Сущность и улучшение системы защиты информации

? регистрацию событий и попыток несанкционированного доступа к защищаемой информации и несанкционированного воздействия на нее;

? обеспечение контроля функционирования средств и системы защиты информации и немедленное реагирование на их выход из строя.

1.5 Постановка задачи

Тема. Модернизация системы информационной безопасности для ФГУП «Ростехинвентаризация - Федеральное БТИ».

Цель. Повышение уровня защищенности системы информационной безопасности в ФГУП «Ростехинвентаризация - Федеральное БТИ».

На основе поставленной цели были выделены следующие задачи:

– определение требуемого класса защищенности автоматизированной системы обработки данных (АСОД) в ФГУП «Ростехинвентаризация - Федеральное БТИ»;

– определение требуемого класса защищенности средств вычислительной техники АСОД ФГУП «Ростехинвентаризация - Федеральное БТИ»;

– определение требований по защите информации от несанкционированного доступа для АСОД ФГУП «Ростехинвентаризация - Федеральное БТИ»;

– классификация современных средств защиты информации, используемых в системе ФГУП «Ростехинвентаризация - Федеральное БТИ»;

– определение подхода к выбору методов и средств защиты АСОД ФГУП «Ростехинвентаризация - Федеральное БТИ»;

– разработка алгоритма и программного средства для разграничения доступа пользователям и группам, состоящим в Active Directory;

– разработка инструкций пользователя и программиста для программного средства разграничения доступа;

– расчет основных экономических показателей системы;

– определение мер для обеспечения безопасности жизнедеятельности при работе со средствами системы информационной безопасности.

2. Проектирование системы информационной безопасности ФГУП «Ростехинвентаризация - Федеральное БТИ»

2.1 Определение требуемого класса защищенности автоматизированной системы обработки данных (АСОД) в ФГУП «Ростехинвентаризация - Федеральное БТИ»

Для определения требуемого класса защищенности в Российской Федерации существует конкретный подход. Данный подход реализован в руководящем документе Государственной технической комиссией при Президенте РФ «Классификация автоматизированных систем и требований по защите информации» Часть 1, выпущенном в 1992 г. Требования всех приведенных ниже документов обязательны для исполнения только для тех государственных либо коммерческих организаций, которые обрабатывают информацию, содержащую государственную тайну. Для остальных коммерческих структур документы носят рекомендательный характер. В данном документе выделено 9 классов защищенности автоматизированных систем от несанкционированного доступа к информации, а для каждого класса определен минимальный состав необходимых механизмов защиты и требования к содержанию защитных функций каждого из механизмов в каждом из классов систем (рисунок 2.1)/9/.

Рисунок 2.1 - Классы защищенности АСОД

Классы систем разделены на три группы, причем основным критерием деления на группы приняты специфические особенности обработки информации, а именно:

Третья группа - системы, в которых работает один пользователь, допущенный ко всей обрабатываемой информации, размещенной на носителях одного уровня конфиденциальности; к группе отнесены два класса, обозначенные ЗБ и ЗА;

Вторая группа - системы, в которых работает несколько пользователей, которые имеют одинаковые права доступа ко всей информации, обрабатываемой и/или хранимой на носителях различного уровня конфиденциальности; к группе отнесены два класса, обозначенные 2Б и 2А;

Первая группа - многопользовательские системы, в которых одновременно обрабатывается и/или хранится информация разных уровней конфиденциальности, причем различные пользователи имеют разные права на доступ к информации; к группе отнесено 5 классов: 1Д 1Г, 1В, 1Б и 1А.

Требования к защите растут от систем класса ЗБ к классу 1А.

В общем случае, комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД (СЗИ НСД), условно состоящей из следующих четырех подсистем и включающих в себя ряд требований (рисунок 2.2).



Рисунок 2.2 - Требования к подсистемам СЗИ

Требования к подсистемам в соответствии с классами защищенности представлены в таблице 2.1.

Таблица 2.1 - Требования к подсистемам СЗИ в соответствии с классами защищенности

Подсистемы и требования	Классы систем
	3Б	3А	2Б	2А	1Д	1Г	1В	1Б	1А
1	2	3	4	5	6	7	8	9	10
1. подсистема управления доступом 1.1. Идентификация, проверка подлинности и контроль доступа субъектов В систему:	+	+	+	+	+	+	+	+	+
К терминалам, ЭВМ, каналам связи, внешним устройствам ЭВМ;	-	-	-	+	-	+	+	+	+
К программам;	-	-	-	+	-	+	+	+	+
К томам, каталогам, файлам, записям, полям записей.	-	-	-	+	-	+	+	+	+
1.2. Управление потоками информации	-	-	-	+	-	+	+	+	+
2. Подсистема регистрации и учета 2.1. регистрация и учет: входа/выхода субъектов доступа в/из системы (узла сети);	+	+	+	+	+	+	+	+	+
Выдачи печатных (графических) выходных документов;	-	+	-	+	-	+	+	+	+
Запуска/завершения программ процессов (заданий, задач);	-	-	-	+	-	+	+	+	+
Доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи;	-	-	-	+	-	+	+	+	+
Доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей;	-	-	-	+	-	+	+	+	+
Изменения полномочий субъектов доступа	-	-	-	-	-	+	+	+	+
Создаваемых защищаемых объектов доступа	-	-	-	+	-	-	+	+	+
2.2. Учет носителей информации	+	+	+	+	+	+	+	+	+
2.3. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей	-	+	-	+	-	+	+	+	+
3. Криптографическая подсистема 3.1. Шифрование конфиденциальной информации	+	+	+	+	+	+	+	+	+
3.2. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на различных ключах.	-	-	-	-	-	-	-	-	+
3.3. Использование аттестованных (сертифицированных) криптографических средств.	-	-	-	+	-	-	-	+	+
4. Подсистема обеспечения целостности 4.1. Обеспечение целостности программных средств и обрабатываемой информации	+	+	+	+	+	+	+	+	+
4.2. Физическая охрана средств вычислительной техники и носителей информации	+	+	+	+	+	+	+	+	+
4.3. Наличие администратора (службы) защиты информации в автоматизированной системе обработки данных	-	-	-	+	-	-	+	+	+
4.4. Периодическое тестирование средств защиты информации несанкционированного доступа	+	+	+	+	+	+	+	+	+
4.5. Наличие средств восстановления средств защиты информации несанкционированного доступа	+	+	+	+	+	+	+	+	+
4.6. Использование сертифицированных средств защиты	-	+	-	+	-	-	+	+	+

