Политика комплексной информационной безопасности локальной сети. Корпоративная политика безопасности
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Подобные документы
Аналитический обзор корпоративной сети. Анализ существующей сети, информационных потоков. Требования к системе администрирования и маркировке элементов ЛВС. Разработка системной защиты от несанкционированного доступа. Инструкция системному администратору.
дипломная работа , добавлен 19.01.2017
Проектирование логической и физической структуры корпоративной сети из территориально разнесенных сайтов. Распределение внутренних и внешних IP-адресов. Подбор сетевого оборудования и расчет его стоимости. Проработка структуры беспроводной сети.
курсовая работа , добавлен 12.01.2014
Разработка высокоскоростной корпоративной информационной сети на основе линий Ethernet c сегментом мобильной торговли для предприятия ООО "Монарх". Мероприятия по монтажу и эксплуатации оборудования. Расчет технико-экономических показателей проекта.
курсовая работа , добавлен 11.10.2011
Организационно-управленческая структура ЗАО "Карачаево-ЧеркесскГаз". Назначение и цели создания корпоративной сети. Организация доступа к мировым информационным сетям. Обеспечение информационной безопасности. Разработка проекта аппаратной части сети.
дипломная работа , добавлен 24.06.2011
Принцип деятельности ООО "МАГМА Компьютер". Особенности предметной области. Цели создания компьютерной сети. Разработка конфигурации сети. Выбор сетевых компонентов. Перечень функций пользователей сети. Планирование информационной безопасности сети.
курсовая работа , добавлен 17.09.2010
Цели разработки корпоративной сети на уровне предприятия. Проектирование доменной структуры. Развертывание служб терминалов. Организация доступа в сеть Internet на базе сервисного оборудования. Разработка стратегии виртуализации операционных систем.
курсовая работа , добавлен 07.06.2014
Функциональная схема локальной вычислительной сети, анализ информационных потребностей и потоков предприятия. Планирование структуры сети, сетевая архитектура и топология. Структура корпоративной компьютерной сети, устройства и средства коммуникаций.
курсовая работа , добавлен 26.08.2010
Выполняя настройку компьютеров, системные администраторы в первую очередь должны обращать внимание на их безопасность. Что же это такое? Это совокупность функций, регулирующих безопасную работу ПК и управляющихся посредством локального объекта GPO.
Настройка политики безопасности на компьютерах с Windows XP, «Семёрка»
Настройку данных функций осуществляют (в Windows XP, «Семёрка») пользователи вручную через через специальную консоль «Local Group Politics Editor» (редактор локальных политик безопасности) или «Local Security Politics». Окно «Local Group Politics Editor» используют при необходимости внести изменения в политику учётной записи домена, управляемой посредством Active Directory. Через консоль «Local Group Politics Editor» производится настройка параметров учётных записей и регулируется безопасность на локальных хостах. Для открытия окна настроек Local Security Policy (в Windows XP, «Семёрка») нужно сделать следующее.
Нажимаем кнопку «Start» и в поисковом поле открывающемся меню вводим название окна Local Security Policy (см. рисунок ниже).
Нажав комбинацию кнопок +R, открываем пункт «Run», в поле ввода которого вводим sесpol.msc и нажимаем на ОК.
Сначала необходимо проверить, что учётный пользовательский аккаунт находится в администраторской группе (Windows XP, «Семёрка»). Для открытия консольного приложения ММС (в Windows XP, «Семёрка») нажимаем кнопку «Start» и в поисковом поле вводим mmс, после чего нажимаем на «Enter». В пустом консольном окне ММС нажимаем на надпись «Console» и выбираем «Add or Remove». В открывшемся окне выбираем консоль «Local Group Politics Editor» и нажимаем на Add. В открывшемся диалоговом окне нужно найти и нажать на «Обзор», указать необходимые компьютеры и нажать на «Ready». В окне «Add or Remove» нажимаем на ОК. Находим открытую консоль «Local Group Politics Editor» и переходим на пункт «Computer Configuration», а после этого открываем «Security Parameters».
При подсоединении вашего рабочего места к сети с доменом (Windows Сервер 2008), безопасность определяется политикой Active Directory или политика того подразделения, к которому относится компьютер.
Как применить Security Policy к компьютерам, являющимися локальными (с системой Windows XP и так далее), или подсоединённому к домену
Сейчас мы подробно рассмотрим последовательность настроек Local Security Policy и увидим различия между особенностями политики безопасности на локальном компе с Windows (XP, «Семёрка» и так далее) и на компе, подсоединённом к доменной сети через Windows Сервер 2008 R2.
Особенности настроек Security Policy на локальном компьютере
Следует напомнить, что все действия, проводимые здесь, выполнялись под учётным аккаунтом, входящим в администраторскую группу (Windows XP, «Семёрка») на локальном компьютере или в группу «Domen Administrators» (Windows Сервер 2008), в подсоединённом к доменной сети узле.
