Разработка политики корпоративной безопасности сети для предприятия "JDSONS". Реферат: Реализация политики безопасности локальной сети организации ОК БОР с помощью программного пак

МОСКВА 2010

Введение…………………………………………………………………………..3

1. Аналитическая часть…………………………………………………………..5

1.1.Описание предприятия и объекта защиты………………………..….5

1.1.1. Предоставляемые услуги………………………………..…...5

1.1.2. Организационная структура предприятия………..………...6

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»…………….……………………………………………...10

2. Теоретическая часть…………………………………………………………..13

2.1. Понятие "межсетевой экран"………………………………………..13

2.2. Классы защищенности МЭ…………………………………………..15

2.3. Основные требования, предъявляемые к межсетевым экранам…..17

2.4. Основные компоненты МЭ………………………………………….18

2.5. Основные функции МЭ……………………………………………...21

2.6. Политика безопасности в компьютерных сетях…………………....24

2.7.Политика сетевого подключения…………………………………….25

2.8. Политика брандмауэра………………………………………………27

2.9. Стратегии брандмауэра……………………………………………....29

2.9.1. Применение пакетного фильтра……………………………29

2.9.2. Применение proxy – сервера………………………………..31

3. Проектная часть……………………………………………………………….34

3.1. Политика безопасности ЛВС ОК «БОР»…………………………...34

3.2. Реализация политики безопасности организации с помощью программного пакета FireWall-1…………………………………………41

3.3.Основные особенности FIREWALL-1……………………………….45

3.3.1. Аутентификация пользователей при работе с FTP………..45

3.3.2. Гибкие алгоритмы фильтрации UDP-пакетов, Динамическое экранирование……………………………………………………...45

Заключение………………………………………………………………………47

Список литературы……………………………………………………………...48

Глоссарий…………………………………………………………………..…….49

Тестовые вопросы……………………………………………………………….51

Приложения……………………………………………………………………...53

Введение.

Многие организации используют локальные вычислительные сети для обработки и передачи данных. До использования ЛВС основная часть обработки и обмена данными была централизована: информация и управление ею были сосредоточены в одном месте и централизованы. Сейчас ЛВС логически и физически рассредоточили данные, а также вычислительную мощность и службы обмена сообщениями по всей организации.

Наиболее удобный вид обмена информацией можно представить и реализовать на сегодняшний день в виде локальных вычислительных и распределённых сетей, где каждое автоматизированное рабочее место (АРМ) входит в единую логическую структуру обмена данными. Локально-вычислительные сети, или сокращённо ЛВС, позволяют максимально ускорить создание больших проектов, требующих вклада множества сотрудников либо задействования различных устройств или вычислительных мощностей различных серверов (СУБД, хранилище данных, кластерные блоки для вычислительных задач, дублирование информации и др.). При этом возникают огромные трудности с организацией модели безопасной передачи данных внутри данных сетей, т.к. риск утечки информации намного больше, чем для случая выделенного автоматизированного рабочего места (АРМ оператора). Вдобавок, зачастую приходится связываться с некоторыми удалёнными банками данных (в филиалах компании) или даже непосредственно запрашивать и предоставлять информацию в сети Интернет. В таком случае, количество уязвимостей возрастает в разы и только достаточно грамотная и продуманная балансировка соотношения «оценки рисков»/«затраты на обеспечение безопасности и сохранности данных» позволяет достичь расходов на приемлемом для бизнеса уровне и не разорить всю бизнес-модель за счёт единственной гонки в установке новых и новых заградительных барьеров на пути потенциальных угроз, появляющихся порой даже чаще чем ежедневно.

Одной из решений этих проблем является грамотное составление политики безопасности для организации.

В системе должна быть единая политика безопасности, которая определяет правила обращения с информацией так, чтобы исключить или снизить угрозы ущерба. Единая политика нужна, чтобы исключить противоречия между правилами обращения с одной и той же информацией в разных подразделениях организации. В самом простом случае, этой политикой является дискреционная политика, т. е. у каждого информационного объекта системы есть хозяин, который определяет правила доступа субъектов к объектам. Для реализации дискреционной политики безопасности каждый субъект и объект должны быть идентифицированы, а каждый субъект должен подтвердить свой идентификатор (аутентификация). Обычно дискреционную политику безопасности усиливают аудитом, т. е. отслеживанием действий пользователей или субъектов, которые действуют от их имени, в компьютерной системе.

Кроме дискреционной политики безопасности как минимум необходимо организовать защиту целостности информационных ресурсов от модификации или уничтожения. Идентификация и аутентификация, правила разграничения доступа, аудит и защита целостности должны реализовываться механизмами защиты. На каждом рабочем месте и на серверах установлены операционные системы, которые, как правило, обладают набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа, аудит на данном компьютере. Серьезные прикладные системы типа СУБД также обладают локальным набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа и аудит. Основными механизмами защиты целостности являются резервное копирование (backup), электронно-цифровая подпись (ЭЦП) и коды аутентификации.

Однако выполнение политики безопасности на каждом компьютере вовсе не означает, что выполняется единая политика безопасности во всей системе. Например, пользователи по сети могут обращаться на файловый сервер для получения необходимой информации или отправки документов в файле на печать на сетевой принтер. Обращение на сервер предполагает копирование файла из одного компьютера, где файл находится под защитой локальной политики безопасности и средств ее поддержки, в другой компьютер, на котором действует локальная политика безопасности и механизмы ее поддержки. Ясно, что передача файла или информации из этого файла в файл на другой машине не управляется локальной политикой безопасности, т. е. должны быть механизмы реализации политики безопасности системы в целом, с помощью которых может быть разрешен доступ субъекта на одной машине к информации, расположенной на другой машине. В частности, для такого доступа субъект из рабочей станции 1 (РС1), запрашивающий доступ к информации на компьютере РС2, должен быть идентифицирован и аутентифицирован на РС2, т. е. его аутентификационная информация (пароль) на РС1 должна быть передана на РС2. Этот субъект должен быть учтен на РС2 в матрице разграничения доступа, а его действия должны отслеживаться аудитом на РС1 и РС2. Так как в сегменте локальной сети передача является широковещательной, то передача пароля для аутентификации на РС2 может быть подслушана на любой рабочей станции и в следующий раз подслушивающий субъект сможет запрашивать информацию на другой машине от чужого имени.

Понимание необходимости обеспечения защиты информации в ЛВС и разработка соответствующих мер защиты, в том числе разработка политики безопасности являются главными задачами этого курсового проекта.

1. Аналитическая часть.

1.1.Описание предприятия и объекта защиты

Объектом защиты в данном курсовом проекте является ЛВС организации Федеральное Государственное учреждение «Оздоровительный комплекс «Бор».«Оздоровительный комплекс «Бор» включает в себя отель, построенный в стиле старинной русской усадьбы, пансионат и несколько коттеджных поселков. Для автоматизации производства и предоставления услуг была построена ЛВС, соединяющая здания администрации ОК «БОР», пансионата, отеля. Данная ЛВС соединена с глобальной вычислительной сетью Internet через специализированный сервер.

Общая схема ЛВС ОК «БОР» представлена в приложении 1.

Пансионат представляет собой современное 8-этажное здание, состоящее из трех корпусов, соединенных между собой.

Весь комплекс занимает площадь 170 гектаров, окруженный забором и имеет 3 внешних контрольно-пропускных пункта.

Организация является государственной.

1.1.1. Предоставляемые услуги

Предоставление номеров в пансионате и отеле: одноместных, двухместных, трехместных, четырехместных;

Предоставление коттеджей

Питание: 3 ресторана, 3 бара (пивной, ночной, диско-бар), кафе, буфет, пиццерия;

Медицинские услуги;

Услуги для корпоративного отдыха.

1.1.2. Организационная структура предприятия

Рис 1.Схема организационной структуры.

Организационная структура предприятия: линейно-функциональная

Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.

Стоить выделить отдел АСУ (Автоматизация систем управления), так как данный отдел отвечает за работоспособность сети и, в нашем случае главное, за ее безопасность.

Функции отдела АСУ:

1) Поддержка рабочих мест;

2) Построение и прокладка сети;

3) Администрирование сети;

Рассмотрим несколько характерных случаев, наглядно демонстрирующих типичные инциденты, связанные с деятельностью пользователей. Все описанные ниже случаи взяты из практики и с весьма высокой степенью вероятности могут возникнуть и в организации ОК «БОР».

Случай 1. Многопоточная закачка

Сценарий. Сотрудник загружает из Интернета утилиту для многопоточного сохранения контента указанных сайтов. Указав несколько сайтов, он запускает утилиту в фоновом режиме. В результате сбоя утилита начинает выдавать 500-700 запросов в секунду в непрерывном цикле, что приводит к ситуации DoS на корпоративном прокси-сервере.

Анализ. В данном случае злой умысел со стороны сотрудника отсутствует, однако анализ ситуации показал, что применение данной утилиты не требуется для решения производственных задач. Кроме того, утилита не проходила никаких тестов со стороны администраторов сети и ее применение не было согласовано с ними, что, собственно, и привело к данной ситуации.

Решение проблемы. В политике безопасности вводится запрет на установку программного обеспечения, активно взаимодействующего с Интернетом, без согласования с администраторами и службой безопасности. После этого проводятся технические мероприятия для поиска и удаления подобных программ и блокировки их последующей установки.

Случай 2. Электронная почта

Сценарий. Желая поздравить с Новым годом коллег, сотрудник составляет базу рассылки из 1500 адресов, после чего создает письмо с Flash-мультфильмом размером в 1,5 Мбайт и запускает рассылку. Подобные операции производят также его коллеги, рассылая поздравительные письма с вложенными картинками, Flash-роликами и звуковыми файлами. В результате создается ситуация DoS на почтовом сервере и блокируется прием-отправка деловой корреспонденции.

Анализ. Это типичный пример нецелевого использования корпоративной электронной почты, обычно подобные проблемы возникают перед праздниками. Наиболее характерно данная ситуация проявляется в больших сетях (более 500 пользователей).

Решение проблемы . Технически решить подобную проблему очень сложно, так как ограничения на объем письма и количество писем в единицу времени не всегда приемлемы и малоэффективны при большом количестве пользователей. Наиболее действенная мера - разработка правил использования корпоративного почтового сервера и доведение этих правил до сведения всех пользователей.

Случай 3. Средства анализа сети

Сценарий. Недавно принятый на работу молодой программист для самообразования загружает из Интернета сканер сетевой безопасности XSpider. Для изучения его работы он выставляет настройки по максимуму и в качестве цели указывает адрес одного из корпоративных серверов. В результате средства защиты сервера регистрируют атаку, замедляется время реакции сервера на запросы пользователей.

Анализ. В данном случае злой умысел отсутствует, так как установивший данную программу пользователь сети не имел четкого представления о возможных последствиях.

Решение проблемы . В политике безопасности вводится раздел, категорически запрещающий установку и использование на рабочих местах пользователей средств активного и пассивного исследования сети, генераторов сетевых пакетов, сканеров безопасности и иных средств. Согласно данному положению применение подобных инструментов разрешается только администраторам сети и специалистам по защите информации.

Случай 4. Почтовый вирус

Сценарий. Пользователь получает письмо, содержащее явные аномалии (отправителем и получателем письма является сам пользователь, текст письма не соответствует деловой переписке или отсутствует). К письму приложен архив с неким приложением. Несмотря на инструктаж, любопытство оказывается сильнее, пользователь сохраняет архив на диск, распаковывает и запускает файл, который оказывается новой разновидностью почтового червя.

Анализ. Технические меры в данном случае бесполезны. Тот факт, что пользователь получил письмо, свидетельствует о том, что применяемый почтовый антивирус и антивирус на ПК пользователя не детектируют данную разновидность вируса.

Решение проблемы . Обучение пользователей и разработка планов проведения мероприятий в случае появления в сети почтового или сетевого червя.

