория объекта, на которой исключено неконтролируемое пребывания лиц не имеющие постоянного или разового доступа. Контролируемая зона может ограничиваться периметром охраняемой территорией частично, охраняемой территорией охватывающей здания и сооружения, в которых проводятся закрытые мероприятия, частью зданий, комнаты, кабинеты, в которых проводятся закрытые мероприятия. Контролируемая зона может устанавливаться больше чем охраняемая территория, при этом обеспечивающая постоянный контроль за не охраняемой частью территории. Постоянная контролируемая зона - это зона границы, которой устанавливается на длительный срок. Временная зона - это зона, устанавливаемая для проведения закрытых мероприятий разового характера.

Согласно нормативным документам объекты СО делятся на универсальные объекты, которые в свою очередь делятся на три категории:

- первой категории универсального объекта, требуется 50 метров контролируемой зоны;

- второй категории объекта, требуется 30 метров;

- третей категории объектов требуется 15 метров контролируемой зоны.

Анализируемый объект относится ко второй категории с радиусом контролируемой зоны, равной тридцати метрам.

2.2.2 Возможные каналы утечки информации

Рассматривая общий план местности можно предположить, что наиболее опасными, с точки зрения установки аппаратуры перехвата информации, вне территории контролируемой зоны, будут являться:

- дорога;

- стоянка;

-прилегающие территории и расположенные на них административные здания.

При определении наиболее вероятных мест утечки негласного съема информации, а так же установки средств разведки в пределах контролируемой зоны, необходимо проанализировать не только месторасположение рассматриваемой организации, но и возможные каналы утечки конфиденциальной информации, возникающие в результате эксплуатации различного рода оборудования.

Электромагнитные каналы утечки формируются в результате побочного электромагнитного излучения:

- элементов ОТСС (утечка зa счет побочного излучения терминала, съем информации с дисплея но электромагнитному у каналу), сигнал которых (ток, напряжение, частота и фаза) изменяется так же, как и информационный;

- вч-генераторов ОТСС и ВТСС (высокочастотный канал утечки в бытовой технике), которое может непреднамеренно модулироваться электрическим сигналом, наведенным информационным;

- нч-усилителей технических средств передачи информации (ТСПИ) в результате случайного преобразования отрицательной обратной связи в паразитную положительную, что может привести к самовозбуждению и переходу усилителя из режима усиления в режим автогенерации сигналов, модулированных информационным сигналом.

Канал утечки информации по цепям питания или цепям передачи информации появляются вследствие наводки:

- электромагнитного излучения, возникающего при передаче информационных сигналов элементами ОТСС, а также из-за наличия гальванической связи между соединительными линиями ОТСС и другими проводниками или линиями ВТСС (наводки нa линии коммуникаций и сторонние проводники);

- информационных сигналов в цепи электропитания (утечка по сети электропитания) вследствие магнитной связи между выходным трансформатором усилителя и трансформатором системы электропитания, а также неравномерной нагрузки выпрямителя, приводящей к изменению потребляемого тока в соответствии с изменениями информационного сигнала;

- информационных сигналов в цепи заземления (утечка но цепям заземления) за счет гальванической связи с землей различных проводников (в том числе нулевого провода сети электропитания, экранов) и металлических конструктивных элементов, выходящих за пределы контролируемой зоны безопасности.

Особый интерес представляет перехват информации при передаче по каналам связи, поскольку в этом случае возможен свободный несанкционированный доступ к передаваемой информации. В зависимости от системы связи каналы перехвата информации можно разделить на электромагнитные, электрические и индукционные. Каналы утечки первого типа образуются при перехвате сигналов передатчиков систем связи стандартными техническими средствами, широко используемыми для прослушивания телефонных разговоров по разнообразным радиоканалам (сотовым, радиорелейным, спутниковым). Во втором случае перехват информации, передаваемой по кабельным линиям связи, предполагает подключение к ним телефонных закладок, оснащенных радиопередатчиками. В индукционном канале утечки используется эффект возникновения вокруг кабеля электромагнитного поля при прохождении по нему информационных токовых сигналов, которые могут быть перехвачены с помощью специальных индукционных устройств. Принадлежит к так называемым бесконтактным методам снятия информации. Чаще всего используется для перехвата информации, идущей по телефонным линиям.

Среди каналов утечки акустической информации различают в контролируемой зоне могут быть следующие виды каналов утечки акустической информации:

- воздушные;

- вибрационные;

- электроакустические;

- оптоэлектронные;

- параметрические.

Однако наиболее на мой взгляд распространен воздушный канал для перехвата информации, где используются высокочувствительные и направленные акустические закладки, например микрофоны, соединенные с диктофонами или специальными мини-передатчиками. Перехваченная закладками акустическая информация может передаваться по радиоканалам, сети переменного тока, соединительным линиям, проложенным в помещении проводникам, трубам и т. п. Для приема информации, как правило, используются специальные устройства. Особый интерес представляют закладные устройства, устанавливаемые либо непосредственно в корпус телефонного аппарата, либо подключаемые к линии в телефонной розетке.