Чтобы выполнить этот пример необходимо сначала присвоить гостевому учётному аккаунту другое имя. Для этого выполняем следующие действия.
Заново включив комп, проверяем использование Security Policy к вашей ЭВМ. Для этого открывается Control Panel и в окне «User’s Accounts» переходим по ссылке «Другой учётный аккаунт. Управление». В открытом окне можно будет увидеть список всех учётных записей вашей локальной машины, куда входит и переименованный гостевой пользовательский учётный аккаунт.
Применяем Security Policy для компьютеров, подключенных к доменной сети через Windows Сервер 2008 R2
Этот пример показывает последовательность операций для запрета изменения пользовательского пароля для учётной записи Test_ADUser. Напомним, что изменять параметры Security Policy возможно только будучи в группе «Domen’s administrators». Делаем следующее.
Нажимаем на «Start» и в поисковом поле вводим ММС и нажимаем «Enter». Нажимаем на надпись «Console» и выбираем строку «Add or Remove». На экране сразу появится диалоговое окно. В нём нужно выбрать оснастку «Local Group Politics Editor» и там нажать на «Обзор», чтобы выбрать компьютер.
В появившемся окне выбираем нужные компьютеры и нажимаем Done.
- В окне «Add or Remove» нажимаем ОК.
- Находим открывшуюся консоль «Local Group Politics Editor» и переходим на узел «Computer Configuration» и там открываем узел «Security Parameters\Local Computer/Security Parameters»
- Находим параметр «Доменный контроллер: запретить изменения пароля учётных аккаунтов» и нажимаем на него два раза мышкой.
- В появившемся окне выбираем «Включить» и нажимаем ОК.
- Перезагружаемся.
После включения компьютеров проверяем изменения в Security Policy, перейдя на консоль ММС. В открывшейся консоли добавляем составляющую «Local users and computers» и пробуем поменять пароль своего учётного аккаунта.
Вывод
Прочитав эту статью, мы разобрались с особенностями методов использования Local Security Policy (на компах с Windows XP, «Семёркой», Windows Сервер 2008). В вышеприведенных примерах показаны иллюстрации c настройками Local Security Policy на компьютерах, которые являются локальными, и компьютерах, которые подключёны к доменной сети.
Защита информации наиболее эффективна, когда в компьютерной сети поддерживается многоуровневая защита. Она складывается из следующих компонентов:
1) политика безопасности локальной сети организации;
2) система защиты хостов локальной сети;
3) сетевой аудит;
4) защита на основе маршрутизаторов;
5) межсетевые экраны;
6) системы обнаружения вторжений;
7) план реагирования на выявленные атаки.
Полная защита целостности сети зависит от реализации всех выше перечисленных компонентов защиты. Использование многоуровневой защиты – это наиболее эффективный метод предотвращения НСД. Самым важным для функционирования защищенной сети является ее политика безопасности, которая определяет, что защищать и на каком уровне. Все остальные уровни защиты логически следуют после принятия для сети политики ее безопасности.
Проведение выбранной при создании сети организации ПБ предусматривает регулярный пересмотр этой политики и мер защиты, ее реализующих, что подразумевает:
обновление политики и мер защиты безопасности, если это необходимо;
проверку совместимости политики и мер защиты с существующей сетевой средой;
разработку новых и удаление старых правил политики и мер защиты по мере необходимости.
ПБ можно разделить на две категории: административные политики и технические политики . В зависимости от этого ПБ базируется на правилах двух видов.
Первая группа связана с заданием правил разграничения доступа ко всем ресурсам системы, а вторая группа основана на правилах анализа сетевого трафика как внутри локальной сети, так и при его выходе из системы или входе в нее. В основе этих правил лежит принцип доверия. Определяя ПБ, нужно выяснить, насколько можно доверять людям и ресурсам.
Для первой группы правил главный вопрос заключается в том, кому и в какой степени в локальной сети можно доверять, имея в виду больше человеческий фактор, но, не забывая при этом и о запущенных в локальной сети процессах и приложениях.
Начальный этап задания этих правил состоит в определении тех, кто получает доступ. Предварительные установки систем, обеспечивающих защиту информации в локальной сети, могут соответствовать принципу наименьшего доступа для всех.
В данном контексте вопрос для второй группы правил звучит так: «Каким пакетам в локальной сети доверять, а каким нет, ибо они могут циркулировать в локальной сети по инициативе злоумышленника» Именно эти правила и являются главенствующими при установке и настройке основных систем анализа трафика в локальной сети и пакетных фильтров.
Для локальной сетей можно выделить три основные модели доверия:
либеральная – доверять всем в течение всего времени работы;
запретительная – не доверять никому и никогда;
разумная или компромиссная – доверять иногда некоторым людям.
Обычно ПБ включает в себя следующие части:
Предмет ПБ . Перед описанием самой ПБ в данной области, нужно сначала определить саму область с помощью ограничений и условий в понятных всем терминах. Часто полезно ясно указать цель или причины разработки политики.