Случай 5. Несанкционированное подключение модема

Сценарий. Пользователь несанкционированно подключает к своему компьютеру сотовый телефон и выходит в Интернет через GPRS-соединение. В ходе работы в Интернете на его компьютер проникает сетевой червь, который в дальнейшем пытается заразить другие компьютеры в рамках ЛВС.

Анализ. Сотовые телефоны с GPRS очень распространены, поэтому организовать точку несанкционированного подключения не составляет труда. Опасность такого подключения очень велика, так как оно не контролируется администраторами и не защищено брандмауэром.

Решение проблемы. У данной проблемы имеется два решения: техническое и административное. Для эффективной защиты необходимо применять оба: с одной стороны, политика безопасности должна строжайше запрещать пользователям подключение модемов или сотовых телефонов для выхода в Интернет, а с другой - необходимо предпринимать технические меры для блокирования такой возможности (привилегии и политики безопасности, средства мониторинга).

Случай 6. Зараженный ноутбук

Сценарий. Пользователю выдается служебный ноутбук, который он берет с собой в командировку. Там он подключается к сети, и его компьютер заражается сетевым червем. По возвращении он подключается к ЛВС, и его ноутбук становится источником заражения сети.

Анализ. Данная ситуация достаточно распространена, то есть в этом случае вирус проникает в сеть путем подключения к сети зараженного мобильного компьютера (ноутбука, КПК). Проблема усугубляется наличием в современных ноутбуках Wi-Fi-адаптеров.

Решение проблемы . Данная проблема не имеет однозначного решения. Хорошие результаты достигаются в случае установки на ноутбук антивируса и брандмауэра, причем установка производится администраторами, а пользователю строжайше запрещается их отключать или переконфигурировать.

Случай 7. Работа с электронной почтой в обход корпоративного почтового сервера

Сценарий. Пользователь заводит один или несколько почтовых ящиков в Интернете и использует их в обход корпоративного почтового сервера. В результате он получает письмо с вирусом, и его компьютер в дальнейшем становится источником заражения ЛВС.

Анализ . Это весьма распространенная ситуация. Корпоративный сервер достаточно легко защитить, установив на нем систему почтовых фильтров и антивирус (как вариант - несколько антивирусов). Работа в обход почтового сервера открывает неконтролируемую администраторами брешь в защите сети. Вышесказанное относится также к средствам онлайновых коммуникаций типа ICQ, MSN Messanger и их аналогов.

Решение проблемы. Наиболее эффективное решение - запрет для сотрудников компании на использование посторонних почтовых ящиков. С одной стороны, данный шаг кажется драконовской мерой, с другой - закрывает канал утечки информации и устраняет один из основных источников проникновения вредоносных программ в сеть.

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»

В связи с бурным ростом глобальных информационных технологий, вопросы защиты информации в IP-сетях приобретают большую актуальность. В нашем случае во внутренней локальной сети предприятия циркулирует информация, распространение которой нежелательно, и существует потребность в анализе каналов утечки и вариантов защиты. Все "слабые места" сетевых информационных систем можно условно классифицировать на два класса:

• Ошибки в программном обеспечении серверов и рабочих станций, позволяющие получить полный или частичный доступ к информации, хранящейся на данной компьютере;
• Ошибки при проектировании сетевых протоколов, приводящие к тому, например, что даже при корректной программной реализации того или иного протокола появляются возможности для несанкционированного доступа.

Межсетевые экраны (firewall, брандмауэр) делают возможной фильтрацию входящего и исходящего трафика, идущего через систему. Межсетевой экран использует один или более наборов ""правил"" для проверки сетевых пакетов при их входе или выходе через сетевое соединение, он или позволяет прохождение трафика или блокирует его. Правила межсетевого экрана могут проверять одну или более характеристик пакетов, включая но не ограничиваясь типом протокола, адресом хоста источника или назначения и портом источника или назначения.

Межсетевые экраны могут серьезно повысить уровень безопасности хоста или сети. Они могут быть использованы для выполнения одной или более ниже перечисленных задач:

• Для защиты и изоляции приложений, сервисов и машин во внутренней сети от нежелательного трафика, приходящего из внешней сети Интернет.
• Для ограничения или запрещения доступа хостов внутренней сети к сервисам внешней сети Интернет.
• Для поддержки преобразования сетевых адресов (network address translation, NAT), что позволяет использование во внутренней сети приватных IP адресов (либо через один выделенный IP адрес, либо через адрес из пула автоматически присваиваемых публичных адресов).

Итак, чтобы обеспечить информационную безопасность ЛВС следует учесть следующие угрозы:

Анализ сетевого трафика с целью получения доступа к конфиденциальной информации, например к передаваемым в открытом виде по сети пользовательским паролям;
нарушение целостности передаваемой информации. При этом может модифицироваться как пользовательская, так и служебная информация, например подмена идентификатора группы, к которой принадлежит пользователь;
получение несанкционированного доступа к информационным ресурсам, например с использованием подмены одной из сторон обмена данными с целью получения доступа к файл-серверу от имени другого пользователя;
попытка совершения ряда действий от имени зарегистрированного пользователя в системе, например злоумышленник, скомпрометировав пароль администратора, может начать общаться с ЛВС от его имени.
Причинами возникновения данных угроз в общем случае могут оказаться:
наличие уязвимостей в базовых версиях сетевых протоколов. Так, при использовании стека протоколов TCP/IP нарушитель может внедрить в ЛВС ложный ARP-сервер (см. пример, приведенный далее);
уязвимости специализированных защитных механизмов. Например, причиной возникновения подмены стороны информационного обмена может служить уязвимость процедур аутентификации клиентов при доступе к серверу;
некорректное назначение уровня доступа;
использование в качестве каналов передачи данных общедоступной среды, например применение топологии построения ЛВС с общей шиной. В данном случае злоумышленник может использовать ПО (например, Network Monitor или LanAnalyzer), позволяющее просматривать все передаваемые в сети пакеты;
некорректное администрирование ОС, например задание не до конца продуманных разрешений на удаленное редактирование системного реестра (в ОС Windows NT);
ошибки в реализации ОС;
ошибки персонала.

Обеспечение защиты в соответствии с заданной политикой безопасности в ЛВС является комплексной задачей и осуществляется при помощи:

Корректного администрирования сетевых настроек ОС (в том числе и настроек, отвечающих в данной ОС за сетевую безопасность, которые являются штатными средствами большинства современных ОС);
дополнительных защитных механизмов: шифрования, ЭЦП, аутентификации сторон и др.;
организационных методов защиты и контроля за их неукоснительным соблюдением, например с использованием системы аудита.

В данном курсовом проекте предлагаю реализовать политику безопасности ЛВС с помощью комплекса программ, в частности использования межсетевого экрана.

2. Теоретическая часть

2.1. Понятие "межсетевой экран"

Современные технологии сетевой защиты являются одним из наиболее динамичных сегментов современного рынка обеспечения безопасности. Средства сетевой защиты настолько стремительно развиваются, что в настоящее время общепринятая терминология в данном направлении еще окончательно не установилась. Эти средства защиты в литературе и средствах массовой информации фигурируют как Firewall.

Термин firewall (в отечественной литературе ему соответствует термин межсетевой экран, или брандмауэр, эти термины употребляются как взаимозаменяемые) впервые появился в описаниях организации сетей около семи лет назад. Прежде чем он был принят экспертами по сетевой безопасности для определения способа предотвращения попыток несанкционированного доступа к сети, подключенной к сети большого масштаба, его как профессиональный термин употребляли строители. Брандмауэром называется огнеупорный барьер, разделяющий отдельные блоки в многоквартирном доме. При попадании огня в один блок брандмауэр предотвращает его распространение в другие блоки - в сущности, позволяет локализовать проблему.

Межсетевой экран работает примерно так же: он помогает избежать риска повреждения систем или данных в локальной сети из-за возникающих проблем, вызванных взаимодействием с другими сетями. Межсетевой экран осуществляет это, пропуская разрешенный трафик и блокируя остальной. Кроме того, межсетевой экран устроен намного сложнее.

Термин «межсетевой экран» был принят для обозначения совокупности компонентов, которые находятся между локальной сетью и внешним миром и образуют защитный барьер.

Руководящий документ Гостехкомиссии России по межсетевому экранированию

Руководящий документ Гостехкомиссии России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» устанавливает классификацию межсетевых экранов (МЭ) по уровню защищенности от несанкционированного доступа (НСД) к информации на базе перечня показателей защищенности и совокупности описывающих их требований.

Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) определяют межсетевой экран (МЭ) как локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в Автоматизированную систему (АС) и/или выходящей из АС, и обеспечивающее защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС. (АС - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.)

Защита информации при межсетевом взаимодействии определяется следующим образом:

• Подключение локальной вычислительной сети (ЛВС - вычислительная сеть, поддерживающая в пределах ограниченной территории один или несколько высокоскоростных каналов передачи цифровой информации, предоставляемых подключаемым устройствам для кратковременного монопольного использования) к другой автоматизированной системе (локальной или неоднородной вычислительной сети) иного класса защищенности должно осуществляться с использованием МЭ, требования к которому определяются РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".
• Подключение ЛВС предприятия (учреждения) к Сети должно осуществляться через средства разграничения доступа в виде МЭ (Firewall, Брандмауэр). Не допускается подключение ЛВС к Сети в обход МЭ. МЭ должны быть сертифицированы по требованиям безопасности информации.
• Доступ к МЭ, к средствам его конфигурирования должен осуществляться только выделенным администратором с консоли. Средства удаленного управления МЭ должны быть исключены из конфигурации.
• Абонентский пункт (АП) с помощью МЭ должен обеспечивать создание сеансов связи абонентов с внешними серверами Сети и получать с этих серверов только ответы на запросы абонентов. Настройка МЭ должна обеспечивать отказ в обслуживании любых внешних запросов, которые могут направляться на АП. (АП - средства вычислительной техники учреждения (предприятия), подключаемые к Сетям с помощью коммуникационного оборудования.)
• При использовании почтового сервера и Web-сервера предприятия, последние не должны входить в состав ЛВС АП и должны подключаться к Сети по отдельному сетевому фрагменту (через маршрутизатор).
• На технических средствах АП должно находиться программное обеспечение только в той конфигурации, которая необходима для выполнения работ, заявленных в обосновании необходимости подключения АП к Сети.
• Устанавливаемые межсетевые экраны должны соответствовать классу защищаемого АП (АС) и отвечать требованиям РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".

2.2. Классы защищенности МЭ

Устанавливается пять классов защищенности МЭ.

Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации.

Самый низкий класс защищенности - пятый, применяемый для безопасного взаимодействия АС класса 1Д с внешней средой, четвертый - для 1Г, третий - 1В, второй - 1Б, самый высокий - первый, применяемый для безопасного взаимодействия АС класса 1А с внешней средой.

При включении МЭ в АС определенного класса защищенности, класс защищенности совокупной АС, полученной из исходной путем добавления в нее МЭ, не должен понижаться.

Для АС класса 3Б, 2Б должны применяться МЭ не ниже 5 класса.

Для АС класса 3А, 2А в зависимости от важности обрабатываемой информации должны применяться МЭ следующих классов:

• при обработке информации с грифом "секретно" - не ниже 3 класса;
• при обработке информации с грифом "совершенно секретно" - не ниже 2 класса;
• при обработке информации с грифом "особой важности" - не ниже 1 класса.

Перечень показателей по классам защищенности МЭ приведен в таблице 1.

Обозначения:

« - » - нет требований к данному классу;

« + » - новые или дополнительные требования,

« = » - требования совпадают с требованиями к МЭ предыдущего класса.

Таблица 1. Показатели защищенности для МЭ.