В ФГУП, опираясь на данный подход, АСОД необходимо отнести ко второй группе, т.к. вся обработка информации, и дальнейшее её хранение, осуществляется группой сотрудников, а это уже признак многопользовательских АС. В АСОД работают пользователи с одинаковым уровнем доступа, это характеризует АСОД ФГУП как АС второй группы. Определение класса 2-й группы защищенности АС осуществляется исходя из уровня секретности ресурсов, первой главе ресурсы подлежащие защите были определены как ограниченные в доступе и имеющие статус конфиденциальной информации, соответственно класс защищенности рассматриваемой АСОД характеризуется как «А».

Комплекс средств защиты информации (КСЗИ), соответствующий классу защищенности АС от НСД 2А , должен отвечать следующим требованиям:

Подсистема управления доступом:

? должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

? должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по их логическим адресам (номерам);

? должна осуществляться идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

? должно осуществляться управление потоками информации с помощью меток конфиденциальности. При этом уровень конфиденциальности накопителей должен быть не ниже уровня конфиденциальности записываемой на них информации.

Подсистема регистрации и учета:

должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения АС. В параметрах регистрации указываются:

- дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;

- результат попытки входа: успешная или неуспешная (при НСД);

- идентификатор (код или фамилия) субъекта, предъявленный при попытке доступа;

- должна осуществляться регистрация выдачи печатных (графических) документов на "твердую" копию. Выдача должна сопровождаться автоматической маркировкой каждого листа (страницы) документа порядковым номером и учетными реквизитами АС с указанием на последнем листе документа общего количества листов (страниц). В параметрах регистрации указываются:

- дата и время выдачи (обращения к подсистеме вывода);

- спецификация устройства выдачи [логическое имя (номер) внешнего устройства], краткое содержание (наименование, вид, шифр, код) и уровень конфиденциальности документа;

- идентификатор субъекта доступа, запросившего документ;

- должна осуществляться регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов. В параметрах регистрации указываются:

- дата и время запуска;

- имя (идентификатор) программы (процесса, задания);

- идентификатор субъекта доступа, запросившего программу (процесс, задание);

- результат запуска (успешный, неуспешный - несанкционированный);

- должна осуществляться регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам.

В параметрах регистрации указываются:

- дата и время попытки доступа к защищаемому файлу с указанием ее результата: успешная, неуспешная - несанкционированная,

- идентификатор субъекта доступа;

- спецификация защищаемого файла;

- должна осуществляться регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, ЭВМ, узлам сети ЭВМ, линиям (каналам) связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей.

В параметрах регистрации указываются:

- дата и время попытки доступа к защищаемому объекту с указанием ее результата: успешная, неуспешная - несанкционированная;

- идентификатор субъекта доступа;

- спецификация защищаемого объекта [логическое имя (номер)];

- должен осуществляться автоматический учет создаваемых защищаемых файлов с помощью их дополнительной маркировки, используемой в подсистеме управления доступом. Маркировка должна отражать уровень конфиденциальности объекта;

- должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку);

- учет защищаемых носителей должен проводиться в журнале (картотеке) с регистрацией их выдачи (приема);

- должно проводиться несколько видов учета (дублирующих) защищаемых носителей информации;

- должна осуществляться очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей. Очистка осуществляется двукратной произвольной записью в освобождаемую область памяти, ранее использованную для хранения защищаемых данных (файлов).

Криптографическая подсистема:

должно осуществляться шифрование всей конфиденциальной информации, записываемой на совместно используемые различными субъектами доступа (разделяемые) носители данных, в каналах связи, а также на съемные носители данных (дискеты, микрокассеты и т.п.) долговременной внешней памяти для хранения за пределами сеансов работы санкционированных субъектов доступа. При этом должны выполняться автоматическое освобождение и очистка областей внешней памяти, содержавших ранее незашифрованную информацию;

- доступ субъектов к операциям шифрования и криптографическим ключам должен дополнительно контролироваться подсистемой управления доступом;

- должны использоваться сертифицированные средства криптографической защиты. Их сертификацию проводят специальные сертификационные центры или специализированные предприятия, имеющие лицензию на проведение сертификации криптографических средств защиты.

Подсистема обеспечения целостности:

должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды.