Вибрационный канал имеет среду распространения информации -- конструктивные элементы зданий (стены, потолки, полы и др.), а также трубы водо и теплоснабжения, канализации. Для перехвата акустических сигналов в данном случае обычно применяют контактные, электронные (с усилителем) и радио стетоскопы. В контролируемой нами зоне не исключается вариант съема информации по вибрационному каналу, для ликвидации которого будут предприняты меры по усилению меж стенных и потолочных перекрытий.

Электроакустические каналы формируются в результате преобразования акустических сигналов в электрические путем «высокочастотного навязывания» или перехвата с помощью ВТСС. Канал утечки первого типа возникает в результате несанкционированного ввода сигнала ВЧ-генератора в линии, функционально связанные с элементами ВТСС, и модуляции его информационным сигналом. В этом случае для перехвата разговоров, ведущихся в помещении, чаще всего используют телефонный аппарат с выходом за пределы контролируемой зоны. Кроме того, некоторые ВТСС, например датчики систем противопожарной сигнализации, громкоговорители ретрансляционной сети и т. п., могут и сами содержать электроакустические преобразователи (обусловлено появлением так называемого «микрофонного эффекта»).

Облучая лазерным пучком вибрирующие в акустическом поле тонкие отражающие поверхности (стекла окон, зеркала, картины и т. п.), можно сформировать оптозлектронный канал утечки акустической информации. Средства перехвата -- локационные системы, работающие, как правило, в ИК-диапазоне и известные как «лазерные микрофоны». Дальность их действия -- несколько сотен метров.

Стоит уделить внимание каналам утечки видовой информации, по которым получают изображения объектов или копий документов. Для этих целей используют оптические приборы (бинокли, подзорные трубы, телескопы, монокуляры), телекамеры, приборы ночного видения, тепловизоры и т. п. Для снятия копий документов применяют электронные и специальные закамуфлированные фотоаппараты, а для дистанционного съема видовой информации -- видеозакладки.

Особое значение при проектировании системы безопасности в соответствии с темой дипломного проекта было уделено каналам утечки компьютерной информации. Вопросы безопасности обработки информации в компьютерных системах пока еще волнуют в нашей стране не слишком широкий круг специалистов. До сих пор эта проблема более-менее серьезно вставала у нас, пожалуй, только перед рядом государственных и военных органов, а также перед научными кругами. Теперь же появилось большое число фирм и банков, эффективная деятельность которых практически немыслима без использования компьютеров. Как только должностные лица этих и других организаций это поймут, перед ними сразу же встанут именно вопросы защиты имеющейся у них критичной информации.

Анализ вероятных путей утечки информации или ее искажений показывает, что при отсутствии специальных мер защиты обеспечивающих выполнение функций, возложенных на вычислительную систему, возможно:

- снятие дистанционными техническими средствами секретных сообщений с мониторов ЭВМ, с принтеров (перехват электромагнитных излучений;

- получение информации обрабатываемой в ЭВМ по цепям питания;

- акустическая или электроакустическая утечка вводимой информации;

- перехват сообщений в канале связи;

- навязывание ложного сообщения;

- считывание (изменение) информации ЭВМ при несанкционированном доступе.

- хищение носителей информации и производственных отходов;

- чтение остаточной информации в ЗУ системы после выполнения санкционированных запросов;

- копирование носителей информации;

- несанкционированное использование терминалов зарегистрированных пользователей;

- маскировка под зарегистрированного пользователя с помощью хищения паролей и других реквизитов разграничения доступа;

- маскировка несанкционированных запросов под запросы операционной системы (мистификация);

- использование программных ловушек;

- получение защищаемых данных с помощью серии разрешенных запросов;

- использование недостатков языков программирования и операционных систем;

- преднамеренное включение в библиотеки программ специальных блоков типа «троянских коней»;

- злоумышленный вывод из строя механизмов защиты.

В особую группу следует выделить специальные закладки для съема информации с компьютеров. Миниатюрный радиомаяк, встроенный в упаковку, позволяет проследить весь путь следования закупленной ЭВМ, транслируя сигналы на специальный передатчик. Узнав таким путем, где установлена машина, можно принимать любую обработанную компьютером информацию через специально вмонтированные электронные блоки, не относящиеся к ЭВМ, но участвующие в ее работе. Самая эффективная защита от этой закладки - экранированное помещение для вычислительного центра. В процессе анализа каналов утечки информации, особое внимание следует уделить защите систем и линий передачи компьютерной информации. Структурная схема системы предприятия приведена на рисунке 2.1.

Рисунок 2.1 Система передачи компьютерных данных

Специалисты Cisco разработали цикл защиты, приведенный на рисунке 2.2, чтобы формализовать процесс внедрения и использования средств защиты сети. Процесс, изображаемый диаграммой, называется оценкой состояния защиты.

Рисунок 2.2 Цикл защиты

Он представляет собой постоянные циклично повторяющиеся мероприятия компании, направленные на защиту ее жизненно важных активов при наименьших затратах, позволяющих снизить риск потерь до приемлемого уровня.