Показатели защищенности	Классы защищенности
Управление доступом (фильтрация данных и трансляция адресов)
Идентификация и аутентификация
Регистрация
Администрирование: идентификация и аутентификация
Администрирование: регистрация
Администрирование: простота использования
Целостность
Восстановление
Тестирование
Руководство администратора защиты
Тестовая документация
Конструкторская (проектная) документация

В общем случае для обеспечения сетевой защиты между двумя множествами информационных систем ставится экран, который является средством разграничения доступа клиентов из одного множества систем к информации, хранящейся на серверах в другом множестве. В этом смысле межсетевые экраны можно представить как набор фильтров, анализирующих проходящую через них информацию и принимающих решение: пропустить информацию или ее заблокировать. Одновременно с этим производится регистрация событий и тревожная сигнализация в случае обнаружения угрозы. Для экранов определяются понятия "внутри" и "снаружи", причем в задачу экрана входит защита внутренней сети от потенциального враждебного окружения. Межсетевой экран может использоваться в качестве корпоративной открытой части сети, видимой со стороны Интернета. Так, например, во многих организациях межсетевые экраны используются для хранения данных с открытым доступом, как, например, информация о продуктах и услугах, файлах из баз, сообщений об ошибках и т.д.

2.3. Основные требования, предъявляемые к межсетевым экранам

1. Основное требование - обеспечение безопасности внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи.

2. Экранирующая система должна обладать мощными и гибкими средствами управления для простого и полного проведения в жизнь политики безопасности организации.

3. Межсетевой экран должен работать незаметно для пользователей локальной сети и не затруднять выполнение ими легальных действий.

4. Процессор межсетевого экрана должен быть быстродействующим, работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий поток в пиковых режимах, чтобы его нельзя было блокировать большим количеством вызовов и нарушить его работу.

5. Система обеспечения безопасности должна быть сама надежно защищена от любых несанкционированных воздействий, поскольку она является ключом к конфиденциальной информации в организации.

6. Система управления экранами должна иметь возможность централизованно обеспечивать проведение для удаленных филиалов единой политики безопасности.

7. Межсетевой экран должен иметь средства авторизации доступа пользователей через внешние подключения, что является необходимым в случаях работы сотрудников организации в командировках.

В результате конкуренции среди производителей межсетевых экранов и их попыток усовершенствовать свой продукт брандмауэры наделялись новыми свойствами. Поскольку межсетевой экран служит как бы воротами во внешний мир, он должен выполнять множество задач, в том числе и не связанных с обеспечением безопасности.

2.4. Основные компоненты МЭ

Выделяют три основных компонента МЭ, выполняющих функции администрирования, сбора статистики и предупреждения об атаке и аутентификации.

• Администрирование. Легкость администрирования является одним из ключевых аспектов при создании эффективной и надеж ной системы защиты. Ошибки при определении правил доступа могут образовать лазейку, через которую рано или поздно будет взломана система. Поэтому в большинстве МЭ реализованы сервисные утилиты, облегчающие ввод, удаление и просмотр набора правил. Наличие этих утилит позволяет также производить про верки на синтаксические или логические ошибки при вводе или редактировании правил. Обычно эти утилиты позволяют просматривать информацию, сгруппированную по каким-либо критериям, например, все, что относится к конкретному пользователю или сервису.
• Системы сбора статистики и предупреждения об атаке. Информация обо всех событиях: отказах, входящих, выходящих соединениях, числе переданных байт, использовавшихся сервисах, времени соединения и т.д., - накапливается в файлах статистики. Многие МЭ позволяют гибко определять подлежащие протоколированию (протоколирование - это сбор и накопление информации о событиях, происходящих в информационной системе) события, описывать порядок действия при атаках или попытках несанкционированного доступа: сообщение на консоль, почтовое послание администратору системы и т.д. Немедленный вывод сообщения о попытке взлома на экран консоли или администратора может помочь, если попытка оказалась успешной, и атакующий уже проник в систему. В состав многих МЭ входят генераторы отчетов, служащие для обработки статистики и позволяющие собрать статистику по использованию ресурсов конкретными пользователями, по использованию сервисов, отказам, источникам, с которых проводились попытки несанкционированного доступа и т.д.
• Аутентификация. Прежде чем пользователю будет предоставлено право получить тот или иной сервис, необходимо убедиться, что он действительно тот, за кого себя выдает (предполагается, что этот сервис для данного пользователя разрешен: процесс определения, какие сервисы разрешены, называется авторизацией . Авторизация обычно рассматривается в контексте аутентификации - как только пользователь аутентифицирован, для него определяются разрешенные ему сервисы). При получении запроса на использование сервиса от имени какого-либо пользователя, МЭ проверяет, какой способ аутентификации определен для данного пользователя, и передает управление серверу аутентификации. После получения положительного ответа МЭ формирует запрашиваемое пользователем соединение.

При аутентификации используется, как правило, принцип, по лучивший название "что он знает" - пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос. Одной из схем аутентификации является использование стандартных Unix-паролей. Эта схема является наиболее уязвимой с точки зрения безопасности, так как пароль может быть перехвачен и использован другим лицом. Чаще всего используются схемы с применением одноразовых паролей.

Ряд МЭ поддерживают систему Kerberos - один из наиболее распространенных методов аутентификации. Главной особенностью Kerberos является то, что первичные ключи по системе не передаются вообще. Эта система была разработана в Массачусетском технологическом институте в рамках проекта Athena. Главным назначением системы является обеспечение защищенного об мена данными в сети общего пользования. Обмен данными по строен по принципу клиент/сервер. В Kerberos существует не один, а целых три сервера: идентификационный, выдачи разрешений и административный. Все ПК пользователей оснащаются клиентской частью Kerberos. Сервер может быть установлен на любом ПК или даже разнесен по многим. Ядро системы составляют сер вер идентификации и сервер выдачи разрешений. Область действия Kerberos-сервера называется realm. Все пользователи realm должны быть зарегистрированы в идентификационном сервере Kerberos, а все серверы должны иметь общий кодовый ключ с идентификационным сервером.

При взаимодействии с системой пользователь посылает свой идентификатор серверу идентификации, который проверяет наличие данного пользователя в своей базе данных. Если пользователь зарегистрирован, то ему отправляется "разрешение на получение разрешения" и код сеанса, которые зашифрованы при помощи па роля пользователя из базы данных пользователя. Данная информация расшифровывается на ПК пользователя после ввода послед ним своего пароля, который совпадает с тем, что хранится в базе данных пользователя. Таким образом, пароль по сети не передается. После того, как разрешение на обращение к серверу разрешений получено, клиент обращается за разрешением на доступ к ин формационным ресурсам. Этот запрос содержит имя пользователя, сетевой адрес его компьютера, отметку времени, срок жизни раз решения и код сеанса. Разрешение зашифровывается при помощи кода, известного идентификационному серверу и серверу выдачи разрешений. Данный код пользователю не известен. Кроме кода, разрешение шифруется и при помощи пароля пользователя. Вместе с запросом на разрешение на доступ к ресурсам пользователь посылает еще и свой идентификатор, который шифруется с использованием кода сеанса и содержит имя пользователя, его сете вой адрес и отметку времени. Сервер разрешений проверяет полу ченное разрешение на получение разрешений (сравнивает имя пользователя и его сетевой адрес, зашифрованные в разрешении, с адресом из пакета). После этого расшифровывается идентификатор и снова сравнивается имя пользователя и его сетевой адрес с теми, что пришли в пакете. Так как идентификатор пользователя используется только один раз в течение определенного времени, то перехватить и идентификатор, и разрешение довольно трудно. Сервер разрешений высылает разрешение клиенту, которое шиф­руется при помощи кода, известного серверу разрешений и ин формационному серверу. Данное разрешение содержит новый код сеанса, который используется клиентом при обращении к целевому серверу.

Таким образом, за счет многократного шифрования и много численных проверок исключается перехват защищенной информации. Однако следует принимать во внимание тот факт, что все программные компоненты должны включать в себя программы из Kerberos-библиотеки, т.е. telnet, ftp и т.п. должны быть отредактированы с Kerberos-библиотекой. Таких серверов не так много, что серьезно ограничивает применение Kerberos на практике.

Эта система имеет ряд недостатков. Во-первых, подразумеватся четкое разделение компьютеров на рабочие станции и серверы. В случае, если пользователь пожелает, зайдя на сервер, с помощью telnet зайти на другой компьютер, идентификация не сработает, так как пользователь имеет разрешение на работу только на той рабочей станции, где он вводил пароль. Иными словами, в Kerberos версии 4 полномочия пользователя не передаются на другие ПК. Кроме того, требуется выделенный компьютер под сервер Kerberos, причем работающий в максимально секретных условиях, поскольку на нем имеется база данных, где содержатся все пароли пользователей. Kerberos версии 4 очень ограниченно применима в сети, где возможны ситуации, когда в силу ряда обстоятельств сервер Kerberos недоступен по сети (непредвиденные сбои в маршрутизации, ухудшение или обрыв связи и т.д.). Часть недостатков, перечисленных выше, ликвидирована в версии 5, но эта реа лизация запрещена к экспорту из США.

По описаному алгоритму работают также системы Sphinx от DEC и NIS+ от Sun. Отличаются они применением различных алгоритмов шифрования, другого протокола передачи (RPC вместо UDP) и способов объединения административных доменов в иерархию.

Прежде чем приниматься за разработку стратегии безопасности брандмауэра, следует подумать, что и как следует защищать. Если компания достаточно велика, она должна иметь собственную политику безопасности. Стоит принять ее в качестве отправной точки. Обсудив этот вопрос с пользователями или менеджерами, можно сделать вывод, каким службам будет разрешено работать через межсетевой экран.

2.5. Основные функции МЭ

Приведем основные функции, которые имеются в современных брандмауэрах:

- кэширование (caching ). Это свойство особенно характерно для сетей, содержащих web-серверы с большим объемом информации, доступной из Internet. Благодаря локальному хранению часто запрашиваемых данных кэширующий сервер может улучшить время реакции на запрос пользователя и сэкономить полосу пропускания, которая потребовалась бы для повторной загрузки данных;

- трансляция адреса (addresstranslation) . Настроенный соответствующим образом брандмауэр позволяет применять для внутренней сети любые IP- адреса. При этом снаружи виден только адрес брандмауэра;

- фильтрация контента (contentrestriction) . Все большее число продуктов обеспечивает ограничение информации, получаемой пользователями из internet, путем блокирования доступа к адресам URL, содержащим нежелательный контент, или поиска заданных ключевых слов в приходящих пакетах данных;

- переадресация (addressvectoring) . Эта функция предоставляет брандмауэру возможность изменять, например, запросы HTTP так, чтобы они направлялись серверу не с указанным в пакете запроса IP - адресом, а с другим. Таким способом удается распределять нагрузку между несколькими серверами, которые для внешнего пользователя выглядят как одиночный сервер.

Все эти функциональные возможности дают определенные преимущества в плане гарантий безопасности, но в основном предназначены для увеличения производительности. Например, в результате переадресации и трансляции адреса удается скрыть внутренние IP-адреса от хакеров, что безусловно повышает безопасность. Чем меньшей информацией располагает потенциальный нарушитель, тем более сложной будет его работа. Но эти же возможности служат администратору при распределении нагрузки среди нескольких компьютеров. Благодаря трансляции адреса не понадобится запрашивать большой диапазон адресов IP для всех серверов и рабочих станций в сети.

Межсетевой экран не гарантирует абсолютную защиту сети, и его нельзя рас сматривать в качестве единственного средства обеспечения безопасности. Необходимо понимать, как именно выполняет брандмауэр свои функции по защите сети. В равной степени важно знать, от чего он не может обезопасить.

В общем случае правильно сконструированный межсетевой экран способен:

• защищать сеть от небезопасных протоколов и служб;
• защищать информацию о пользователях, системах, сетевых адресах и выполняемых в сети приложениях от внешнего наблюдения;
• обеспечить ведение журнала (в виде набора log-файлов), содержащего статистические данные и записи о доступе к защищенным ресурсам. Это позволяет убедиться в том, что сеть работает эффективно и надежно. Хороший межсетевой экран также имеет в настройках опцию предупреждения администратора о возникновении критических событий, таких как попытка несанкционированного доступа;
• гарантировать централизованное управление безопасностью сети по отношению к остальному миру. Межсетевой экран - это шлюз между Internet и сетью. В большой сети может существовать несколько соединений с внешними сетями и, следовательно, несколько брандмауэров. В этом случае следует особенно тщательно подойти к выбору брандмауэра. Многие новые продукты пре доставляют возможность администрировать с одной консоли управления сразу несколько брандмауэров.