При этом:

- целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ;

- целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ;

- должны осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания, где размещается АС, с помощью технических средств охраны и специального персонала, использование строгого пропускного режима, специальное оборудование помещений АС;

- должен быть предусмотрен администратор (служба) защиты информации, ответственный за ведение, нормальное функционирование и контроль работы СЗИ НСД;

- должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;

- должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление и контроль работоспособности;

- должны использоваться сертифицированные средства защиты. Их сертификацию проводят специальные сертификационные центры или специализированные предприятия, имеющие лицензию на проведение сертификации средств защиты СЗИ НСД./17/.

2.2 Определение требуемого класса защищенности средств вычислительной техники АСОД ФГУП

В части 2 Руководящих документов ГТК устанавливается классификация СВТ по уровню защищенности от несанкционированного доступа (НСД) к информации на базе списка характеристик защищенности и совокупности описывающих их требований. Под СВТ понимается совокупность программных и технических частей систем обработки данных, способных работать без помощи других либо в составе остальных систем.

Характеристики защищенности содержат требования защищенности СВТ от НСД к информации и используются к общесистемным программным средствам и операционным системам (с учетом архитектуры компьютера). Конкретные списки характеристик определяют классы защищенности СВТ и описываются совокупностью требований. Совокупность всех средств защиты составляет комплекс средств защиты (КСЗ).

В зависимости от реализованных моделей защиты и надежности их проверки классы подразделяются на 4 группы (рисунок 2.3).

Первая группа включает только один седьмой класс - минимальная защищенность.

Вторая группа характеризуется избирательной защитой и включает шестой и пятый классы. Избирательная защита предусматривает контроль доступа поименованных субъектов к поименованным объектам системы. При этом для каждой пары «субъект - объект» должны быть определены разрешенные типы доступа. Контроль доступа применяется к каждому объекту и к каждому субъекту - индивиду или группе равноправных индивидов.

Третья группа характеризуется полномочной защитой и включает четвертый, третий и второй классы. Полномочная защита предусматривает присвоение каждому субъекту и объекту системы классификационных меток, указывающих место субъекта объекта в соответствующей иерархии. Классификационные метки на объекты устанавливаются пользователем системы или специально выделенным субъектом. Обязательным требованием для классов, входящих в эту группу, является реализация диспетчера доступа в иностранной литературе - reference monitor, монитор ссылок. Контроль доступа должен осуществляться применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов. Решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и избирательными и полномочными правилами разграничения доступа.

Четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

Согласно Руководящему документу Государственной технической комиссией при Президенте РФ «Классификация автоматизированных систем и требований по защите информации» Часть 1:

«При разработке АС, предназначенной для обработки или хранения информации, являющейся собственностью государства и отнесенной к категории секретной, необходимо ориентироваться в соответствии с РД «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» на классы защищенности АС не ниже (по группам) 3А, 2А, 1А, 1Б, 1В и использовать сертифицированные СВТ:

- не ниже 4 класса - для класса защищенности АС 1В;

- не ниже 3 класса - для класса защищенности АС 1Б;

- не ниже 2 класса - для класса защищенности АС 1А. »

Для присвоения класса защищенности система должна иметь:

? руководство администратора по системе;

? руководство пользователя;

? тестовую и конструкторскую документацию.

Рисунок 2.3 - Классы защищенности СВТ

Перечень показателей по классам защищенности СВТ приведен в таблице 2.3.

Таблица 2.3 - Перечень показателей по классам защищенности СВТ

Наименование	Класс защищенности показателя
	6	5	4	3	2	1
1	2	3	4	5	6	7
Дискреционный принцип контроля доступа	+	+	+	=	+	=
Мандатный принцип контроля доступа	-	-	+	=	=	=
Очистка памяти	-	+	+	+	=	=
Изоляция модулей	-	-	+	=	+	=
Маркировка документов	-	-	+	=	=	=
Защита ввода и вывода на отчуждаемый физический носитель информации	-	-	+	=	=	=
Сопоставление пользователя с устройством	-	-	+	=	=	=
Идентификация и аутентификация	+	=	+	=	=	=
Гарантии проектирования	-	+	+	+	+	+
Регистрация	-	+	+	+	=	=
Взаимодействие пользователя с КСЗ	-	-	-	+	=	=
Надежное восстановление	-	-	-	+	=	=
Целостность КСЗ	-	+	+	+	=	=
Контроль модификации	-	-	-	-	+	=
Гарантии архитектуры	-	-	-	-	-	+
Тестирование	+	+	+	+	+	=
Руководство пользователя	+	=	=	=	=	=
Руководство по КСЗ	+	+	=	+	+	=
Тестовая документация	+	+	+	+	+	=
Конструкторская (проектная) документация	+	+	+	+	+	+

Обозначения к таблице 2.2:

"-" нет требований к данному классу;

"+" новые или дополнительные требования,

"=" требования совпадают с требованиями к СВТ предыдущего класса.

В пункте 2.1 класс защищенности АС ФГУП был определен как 2А. Данный класс попадает под категорию защиты государственной информации, но более целесообразно устанавливать СВТ с классом защищенности приближенным к данной категории, а именно к 5 классу защищенности. Таким образом, класс защищенности СВТ в ФГУП должен быть 5.