Ввиду сложной итерационной природы задачи обеспечения безопасности предприятия, чтобы предприятие оставалось защищенным от самых новых угроз, процесс не должен останавливаться никогда. Указанный цикл включает следующие четыре фазы.

Защита. Необходимая защита корпоративных данных. На этой стадии организации обычно начинают применение технологий защиты (например, брандмауэров и систем аутентификации), повышающих степень защиты сети.

Мониторинг. Наблюдение за активностью (как внешней, так и внутренней) в критических точках доступа к сети. Кроме того, следует постоянно проводить мониторинг сетей на предмет выявления вторжений и фактов недопустимого использования, а также иметь механизмы автоматизированного подавления несанкционированной активности, работающие в реальном масштабе времени. Мониторинг может выполняться системами обнаружения вторжений. Такие системы призваны автоматизировать выявление сетевых вторжений. CiscoSecure IDS является системой обнаружения вторжений, работающей в реальном масштабе времени, причем данная система прозрачна для потока легальных данных и допустимых действий в сети. CiscoSecure IDS состоит из двух компонентов: сенсоров и управляющих устройств. Сенсоры CiscoSecure IDS, представляющие собой скоростные сетевые устройства, анализируют содержимое отдельных пакетов на предмет наличия в сетевом трафике признаков угрозы или вторжения. Если поведение потока данных вызывает подозрение, сенсоры CiscoSecure IDS в реальном масштабе времени регистрируют нарушение политики и передают сигналы тревоги управляющей консоли CiscoSecure IDS, чтобы вовремя отключить нарушителя от сети и не допустить дальнейшего развития атаки. Управляющее устройство CiscoSecure IDS представляет собой высокопроизводительную программную систему управления, осуществляющую централизованное управление множеством сенсоров CiscoSecure IDS, размещенных в локальных или удаленных сегментах сети;

Тестирование. Проверка того, что меры защиты являются достаточными для успешного противостояния различным хакерским атакам. Кроме того, поскольку сети динамично развиваются и часто меняют свою конфигурацию, необходимо постоянно проверять состояние системы защиты и давать соответствующую оценку ее уязвимости.

Совершенствование. Внедрение новых и обновление имеющихся средств защиты. Необходимо централизованное управление всеми средствами и политиками защиты с целью достижения максимума эффективности и быстрого внедрения усовершенствований.

Процесс оценки состояния защиты определяет направление развития системы защиты всего предприятия. При этом определяются связанные с безопасностью роли и ответственность служащих звена управления корпорации и подразделения информационных технологий, корпоративные данные разделяются по уровням секретности и определяются допустимые риски для каждого из этих уровней. В центре цикла защиты находится наиболее важный элемент -- политика сетевой защиты. Политика сетевой защиты содержит инструкции, устанавливающие необходимый уровень защиты предприятия, и должна определять следующие элементы.

Важные для предприятия активы, которые следует защищать.

Ресурсы (денежные, человеческие и временные), которые предприятие готово потратить на защиту того, что оно считает важным.

Уровень риска, с которым предприятие готово смириться.

Ключом к успеху при построении системы защиты сети является баланс между простотой использования средств защиты и степенью защиты, обеспечиваемой этими средствами. Если затраты на защиту несоразмерны действительной опасности, это нанесет вред интересам компании. А если меры предосторожности будут сильно ограничивать пользователей, они могут найти пути их обхода, что сведет на нет пользу от введения соответствующих мер.

Для анализа защищенности системы информационной безопасности сети используются специальные программные средства анализа. Системный интегратор в проектах по аудиту информационной безопасности сети организации, а также при проведении теста на проникновение (Penetration Test) предлагает решения на базе продуктов анализа защищенности - сетевых сканеров безопасности. В зависимости от архитектуры построения сети организации основывается на следующих продуктах:

- сетевой сканер безопасности «XSpider» компании «Positive Techlogies»

- сетевой сканер безопасности «Internet Scanner» компании «Internet Security Systems».

Сетевые сканеры безопасности являются наиболее доступными и широко используемыми средствами анализа защищенности. Основной принцип их функционирования заключается в эмуляции действий потенциального злоумышленника по осуществлению сетевых атак. Принцип работы анализатора приведен на рисунке 2.3.

Рисунок 2.3 Принцип работы анализатора состояния защищенности системы безопасности сети

XSpider проверяет возможные уязвимости независимо от программной и аппаратной платформы узлов: рабочие станций под Windows, сервера Unix, Linux, Solaris, Novell, Windows, AS400, сетевые устройства Cisco и т.п. XSpider функционирует под управлением операционной системы Microsoft Windows.