Описание позиции организации . Как только описан предмет ПБ, даны определения основных понятий и рассмотрены условия ее применения, в явной форме описывается позиция организации по данному вопросу.
Применимость . Это означает, что надо уточнить где, как, когда, кем и к чему будет применяться данная ПБ.
Роли и обязанности . Нужно указать ответственных лиц и их обязанности в отношении разработки и внедрения различных аспектов ПБ, а также в случае нарушения ПБ.
Меры защиты . Перечисляются конкретные меры, реализующие ПБ в организации, дается обоснование выбора именно такого перечня мер защиты и указывается, какие угрозы безопасности локальной сети наиболее эффективно предотвращаются какими мерами защиты.
Соблюдение политики . Для ПБ может оказаться уместным описание, с некоторой степенью детальности, нарушений, которые неприемлемы, и последствий такого поведения. Могут быть явно описаны наказания, применяемые к нарушителям ПБ.
Ответственные , или консультанты, по вопросам безопасности и справочная информация.
Основная задача корпоративной политики безопасности - это задокументировать правила работы на предприятии в области информационной безопасности. Без нее взаимодействие работников с различными ресурсами будет регулироваться лишь неформально и поэтому возрастет риск нарушений и утечек данных . Введение корпоративной политики повысит дисциплинированность и ответственность работников и построит базу, основываясь на которой можно эффективно организовывать работу компании.
При разработке корпоративной политики безопасности начать следует с определения рисков, которые грозят компании. Это значит в первую очередь определить какие информационные активы следует защищать, каким угрозам подвержены эти активы и какой урон грозит предприятию в случае осуществления этих угроз. Процесс внедрения защитных мер - это всегда поиск компромисса между удобством и снижением рисков. Внедрение политики безопасности является своего рода формализацией этого компромисса. Принятие корпоративной политики поможет минимизировать ситуации, в которых рядовой пользователь не воспринимает всерьез рекомендации ИБ-отдела, а «безопасники» пытаются защитить все и от всего, мешая рабочим процессам компании.
Существует международный стандарт безопасности ISO/IEC 27001 , соответствующий лучшим международным практикам в сфере обеспечения безопасности. Прохождение сертификации (получение декларации на соответствие) по ISO/IEC 27001 дает полное право утверждать, что информационная безопасность компании находится на максимально высоком уровне. Однако выполнение всех требований, изложенных в стандарте, может оказаться весьма затратным и не всегда целесообразным. В зависимости от специфики бизнеса отдельные требования стандарта можно взять на вооружение и тем самым «подстелить соломки» на случай непредвиденных обстоятельств. Кроме того, существуют такие стандарты и руководства, как ITIL Information Technology Infrastructure Library и CobiT , представляющие собой гораздо более подробные и объемные документы, в которых информационная безопасность является частью более глобального подхода к организации менеджмента и по которым также проводится сертификация.
Что должно содержаться в корпоративной политике безопасности
Обеспечение безопасности следует проводить на всех уровнях, от сервера до конечного пользователя. Например, составляется список серверов (сервер электронной почты, FTP , HTTP) и перечень лиц, имеющих к ним доступ, определяются задачи и обязанности. Еще более важным при разработке регламентов безопасности является политика безопасности рабочих мест, в частности политика работы с веб-ресурсами. В ней регулируются ответственность и обязанности сотрудников при работе в интернете.
В политике следует прописывать все меры, которые компания применяет для контроля соблюдения этих политик, и указывать уровень ответственности за нарушения политики.
Положения корпоративной политики информационной безопасности дополняются документами, содержащими частные политики, такими, как вышеописанные политики безопасности рабочих мест и политика безопасности серверов. Важно не путать политики ИБ и процедуры. Требования к информационной безопасности процедур - это самый частный документ в политике корпоративной безопасности и описывает непосредственные меры для обеспечения информационной безопасности в процессе работы персонала.
Естественно, что обязательным условием обеспечения информационной безопасности является эффективно отлаженная работа коллектива. Ошибки в менеджменте и управлении персоналом грозят не только недополученной прибылью, но и многочисленными нарушениями политик безопасности.
Контроль соблюдения политики безопасности
Существуют различные методики контроля за соблюдением работниками корпоративных политик. Разнообразное ПО, предназначенное для мониторинга сотрудников, поставляется как отдельно, так и в составе более комплексных продуктов. Многие DLP-системы , такие, как Falcongaze SecureTower , помимо своей главной функции предотвращения утечек данных, позволяют производить мониторинг работы сотрудников и отслеживать даже те нарушения, которые не привели к нежелательным последствиям. А способ борьбы с такими нарушениями - предусмотренные политикой санкции.