Межсетевой экран не в состоянии уберечь от взлома изнутри. Это означает, что для защиты от возможных разрушительных действий пользователей внутри сети следует прибегать к обычным средствам безопасности. При применении брандмауэра важно не забывать о том, что он не снимает все существующие проблемы безопасности в сети. Межсетевой экран не берет на себя повседневных функций по администрированию систем и обеспечению безопасности. Он просто создает еще один уровень безопасности.

Брандмауэр не может защитить от:

• вирусов. Хотя некоторые брандмауэры и способны распознавать вирусы в проходящем через них трафике, существует множество способов спрятать вирусы в программе;
• «троянских коней». Как и в случае с вирусами, блокировать проникновение в сеть «троянских коней» (Trojan horses) достаточно сложно. Пользователь нередко поддается искушению загрузить программу из Internet или открыть прикрепленный к сообщению электронной почты файл, проложив тем самым путь в систему вредоносной программе;
• «социальной инженерии». Термин «social engineering» возник недавно и при меняется для описания методов получения хакерами информации от доверчивых пользователей;
• некомпетентности. Плохо подготовленные сотрудники или небрежное руководство приводят к ошибкам в настройках локальной сети и межсетевого экрана. Если сотрудники не понимают, как работает брандмауэр и как правильно его настраивать, не исключено, что это будет способствовать возникновению проблем;
• атаки изнутри. Межсетевой экран не может предотвратить злонамеренные действия внутри сети. Это одна из причин, по которой безопасность компьютеров в сети остается важной проблемой и после установки брандмауэра.

Выбор доступных пользователям служб

С чего лучше начать планирование политики безопасности для сети? Во-первых, определить, какие службы должны быть доступны пользователям. Причиной подключения компании к Internet становится желание располагать некоторыми из типичных возможностей, такими как:

· электронная почта - для обмена корреспонденцией с поставщиками и клиентами;

· удаленный доступ - для обращения к ресурсам локальной сети компании извне;

· поддержка исследований - обеспечение взаимодействия технического персонала с коллегами в других компаниях и учреждениях;

· поддержка клиентов - возможность просмотра клиентами документации к продукту и другой литературы, что уменьшает нагрузку на службу поддержки;

· техническая поддержка - получение доступа (в качестве клиента) к документации, размещенной производителем в Internet;

· торговля и маркетинг - организация электронной торговли и маркетинга продукции компании в Internet.

Для удовлетворения потребностей пользователей применяют различные комбинации следующих служб:

§ FTP. С помощью протокола передачи файлов (File transfer protocol) исследовательская группа обменивается файлами с другими сайтами. Доступ клиентов к файлам или документации обеспечивает анонимный (anonymous) FTP;

§ Telnet. Эта служба может быть использована сотрудниками группы поддержки пользователей для удаленного входа на компьютер пользователя с целью диагностики проблемы. Применяется также при удаленном администрировании сети;

§ №4717. Сервер WWW обеспечивает присутствие компании в Internet. Сообщение клиентам на корпоративном Web-сайте о выходе новых продуктов или появлении новых служб, а также размещение на сервере документации и осуществление поддержки продуктов;

§ электронная почта. При помощи простого протокола пересылки почты (Simple Mail Transfer Protocol, SMTP) можно посылать электронную почту со своего компьютера почти в любую точку мира. Это прекрасный спо соб быстрого общения с клиентами и сотрудниками.

Это список лишь основных служб, доступных в Internet.

Предположим, например, что политика безопасности разрешает пользователям получать доступ к внешним компьютерам с помощью Telnet, но запрещает любые входящие подключения по данному протоколу. Это позволяет пользователям выполнять удаленное подключение к системам клиентов, но блокирует проникновение в сеть извне. Примерно так же можно определять политику безопасности для других важных сетевых служб, таких как FTP и SMTP, в зависимости от конкретных нужд. Но иногда, как и в любой другой политике, придется делать исключения.

Имеет смысл создавать политику безопасности брандмауэра на основе политики безопасности компании. В отличие от последней, которая обычно содержит несколько документов и охватывает широкий спектр тем, политика безопасности брандмауэра описывает детали реализации брандмауэра с тем, чтобы были выполнены требования безопасности в отношении устанавливаемых через него соединений.

2.6. Политика безопасности в компьютерных сетях

Это список того, что разрешено и запрещено делать на подключенном к сети компьютере. Политика безопасности охватывает множество различных тем и во всех деталях описывает раз решенные пользователям действия и штрафы за нарушение требований. Подробное описание политики безопасности имеет единственный недостаток: существует опасность, что пользователи не совсем поймут ее или даже не дочитают до конца, если она окажется слишком длинной. Но лучше заранее предупредить их о недопустимых действиях, чем впоследствии спорить о деталях. Политика безопасности должна быть сформулирована в одном или нескольких печатных документах.

Прежде чем сотруднику будет разрешено использовать любые компьютерные ресурсы, он должен ознакомиться с документами политики безопасности и подтвердить их прочтение. В большинстве крупных компаний эта функция возлагается на отделы кадров, и политика безопасности обычно со стоит из нескольких документов, таких как политика сетевого подключения и перечень допустимых применений , которые сотруднику следует подписать. Кроме того, полезно включить в их число документ, описывающий действия, которые нужно предпринять в случае возникновения нештатной ситуации, связан ной с нарушением безопасности.

2.7.Политика сетевого подключения.

Политикой сетевого подключения должны быть определены типы устройств, раз решенные для подключения к сети. Например, позволяя подключение серверов и рабочих станций, можно запретить подключение к сети модемных серверов удаленного доступа. Аналогично в политике подключения к сети должны быть детально определены настройки систем, которые допускается подключать к сети. Эта политика может включать в себя следующие разделы:

• описание процесса установки и настройки операционной системы и приложений, а также их функциональные возможности, которые разрешено использовать;
• местоположение в сети (физической подсети) систем определенного типа и процедуру разрешения вопросов адресации в сети;
• требование об установке и регулярном обновлении антивирусного программного обеспечения;
• описание настройки прав пользователей и защиты ресурсов, обеспечиваемых операционной системой;
• процедуры, которым необходимо следовать для создания новой учетной записи пользователя, и аналогичные процедуры для ее удаления;
• запрет на установку дополнительных аппаратных или программных компонентов без одобрения сетевого администратора (или другого ответственного лица).

Этот список можно дополнить. Его содержимое должно отражать специфику подключения к сети. Например, имеют ли право пользователи подключать переносные компьютеры к локальной сети или они должны обмениваться данными с настольным компьютером при помощи дискет либо других устройств хранения данных? Если подключение ноутбуков к сети разрешено, обязан ли каждый из них иметь собственный адрес или получать адрес при помощи DHCP? Далее, имеют ли право сотрудники подключать ноутбуки к другим сетям, скажем, к сети клиента при работе вне офиса?

Политика подключения к сети должна также описывать функции, для выполнения которых предназначены определенные компьютеры. Если в отделе может быть установлен Web- или FTP-сервер, полезно определить, в какой части сети его следует подключить. Например, удобно расположить его в описанной ниже демилитаризованной зоне (demilitarized zone), что позволит клиентам получать к нему доступ через Internet и в то же время не позволит такому трафику проходить через внутреннюю сеть.

Допустимые применения

Из всего бизнес-оборудования настольные компьютеры чаще всего используются не по назначению. Это означает, что кроме выполнения функций, нужных для работы, например приложений для редактирования текстов и баз данных, компьютер может служить для запуска игровых и других программ, не имеющих ничего общего со служебными обязанностями пользователя. Другому оборудованию, копировальным аппаратам или телефонам, также часто приходится исполнять неслужебные функции, но все же не в таких масштабах, как компьютерам. При подключении к Internet возможные злоупотребления такого рода возрастают многократно.

Поскольку компьютеры обладают большим потенциалом для злоупотребления и неправильного использования, важно четко определить что разрешено делать на компьютере, а какие действия являются неприемлемыми. Для этого удобно сформулировать допустимые применения в отдельном документе.

• запрет на установку на компьютере любых приложений, не одобренных и не приобретенных компанией, в том числе «нелегальных» копий программ и условно бесплатных (shareware) программ, загруженных из Internet;
• запрет на копирование приложений, принадлежащих компании, для работы с ними в другом месте, например на домашнем компьютере пользователя;
• требование выхода пользователя из системы при его отсутствии за компьютером. В качестве альтернативы для защиты оставленного без присмотра компьютера допустимо применять хранитель экрана с проверкой пароля;
• требование докладывать ответственному лицу о любой подозрительной активности;
• запрет на применение компьютера или приложений на нем для причинения беспокойства другому лицу или угроз в отношении него;
• запрет на использование электронной почты в личных целях;
• запрет на попытки доступа к данным, не связанным непосредственно с производственными обязанностями, иногда называемые зондированием сети (probing the network).

Приведенный выше список также неполон. Необходимо составить собственный список с учетом бизнес-окружения, в котором работает компания, обсудить политику допустимых применений с менеджерами всех подразделений, чтобы понять, чего они ожидают от сети, и попытаться создать набор правил, позволяющих пользователям выполнять свою работу, не нарушая безопасности сети.

2.8. Политика брандмауэра

С политикой безопасности часто путают политику брандмауэра (firewall policy).

После разработки политики безопасности и выбора сервисов и протоколов, которым будет разрешена работа через брандмауэр, и необходимых настроек, можно принять решение о том, как реализовать эту политику. Межсетевой экран использует набор правил, определяющих, какие пакеты (в случае пакетного фильтра) или сервисы (в случае proxy-сервера или шлюза) будут работать через него. При этом выбирается одна из следующих двух стратегий:

• разрешить любой доступ, не запрещенный правилами;
• запретить любой доступ, не разрешенный правилами.

При выборе первой стратегии придется создавать правила, которые бы учитывали все возможные запреты. Это не только приведет к необходимости иметь множество правил, но и заставит пересматривать их при появлении каждого нового протокола или сервиса, которые существующими правилами не охватываются.

Вторая стратегия проще и безопаснее. Запретив весь трафик и задав правила, разрешающие доступ через экран только для нужных протоколов и сервисов, можно будет намного строже управлять брандмауэром. В подобной ситуа ции потенциальному нарушителю придется искать способ каким-то образом вос пользоваться доступом в ограниченных вами условиях.

После выбора стратегии следует определить, каким сервисам будет разрешено работать через межсетевой экран и в каком направлении. Следует отобрать их на основе общей политики безопасности. Например, если нужно запретить за грузку программ из Internet, стоит заблокировать в межсетевом экране установку входящих соединений FTP. Если нужно, чтобы пользователи не применяли FTP для пересылки наружу конфиденциальных данных или про­грамм, имеет смысл запретить передачу файлов пo FTP. Аналогично можно ограничивать работу с другими службами, такими как Telnet или HTTP.

Например, если полностью запретить работу с протоколом FTP, как получать обновления и исправления программ? Разум нее сделать исключение для одного укрепленного компьютера, доступ к которому будут иметь только определенные пользователи. Другое решение - выделить для этого компьютер, не подключенный к локальной сети и выходящий в Internet через модем.

Например, список может состоять из таких правил:

• электронная почта может пересылаться в обоих направлениях, но должна проходить через защищенный SMTP-сервер;

• запрещена работа любых служб, требующих установки прямого соединения между внутренним клиентом и внешним сервером. Все разрешенные службы обязаны пользоваться proxy-сервером;
• доступ к внешним узлам через Telnet разрешен только сотрудникам исследовательского отдела и запрещен всем остальным пользователям. Пользователи, которые могут войти в сеть снаружи, должны подключаться с помощью модема, установленного на защищенном сервере, помещенном в экранированную подсеть;
• запрещен доступ по протоколу FTP в обоих направлениях;
• серверы DNS в экранированной подсети выполняют преобразование адресов межсетевых экранов и proxy-серверов, но не клиентов во внутренней локальной сети.