2.3 Классификация современных средств защиты информации, используемых в системе ФГУП «Ростехинвентаризация - Федеральное БТИ»

Средства защиты информации (СЗИ) -- это совокупность инженерно-технических, электрических, электронных, оптических и других устройств и приспособлений, приборов и технических систем, а также иных вещных элементов, используемых для решения различных задач по защите информации, в том числе предупреждения утечки и обеспечения безопасности защищаемой информации/4/.

В целом средства защиты информации можно разделить на группы (рисунок 2.4).

Рисунок 2.4 - Группы средств защиты информации

К техническим СЗИ относятся различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, доступу к информации, в том числе с помощью ее маскировки. Первую часть задачи решают замки, решетки на окнах, защитная сигнализация и др. Вторую -генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, "перекрывающих" потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны - недостаточная гибкость, относительно большие объем и масса, высокая стоимость.

Программные средства включают в себя программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств - универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки - ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.

Организационные средства складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия). Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки - высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении. Так же к организационным средствам относятся законодательные средства защиты, это законодательные акты, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил/33/.

В ФГУП используются все группы СЗИ. В таблице 2.4 представлены СЗИ используемые на предприятии.

Таблица 2.4 - СЗИ в ФГУП

Группа СЗИ	СЗИ	Назначение СЗИ
1	2	3
Технические (аппаратные)	Сигнализация проникновения на предприятие	Контроль от НСД на предприятие
	Техническая охрана помещений
	Отдельная серверная комната
	Электронные ключи	Контроль от НСД к ПЭВМ
Программные	Развернута служба каталогов Active Directory	Программа для идентификации пользователей, контроля доступа
	Установлена антивирусная системы защиты на ПЭВМ	Защита от вредоносного ПО
	Брандмауэр	Контроль интернет трафика
	Средства ОС	Запрет записи информации на внешние носители
	Архивирование	Возможность восстановления потерянных данных в результате сбоев СВТ и ошибок сотрудников эксплуатации программных средств
	Установлена технология VPN	Защита и шифрования сетевого трафика во время соединения с другими филиалами
Смешанные (программно аппаратные)	VLAN	Логическое деление ЛВС на независимые сети, защита от ARP-spoofing ARP-spoofing -- техника атаки в Ethernet сетях, позволяющая перехватывать трафик между хостами. Основана на использовании протокола ARP.
Организационные	Физическая охрана помещений	Юридически оформленная система административных мер, позволяю щая применять взыскания или санкции к нарушителям внутренней политики безопасности, а также устанавливать достаточно четкие условия по обеспечению конфиденциальности сведений, используемых на предприятии.
	Пропускной режим
	Заключен договор об охране помещения и территории (действует пропускной режим)
	Разработан режим и правила противопожарной безопасности
	Описание технологического процесса обработки конфиденциальной информации
	Разработаны должностные инструкции служащих, разграничивающие их права и обязанности
	Положение о конфиденциальном документообороте
	Дополнительные соглашения к трудовым договорам сотрудников о неразглашении ими конфиденциальной информации, регламентирующие ответственность в области защиты информации
	Отдельная серверная комната под замком

Теперь необходимо рассмотреть некоторые из представленных выше СЗИ, а именно:

? электронные ключи;

? служба каталогов Active Directory;

? антивирусная системы защиты на ПЭВМ;

? брандмауэр;

? средства ОС;

? архивирование ;

? технология VPN;

? VLAN.

Электронные ключи

Электронный ключ (так же аппаратный ключ, иногда от англ. dongle) - аппаратное средство, предназначенное для защиты программного обеспечения (ПО) и данных от копирования, нелегального использования и несанкционированного распространения.

Основой данной технологии является специализированная микросхема, либо защищённый от считывания микроконтроллер, имеющие уникальные для каждого ключа алгоритмы работы. Донглы также имеют защищённую энергонезависимую память небольшого объёма, более сложные устройства могут иметь встроенный криптопроцессор (для аппаратной реализации шифрующих алгоритмов), часы реального времени. Аппаратные ключи могут иметь различные форм-факторы, но чаще всего они подключаются к компьютеру через USB. Также встречаются с LPT- или PCMCIA-интерфейсами/35/.

Принцип действия электронных ключей. Ключ присоединяется к определённому интерфейсу компьютера. Далее защищённая программа через специальный драйвер отправляет ему информацию, которая обрабатывается в соответствии с заданным алгоритмом и возвращается обратно. Если ответ ключа правильный, то программа продолжает свою работу. В противном случае она может выполнять определенные разработчиками действия, например, переключаться в демонстрационный режим, блокируя доступ к определённым функциям/36/.

В ФГУП используется Электронный (ключ) идентификатор Rutoken -- персональное устройство доступа к информационным ресурсам, полнофункциональный аналог смарт-карты, выполненный в виде usb-брелока. Идентификатор предназначен для безопасного хранения и использования паролей, цифровых сертификатов, ключей шифрования и ЭЦП.

Ключевой элемент защиты Rutoken служит для строгой двухфакторной аутентификации, защиты электронной переписки, установления защищенных соединений (VPN, SSL), проведения финансовых транзакций и криптографической защиты информации.

Служба каталогов Active Directory

Служба каталогов Active Directory (AD) -- сервис, интегрированный с Windows NT Server. Она обеспечивает иерархический вид сети, наращиваемость и расширяемость, а также функции распределенной безопасности. Эта служба легко интегрируется с Интернетом, позволяет использовать простые и интуитивно понятные имена объектов, пригодна для использования в организациях любого размера и легко масштабируется. Доступ к ней возможен с помощью таких знакомых инструментов, как программа просмотра ресурсов Интернета. AD не только позволяет выполнять различные административные задачи, но и является поставщиком различных услуг в системе. На приведенном ниже рисунке 2.5 схематично изображены основные функции службы каталогов.