Функции, выполняемые программой, для анализа состояния защищенности:

- идентификация сервисов на случайных портах;

- эвристический метод определения типов и имен серверов (HTTP, FTP, SMTP, POP3, DNS, SSH) вне зависимости от их ответа на стандартные запросы;

- обработка RPC-сервисов (Windows, Unix, Linux) с их полной идентификацией;

- проверка слабости парольной защиты;

- анализ контента WEB-сайтов;

- анализатор структуры HTTP-серверов;

- проведение проверок на DoS-атаки;

- ежедневное добавление новых уязвимостей и проверок;

- планировщик заданий для автоматизации работы;

- одновременное сканирование большого числа компьютеров (ограничивается, как правило, скоростью сетевого канала);

- ведение истории проверок;

- выдача рекомендаций по устранению уязвимостей;

- генерация отчетов с различными уровнями детализации;

Система анализа защищенности Internet Scanner предназначена для обнаружения уязвимостей в различном программно-аппаратном обеспечении корпоративной сети. При помощи данной системы можно проводить регулярные всесторонние или выборочные тесты сетевых сервисов, операционных систем, распространенного прикладного программного обеспечения, маршрутизаторов, межсетевых экранов, Web-серверов и т.п. На основе проведенных тестов система Internet Scanner вырабатывает отчеты, содержащие описание каждой обнаруженной уязвимости, ее расположение на узлах корпоративной сети и рекомендации по их коррекции или устранению. Система Internet Scanner может быть использована для анализа защищенности любых систем, основанных на стеке протоколов TCP/IP.

Функции, выполняемые программой, для анализа состояния защищенности:

- инвентаризация неограниченного числа узлов;

- анализ редко используемых сервисов;

- анализ защищенности рабочих станций;

- обнаружение уязвимостей, появившихся с последнего сканирования;

- обнаружение конфигураций «по умолчанию»;

- анализ настроек сетевого оборудования;

- анализ настроек межсетевых экранов;

- анализ защищенности удаленных офисов;

- динамическое включение/отключение проверок;

- автоматизация рутинных операций;

- разделение обязанностей между управлениями информационных технологий и информационной безопасности;

- обнаружение модемов в корпоративной сети;

- обнаружение неизвестных устройств;

- учет времени устаревания уязвимости;

- выдача рекомендаций по устранению уязвимостей;

- генерация отчетов с различными уровнями детализации.

Анализ данной сетевой структуры показал наличие следующих уязвимостей и угроз информационной безопасности для передаваемых данных:

- в данной системе передачи данных ключевые управляющие элементы сети представлены коммутаторами, без функций анализа поступающего и исходящего трафика;

- в системе отсутствует возможность организации частного канала передачи данных для двух и более сторон;

- нет надежной защиты серверов хранения и обработки массивов данных;

- не имеется многофункциональных сетевых устройств для организации голосовой связи, создания широкополосных подключений внешних сетей;

- в системе передачи данных так же не имеется специализированного программного обеспечения для защиты хранимых и передаваемых данных;

- не обеспечена должная степень информационной защищенности пользовательских станций.

2.3 Разработка политики защиты контролируемой зоны

Для обеспечения защиты периметра контролируемой зоны, мной были разработаны следующие положения и методы, необходимые к внедрению:

- замки и двери. Надежный замок в двери центра данных - первая строка физического обеспечения безопасности. Порекомендую кодовый замок, который поддерживает безопасность на уровне пользователя. Надо установите различные комбинации для каждого пользователя и периодически менять их. Ввести процедуру блокировки доступа пользователя, который покидает компанию. Стандартные замки с ключами или кодовые замки с единственной комбинацией небезопасны, поскольку они не имеют достаточно возможностей регистрации, а потерять ключ или подобрать одну комбинацию достаточно легко. Лучше использовать замок, имеющий защитный экран, такой, что только пользователь, вводящий комбинацию, может видеть вспомогательную клавиатуру. Замок нужно сконфигурировать для записи в журнал событий регистрации пользователей, входящих в закрытую область. Компании предоставляют блокирующие системы, которые поддерживают регистрацию. Эти замки имеют встроенный инфракрасный порт (IR), который можно задействовать для печати журнала событий и списка пользователей. Кроме того, можно использовать замки с магнитными картами и идентификационные бейджи (proximity badges), которые поддерживают регистрацию событий. Основной риск для любой системы, которая требует от пользователей ввода кода, наличия идентификационной карточки или ключа связан с тем, что не имеющие на самом деле прав доступа пользователи все равно могут его получить;

- необходимо укрепить дверную раму и обшивку, петли расположить так, чтобы злоумышленники не могли снять дверь снаружи, или установите несъемные петли. Использовать для крепления петель и несущей конструкции длинные винты, уходящие в стену. Приварить гайки любых болтов, которые выходят на поверхность стальных дверей;

- потолки и полы. чтобы перекрыть возможность доступа для злоумышленников, на стенах, которые наращиваются до реального потолочного покрытия и пола, устанавливают датчики движения в помещении. Стены, пол и потолок за экранировать металлом;

- электроэнергия. Если основные панели выключателей находятся возле центра данных (например, снаружи за дверью), перенести их, либо запереть.

Один из возможных способов проникновения в систему - отключение энергии в надежде заблокировать сигнал тревоги и другое оборудование защиты периметра. Установить UPS для серверов и расположить оборудование контроля доступа так, чтобы иметь некоторую защиту на время отключения энергии.