Это краткий список. Его можно составить, следуя принципу запрета всего, что не разрешено.

Кроме определения разрешенных сервисов и способа их реализации (при помощи proxy-сервера или пакетного фильтра, для всех пользователей или только для избранных узлов), следует также включить в политику брандмауэра пункты задающие частоту просмотра log-файлов, настройку предупреждений и т.д.

2.9. Стратегии брандмауэра

Завершив определение требований к безопасности сети и формулирование политики безопасности, следует приступить к проектированию брандмауэра.

Выбор компонентов зависит от типа служб, которые необходимо предоставить пользователям локальной сети, а выбор служб - от того, как они соотносятся с действиями, разрешенными политикой безопасности.

Два основных компонента для создания межсетевого экрана :

• пакетный фильтр;
• proxy-сервер.

Можно использовать оба или только один из них. Эти компоненты реализуются различными способами и обеспечивают разный уровень защиты. Способ стройки компонентов межсетевого экрана называется его архитектурой .

Ha выбор предоставляется одна из следующих архитектур:

• пакетный фильтр на основе компьютера или маршрутизатора;
• двухканальный шлюз;
• экранированный узел;
• экранированная подсеть.

2.9.1. Применение пакетного фильтра

Межсетевой экран может состоять из одного или нескольких маршрутизаторов или компьютеров с соответствующим программным обеспечением использующих различные методы для разрешения или запрета доступа в локальную сеть или из нее. Но первым типом межсетевых экранов, который на чал широко применяться, стал простой экранирующий маршрутизатор (screening router), сейчас обычно называемый пакетным фильтром (packet filter).

Маршрутизатор (router) - это сетевое устройство с несколькими интерфейса ми, подключенное к нескольким сетям. Когда компьютеру или сети необходимо переслать пакет компьютеру в другой сети, он передает пакет маршрутизатору, который затем определяет наилучший метод доставки данных к месту назначения. Маршрутизатор принимает решение на основе адресной информации в заголовке пакета.

Когда маршрутизатор способен определить, что пакет предназначается для узла в одной из подсетей, непосредственно подключенных к одному из его сетевых интерфейсов, пакет быстро пересылается в нужную подсеть. Если маршрутизатор обнаруживает, что необходимо доставить пакет в какую-то другую сеть, он передает его следующему маршрутизатору (в следующий «hop» - сегмент маршрута), который может знать, как доставить пакет к месту назначения. Если же маршрутизатору не удастся найти следующий сегмент, в который можно отпра­вить пакет, он просто отбросит его и вернет источнику соответствующее сообщение ICMP «адресат недоступен».

Экранирующий маршрутизатор - это маршрутизатор, в котором задан набор правил, устанавливающих разрешенные типы сетевого трафика, которые имеют право проходить через подключенные к нему сетевые интерфейсы. Другими словами, после того, как маршрутизатор определит, может ли он доставить пакет (в следующий сегмент или конечному адресату), он сверяется с набором правил, проверяя, должен ли он его передавать.

Предположим, например, что маршрутизатор получает от какого-либо узла Internet пакет с запросом на создание сеанса Telnet с узлом внутренней локальной сети. Маршрутизатор сразу же определяет, что он может доставить па кет - для этого достаточно просто передать его в интерфейс, к которому подключен адресат, поместив в пакет МАС-адрес соответствующего узла. Но экранирующему маршрутизатору необходимо предварительно проверить пакет на соответствие правилам. В данном случае входящие Telnet-соединения должны блокироваться. Поэтому, узлы во внутренней локальной сети защищены от возможного проникновения нарушителя при помощи Telnet.

Основной метод фильтрации пакетов называется фильтрацией без памяти (stateless packet filtering), поскольку каждый пакет обрабатывается по отдельности - только на основе информации в его заголовке. При новом методе фильтрации пакетов, который называется фильтрацией с памятью (stateful packet filtering или stateful inspection), в памяти сохраняются сведения о состоянии текущих сеансов.

Если полученный пакет якобы является ответом на пакет, переданный из локальной сети, пакетный фильтр с памятью проверяет, действительно ли был сделан соответствующий запрос. Таким образом, при наличии фильтра с памятью потенциальному нарушителю будет сложнее проникнуть в сеть путем подмены адресов пакетов.

Пакетный фильтр работает с информацией из заголовка сетевого пакета, и различные продукты могут выполнять фильтрацию на основе одного или не скольких из следующих параметров:

• IP-адрес отправителя и адресата;
• протокол (например, TCP, UDP или ICMP);
• порт TCP или UDP отправителя или адресата;
• тип сообщения (для сообщений ICMP).

Кроме того, важны не только сведения, содержащиеся в самом пакете, - имеет значение и интерфейс, по которому он прибывает. Например, если фильтр получает пакет по интерфейсу, подключенному к внешней сети, а адрес от правителя соответствует локальной сети, этот пакет должен быть отброшен фильтром, поскольку такое сочетание для обычных пакетов невозможно.

Часто оказывается, что фильтрацию пакетов предпочтительнее выполнять на компьютере, а не на маршрутизаторе, благодаря простоте работы с ним и возможностям регистрации. Настройка маршрутизатора бывает достаточно сложной задачей, в особенности если при этом необходимо задавать большое число правил.

Изменение длинного набора правил может занять много времени, поскольку придется проверить каждое из старых правил, чтобы убедиться, что оно не противоречит новому. Маршрутизаторы обычно не имеют развитых средств для регистрации событий. Хороший брандмауэр обеспечивает отличные возможности для этого для выдачи предупреждений, а иногда даже и программы для анализа log-файлов.

2.9.2. Применение proxy - сервера

Пакетному фильтру приходится принимать решения только на основе информации в заголовке пакета. К сожалению, заголовок содержит в основном адреса другие данные, необходимые протоколу для доставки пакета к месту назначения через лабиринт сетей. В заголовок пакета не включены детали, которые мог ли бы помочь фильтру решить, следует ли пропускать пакет через межсетевой экран. Например, маршрутизатор может определить, что пакет предназначен для какого-то протокола, скажем, FTP. Но он не в состоянии распознать, какой это запрос получить или передать. При этом не исключено, что запросы одного типа окажутся вполне допустимыми, а запросы другого типа для данного узла должны будут блокироваться.

Шлюз приложений (applicationgateway) , или proxy-сервер (application proxy) , - это программа, которая выполняется на брандмауэре и перехватывает трафик приложений определенного типа. Она может, например, перехватить запрос пользователя из локальной сети, а затем подключиться к внешнему серверу от его имени. При этом внутренние узлы никогда не будут напрямую присоединяться к удаленным серверам. Вместо этого в качестве посредника между клиентом и сервером выступит proxy-сер вер, передающий информацию между ними. Преимущество такого подхода состоит в том, что proxy-сервер способен пропускать или блокировать трафик на основе ин формации в области данных пакета, а не только в его заголовке.

В настоящее время широко распространена одна из форм proxy-сервера - так называемые трансляторы сетевых адресов (Network Address Translator, NAT). Серверы этого типа повышают безопасность внутренней локальной сети, скрывая настоящие IP-адреса в ней. В запросах к внешним серверам используется IР-адрес proxy-сервера. Еще одно преимущество трансляции адресов, которым обусловлена ее популярность, - зарегистрированный IP-адрес должен иметь только proxy-сервер, а адреса клиентов во внутренней сети могут быть произвольными. Поскольку пространство свободных IP-адресов Internet быстро уменьшается, такой метод очень удобен для расширения локальной сети, по скольку не требует получения нового диапазона адресов от провайдера.

Недостатком proxy-серверов является их привязка к конкретному приложению. Для каждого приложения или сервиса, поддержку которых нужно реализовать в межсетевом экране, понадобится отдельный proxy-сервер. Кроме того, необходимо, чтобы клиентское программное обеспечение могло работать через proxy-сервер. Большинство современных программ обладают такой возможностью, поэтому обычно это не представляет проблемы. Например, Netscape Navigator и Microsoft, Internet Explorer позволяют задавать используемые proxy-серверы.

Существуют способы добиться работоспособности и старых программ, не знающих о существовании proxy-серверов. Например, при помощи Telnet пользователь может вначале зарегистрироваться на proxy-сервере, а затем создать сеанс связи с внешним компьютером. Такой двухступенчатый метод менее удобен, чем прозрачный доступ, обеспечиваемый программами, которые умеют работать через proxy-сервер. Чтобы приложения функционировали через proxy-серверы, применяются паке ты Trusted Information Systems Firewall Toolkit (FWTK) или SOCKS. SOCKS - это библиотека, с помощью которой создаются или модифицируются клиенты с целью реализации их взаимодействия с proxy-сервером SOCKS. Пакет TIS Firewall Toolkit также содержит proxy-серверы для большинства стандартных служб, таких как Telnet, FTP и HTTP,

3. Практическая часть

3.1. Политика безопасности ЛВС ОК «БОР»

Информация, используемая в ЛВС ОК «БОР», является критической для выполнения организацией своих задач. Размер и сложность ЛВС в пределах ОК «БОР» увеличилась и теперь она обрабатывает критическую информацию. Из-за этого должны быть реализованы определенные меры и процедуры безопасности для защиты информации, обрабатываемой в ЛВС ОК «БОР». ЛВС ОК «БОР», обеспечивает разделение информации и программ между большим числом пользователей. Эта среда увеличивает риск безопасности и требует более сильных механизмов защиты, чем те, что были бы необходимы при работе на отдельно стоящих ПК. Эти усиленные требования к защите в вычислительной среде ОК «БОР» послужили причиной появления этой политики, которая касается использования ЛВС в ОК «БОР».
Эта политика имеет две цели. Первая - подчеркнуть для всех служащих ОК «БОР» важность безопасности в среде ЛВС ОК «БОР» и явно указать их роли при поддержании этой безопасности. Вторая - установить определенные обязанности по обеспечению безопасности данных и информации, и самой ЛВС ОК «БОР».

Степень детализации

Все автоматизированные информационные ценности и службы, которые используются локальной вычислительной сетью (ЛВС) ОК «БОР», охватываются этой политикой. Она одинаково применима к серверам ЛВС, периферийному оборудованию, автоматизированным рабочим местам и персональным компьютерам (ПК) в пределах среды ЛВС ОК «БОР». Ресурсы ЛВС ОК «БОР» включают данные, информацию, программное обеспечение, аппаратные средства, средства обслуживания и телекоммуникации. Политика применима ко всем лицам, имеющим отношение к ОК «БОР» ЛВС, включая всех служащих ОК «БОР», поставщиков и работающих по контракту, которые используют ОК «БОР» ЛВС.

Цели программы защиты информации состоят в том, чтобы гарантировать целостность, доступность и конфиденциальность данных, которые должны быть достаточно полными, точными, и своевременными, чтобы удовлетворять потребности ОК «БОР», не жертвуя при этом основными принципами, описанными в этой политике. Определяются следующие цели:

• Гарантировать, что в среде ЛВС ОК «БОР» обеспечивается соответствующая безопасность, соответствующая критичности информации и т.д..;
• Гарантировать, что безопасность является рентабельной и основана на соотношении стоимости и риска, или необходимо удовлетворяет соответствующим руководящим требованиям;
• Гарантировать, что обеспечена соответствующая поддержка защиты данных в каждой функциональной области;
• Гарантировать индивидуальную подотчетность для данных, информации, и других компьютерных ресурсов, к которым осуществляется доступ;
• Гарантировать проверяемость среды ЛВС ОК «БОР»;
• Гарантировать, что служащие будут обеспечены достаточно полными руководствами по распределению обязанностей относительно поддержания безопасности при работе в автоматизированной информационной системе;
• Гарантировать, что для всех критических функций ОК «БОР» ЛВС имеются соответствующие планы обеспечения непрерывной работы, или планы восстановления при стихийных бедствиях;
• Гарантировать что все соответствующие федеральные и организационные законы, указы и т.д. учтены и их твердо придерживаются.