В Active Directory концепция пространства имен Интернета объединена с системными службами каталогов, что дает возможность единым образом управлять различными пространствами имен в гетерогенных средах корпоративных сетей. В качестве основного в AD используется легкий протокол доступа к каталогу LDAP (lightweight directory access protocol), позволяющий действовать за рамками операционной системы, объединяя различные пространства имен. Active Directory может включать в себя каталоги других приложений или сетевых операционных систем, а также управлять ими, что значительно снижает нагрузку на администраторов и накладные расходы/21/.

Рисунок 2.5 - Основные функции службы каталогов

Модель безопасности

Active Directory является частью достоверной вычислительной базы и полностью участвует в инфраструктуре безопасности Windows Server 2003 и Windows 2000. Распределенная мысль безопасности основывается на протоколе аутентификации MIT Kerberos версии 5. Аутентификация Kerberos основывается на использовании шифрования с открытым и личным ключами, используя ту же модель поддержки списка управления доступом (ACL), что и базовая операционная система Windows 2000. Списки ACL защищают все объекты в Active Directory. Они определяют, кто может видеть объект, какие атрибуты может видеть каждый пользователь и какие действия может выполнять с объектом каждый пользователь. Список ACL, в свою очередь, состоит из записей управления доступом (АСЕ), хранящихся вместе с объектом, защищаемым ACL и Windows NT, Windows 2000 и Windows Server 2003. ACL хранится как двоичное значение, которое называется дескриптором безопасности. Каждая запись АСЕ содержит идентификатор безопасности (SID - security identifier), идентифицирующий субъект доступа (пользователя или группу), к которому применяется эта АСЕ, и содержащий информацию о типе доступа, который разрешает или запрещает эта АСЕ.

Списки ACL в объектах каталога содержат записи АСЕ, которые применяются к объекту в целом, и записи АСЕ, которые применяются к отдельным атрибутам объекта. Это позволяет администратору не только указывать пользователей, которые могут видеть объект, но также указывать свойства, которые могут видеть эти пользователи. Например, всем пользователям может быть предоставлен доступ почтению к атрибутам, представляющим адреса электронной почты и номера телефонов остальных пользователей, но доступ к свойствам безопасности может быть предоставлен только членам специальной группы администраторов безопасности. Кроме того, отдельным пользователям может быть предоставлен доступ по записи в их собственных пользовательских объектах к личным атрибутам, таким как номер телефона и почтовые адреса.

Active Directory - хранилище для системы безопасности, включая учетные записи пользователей, группы и доменов. Это хранилище заменяет базу данных для учетных записей в реестре и является доверяемым компонентом в LSA.

Делегирование является одним из наиболее важных средств безопасности в Active Directory. Администратор может предоставить пользователю право на выполнение указанного набора действий в некотором указанном поддереве каталога. Это называется делегированным администрированием. Делегированное администрирование позволяет очень точно определять, кто и что может делать, без предоставления излишних привилегий. Это также позволяет обойтись без администраторов доменов с обширными полномочиями по отношению к большим группам пользователей.

Администраторы предоставляют права на выполнение определенных операций над определенными классами объектов, добавляя записи управления доступом (АСЕ) в список ACL соответствующего контейнера.

Например, чтобы разрешить пользователю «А. Кузнецов» быть администратором организационной единицы «Бухгалтерия», можно добавить элементы ACE в список ACL для «Бухгалтерии» следующим образом:

«А. Кузнецов»;Grant ;Create, Modify, Delete;Object-Class User

«А. Кузнецов»;Grant ;Create, Modify, Delete;Object-Class Group

«А. Кузнецов»;Grant ;Write;Object-Class User; Attribute Password

После этого пользователь А. Кузнецов может создавать новых пользователей и группы в контейнере «Бухгалтерия» и устанавливать пароли для существующих пользователей, но он не может создавать никакие объекты других классов и не может ничего сделать с пользователями в других контейнерах (если, конечно, элементы ACE не предоставляют ему таких прав доступа к этим контейнерам).

Наследование позволяет распространять действие элемента ACE с контейнера, к которому он относится, на все дочерние контейнеры. Наследование может сочетаться с делегированием для предоставления прав администрирования на целое поддерево каталога одной операцией/3/.

Антивирусная системы защиты на ПЭВМ

Вирусы могут проникать в машину различными путями (через глобальную сеть, через зараженную дискету или флешку). Последствия их проникновения весьма неприятны: от разрушения файла до нарушения работоспособности всей ПЭВМ. Достаточно всего лишь одного зараженного файла, чтобы заразить всю имеющуюся на компьютере информацию, а далее заразить всю корпоративную сеть.

При организации системы антивирусной защиты на предприятии учитывались следующие факторы риска.

Ограниченные возможности антивирусных программ.

Возможность создания новых вирусов с ориентацией на противодействие конкретным антивирусным пакетам и механизмам защиты, использование уязвимостей системного и прикладного ПО приводят к тому, что даже тотальное применение антивирусных средств с актуальными антивирусными базами не дает гарантированной защиты от угрозы вирусного заражения, поскольку возможно появление вируса, процедуры защиты от которого еще не добавлены в новейшие антивирусные базы.