2.3.1 Обеспечение защиты помещения проведения совещаний

Для организации усиления защиты помещения для проведения совещаний, план которого приводится в приложении Б, в соответствии с категориями хранимой информации должны разработаны следующие меры по контролю доступа в помещение и документации:

- организована Системы Контроля Управления Доступом к помещению. Доступ в кабинет должен осуществляться только уполномоченными на это лицами. Лица, не имеющие прав доступа к помещению могут находиться там только с разрешения или в присутствии уполномоченного на это лица. В целях повышения защиты от несанкционированного проникновения необходимо установить на дверь электронный замок со считывателем карт. Владельцем карт может быть только доверенное лицо;

- на дверь установлена охранная сигнализация, для предупреждения взлома двери, электронного замка и получения несанкционированного доступа к помещению;

- для исключения утечки акустической информации сквозь дверной проем в коридор, использован звукопоглощающий материал, устанавливаемый между стеной и дверной рамой;

- на шкафы с хранящейся в них документацией будут установлены механические замки;

- вентиляционные шахты и вентиляционные люки в целях предотвращения утечки информации по акустическому каналу оборудованы специальными шумо-поглощающими перегородками, как показано на рисунке 2.4, где 1 - стенки короба вентиляции, 2 - звукопоглощающий материал;

Рисунок 2.4 Вентиляционная перегородка

- оконные стеклопакеты виброизолируются от рам с помощью резиновых прокладок для снижения возможности прямого акустического снятия информации.

Так же на окна целесообразно установить подвижные жалюзи для перекрытия возможности прямого визуального снятия информации;

- предусматривается установка оконных решеток, для предотвращения проникновения посторонних лиц сквозь оконный проем;

- для защиты от утечки информации по параметрическому каналу целесообразно использование антистатических браслетов, а так же специальных резиновых уплотнителей, которые устанавливаются на проводящие коммуникации - системы отопления в местах их входа и выхода в помещение.

2.3.2 Обеспечение защиты помещения руководителя

Правила защиты кабинета руководителя имеют положения правил защиты комнаты для совещаний.

Тем не менее, ввиду наличия в данном помещении персонального компьютера с хранимой на ней конфиденциальной информацией, в добавок к разработанным методам усиления безопасности для помещения проведения совещаний вводятся нижеследующие положения:

- для защиты от утечки информации с ПЭВМ по параметрическому каналу целесообразно использование антистатических браслетов, а так же специальных резиновых уплотнителей;

- по возможности расположить лицевую часть монитора таким образом, чтобы предотвратить возможность снятия визуальной информации через оконный или дверной проем;

-установка на персональный компьютер соответствующего программного обеспечения для защиты данных.

2.3.3 Обеспечение защиты помещения серверной

В соответствии с TIA/EIA 568A серверная комната - это местонахождение кросса для связи магистрали и горизонтальной проводки. Кроме того, она служит для размещения оборудования связи, оконцевания кабеля и перекрестной проводки.

В соответствии с вышеназванным стандартом, правила проектирования защиты для серверных имеют следующие основные пункты, которые применены мной, для усиления информационной защиты объекта:

- на дверь установлена охранная сигнализация, для предупреждения взлома двери, электронный замок для предотвращения получения несанкционированного доступа к помещению;

- в соответствии с положениями о правилах организации серверных комнат, в данном проекте серверная комната располагается в центральной части этажа и не имеет наружных стен;

- в целях сокрытия местоположения серверной, на дверях отсутствуют какие-либо таблички и отличительные информационные знаки;

- в помещении устанавливаются датчики движения, камеры видеонаблюдения;

-перед входом телефонных линий в распределительный щиток устанавливается устройство защиты телефонных линий SEC - 2003;

- перед входом цепей питания и электроснабжения в распределительный щиток устанавливается генератор шума по сети 220 В - SEL SP - 41/C;

- для развязки линий электропитания вводится использование сетевых фильтров;

- в обязательном порядке производится заземление серверных стоек, в соответствии со схемой заземления, приведенной на рисунке 2.5.;

- разрабатывается политика доступа доверенных лиц в помещение;



Рисунок 2.5 Схема защитного заземления

2.4 Разработка политики безопасности сети и коммуникаций

Политика безопасности организации (англ. organizational security policies) -- совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.

Главной причиной появления политики безопасности обычно является требование наличия такого документа от регулятора -- организации, определяющей правила работы предприятий данной отрасли. В этом случае отсутствие политики может повлечь репрессивные действия в отношении предприятия или даже полное прекращение его деятельности. Кроме того, определенные требования (рекомендации) предъявляют отраслевые или общие, местные или международные стандарты. Обычно это выражается в виде замечаний внешних аудиторов, проводящих проверки деятельности предприятия.

Отсутствие политики вызывает негативную оценку, которая в свою очередь влияет на публичные показатели предприятия -- позиции в рейтинге, уровень надежности.