Ответственность

Следующие группы сотрудников несут ответственность за внедрение и достижение целей безопасности, сформулированных в этой политике.
1. Функциональное руководство (ФР) - те служащие, кто несет ответственность согласно своим функциональным обязанностям (не в области компьютерной безопасности) внутри ОК «БОР». Функциональное Руководство отвечает за информирование сотрудников относительно этой политики, гарантию того, что каждый сотрудник имеет ее копию, и взаимодействие со всеми служащими по проблемам безопасности.
2. Администраторы ЛВС (АД) - служащие, кто участвуют в ежедневном управлении и поддержании работоспособности ЛВС ОК «БОР». Они отвечают за обеспечение непрерывного функционирования ЛВС. Администраторы ЛВС отвечают за осуществление соответствующих мер защиты в ЛВС в соответствии с политикой безопасности ЛВС ОК «БОР» .
3. Местные Администраторы (МА) - служащие, которые являются ответственными за предоставление конечным пользователям доступа к необходимым ресурсам ЛВС, которые размещены на серверах, входящих в их зону ответственности. Местные администраторы отвечают за обеспечение защиты своих серверов - в соответствии с политикой безопасности ЛВС ОК «БОР».
4. Конечные пользователи (П) - являются любыми служащими, которые имеют доступ к ЛВС ОК «БОР». Они отвечают за использование ЛВС в соответствии с политикой безопасности ЛВС. Все пользователи данных отвечают за соблюдение специфических политик безопасности, установленных теми лицами, кто несет основную ответственностью за защиту тех или иных данных, и за доклад руководству о любом подозрении на нарушение защиты.

Наказания

Отказ соблюдать эту политику может подвергнуть информацию ОК «БОР» недопустимому риску потери конфиденциальности, целостности или доступности при ее хранении, обработке или передаче в ЛВС ОК «БОР». Нарушения стандартов, процедур или руководств, поддерживающих эту политику, будут привлечь внимание руководства и могут привести к дисциплинарной ответственности вплоть до увольнения со службы.

ОБЩИЕ ПРАВИЛА РАЗГРАНИЧЕНИЯ ДОСТУПА В ЛВС

ОП1. Каждый персональный компьютер должен иметь "владельца" или " системного администратора ", который является ответственным за работоспособность и безопасность компьютера, и за соблюдение всех политик и процедур, связанных с использованием данного компьютера. Основной пользователь компьютера может выполнять эту роль. Эти пользователи должны быть обучены и обеспечены соответствующими руководствами так, чтобы они могли корректно соблюдать все политики и процедуры.
ОП2. Чтобы предотвратить неавторизованный доступ к данным ЛВС, программному обеспечению, и другим ресурсам, находящимся на сервере ЛВС, все механизмы защиты сервера ЛВС должны находиться под монопольным управлением местного администратора и местного персонала Администраторов ЛВС.
ОП3. Чтобы предотвратить распространение злонамеренного программного обеспечения и помочь выполнению лицензионных соглашений о программах, пользователи должны гарантировать, что их программное обеспечение должным образом лицензировано и является безопасным.
ОП4. За все изменения(замены) программного обеспечения и создание резервных копий данных на серверах отвечают Администраторы ЛВС.
ОП5. Каждому пользователю должен быть назначен уникальный ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ и начальный пароль (или другая информация для идентификации и аутентификации), только после того, как закончено оформление надлежащей документации. Пользователи не должны совместно использовать назначенные им ИДЕНТИФИКАТОРЫ ПОЛЬЗОВАТЕЛЯ.
ОП6. Пользователи должны аутентифицироваться в ЛВС перед обращением к ресурсам ЛВС.
ОП7. ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ должен удаляться после продолжительного периода неиспользования.
ОП8. Использование аппаратных средств ЛВС типа мониторов / регистраторов трафика и маршрутизаторов должно быть авторизовано и проводиться под контролем Администраторов ЛВС.

• Служащие, ответственные за управление, функционирование и использование ЛВС ОК «БОР» должны пройти курс обучения в области компьютерной безопасности и правил работы на компьютере.
• Обучение компьютерной безопасности должно проводиться в рамках существующих программ обучения, таких как программы ввода в строй для новых служащих, и курсов обучения, связанных с использованием информационных технологий.

ОП9. Отчеты о безопасности должны готовиться и рассматриваться ежедневно.

ОСОБЫЕ ОБЯЗАННОСТИ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЛВС ОК «БОР».

Пользователи
Ожидается, что пользователи хорошо осведомлены относительно политики безопасности Агентства, и других применимых законов, политик, указов и процедур и твердо их придерживаются. Пользователи полностью отвечают за их собственное поведение. В частности, пользователи отвечают за следующее:
П1. Отвечают за понимание и соблюдение соответствующих Федеральных законов, политик и процедур министерства, политик и процедур ОК «БОР» и других применимых политик безопасности и связанных с ними последствий для ЛВС ОК «БОР».
П2. Отвечают за использование доступных механизмов безопасности для защиты конфиденциальности и целостности их собственной информации, когда это требуется.
П2.1. Следуют местным процедурами защиты критических данных, а также процедурам безопасности самой ЛВС ОК «БОР». Используют механизмы защиты файлов для поддержания соответствующего управления доступом к файлам.
П2.2. Выбирает и использует хорошие пароли. Использует FIPS 112, Использование Паролей как руководство при выборе хороших паролей. Не записывает паролей, и не раскрывает их другим. Не использует совместно идентификаторы пользователей.
П3. Отвечает за помощь другим пользователям, кто будет не в состоянии должным образом использовать доступные механизмы защиты. Помогает защитить собственность других лиц. Уведомляет их относительно незащищенности их ресурсов (например, файлов, идентификаторов).
П4. Отвечает за уведомление местного администратора или члена руководства о нарушении защиты или обнаруженном отказе.
П5. Отвечает за неиспользование слабых мест АС.
П5.1. Не осуществляет намеренного изменения, уничтожения, чтения, или передачи информации неавторизованным способом: не мешает специально получить другим пользователям авторизованный доступ к ресурсам ЛВС и информации в ней.
П5.2. Предоставляет правильную информацию для идентификации и аутентификации, когда это требуется, и не пытается угадать подобную информацию для других пользователей.
П6. Отвечает за гарантию выполнения резервного копирования данных и программного обеспечения находящегося на жестком диске их собственного автоматизированного рабочего места.
П7. Отвечает за понимание принципов работы злонамеренного программного обеспечения, методов, с помощью которых оно вносится и распространяется, и уязвимых мест, которые используются злонамеренным программным обеспечением и неавторизованными пользователями.
П8. Отвечает за знание и использование соответствующих политик и процедур для предотвращения, обнаружения, и удаления злонамеренного программного обеспечения.
П9. Отвечает за знание того, на что нужно обращать внимание при работе в определенных системах и конкретных программах, чтобы обнаружить признаки их необычной работы, и что нужно сделать или с кем связаться для получения дополнительной информации.
П10. Отвечает за использование программно-аппаратных средств защиты, которые доступны для защиты системы от злонамеренного программного обеспечения.
П11. Отвечает за знание и использование процедур по обеспечению непрерывной работы для сдерживания и восстановления при потенциальных инцидентах.
2.Функциональное руководство.
Функциональное руководство (и управляющие более высокого уровня) отвечают за разработку и выполнение эффективных политик безопасности, которые отражают специфические цели ЛВС ОК «БОР». Они полностью отвечают за обеспечение того, что защита информации и линий связи является и остается важной и критической целью в повседневной деятельности. В частности функциональное руководство отвечает за следующее:
ФМ1. Отвечает за проведение эффективного управления риском для того, чтобы обеспечить основу для формулирования разумной политики. Управление риском требует идентификации ценностей, которые нужно защитить, определения уязвимых мест, анализа риска их использования и реализации рентабельных средств защиты.
ФМ2. Отвечает за гарантию того, чтобы каждый пользователь получил, как минимум, копию политики безопасности и местного руководства (если таковые есть в наличии) до внесения его в списки пользователей АС.
ФМ3. Отвечает за осуществление программы обучения основам безопасности для пользователей, чтобы можно было гарантировать знание ими местной политики безопасности и правил работы на компьютере.
ФМ4. Отвечает за гарантию того, что весь персонал в пределах операционной единицы организации знает эту политику и отвечает за включение ее в инструктажи по компьютерной безопасности и программы обучения.
ФМ5. Отвечает за информирование местного администратора и администраторов ЛВС об изменениях в статусе любого служащего, который использует ЛВС ОК «БОР». Это изменение статуса может включать переход из организации в организацию в одном ведомстве, переход из отдела в отдел, или окончание службы в ОК «БОР».
ФМ6. Отвечает за гарантию того, что пользователи понимают природу злонамеренного программного обеспечения, понимают,как оно вообще распространяется, и какие программно-аппаратные средства защиты должны использоваться против него.
3. Администраторы Локальной Вычислительной Сети (ЛВС)
Предполагается, что администраторы ЛВС (или назначенный для этого персонал) претворяет (в части их касающейся) местные политики безопасности, так как это связано с применением программно-аппаратных средств защиты, архивированием критических программ и данных, управлением доступом и защитой оборудования ЛВС. В частности, администраторы ЛВС отвечают за следующее:
ОУ1. Отвечают за корректное применение доступных механизмов защиты для осуществления местных политик безопасности.
ОУ2. Отвечает за уведомление руководства о работоспособности существующих политик и любых технических соображениях, которые могли бы улучшить их эффективность.
ОУ3. Отвечает за защищенность среды ЛВС внутри организации и интерфейсов с глобальными сетями.
ОУ4. Отвечает за оперативное и эффективное улаживание происшествий с компьютерной безопасностью.
ОУ4.1. Уведомляет местных администраторов о проникновении злоумышленника в ЛВС, помогает другим местным администраторам улаживать происшествия с безопасностью.
ОУ4.2. Сотрудничает с местными администраторами при выявлении нарушителя и помогает им это сделать.
ОУ5. Отвечает за использование надежных и доступных средств аудирования для облегчения обнаружения нарушений безопасности.
ОУ6. Отвечает за проведение своевременных проверок системных журналов серверов ЛВС.
ОУ7. Отвечает за отслеживание информации о политиках безопасности и приемах обеспечения безопасности в других организациях и, когда это необходимо, информирование местных пользователей и уведомление руководства об изменениях или новых разработках.
ОУ8. Отвечает за крайнюю осторожность и корректность при применении им своих экстраординарных полномочий и привилегий. Безопасность пользователей должна всегда стоять на первом месте.
ОУ9. Отвечает за разработку соответствующих процедур и издание инструкций по предотвращению, обнаружению, и удалению злонамеренного программного обеспечения, соответствующих руководящим принципам, содержащимся в этом документе.
ОУ10. Отвечает за своевременное создание резервных копий всех данных и программного обеспечения на серверах ЛВС.
ОУ11. Отвечает за выявление и рекомендацию пакетов программ для обнаружения и удаления злонамеренного программного обеспечения.
ОУ12. Отвечает за разработку процедур, позволяющих пользователям сообщать о компьютерных вирусах и других инцидентах и отвечает за уведомление потенциально затрагиваемых лиц о возможной угрозе им.
ОУ13. Отвечает за скорое уведомление соответствующей группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая выявление злонамеренного программного обеспечения.
ОУ14. Отвечает за оказание помощи при определении источника злонамеренного программного обеспечения и зоны его распространения.
ОУ15. Отвечает за обеспечение помощи в удалении злонамеренного программного обеспечения.
ОУ16. Отвечает за проведение периодического анализа для того, чтобы гарантировать, что соблюдаются надлежащие процедуры безопасности, включая те, которые предназначены для защиты от злонамеренного программного обеспечения.
4. Местные Администраторы
Ожидается, что местные администраторы (или назначенный персонал) будут использовать доступные службы и механизмы защиты ЛВС на сервере, за который они отвечают, чтобы поддерживать и претворять в жизнь применимые политики и процедуры безопасности. В частности, местные администраторы отвечают за следующее:
МA1. Отвечают за управление привилегиями доступа всех пользователей к данным, программам и функциям.
МA2. Отвечают за контроль за всеми связанными с защитой событиями и за расследование любых реальных или подозреваемых нарушений там, где это уместно. В соответствующих случаях отвечают за уведомление и координацию действий с Администраторами ЛВС по контролю или расследованию событий, связанных с нарушением безопасности.
МA3. Отвечает за поддержание и защиту программного обеспечения и соответствующих файлов на сервере ЛВС, используя доступные механизмы и процедуры защиты.
МA4. Отвечает за сканирование сервера ЛВС антивирусным программным обеспечением через регулярные интервалы времени для гарантии того, что никакому вирусу не удалось разместиться на сервере ЛВС.
МA5. Отвечает за назначение уникального ИП и начального пароля (или другой идентификационной и аутентификационной информации) каждому пользователю только после того, как будет оформлена надлежащая документация.
МA6. Отвечает за быстрое уведомление соответствующего персонала группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая злонамеренное программное обеспечение;
МA6.1. Уведомляет Администраторов ЛВС о проникновении в ЛВС, помогает другим местным администраторам улаживать нарушение безопасности.
МА6.2. Сотрудничает с другими местными администраторами и Администраторами ЛВС в поиске нарушителя и помогает им это сделать.
МA7. Отвечает за обеспечение помощи при выявлении источника злонамеренного программного обеспечения и зоны его распространения.