Контроль и регулирование работы компании может вызвать протест среди сотрудников, вызванный вмешательством в привычный для них режим работы. Важно понимать, что оборудование и сервисы, предоставляемые работнику работодателем. являются собственностью владельца бизнеса. В том числе и время, «выкупленное» работодателем у персонала. Поэтому все результаты труда, выполненного в рабочее время, принадлежат работодателю, а он, вследствие этого, имеет полное право их контролировать. Будет нелишним прописать это в политике ИБ.
Внедрение корпоративной политики безопасности - это не одномоментное событие, а долгий процесс, участвовать в котором должны как представители ИБ- и ИТ-отделов, так и руководители других подразделений, дабы избежать «перекосов» и чтобы исполнение положений политики оказалось возможным на практике. Задача политики безопасности не отрегулировать любой возможный процесс в работе компании, а создать базу, на основе которой будет функционировать предприятие в дальнейшем, дополняя общую политику безопасности отдельными, как формальными, так и устными, регламентами и процедурами.
Политика безопасности и принципы построения системы обеспечения безопасности (СОБ) корпоративной сети
Читайте также:
|
Система обеспечения безопасности СОБ представляет собой единую совокупность организационных (административных) мер, правовых и морально-этических норм, программно-аппаратных средств, направленных на противодействие угрозам сети с целью сведения до минимума возможного ущерба пользователям и владельцам сети. Обеспечение безопасности конкретной сети должно осуществляться с учетом конкретных особенностей: назначения, топологии, особенностей конфигурации, потоков информации, количества пользователей, режима работы и т.д.
Формирование СОБ корпоративной сети базируется на политике безопасности (способе управления доступом) – наборе законов, правил и практических рекомендаций, реализуемых с помощью различных мер, норм и средств защиты. Для конкретной организации и ее сети политика безопасности должна быть индивидуальной, учитывающей указанные выше особенности. Ее реализация осуществляется с помощью средств управления механизмами защиты.
Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов сети к ее объектам. Субъект – это активный компонент сети, являющийся причиной потока информации или изменения состояния сети. Объект – пассивный компонент сети, выполняющий функции хранения, приема или передачи информации. Доступ к объекту подразумевает доступ к содержащейся в нем информации.
Различают два вида политики безопасности: избирательную и полномочную.
В основе избирательной политики безопасности лежит избирательное управление доступом, подразумевающее, что все субъекты и объекты сети идентифицированы, а права доступа субъекта к объекту определяются некоторым правилом (свойством избирательности). Наибольшее применение избирательная политика получила в коммерческом секторе, поскольку ее реализация практически отвечает требованиям коммерческих организаций по разграничению доступа, а также имеет небольшие накладные расходы и стоимость.
Полномочная политика безопасности основана на использовании полномочного управления доступом, для которого характерны следующие: субъекты и объекты сети также идентифицированы; каждому объекту присваивается метка критичности, определяющая ценность, уровень приоритета содержащийся в нем информации; каждому субъекту присваивается уровень прозрачности (уровень доступа), определяющий максимальное значение метки критичности объектов, к которым субъект имеет право доступа. Условие защиты звучит так: субъект может выполнять любую операцию над объектом только в том случае, если его уровень доступа не ниже метки критичности объекта. Основное назначение такой политики – регулирование доступа субъектов сети к объектам с различным уровнем критичности, предотвращение утечки информации с верхних уровней на нижние, блокирование возможных проникновений с нижних уровней на верхние. Полномочная политика безопасности изначально была разработана в интересах МО США для обработки информации с различными грифами секретности. В коммерческом секторе ее применение сдерживается отсутствием в коммерческих организациях четкой классификации хранимой в ККС информации (подобной государственной классификации), а также высокой стоимостью реализации и большими накладными расходами.
Помимо управления доступом субъектов к объектам сети, проблема защиты информации имеет еще один аспект: необходимость разработки правил, регулирующих управление информационными потоками в сети. Необходимо определять, какие информационные потоки в сети являются «легальными», не ведущими к утечке информации, и какие «нелегальными», таящими в себе опасность утечки информации. Управление информационными потоками обычно применяется в рамках избирательной или полномочной политики, дополняя их и повышая надежность СОБ.
Таким образом, избирательное или полномочное управление доступом и управление информационными потоками составляют основу формирования и функционирования СОБ корпоративной сети.
Очевидно, что все средства, отвечающие за реализацию политики безопасности, сами должны быть защищены от любого вмешательства в их работу, так как в противном случае трудно говорить о надежности защиты. Политика безопасности и механизмы поддержки ее реализации образуют единую защищенную среду, имеющую иерархическую структуру: ее верхние уровни представлены требованиями политики безопасности, затем следует интерфейс пользователя, далее – несколько программных уровней защиты (включая уровни операционных систем), и, наконец, на нижнем уровне этой структуры располагаются аппаратные средства защиты.