На основе выявленных недостатков в защите системы передачи данных разработана следующая политика безопасности сети:

Аудит - раздел, посвященный аудиту в политике безопасности, определяет типы событий, отслеживаемых во всех системах. Стандартными событиями являются следующие:

- попытки входа в систему управления информационной безопасностью сети (успешные или неудачные);

- выход из системы;

- ошибки доступа к файлам или системным объектам;

- попытки удаленного доступа (успешные или неудачные);

- действия привилегированных пользователей (администраторов), успешные или неудачные;

- системные события (выключение и перезагрузка).

Каждое событие должно включать следующую информацию:

- ID пользователя (если имеется);

- дата и время;

- ID процесса (если имеется);

- выполненное действие;

- успешное или неудачное завершение события.

В разрабатываемой политике безопасности устанавливается срок и способ хранения записей аудита. По возможности указывается способ и частота просмотра этих записей. Во многих организациях применяется политика длительного хранения информации. Перед разработкой политики безопасности внимательно ознакомьтесь с существующими правилами, чтобы в разных политиках не было похожих требований.

В данной политике сетевой безопасности для каждого типа соединений в сети политика безопасности описывает правила установки сетевых соединений и используемые механизмы защиты:

- соединения наборного доступа. Требования к этим соединениям устанавливают технические правила аутентификации, включая правила аутентификации для каждого типа соединения. Они излагаются в разделе аутентификации политики и могут устанавливать более сильные способы аутентификации, чем обычные. Кроме того, в политике определяются требования к аутентификации при получении доступа через соединения наборного доступа. Для организации целесообразно установить строгий контроль над разрешенными точками доступа, чтобы соблюдать требования авторизации в сети;

- выделенные линии. В организациях используются различные типы выделенных линий, и для каждого типа необходимо определить устройства защиты. Чаще всего такими устройствами являются межсетевые экраны. Только лишь указание типа устройства само по себе не предусматривает какого-либо уровня защиты. Политика безопасности должна определять базовую политику контроля доступа, применяемую на устройстве, а также процедуру запроса и получения доступа, не являющуюся частью стандартной конфигурации;

- удаленный доступ к внутренним системам. Нередко организации позволяют своим сотрудникам осуществлять доступ к внутренним системам из внешних удаленных местоположений. Политика безопасности должна определять механизмы, используемые при осуществлении такого доступа. Необходимо указать, чтобы все соединения были защищены шифрованием, определить специфику, связанную с типом шифрования. Так как подключение осуществляется извне организации, рекомендуется использовать надежный механизм аутентификации. Кроме того, политика безопасности должна определять процедуру прохождения авторизации для такого доступа. Беспроводные сети. Беспроводные сети становятся популярными, и установка в подразделении беспроводной связи без ведома отдела информационных технологий уже стала обычным делом. Политика безопасности должна определять условия, при которых разрешается использование беспроводных соединений, и то, каким образом будет осуществляться авторизация в такой сети. Если предполагается разрешить использование беспроводной сети, то необходимо указать дополнительные требования, предъявляемые к аутентификации или шифрованию. Беспроводные сети должны рассматриваться как внешние незащищенные сети, а не как часть внутренней сети организации. Если так и есть на самом деле, данный факт должен быть отмечен в политике.

Базовыми элементами политики в области безопасности являются идентификация, целостность и активная проверка.

Идентификация призвана предотвратить угрозу обезличивания и несанкционированного доступа к ресурсам и данным. Целостность обеспечивает защиту от подслушивания и манипулирования данными, поддерживая конфиденциальность и неизменность передаваемой информации. И наконец, активная проверка (аудит) означает проверку правильности реализации элементов политики безопасности и помогает обнаруживать несанкционированное проникновение в сеть и атаки типа DoS.

Механизмы идентичности необходимо внедрять осторожно, т.к. даже самая продуманная политика может быть расстроена, если сложно использовать усовершенствования. Классическим примером является запись пароля на клочке бумаги и прикрепление его к монитору компьютера - что является выходом для потребителя, который должен помнить множество паролей для получения доступа к меняющимся составным частям сети. Обременительные или чрезмерно дублированные системы верификации и авторизации могут расстроить пользователей, поэтому их следует избегать. Методы идентификации могут основываться на протоколе S/Key или осуществляться при помощи специальных аппаратных средств (token password authentication). А в среде модемного доступа часто применяется механизм идентификации по протоколу Point-to-Point Protocol (PPP), который включает использование протоколов Password Authentication Protocol (PAP), Challenge Handshake Protocol (CHAP) и Extensible Authentication Protocol (EAP).

Целостность - это элемент, который включает безопасность устройства инфраструктуры сети (физический и логический доступ), безопасность периметра и конфиденциальность данных. Безопасность физического доступа может выражаться в размещении оборудования сети в специально созданных для этого оборудования шкафах, которые имеют ограниченный доступ.