3.2. Реализация политики безопасности организации с помощью программного пакета FireWall-1.

Рассмотрим процесс практической реализации политики безопасности организации с помощью программного пакета FireWall-1. (рис. 3.2.1.)

1. Прежде всего, как уже отмечалось, разрабатываются и утверждаются на уровне руководства организации правила политики безопасности.

2. После утверждения эти правила надо воплотить в жизнь. Для этого их нужно перевести в структуру типа "откуда, куда и каким способом доступ разрешен или, наоборот, запрещен. Такие структуры, как мы уже знаем, легко переносятся в базы правил системы FireWall-1.

3. Далее, на основе этой базы правил формируются списки доступа для маршрутизаторов и сценарии работы фильтров на сетевых шлюзах. Списки и сценарии далее переносятся на физические компоненты сети, после чего правила политики безопасности "вступают в силу".

4. В процессе работы фильтры пакетов на шлюзах и серверах генерируют записи обо всех событиях, которые им приказали отслеживать, а, также, запускают механизмы "тревоги", требующие от администратора немедленной реакции.

5. На основе анализа записей, сделанных системой, отдел компьютерной безопасности организации может разрабатывать предложения по изменению и дальнейшему развитию политики безопасности.

Рассмотрим простой пример реализации следующих правил.

1. Из локальных сетей подразделений, удаленных, разрешается связь с любой локальной сетью организации после аутентификации по какому-то паролю.

2. Всем запрещается доступ к сети финансового департамента, за исключением генерального директора и директора этого департамента.

3. Из Internet разрешается только отправлять и получать почту. Обо всех других попытках связи необходимо делать подробную запись.

Все эти правила естественным образом представляются средствами графического интерфейса Редактора Правил FireWall-1 (рис. 3.2.2.).

После загрузки правил, FireWall-1 для каждого пакета, передаваемого по сети, последовательно просматривает список правил до нахождения элемента, соответствующего текущему случаю.

Важным моментом является защита системы, на которой размещен административно-конфигурационный модуль FireWall-1. Рекомендуется запретить средствами FireWall-1 все виды доступа к данной машине, или по крайней мере строго ограничить список пользователей, которым это разрешено, а также принять меры по физическому ограничению доступа и по защите обычными средствами ОС

На рис. 3.2.3. показаны основные элементы управления системой FireWall-1.

Слева расположены редакторы баз данных об объектах, существующих в сети и о протоколах или сервисах, с помощью которых происходит обмен информацией. Справа вверху показан редактор правил доступа.

Справа внизу располагается интерфейс контроля текущего состояния системы, в котором для всех объектов, которые занес туда администратор, отображаются данные о количестве разрешенных коммуникаций (галочки), о количестве отвергнутых связей (знак "кирпич") и о количестве коммуникаций с регистрацией (иконка карандаш). Кирпичная стена за символом объекта (компьютера) означает, что на нем установлен модуль фильтрации системы FireWall-1.

Рассмотрим теперь случай, когда первоначальная конфигурация сети меняется, а вместе с ней меняется и политика безопасности.

Пусть мы решили установить у себя в организации несколько общедоступных серверов для предоставления информационных услуг. Это могут быть, например, серверы World Wide Web, FTP или другие информационные серверы. Поскольку такие системы обособлены от работы всей остальной сети организации, для них часто выделяют свою собственную подсеть, имеющую выход в Internet через шлюз (рис. 3.2.4).

Поскольку в предыдущем примере локальная сеть была уже защищена, то все, что нам надо сделать, это просто разрешить соответствующий доступ в выделенную подсеть. Это делается с помощью одной дополнительной строки в редакторе правил, которая здесь показана. Такая ситуация является типичной при изменении конфигурации FireWall-1. Обычно для этого требуется изменение одной или небольшого числа строк в наборе правил доступа, что, несомненно, иллюстрирует мощь средств конфигурирования и общую продуманность архитектуры FireWall-1.

Остановимся еще на некоторых возможностях FireWall-1.

FireWall-1 позволяет администратору установить различные режимы работы с интерактивными сервисами FTP и telnet для различных пользователей и групп пользователей. При установленном режиме аутентификации, FireWall-1 заменяет стандартные FTP и telnet демоны UNIX на свои собственные, располагая их на шлюзе, закрытом с помощью модулей фильтрации пакетов. Пользователь, желающий начать интерактивную сессию по FTP или telnet (это должен быть разрешенный пользователь и в разрешенное для него время), может сделать это только через вход на такой шлюз, где и выполняется вся процедура аутентификации. Она задается при описании пользователей или групп пользователей и может проводиться следующими способами:

• Unix-пароль;
• программа S/Key генерации одноразовых паролей;
• карточки SecurID с аппаратной генерацией одноразовых паролей.

UDP-протоколы, входящие в состав набора TCP/IP, представляют собой особую проблему для обеспечения безопасности. С одной стороны на их основе создано множество приложений. С другой стороны, все они являются протоколами "без состояния", что приводит к отсутствию различий между запросом и ответом, приходящим извне защищаемой сети.

Пакет FireWall-1 решает эту проблему созданием контекста соединений поверх UDP сессий, запоминая параметры запросов. Пропускаются назад только ответы внешних серверов на высланные запросы, которые однозначно отличаются от любых других UDP-пакетов (читай: незаконных запросов), поскольку их параметры хранятся в памяти FireWall-1.

Следует отметить, что данная возможность присутствует в весьма немногих программах экранирования, распространяемых в настоящий момент.

Заметим также, что подобные механизмы задействуются для приложений, использующих RPC, и для FTP сеансов. Здесь возникают аналогичные проблемы, связанные с динамическим выделением портов для сеансов связи, которые FireWall-1 отслеживает аналогичным образом, запоминая необходимую информацию при запросах на такие сеансы и обеспечивая только "законный" обмен данными.

Данные возможности пакета FireWall-1 резко выделяют его среди всех остальных межсетевых экранов. Впервые проблема обеспечения безопасности решена для всех без исключения сервисов и протоколов, существующих в Internet.

Заключение.

Составление грамотной политики безопасности, охватывающей все возможные угрозы информационной безопасности, является одной из главных задач, а конкретная ее реализация может использоваться с помощью различных программных продуктов. Адекватный уровень информационной безопасности в современной организации может быть обеспечен только на основе комплексного подхода, реализация которого начинается с разработки и внедрения эффективных политик безопасности. Эффективные политики безопасности определяют необходимый и достаточный набор требований безопасности, позволяющих уменьшить риски информационной безопасности до приемлемой величины. Они оказывают минимальное влияние на производительность труда, учитывают особенности процессов в организации, поддерживаются руководством, позитивно воспринимаются и исполняются сотрудниками организации. Для того, чтобы политика безопасности оставалась эффективной, необходимо осуществлять непрерывный контроль ее исполнения, повышать осведомленность сотрудников организации в вопросах информационной безопасности и обучать их выполнению правил, предписываемых политикой безопасности. Регулярный пересмотр и корректировка правил политики безопасности необходимы для поддержания ее в актуальном состоянии. Составление грамотной политики безопасности, охватывающей все возможные угрозы информационной безопасности, является одной из главных задач, а конкретная ее реализация может использоваться с помощью различных программных продуктов.

Список литературы

1. В.А. Семененко, Н.В. Федоров Программно-аппаратная защита информации. Учебное пособие. - М.: МГИУ, 2007 -340 с.

2. В.А. Семененко, Н.В. Федоров Компьютерная безопасность. Учебное пособие. - М.: МОСУ, 2006 - 356 с.

3. О.Н. Сергеев, Н.В. Федоров Компьютерная защита информации. Учебное пособие. - М.: МГГУ, 2007 - 179 с.

4. А. Ю. Щербаков Компьютерная безопасность. Теория и практика. - М.: Молгачева С.В., 2001, 352 с.

5. http://www.bre.ru

6. http://www.diwaxx.ru

7. http://www.zahist.narod.ru

8. http://www.citforum.ru

Глоссарий

Аутентификация – процедура входа в систему с предоставлением идентификационных данных. Является необходимым условием обеспечения секретности обмена данными. Пользователи должны иметь возможность подтвердить свою подлинность и проверить идентификацию других пользователей, с которым они общаются.

Брандмауэр - это система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, эта граница проводится между локальной сетью предприятия и INTERNET, хотя ее можно провести и внутри локальной сети предприятия.

Интернет-серфинг (Internet surfing, серфинг, surfing) - посещение веб-сайтов, поиск информации в сети Интернет.

Межсетевой экран (firewall) - это устройство контроля доступа в сеть, предназначенное для блокировки всего трафика, за исключением разрешенных данных.

Интернет-провайдер , иногда просто Провайдер , (англ. Internet Service Provider, ISP, букв. "поставщик Интернет-услуги") - организация, предоставляющая услуги доступа к Интернету и иные связанные с Интернетом услуги.

Сервер – это техническое решение, которое предоставляет множеству компьютеров доступ к файлам, данным, ресурсам принтеров и факсов и все такое.

Смарт-карты (англ. Smart card) представляют собой пластиковые карты со встроенной микросхемой (ICC, integrated circuit(s) card - карта с интегрированными электронными схемами). В большинстве случаев смарт-карты содержат микропроцессор и операционную систему, контролирующую устройство и доступ к объектам в его памяти. Кроме того, смарт-карты, как правило, обладают возможностью проводить криптографические вычисления.

Учётная запись - запись, содержащая сведения, которые пользователь сообщает о себе некоторой компьютерной системе.

Хост – это любая единица компьютерной техники, которая подключена к компьютерной сети. Хостом может быть сервер, компьютер и т.д. Чтобы обозначить имя хоста, используется его сетевое имя – это для локальной сети, или IP-адрес или доменное имя если мы говорим об Интернете.

FTP (англ. File Transfer Protocol – протокол передачи файлов) - протокол, предназначенный для передачи файлов в компьютерных сетях. FTP позволяет подключаться к серверам FTP, просматривать содержимое каталогов и загружать файлы с сервера или на сервер.

Сетевой адаптер – устройство, служащее для подключения компьютера к локальной сети. Сетевой адаптер контролирует доступ к среде передачи данных и обмен данными между единицами сети.

Сетевой шлюз – аппаратный маршрутизатор (англ. gateway ) или программное обеспечение для сопряжения компьютерных сетей, использующих разные протоколы (например, локальной и глобальной).