При построении СОБ корпоративной сети принципиально возможен выбор одной из двух концепций :
Создание надежной СОБ на базе каналов связи и средств коммутации территориальной сети связи (ТСС) общего пользования, в которой применяются протоколы Internet. Использование этой концепции связано с большими затратами на обеспечение надежной защиты при подключении ККС к Internet;
Создание СОБ на базе специализированной или выделенной сети связи ККС с использованием конкретной сетевой технологии, в частности FR, ATM, ISDN. Здесь предлагается отказаться от средств, услуг и технологий Internet, убедительно доказавших свою жизнеспособность и эффективность.
Эти концепции представляют полярные взгляды на решение проблемы обеспечения безопасности ККС. Очевидно, что решение этой проблемы представляет собой некоторый компромисс между этими концепциями.
Компромиссное решение по созданию СОБ корпоративной сети, использующей средства, услуги и технологии Internet, может базироваться на двух основных принципах:
Использование закрытого протокола при установлении соединения «клиент-сервер», обеспечивающего защищенное взаимодействие абонентов по виртуальному каналу связи;
Доступность открытых протоколов Internet для взаимодействия по защищенному виртуальному каналу после установления соединения.
В рамках указанных концепций создания СОБ корпоративной сети возможны два подхода к обеспечению безопасности ККС: фрагментарный и комплексный.
Главной отличительной особенностью фрагментарного подхода является отсутствие единой защищенной среды. Такой подход ориентируется на противодействие строго определенным угрозам при определенных условиях, например, использование специализиро-ванных антивирусных средств или автономных средств шифрования. Фрагментарные меры защиты обеспечивают эффективную защиту только конкретных объектов ККС от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты. Естественно, что фрагментарный подход имеет ограниченные области применения.
Для комплексного подхода отличительной особенностью является создание защищенной среды передачи, приема, хранения и обработки информации, объединяющей разнородные меры и средства противодействия угрозам безопасности. Эта среда строится на основе разработанной для конкретной ККС политики безопасности, что позволяет гарантировать определенный уровень безопасности. Недостатки комплексного подхода: сложность управления, ограничения на свободу действий пользователей сети, высокая чувствительность к ошибкам установки и настройки средств защиты. Области применения такого подхода неизмеримо шире. Он применяется для создания СОБ крупных ККС (где нарушение безопасности информации может принести огромный материальный ущерб) или небольших ККС, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи. Комплексный подход реализуется большинством государственных и крупных коммерческих предприятий и учреждений. Он нашел свое отражение в различных стандартах и целенаправленно проводится в жизнь.
Классификация средствзащиты и способы из разработки
В зависимости от способа реализации методы и средства защиты разделяются на следующие группы.
1. Организационные методы . Они представляют собой набор инструкций, определяющий обязательные для всех пользователей порядок и правила использования компьютеров сети, а также ограничения по правилам доступа в компьютерные помещения.
2. Технологические методы . Они рассматриваются как основа защиты любой системы. Любое технологическое решение реализуется организационно, аппаратно или программно. Примеры технологических решений: фильтрация пакетов, мониторинг и аудит сети, автоматическое ведение журналов регистрации, система «обратного дозвона» (по запросу удаленного пользователя соединение не устанавливается, а лишь регистрируется запрос на соединение, после чего система сама производит обратный вызов абонента по указанному им адресу).
3. Аппаратные средства защиты (АСЗ). Они обеспечивают наиболее надежную защиту, с их помощью могут быть реализованы практически любые концепции защиты, но стоимость реализации оказывается на порядок выше по сравнению с аналогичными по назначению программным средствами. Аппаратные средства исключают любое вмешательство в их работу непосредственно из сети, изучение их работы возможно только при наличии непосредственного физического доступа к ним. Кроме того, они отличаются большей производительностью по сравнению с программными средствами (особенно если они используются в устройствах криптографической защиты).
4. Программные средства защиты (ПСЗ). Это наиболее распространенные средства, с их помощью реализуются все идеи и методы защиты, причем стоимость реализации сравнительно невысока. Основной недостаток программных средств – доступность для хакеров, особенно это касается широко распространенных на рынке средств защиты. Поэтому желательна разработка собственных оригинальных программных средств защиты.
5. Программно-аппаратные (гибридные) средства защиты . Они основаны на использовании технологических устройств, допускающих некоторую настройку параметров их работы программными методами, и представляют собой компромисс между предыдущими двумя способами, совмещая высокую производительность аппаратно реализованных систем и гибкость настройки программных. К числу таких гибридных средств относятся аппаратно реализованные маршрутизаторы фирмы Cisco, допускающие их настройку для работы в качестве пакетных фильтров.
Для СОБ корпоративной сети существуют различные варианты разработки и приобретения средств защиты . Приведем краткую характеристику этих вариантов.
Коммерческая реализация средств защиты – это доступное и полнофункциональное решение по комплектации СОБ аппаратными и программными средствами защиты. Используя такое решение, необходимо обращать внимание на сертификацию этих средств и приобретать только лицензионные версии. Общим и очевидным недостатком является неопределенность степени защиты по отношению к возможностям фирмы производителя. В связи с этим там, где это возможно, следует воспринимать общие рекомендации, но не всегда использовать конкретные рекомендуемые решения.