Безопасность логического доступа главным образом относится к обеспечению механизмов идентичности (идентификации и авторизации) перед тем, как дать доступ для сети связи Telnet или для терминала к компонентам инфраструктуры общей сети (например, маршрутизаторам или межсетевым экранам). Безопасность периметра связана с функциями межсетевых экранов, определяющих, какой трафик разрешен или запрещен от различных зон сети, обычно - между сетью Интернет и главным комплексом или между пользователями удаленного доступа и главным комплексом.

Конфиденциальность данных может обеспечиваться протоколами безопасности на транспортном уровне SSL и Secure Shell Protocol (SSH), которые осуществляют безопасную передачу данных между клиентом и сервером. Безопасный протокол передачи гипертекста (S-HTTP) предоставляет надежный механизм Web-транзакций, однако в настоящее время наиболее популярным средством является SSL. Средство SOCKS является рамочной структурой, позволяющей приложениям клиент/сервер в доменах TCP и UDP удобно и безопасно пользоваться услугами сетевого межсетевого экрана. Протокол безопасности IP (IPSec) представляет собой набор стандартов поддержки целостности и конфиденциальности данных на сетевом уровне (в сетях IP). X.509 является стандартом безопасности и идентификации, который поддерживает структуры безопасности электронного информационного транспорта.

Последним главным элементом системы безопасности является аудит, который необходим для слежения и верификации процесса исследования политики безопасности. Для испытания эффективности инфраструктуры системы безопасности, аудит безопасности должен происходить часто, через равные промежутки времени. Он также должен включать проверки установки новой системы, методы для определения возможной вредительских действий кого-либо из внутреннего персонала и возможного наличия особого класса проблем (нападения типа «отказ в сервисе»), а также общее следование политике безопасности объекта.

При разработке политики безопасности необходимо учитывать требование сбалансировать легкость доступа к информации и адекватный механизм идентификации разрешенного пользователя и обеспечения целостности и конфиденциальности данных. Политика безопасности должна внедрятся принудительно как технически, так и организационно - тогда она будет по-настоящему эффективна.

Таким образом, для усиления информационной безопасности системы передачи данных анализируемого объекта необходимо выполнение следующих действий:

- внедрение в существующую сеть ключевых элементов - для управления адресацией;

- осуществить разграничение данной сети на сектора, представляющие сервера хранения информации, почтовых серверов, сетей работы пользователей, web-сервер, виртуального частного канала удаленной связи и выхода в интернет;

- подробное изучение характеристик маршрутизаторов компании Cisco для оптимального выбор центрального маршрутизатора разрабатываемой системы управления информационной безопасностью сети.

- в ключевых сегментах сети производится внедрение интеллектуальных маршрутизаторов компании CISCO;

- осуществляется персональная конфигурация маршрутизаторов каждого сегмента сети;

- выбор и настройка программного обеспечения для защиты передаваемых данных. Настройка Outpost Firewall Pro.

2.4.1 Интернет-шлюз + файерволл как основа системы управления

Проблема внедрения в сеть шлюзов и файерволов заключается в том, что все локальные компьютеры находятся в доверенной сети и уязвимым местом становится именно шлюз, который устанавливается на границе доверенной сети и сети интернет. Захватив шлюз через интернет, злоумышленник попадает в доверенную сеть предприятия и может захватить другие компьютеры локальной сети и получить доступ к важной информации. Поэтому требования к современному шлюзу предъявляются очень высокие.

Интернет-шлюз стоит в одном ряду с другими готовыми решениями как показано на рисунке 2.6.

Рисунок 2.6 Функции интернет - шлюза

Интернет-шлюз должен соответствовать следующим главным критериям:

- универсальность (подходит для большинства предприятий);

- функциональность (обладает всеми необходимыми возможностями для решения задач);

- надёжность (безотказность работы в любых условиях);

- низкая стоимость владения (минимальные расходы на внедрение и

сопровождение;

- простота в использовании и управлении).

Однако наиболее распространённые на сегодняшний день интернет-шлюзы не полностью удовлетворяют современным требованиям, поэтому к подходу выбора шлюза для систем управления безопасностью сети необходимо подходить с четким анализом требований к осуществления информационной безопасности и возможностям интегрируемого в нее шлюза. В таблице показаны распространённые виды интернет-шлюзов и их преимущества и недостатки.

Таблица 2.1. Основная градация интернет шлюзов

Программы и службы под ОС Windows	+ низкая стоимость - низкая безопасность и надежность - используются в малых сетях
Собственные разработки на базе ОС Linux/FreeBSD	+ хорошая безопасность - сложность в обслуживании - слабая функциональность
Аппаратный маршрутизатор	+ высокая надежность и безопасность - высокая стоимость внедрения и сопровождения - слабая функциональность по работе с пользователями

2.5 Выбор и конфигурирование аппаратных средств защиты данных

Компания Cisco Systems предлагает концепцию архитектуры безопасности для сетевых решений, а так же позволяет осуществлять внедрение в систему управления информационной безопасностью внедрение наряду с собственными средствами и управляющими элементами, аппаратных средств сторонних производителей. Таким образом, построение системы управления безопасностью сети на программно-аппаратной платформе Cisco позволяет осуществлять следующие политики и действия, направленные на обеспечение эффективного управления безопасностью сети:

- сертифицируются как VPN-продукты;

- используют сертифицированные сторонние криптобиблиотеки;

- воспроизводят пользовательские интерфейсы и профиль VPN-протоколов продуктов Cisco;

- управляются с платформы CiscoWorks;

- поддерживают единую ключевую инфраструктуру и могут работать с несколькими PKI одновременно;

- обеспечивают перенос байта ToS в заголовок пакета IPSec, позволяя транслировать информацию о требуемом качестве сервиса (QoS) от устройств внутреннего периметра во внешние сети;

- поддерживают структурное резервирование для шлюзов и серверов;

- поддерживают протоколы RADIUS, SSL, EAP/TTLS.