Высокая интенсивность обнаружения критичных уязвимостей в системном ПО.

Наличие новых неустраненных критичных уязвимостей в системном ПО, создает каналы массового распространения новых вирусов по локальным и глобальным сетям. Включение в состав вирусов «троянских» модулей, обеспечивающих возможность удаленного управления компьютером с максимальными привилегиями, создает не только риски массового отказа в обслуживании, но и риски прямых хищений путем несанкционированного доступа в автоматизированные банковские системы.

Необходимость предварительного тестирования обновлений системного и антивирусного ПО.

Установка обновлений без предварительного тестирования создает риски несовместимости системного, прикладного и антивирусного ПО и может приводить к нарушениям в работе. В то же время тестирование приводит к дополнительным задержкам в установке обновлений и соответственно увеличивает риски вирусного заражения.

Разнообразие и многоплатформенность используемых в автоматизированных системах технических средств и программного обеспечения.

Возможность работы отдельных типов вирусов на различных платформах, способность вирусов к размножению с использованием корпоративных почтовых систем или вычислительных сетей, отсутствие антивирусных продуктов для некоторых конкретных платформ делают в ряде случаев невозможным или неэффективным применение антивирусного ПО.

Широкая доступность современных мобильных средств связи, устройств хранения и носителей информации большой емкости.

Современные мобильные средства связи позволяют недобросовестным сотрудникам произвести несанкционированное подключение автоматизированного рабочего места к сети Интернет, создав тем самым брешь в периметре безопасности корпоративной сети и подвергнув ее информационные ресурсы риску массового заражения новым компьютерным вирусом. Наличие доступных компактных устройств хранения и переноса больших объемов информации создает условия для несанкционированного использования таких устройств и носителей в личных, не производственных целях. Несанкционированное копирование на компьютеры предприятия информации, полученной из непроверенных источников, существенно увеличивает риски вирусного заражения.

Необходимость квалифицированных действий по отражению вирусной атаки.

Неквалифицированные действия по отражению вирусной атаки могут приводить к усугублению последствий заражения, частичной или полной утрате критичной информации, неполной ликвидации вирусного заражения или даже расширению очага заражения.

Необходимость планирования мероприятий по выявлению последствий вирусной атаки и восстановлению пораженной информационной системы.

В случае непосредственного воздействия вируса на автоматизированную банковскую систему, либо при проведении неквалифицированных лечебных мероприятий может быть утрачена информация или искажено программное обеспечение.

В условиях действия указанных факторов только принятие жестких комплексных мер безопасности по всем возможным видам угроз позволит контролировать постоянно растущие риски полной или частичной остановки бизнес процессов в результате вирусных заражений/37/.

Решения ESET NOD32 прошли сертификацию и получили сертификат Федеральной службы по техническому и экспортному контролю (ФСТЭК России) класса «К1». Данный сертификат подтверждает, что программные продукты ESET соответствуют требованиям, предъявляемым к информационным системам защиты персональных данных первого класса, и могут использоваться на предприятиях, обрабатывающих персональные данные высшей категории конфиденциальности.

В ФГУП используется антивирусная программа ESET NOD32 Platinum Pack 4.0.

Согласно федеральному закону ФЗ № 152 «О персональных данных», к 1 января 2011 года все организации, обрабатывающие персональные данные физических лиц, обязаны привести свои информационные системы в соответствие с требованиями регулирующих органов и обязаны использовать средства информационной безопасности, которые прошли сертификацию ФСТЭК, в том числе, средства антивирусной защиты.

В случае нарушения закона деятельность организаций может быть приостановлена, а ее должностным лицам грозит административная, дисциплинарная или уголовная ответственность.

Комплект ESET NOD32 Platinum Pack 4.0 - это специальный медиапак с дистрибутивами программных продуктов ESET, которые прошли сертификацию ФСТЭК по высшему классу «К1» (сертификат соответствия ФСТЭК России № 1914 от 22 сентября 2009 года).

Сертификат ФСТЭК выдан на комплект программ под названием ESET NOD32 Platinum Pack 4.0, который включает в себя решения:

? защита рабочих станций и серверов Windows:

? ESET NOD32 Антивирус версия 4 (32- и 64-bit);

? ESET NOD32 Smart Security версия 4 (32- и 64-bit);

? удаленное администрирование:

? ESET Remote Administrator;

? защита файловых серверов Linux, BSD:

? ESET NOD32 for Linux File Server;

? ESET NOD32 for BSD File Server.

Комплексная защита серверов и рабочих станций для всех типов организаций, включающая в себя антивирус, антишпион, антиспам, персональный файервол, а также приложение ESET Remote Administrator, которое обеспечивает централизованное администрирование антивирусного решения в корпоративных сетевых средах предприятия или глобальных сетях/36/.

Масштабируемое решение: ориентировано на предприятия от 5 до 100 000 ПК в рамках одной структуры, устанавливается как на сервер, так и на рабочие станции

Современные технологии:

? проактивная защита от неизвестных угроз;

? применение интеллектуальных технологий, сочетающих эвристический и сигнатурный методы детектирования;

? обновляемое эвристическое ядро ThreatSenseтм;

? регулярное автоматическое обновление сигнатурных баз.