Самостоятельная разработка средств защиты – во всех случаях это наиболее предпочтительный вариант, особенно если речь идет о технологических и организационных методах защиты. При самостоятельной разработке АСЗ и ПСЗ достигается более высокая надежность защиты ККС, однако серьезным недостатком такого решения является трудность сертификации конечного продукта. Рациональным представляется такой вариант, когда осуществляется самостоятельная разработка только тех дополнений средств защиты, которые необходимы, но отсутствуют в готовом продукте. В этом случае получается дополнительный рубеж защиты, в том числе и от фирмы-производителя данного продукта.
Индивидуальный заказ средств защиты крупным производителям – такое решение могло бы стать идеальным, но в настоящее время трудно найти организацию, готовую реализовать такой заказ в полном объеме. Кроме того, этот вариант связан с немалыми финансовыми и временными затратами.
Смешанный подход к реализации средств защиты основан на том, что следует, не полагаясь на опыт поставщика, самостоятельно разобраться во всех возможностях настройки предлагаемого изделия и произвести ее, хотя это и связано с существенными трудозатратами. Такой подход почти всегда реален и реализуем.
Традиционные методы и средства обеспечения безопасности ККС
Рассматриваемые ниже конкретные методы и средства защиты, используемые в ККС, разделены на традиционные и специфические сетевые. Традиционные методы и средства зарождались и применялись еще до появления ТКС как в отдельных компьютерах, так и в многопользовательских средствах, построенных на одном компьютере. Сетевые методы и средства появились только с развитием сетевых технологий. Они не заменяют, а дополняют традиционные методы.
Традиционные методы и средства . К ним относятся следующие.
1. Криптографические методы защиты . Они необходимы во всех случаях обеспечения безопасности (независимо от того, применяются они в сети или вне ее) и основаны на шифровании информации и программ. Шифрование программ гарантирует невозможность внесения в них изменений. Криптографическая защита данных осуществляется как при их хранении, так и при передаче по сети. В настоящее время доступны как программная, так и высокопроизводительная аппаратная реализация средств криптографии.
Различают два способа шифрования: канальное и оконечное (абонентское) .
Канальное шифрование реализуется с помощью протокола канального уровня, при этом защищается вся передаваемая по каналу связи информация, включая служебную. Особенности канального шифрования :
Обеспечивается надежная защита всей передаваемой информации, причем вскрытие ключа шифрования для одного канала не приводит к компрометации информации в других каналах;
На промежуточных узлах (ретрансляторах, шлюзах и т.д.) вся информация оказывается открытой;
Для каждой пары узлов необходим свой ключ;
Алгоритм шифрования должен обеспечивать скорость шифрования на уровне пропускной способности канала, что нередко приводит к необходимости его реализации аппаратными средствами, а это увеличивает расходы на создание и обслуживание системы защиты.
Абонентское шифрование реализуется с помощью протокола прикладного или в некоторых случаях представительного уровня. Оно обеспечивает конфиденциальность данных между двумя прикладными объектами (отправитель зашифровывает данные, получатель – расшифровывает). Особенности абонентского шифрования :
Защищается только содержание сообщения, служебная информация остается открытой;
При стойком алгоритме шифрования никто, кроме отправителя и получателя, не может восстановить информацию;
Маршрут передачи не имеет значения – в любом канале информация остается защищенной;
Для каждой пары пользователей требуется уникальный ключ;
Пользователи принимают участие в выполняемых операциях и должны знать процедуры шифрования и распределения ключей.
Выбор способа шифрования зависит от результатов анализа риска, от выяснения того, что более, уязвимо – непосредственно отдельный канал связи или содержание сообщения, передаваемого по различным каналам. Для канального шифрования затрачивается меньше времени, оно более прозрачно для пользователя и требует меньше ключей. Абонентское шифрование более гибко, может использоваться выборочно, но требует участия пользователей.
2. Парольная защита . Основана на использовании некоторой комбинации символов (пароля), открывающей доступ к запрашиваемому ресурсу сети. С помощью паролей защищаются файлы, личные или фирменные архивы, программы или отдельные компьютеры (пароль на его включение). В сетях пароли используются как самостоятельно, так и в качестве основы для различных методов аутентификации.
В практике использования паролей выработан ряд требований :
Длина пароля не может быть менее 8 символов (короткие пароли обладают слабой защищенностью, так как на современных компьютерах раскрываются простым перебором);
В качестве пароля не может использоваться слово из какого бы то ни было языка;
Один и тот же пароль не может быть использован для доступа к разным объектам;
Старый пароль не должен использоваться повторно;
Пароль должен меняться как можно чаще.