Интеграция этих средств с такими элементами решений Cisco как:

- расширенная пакетная фильтрация;

- поддержка внешних систем аутентификации;

- средства обнаружения проникновения;

- подсистема мониторинга безопасности;

- средства фильтрации нежелательного контента;

- антивирусная защита;

- управление политикой безопасности сети и отдельных устройств;

- управление конфигурациями устройств - позволяет создавать на базе программно-аппаратной платформы Cisco эффективные системы управления информационной безопасностью.

Анализ характеристик межсетевых экранов для выбора центрального маршрутизатора системы управления информационной безопасностью сети.

Межсетевой экран Cisco Secure Private Internet Exchange (PIX) Firewall позволяет реализовать защиту корпоративных сетей на недостижимом ранее уровне, при этом прост в эксплуатации. PIX Firewall может обеспечить абсолютную безопасность внутренней сети, полностью скрыв ее от внешнего мира. В отличие от обычных proxy-серверов, выполняющих обработку каждого сетевого пакета в отдельности с существенной загрузкой центрального процессора, PIX Firewall использует специальную не UNIX-подобную операционную систему реального времени, обеспечивающую более высокую производительность. Основой высокой производительности межсетевого экрана PIX Firewall является схема защиты, базирующаяся на применении алгоритма адаптивной безопасности (adaptive security algorithm -- ASA), который эффективно скрывает адреса пользователей от хакеров. Этот устойчивый алгоритм обеспечивает безопасность на уровне соединения на основе контроля информации об адресах отправителя и получателя, последовательности нумерации пакетов TCP, номерах портов и добавочных флагах TCP. Эта информация сохраняется в таблице, проверку на соответствие с записями которой проходят все входящие пакеты.

Доступ через PIX разрешен только в том случае, если соединение успешно прошло идентификацию. Этот метод обеспечивает прозрачный доступ для внутренних пользователей и авторизованных внешних пользователей, при этом полностью защищая внутреннюю сеть от несанкционированного доступа. Благодаря применению технологии «сквозного посредника» (Cut-Through Proxy) межсетевой экран Cisco PIX Firewall также обеспечивает существенное преимущество в производительности по сравнению с экранами-посредниками на базе ОС UNIX. Как и обычные proxy-серверы, PIX контролирует установление соединения на уровне приложения. После успешного прохождения пользователем авторизации доступа, в соответствии с принятыми правилами безопасности, PIX обеспечивает контроль потока данных между абонентами на уровне сессии. Такая технология позволяет межсетевому экрану PIX работать значительно быстрее, чем обычные proxy-экраны.

Помимо повышения производительности, применение специализированной встроенной операционной системы реального времени также обеспечивает повышение уровня безопасности. В отличие от операционных систем семейства UNIX, исходный текст которых широко доступен, Cisco PIX -- собственная разработка компании, созданная специально для решения задач обеспечения безопасности. Для повышения надежности межсетевой экран PIX Firewall предусматривает возможность установки в сдвоенной конфигурации в режиме «горячего резервирования», за счет чего в сети исключается наличие единой точки возможного сбоя. Если два PIX-экрана будут работать в параллельном режиме, и один из них выйдет из строя, то второй в прозрачном режиме «подхватит» исполнение всех функций обеспечения безопасности.

Высокая производительность. Межсетевой экран Cisco Secure PIX Firewall поддерживает более 500 тысяч одновременных соединений и, соответственно, обеспечивает поддержку сотен и тысяч пользователей без снижения производительности. Полностью загруженный PIX Firewall может обеспечить пропускную способность до 1,0 Гбит/с, т.е. существенно выше, чем любой межсетевой экран на базе ОС UNIX или ОС Microsoft Windows NT.

Простота использования Межсетевой экран Cisco Secure PIX Firewall обеспечивает низкую стоимость использования и сопровождения Пользователи, не имеющие специальной подготовки могут быстро настроить с помощью простой графической оболочки PIX Device Manager (PDM), доступ к которой осуществляется с помощью обычного web-браузера. PDM -- это приложение, использующее http-сервер, встроенный в PIX, и поддерживающее основной набор команд, необходимый для начальной настройки межсетевого экрана. PDM позволяет настраивать PIX Firewall практически с любого компьютера, для защиты устройства от «взлома» во время конфигурирования пользователь может использовать протокол SSL.