Фильтрация почтового и веб-контента, антиспам:

? полное сканирование всей входящей корреспонденции через протокол POP3 и POP3s;

защита информация безопасность программа

? сканирование входящей и исходящей электронной почты, подробный отчет по обнаруженным вредоносным программам и спам-фильтрации;

? антиспам надежно защищает пользователя от нежелательных сообщений;

? полная интеграция в популярные почтовые клиенты: Microsoft Outlook, Outlook Express, Windows Mail, Windows Live Mail и Mozilla Thunderbird, The Bat!.

Персональный файервол:

? защита от внешних вторжений;

? низкоуровневое сканирование трафика обеспечивает высокий уровень защиты от сетевых атак;

? пять режимов работы:

? автоматический режим;

? автоматический режим с исключениями;

? интерактивный режим;

? режим на основе политик.

Централизованное управление

С помощью решения ESET Remote Administrator можно удаленно осуществлять инсталляцию и деинсталляцию программных продуктов ESET, контролировать работу антивирусного ПО, создавать внутри сети серверы для локального обновления продуктов ESET («зеркала»), позволяющие существенно сокращать внешний интернет-трафик.

Удобные отчеты

ESET NOD32 Business Edition автоматически формирует отчет по обна­руженным инфицированным объектам, отправленным в карантин, по динамике угроз, событиям, проверкам, задачам, можно сформировать различные комбинированные отчеты и т.д. Возможна отправка предупреждений и сообщений через протокол SMTP или посредством менеджера сообщений.

Системные требования

Поддержка файловых серверов: Windows, Novell Netware и Linux/FreeBSD.

Поддерживаемые процессоры: 32-разрядный (x86) и 64-разрядный (x64) Intel®, AMD® .

Операционные системы:

? Microsoft Windows 7/Vista/XP/ 2000 (32-bit e 64-bit версии);

? Microsoft Windows Server 2000 / 2003 / 2008 (32-bit и 64-bit версии);

? Linux (RedHat, Mandrake, SuSE, Debian и др., FreeBSD 4.X, 5.X и 6.Х, NetBSD 4);

? Novell Netware 4.x, 5.x и 6.х.

Средства ОС

Windows 2003 Server имеет средства обеспечения безопасности, встроенные в операционную систему. Ниже рассмотрены наиболее значимые из них.

Слежение за деятельностью сети

Windows 2003 Server дает много инструментальных средств для слежения за сетевой деятельностью и использованием сети. ОС позволяет:

- просмотреть сервер и увидеть, какие ресурсы он использует;

- увидеть пользователей, подключенных в настоящее время к серверу и увидеть, какие файлы у них открыты;

- проверить данные в журнале безопасности;

- проверитьзаписи в журнале событий;

? указать, о каких ошибках администратор должен быть предупрежден, если они произойдут.

Журнал событий безопасности

Windows 2003 Server позволяет определить, что войдет в ревизию и будет записано в журнал событий безопасности всякий раз, когда выполняются определенные действия или осуществляется доступ к файлам. Элемент ревизии показывает выполненное действие, пользователя, который выполнил его, а также дату и время действия. Это позволяет контролировать как успешные, так и неудачные попытки каких-либо действий.

Журнал событий безопасности для условий предприятия является обязательным, так как в случае попытки несанкционированного проникновения к АСОД можно будет отследить источник.

Начало сеанса на ПЭВМ

Всякий раз, когда пользователь начинает сеанс на рабочей станции, экран начала сеанса запрашивает имя пользователя, пароль и домен. Затем рабочая станция посылает имя пользователя и пароль в домен для идентификации. Сервер в домене проверяет имя пользователя и пароль в базе данных учетных карточек пользователей домена. Если имя пользователя и пароль идентичны данным в учетной карточки в АD, сервер уведомляет рабочую станцию о начале сеанса. Сервер также загружает другую информацию при начале сеанса пользователя, как например установки пользователя, свой каталог и переменные среды.

Шифрованная файловая система EFS

Windows 2000 предоставляет возможность еще более надежнее защитить зашифрованные файлы и папки на томах NTFS, всё это благодаря использованию шифрованной файловой системы EFS (Encrypting File System). При работе в среде Windows 2000 можно работать только с теми томами, на которые есть права доступа.

При использовании шифрованной файловой системы EFS, можно использовать файлы и папки, данные которых, будут зашифрованы с помощью пары ключей. Любой пользователь, который необходимо получить доступ к определенному файлу, должен обладать личным ключом, с помощью которого данные файла будут расшифровываться. Система EFS так же обеспечивает схему защиты файлов в среде Windows 2003. Однако, на предприятии не используется эта возможность, так как при использовании шифрования производительность работы системы снижается/14/.

Архивирование

Организация надежной и эффективной системы архивации данных является одной из важнейших задач по обеспечению сохранности информации в сети. В небольших сетях, где установлены один - два сервера, чаще всего применяется установка системы архивации непосредственно в свободные слоты серверов. В крупных корпоративных сетях наиболее предпочтительно организовать выделенный специализированный архивационный сервер.

Такой сервер автоматически производит архивирование информации с жестких дисков серверов и рабочих станций в указанное администратором локальной вычислительной сети время, выдавая отчет о проведенном резервном копировании.