3. Идентификация пользователей . Это развитие системы парольной защиты на более современном техническом уровне. Для идентификации пользователей применяются специальные электронные карты, содержащие идентифицирующую конкретного пользователя информацию. Реализация системы идентификации пользователей осуществляется аппаратно, поэтому она является более надежной, чем парольная защита.
4. Аутентификация пользователей. Это процедура проверки пользователей, аппаратуры или программы для получения доступа к определенному ресурсу. В сущности это также развитие системы парольной защиты для использования в сетях. По отношению к пользователю система аутентификации обычно требует указания имени и предъявления пароля или электронной карты. Частая смена паролей, а тем более электронных карт неудобна, поэтому многие переходят к использованию одноразового динамического пароля, который генерируется аппаратными или программными средствами.
5. Привязка программ и данных к конкретному компьютеру . Основная идея этого метода состоит в том, что в данные или программу включаются конкретные параметры (характеристики) конкретного компьютера, что делает невозможным чтение данных или исполнение программ на другом компьютере. Применительно к сети различные модификации такого метода могут требовать либо выполнения всех операций на конкретном компьютере, либо наличия активного соединения сети с конкретным компьютером.
6. Разграничение прав доступа пользователей к ресурсам сети . В основу метода положено использование таблиц или наборов таблиц, определяющих права пользователей и построенных по правилам «разрешено все, кроме» или «разрешено только». Таблицы по идентификатору или паролю пользователя определяют его права доступа к ресурсам сети – дискам, конкретным файлам, операциям записи, чтения или копирования, системному принтеру и т.д. Возможность такого разграничения определяется, как правило, возможностями используемой операционной системы, которые заложены именно в ней. Большинство современных ОС предусматривают разграничение доступа, но в каждой из них эти возможности реализованы разными способами и в разном объеме.
7. Использование заложенных в ОС возможностей защиты . Это превратилось в обязательное правило, однако большинство используемых ОС имеют недостаточную защиту или предоставляют возможности ее реализации дополнительными средствами. Например, операционная система Windows NT сертифицирована на класс защиты, предусматривающий: защиту объектов от повторного использования другими процессами, возможность владельца ресурса (например, файла) контролировать доступ к нему, идентификацию пользователей с помощью уникальных имен и паролей, возможность аудита связанных с безопасностью событий, защиту ОС самой себя от изменений.
Специфические методы и средства
Введем сначала понятие промежуточной сети, которая представляет собой совокупность оборудования (включая межсетевые экраны , маршрутизаторы, концентраторы, мосты и т.д.), расположенного между двумя объединенными сетями. Основными типами устройств защиты промежуточной сети являются пакетные фильтры, прокси-системы, системы контроля текущего состояния, которые обычно реализуются в межсетевых экранах.
1. Межсетевые экраны (брандмауэры) – механизмы защиты сети от внешнего мира, они служат барьером, ограничивающим распространение информации из одной сети в другую. Межсетевые экраны (МЭ) реализуются программными, аппаратными или программно-аппаратными средствами. Они могут быть: открытыми (функционируют на основе открытых протоколов Internet и служат для подключения к ККС открытых серверов Internet) и корпоративными (служат для обеспечения в ККС защищенного взаимодействия «клиент-сервер» с закрытыми серверами корпоративной сети, в том числе по виртуальным каналам сетей общего пользования), внешними (работают на виртуальном канале парами – входной и выходной МЭ, предназначены для разграничения прав доступа к виртуальному каналу связи и согласования параметров его защищенности при взаимодействии «клиент-сервер») и внутренними (обеспечивают разграничение прав доступа к ресурсам информационного сервера).
Основные функции МЭ корпоративной сети :
Физическое разделение рабочих станций и серверов ККС от каналов связи общего назначения (деление на подсети);
Разграничение прав доступа пользователей ККС к серверам по нескольким признакам;
Регистрация всех событий, связанных с доступом к серверам ККС;
Обеспечение многоэтапной идентификации и аутентификации всех сетевых элементов;
Контроль за целостностью программ и данных, а также отслеживание прерывания такого контроля во время сеанса обмена данными;
Сокрытие IP-адресов информационных серверов;
Согласование качества обслуживания между межсетевыми средствами защиты глобальной сети при установлении соединения.
Кроме того, межсетевой экран ККС на уровне взаимодействия «клиент-сервер» должен использовать средства защиты, реализующие функции таких служб безопасности: засекречивания соединения, выборочных полей и потока данных, контроля за целостностью соединения и выборочных полей, защиты от отказов с подтверждением отправления и доставки.
Используются несколько типов МЭ , отличающихся назначением и принципами построения. Основные из них – пакетные фильтры, прокси-системы, устройства контроля текущего состояния.
Пакетные фильтры – аппаратные или программные механизмы, предназначенные для ограничения входящего и исходящего трафиков между взаимодействующими абонентами сети, реализующие при этом определенный набор задаваемых при настройке правил. Примером аппаратного фильтра может служить фильтрующий маршрутизатор, в который встроены функции ограничения трафика на входе и выходе. Он отличается высокой пропускной способностью. Программный фильтр обычно устанавливается на сетевом сервере, выполняющем роль маршрутизирующего шлюза. Его пропускная способность ниже, чем у аппаратного фильтра, зато его система настройки является более гибкой и удобной.
Прокси-система – это шлюз прикладного уровня, реализующий идею прокси-сервера (сервера-посредника), который выступает в роли посредника между внешней и внутренней сетями (при использовании прокси-сервера ККС и Internet физически не соединены). Основные преимущества прокси-сервера: сохранение инкогнито компьютера конечного пользователя (сокрытие IP-адреса этого компьютера от хакера) и экономия адресного пространства, так как для внутренней сети может использоваться любая схема адресации, включая использование официально не зарегистрированных IP-адресов. Его основной недостаток – поддержка только тех протоколов, для которых он разработан.
Устройства контроля текущего состояния обеспечивают отслеживание соединения по его установлению. В отличие от фильтров они не просто ориентируются на заголовок IP-пакета, но и проверяют информацию о приложении, чтобы убедиться, что это действительно тот пакет, который объявлен в заголовке. Кроме того, такие устройства значительно производительнее прокси-систем.
2. Средства усиления защиты сети – это некоторые устройства промежуточной сети и отдельные технологические решения.
К ним относятся:
Шлюзы уровня виртуального канала, позволяющие пользователям соединяться и обмениваться пакетами с сервером. При этом каждый пакет в отдельности не проверяется, а после проверки адресных данных принимаются сразу несколько пакетов. Такие шлюзы могут использоваться для полного запрета прямых контактов компьютеров внутренней сети с внешней сетью;
Переключаемые мосты на концентраторе, контролирующие направление трафика в сети и реализующие дополнительную фильтрацию пакетов, создавая таким образом еще один барьер для хакеров;
Создание виртуальной части сети, если предусматривается подключение удаленных пользователей к ККС. Применение такой технологии основано на аутентификации удаленных пользователей и шифровании всего сетевого трафика;
Изоляция протоколов путем использования протокола TCP/IP только для связи с Internet. Во внутренней сети используются другие протоколы, несовместимые с TCP/IP, а доступ к Internet осуществляется через шлюз прикладного уровня;
Реализация межсетевого экрана на внутреннем сервере. Такой экран располагается после выделенного сетевого экрана и является последним рубежом защиты.
3. Архитектурные методы защиты – это решения, принимаемые на уровне топологии и архитектуры сети с целью повышения ее защищенности. Такие решения могут приниматься на уровне внутренней сети (корпоративной, локальной) или на уровне промежуточной сети, которая связывает внутреннюю сеть с внешней (например, с сетью Internet).
На уровне топологии и архитектуры внутренней сети могут приниматься такие решения:
Физическая изоляция закрытого сегмента внутренней сети, содержащего конфиденциальную информацию, от внешней сети, связь с которой поддерживается через открытый сегмент внутренней сети;
Кратковременное (сеансовое) подключение внутренней сети к сегменту сети, подключенному к Internet, с помощью коммутатора и/или переключаемого моста (такое подключение более безопасно, чем постоянное соединение);
Функциональное разделение внутренней сети на подсети, при котором в каждой подсети работают пользователи (сотрудники компании), объединенные по профессиональным интересам.
Меры обеспечения безопасности на уровне архитектуры промежуточной сети нередко связаны с реализацией компонентов многоуровневой защиты. Если промежуточная сеть включает маршрутизатор, компьютер, выделенный для межсетевого экрана, и концентратор, соединенный непосредственно с сервером внутренней сети, то средства защиты могут быть реализованы на каждом из этих устройств. Например, на маршрутизаторе – фильтрация пакетов, на компьютере – межсетевой экран, на концентраторе – переключаемый мост и виртуальная ЛКС, на сервере внутренней сети – еще один межсетевой экран.
Обязательным дополнением к рассмотренным сетевым методам и средствам защиты является мониторинг и аудит сети, составляющие основу обеспечения ее безопасности. Мониторинг (контроль текущего состояния и параметров работы сети) и аудит (регулярный анализ журналов регистрации для выявления происходящих в сети процессов и активности пользователей) входят в обязанности сетевого администратора. Проведение этой работы обеспечивается сетевыми ОС, которые имеют соответствующие встроенные или дополнительно поставляемые программы. Для этой же цели могут использоваться дополнительные средства: аппаратные или программные перехватчики пакетов (анализирующие собранные пакеты на наличие в них информации, которой может воспользоваться злоумышленник), аппаратно реализованные анализаторы сети (измеряющие и контролирующие трафик в сети) и др.
В заключение еще раз следует подчеркнуть, что при построении СОБ корпоративной сети предпочтительнее использовать аппаратные или аппаратно-программные средства, так как чисто программные средства не обеспечивают такой же надежной защиты.