Хранение архивной информации, представляющей особую ценность, должно быть организовано в специальном охраняемом помещении. Специалисты рекомендуют хранить дубликаты архивов наиболее ценных данных в другом здании, на случай пожара или стихийного бедствия. Для обеспечения восстановления данных при сбоях магнитных дисков в последнее время чаще всего применяются системы дисковых массивов - группы дисков, работающих как единое устройство, соответствующих стандарту RAID (Redundant Arrays of Inexpensive Disks). Эти массивы обеспечивают наиболее высокую скорость записи/считывания данных, возможность полного восстановления данных и замены вышедших из строя дисков в "горячем" режиме (без отключения остальных дисков массива).

Организация дисковых массивов предусматривает различные технические решения, реализованные на нескольких уровнях:

RAID уровеня 0 предусматривает простое разделение потока данных между двумя или несколькими дисками. Преимущество подобного решения заключается в увеличении скорости ввода/вывода пропорционально количеству задействованных в массиве дисков.

RAID уровня 1 заключается в организации так называемых "зеркальных" дисков. Во время записи данных информация основного диска системы дублируется на зеркальном диске, а при выходе из строя основного диска в работу тут же включается "зеркальный".

RAID уровни 2 и 3 предусматривают создание параллельных дисковых массивов, при записи на которые данные распределяются по дискам на битовом уровне.

RAID уровни 4 и 5 представляют собой модификацию нулевого уровня, при котором поток данных распределяется по дискам массива. Отличие состоит в том, что на уровне 4 выделяется специальный диск для хранения избыточной информации, а на уровне 5 избыточная информация распределяется по всем дискам массива/20/.

Виртуальная частная сеть (VPN)

Аббревиатура VPN расшифровывается как Virtual Private Network - “виртуальная частная сеть”. Суть этой технологии в том, что при подключении к VPN серверу при помощи специального программного обеспечения поверх общедоступной сети в уже установленном соединении организуется зашифрованный канал, обеспечивающий высокую защиту передаваемой по этому каналу информации за счёт применения специальных алгоритмов шифрования.

В общем случае VPN - это объединение локальных сетей или отдельных машин, подключенных к сети общего пользования, в единую виртуальную (наложенную) сеть, обеспечивающую секретность и целостность передаваемой по ней информации (прозрачно для пользователей).

Использование технологии VPN необходимо там, где требуется защита корпоративной сети от воздействия вирусов, злоумышленников, просто любопытных, а также от других угроз, являющихся результатом ошибок в конфигурировании или администрировании сети.

Виртуальные частные сети (VPN), создаваемые на базе арендуемых и коммутируемых каналов связи сетей общего пользования (и, в первую очередь, Интернет), являются отличной альтернативой изолированным корпоративным сетям, причем, альтернативой, обладающей рядом несомненных преимуществ:

? низкая стоимость арендуемых каналов и коммуникационного оборудования развитая топология сети (широкий географический охват);

? высокая надежность;

? легкость масштабирования;

? легкость изменения конфигурации;

? контроль событий и действий пользователей.

Каналы VPN защищены мощными алгоритмами шифрования, заложенными в стандарты протокола безопасности Internet Protocol Security (IPSec). Данный стандарт, выбранный международным сообществом, группой Internet Engineering Task Force (IETF), создает основы безопасности для интернет-протокола (IP), незащищенность которого долгое время являлась притчей во языцех. Протокол IPSec обеспечивает защиту на сетевом уровне и требует поддержки стандарта IPSec только от общающихся между собой устройств по обе стороны соединения. Все остальные устройства, расположенные между ними, просто обеспечивают трафик IP-пакетов.

Способ взаимодействия лиц, использующих технологию IPSec, принято определять термином «защищенная ассоциация» - Security Association (SA). Защищенная ассоциация функционирует на основе соглашения, заключенного сторонами, которые пользуются средствами IPSec для защиты передаваемой друг другу информации. Это соглашение регулирует несколько параметров: IP-адреса отправителя и получателя, криптографический алгоритм, порядок обмена ключами, размеры ключей, срок службы ключей, алгоритм аутентификации.

Другие стандарты включают протокол PPTP (Point to Point Tunneling Protocol), развиваемый Microsoft, L2F (Layer 2 Forwarding), развиваемый Cisco, - оба для удаленного доступа. Microsoft и Cisco работают совместно с IETF, чтобы соединить эти протоколы в единый стандарт L2P2 (Layer 2 Tunneling Protocol) с целью использования IPSec для туннельной аутентификации, защиты частной собственности и проверки целостности/16/.

Виртуальная локальная вычислительная сеть (VLAN)

Это группа подключенных к сети компьютеров, логически объединенных в домен рассылки широковещательных сообщений по какому- либо признаку. Например, группы компьютеров могут выделяться в соответствии с организационной структурой предприятия (по отделам и подразделениям) или по признаку работы над совместным проектом либо задачей/38/.

Использование VLAN дает три основных преимущества:

? значительно более эффективное использование пропускной способности, чем в традиционных ЛВС;

? повышенный уровень защиты передаваемой информации от несанкционированного доступа;

? упрощение сетевого администрирования.

Так как при использовании VLAN вся сеть логически разбивается на широковещательные домены, информация передается членами VLAN только другим членам той же VLAN, а не всем компьютерам физической сети. Таким образом, широковещательный трафик (обычно генерируемый серверами, сообщающими о своем присутствии и возможностях другим устройствам сети) ограничивается предопределенным доменом, а не передается всем станциям сети. Этим достигается оптимальное распределение пропускной способности сети между логическими группами компьютеров: рабочие станции и серверы из разных VLAN “не видят” друг друга и не мешают один одному.