Политика информационной безопасности – совокупность правил, определяющих и ограничивающих виды деятельности объектов и участников, системы информационной безопасности.

Сетевой коммутатор или свитч (жарг. от англ. switch – переключатель) – устройство, предназначенное для соединения нескольких узлов компьютерной сети в пределах одного сегмента.

Маршрутизатор или роутер , рутер (от англ. router ) - сетевое устройство, на основании информации о топологии сети и определённых правил принимающее решения о пересылке пакетов сетевого уровня (уровень 3 модели OSI) между различными сегментами сети.

В терминологии сетей TCP/IP маской подсети или маской сети называется битовая маска, определяющая, какая часть IP-адреса узла сети относится к адресу сети, а какая – к адресу самого узла в этой сети.

Домен – определенная зона в системе доменных имён Интернет, выделенная владельцу домена (какой-либо стране, международной организации, региону, юридическому или физическому лицу) для целей обеспечения доступа к предоставляемой в Интернете информации, принадлежащей владельцу домена. Здесь доменом называется группа ресурсов информационной сети, которые работают или под одним компьютером, или под одной сетевой рабочей машиной или сетевым узлом. Примеры доменов: .ru, .com, .org и т.д.

Идентификация – присвоение субъектам и объектам идентификатора и (или) сравнение идентификатора с перечнем присвоенных идентификаторов. Например идентификация по штрихкоду.

Тестовые вопросы

1. Что такое политика безопасности предприятия?

Совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которые регулируют управление, защиту и распределение ценной информации;

9. Обязанности администраторов локальной сети:

Анализ событий, создание отчетов и предложений.

Выполняя настройку компьютеров, системные администраторы в первую очередь должны обращать внимание на их безопасность. Что же это такое? Это совокупность функций, регулирующих безопасную работу ПК и управляющихся посредством локального объекта GPO.

Настройка политики безопасности на компьютерах с Windows XP, «Семёрка»

Настройку данных функций осуществляют (в Windows XP, «Семёрка») пользователи вручную через через специальную консоль «Local Group Politics Editor» (редактор локальных политик безопасности) или «Local Security Politics». Окно «Local Group Politics Editor» используют при необходимости внести изменения в политику учётной записи домена, управляемой посредством Active Directory. Через консоль «Local Group Politics Editor» производится настройка параметров учётных записей и регулируется безопасность на локальных хостах. Для открытия окна настроек Local Security Policy (в Windows XP, «Семёрка») нужно сделать следующее.

Нажимаем кнопку «Start» и в поисковом поле открывающемся меню вводим название окна Local Security Policy (см. рисунок ниже).

Нажав комбинацию кнопок +R, открываем пункт «Run», в поле ввода которого вводим sесpol.msc и нажимаем на ОК.

Сначала необходимо проверить, что учётный пользовательский аккаунт находится в администраторской группе (Windows XP, «Семёрка»). Для открытия консольного приложения ММС (в Windows XP, «Семёрка») нажимаем кнопку «Start» и в поисковом поле вводим mmс, после чего нажимаем на «Enter». В пустом консольном окне ММС нажимаем на надпись «Console» и выбираем «Add or Remove». В открывшемся окне выбираем консоль «Local Group Politics Editor» и нажимаем на Add. В открывшемся диалоговом окне нужно найти и нажать на «Обзор», указать необходимые компьютеры и нажать на «Ready». В окне «Add or Remove» нажимаем на ОК. Находим открытую консоль «Local Group Politics Editor» и переходим на пункт «Computer Configuration», а после этого открываем «Security Parameters».

При подсоединении вашего рабочего места к сети с доменом (Windows Сервер 2008), безопасность определяется политикой Active Directory или политика того подразделения, к которому относится компьютер.

Как применить Security Policy к компьютерам, являющимися локальными (с системой Windows XP и так далее), или подсоединённому к домену

Сейчас мы подробно рассмотрим последовательность настроек Local Security Policy и увидим различия между особенностями политики безопасности на локальном компе с Windows (XP, «Семёрка» и так далее) и на компе, подсоединённом к доменной сети через Windows Сервер 2008 R2.

Особенности настроек Security Policy на локальном компьютере

Следует напомнить, что все действия, проводимые здесь, выполнялись под учётным аккаунтом, входящим в администраторскую группу (Windows XP, «Семёрка») на локальном компьютере или в группу «Domen Administrators» (Windows Сервер 2008), в подсоединённом к доменной сети узле.

Чтобы выполнить этот пример необходимо сначала присвоить гостевому учётному аккаунту другое имя. Для этого выполняем следующие действия.

Заново включив комп, проверяем использование Security Policy к вашей ЭВМ. Для этого открывается Control Panel и в окне «User’s Accounts» переходим по ссылке «Другой учётный аккаунт. Управление». В открытом окне можно будет увидеть список всех учётных записей вашей локальной машины, куда входит и переименованный гостевой пользовательский учётный аккаунт.

Применяем Security Policy для компьютеров, подключенных к доменной сети через Windows Сервер 2008 R2

Этот пример показывает последовательность операций для запрета изменения пользовательского пароля для учётной записи Test_ADUser. Напомним, что изменять параметры Security Policy возможно только будучи в группе «Domen’s administrators». Делаем следующее.

Нажимаем на «Start» и в поисковом поле вводим ММС и нажимаем «Enter». Нажимаем на надпись «Console» и выбираем строку «Add or Remove». На экране сразу появится диалоговое окно. В нём нужно выбрать оснастку «Local Group Politics Editor» и там нажать на «Обзор», чтобы выбрать компьютер.

В появившемся окне выбираем нужные компьютеры и нажимаем Done.

1. В окне «Add or Remove» нажимаем ОК.
2. Находим открывшуюся консоль «Local Group Politics Editor» и переходим на узел «Computer Configuration» и там открываем узел «Security Parameters\Local Computer/Security Parameters»
3. Находим параметр «Доменный контроллер: запретить изменения пароля учётных аккаунтов» и нажимаем на него два раза мышкой.
4. В появившемся окне выбираем «Включить» и нажимаем ОК.
5. Перезагружаемся.

После включения компьютеров проверяем изменения в Security Policy, перейдя на консоль ММС. В открывшейся консоли добавляем составляющую «Local users and computers» и пробуем поменять пароль своего учётного аккаунта.

Вывод

Прочитав эту статью, мы разобрались с особенностями методов использования Local Security Policy (на компах с Windows XP, «Семёркой», Windows Сервер 2008). В вышеприведенных примерах показаны иллюстрации c настройками Local Security Policy на компьютерах, которые являются локальными, и компьютерах, которые подключёны к доменной сети.

Политика безопасности и принципы построения системы обеспечения безопасности (СОБ) корпоративной сети

Читайте также: A) Обязанности персонала по обеспечению пожарной безопасности C2 Покажите на трех примерах наличие многопартийной политической системы в современной России. II. Основные принципы и правила служебного поведения государственных гражданских служащих Федеральной налоговой службы II. Системы, развитие которых можно представить с помощью Универсальной Схемы Эволюции II. Требования безопасности при несении караульной службы III. Для обеспечения проверки исходного уровня Ваших знаний и умений решите задачу. III. Для обеспечения проверки исходного уровня Ваших знаний-умений необходимому, предлагаем решить 2 задачи. III. Для обеспечения проверки исходного уровня Ваших знаний-умений необходимому, предлагаем решить задачу. III. Для обеспечения проверки исходного уровня знаний-умений Вам предлагается решить задачу.

Система обеспечения безопасности СОБ представляет собой единую совокупность организационных (административных) мер, правовых и морально-этических норм, программно-аппаратных средств, направленных на противодействие угрозам сети с целью сведения до минимума возможного ущерба пользователям и владельцам сети. Обеспечение безопасности конкретной сети должно осуществляться с учетом конкретных особенностей: назначения, топологии, особенностей конфигурации, потоков информации, количества пользователей, режима работы и т.д.

Формирование СОБ корпоративной сети базируется на политике безопасности (способе управления доступом) – наборе законов, правил и практических рекомендаций, реализуемых с помощью различных мер, норм и средств защиты. Для конкретной организации и ее сети политика безопасности должна быть индивидуальной, учитывающей указанные выше особенности. Ее реализация осуществляется с помощью средств управления механизмами защиты.

Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов сети к ее объектам. Субъект – это активный компонент сети, являющийся причиной потока информации или изменения состояния сети. Объект – пассивный компонент сети, выполняющий функции хранения, приема или передачи информации. Доступ к объекту подразумевает доступ к содержащейся в нем информации.

Различают два вида политики безопасности: избирательную и полномочную.

В основе избирательной политики безопасности лежит избирательное управление доступом, подразумевающее, что все субъекты и объекты сети идентифицированы, а права доступа субъекта к объекту определяются некоторым правилом (свойством избирательности). Наибольшее применение избирательная политика получила в коммерческом секторе, поскольку ее реализация практически отвечает требованиям коммерческих организаций по разграничению доступа, а также имеет небольшие накладные расходы и стоимость.

Полномочная политика безопасности основана на использовании полномочного управления доступом, для которого характерны следующие: субъекты и объекты сети также идентифицированы; каждому объекту присваивается метка критичности, определяющая ценность, уровень приоритета содержащийся в нем информации; каждому субъекту присваивается уровень прозрачности (уровень доступа), определяющий максимальное значение метки критичности объектов, к которым субъект имеет право доступа. Условие защиты звучит так: субъект может выполнять любую операцию над объектом только в том случае, если его уровень доступа не ниже метки критичности объекта. Основное назначение такой политики – регулирование доступа субъектов сети к объектам с различным уровнем критичности, предотвращение утечки информации с верхних уровней на нижние, блокирование возможных проникновений с нижних уровней на верхние. Полномочная политика безопасности изначально была разработана в интересах МО США для обработки информации с различными грифами секретности. В коммерческом секторе ее применение сдерживается отсутствием в коммерческих организациях четкой классификации хранимой в ККС информации (подобной государственной классификации), а также высокой стоимостью реализации и большими накладными расходами.

Помимо управления доступом субъектов к объектам сети, проблема защиты информации имеет еще один аспект: необходимость разработки правил, регулирующих управление информационными потоками в сети. Необходимо определять, какие информационные потоки в сети являются «легальными», не ведущими к утечке информации, и какие «нелегальными», таящими в себе опасность утечки информации. Управление информационными потоками обычно применяется в рамках избирательной или полномочной политики, дополняя их и повышая надежность СОБ.

Таким образом, избирательное или полномочное управление доступом и управление информационными потоками составляют основу формирования и функционирования СОБ корпоративной сети.

Очевидно, что все средства, отвечающие за реализацию политики безопасности, сами должны быть защищены от любого вмешательства в их работу, так как в противном случае трудно говорить о надежности защиты. Политика безопасности и механизмы поддержки ее реализации образуют единую защищенную среду, имеющую иерархическую структуру: ее верхние уровни представлены требованиями политики безопасности, затем следует интерфейс пользователя, далее – несколько программных уровней защиты (включая уровни операционных систем), и, наконец, на нижнем уровне этой структуры располагаются аппаратные средства защиты.

При построении СОБ корпоративной сети принципиально возможен выбор одной из двух концепций :

Создание надежной СОБ на базе каналов связи и средств коммутации территориальной сети связи (ТСС) общего пользования, в которой применяются протоколы Internet. Использование этой концепции связано с большими затратами на обеспечение надежной защиты при подключении ККС к Internet;

Создание СОБ на базе специализированной или выделенной сети связи ККС с использованием конкретной сетевой технологии, в частности FR, ATM, ISDN. Здесь предлагается отказаться от средств, услуг и технологий Internet, убедительно доказавших свою жизнеспособность и эффективность.

Эти концепции представляют полярные взгляды на решение проблемы обеспечения безопасности ККС. Очевидно, что решение этой проблемы представляет собой некоторый компромисс между этими концепциями.

Компромиссное решение по созданию СОБ корпоративной сети, использующей средства, услуги и технологии Internet, может базироваться на двух основных принципах:

Использование закрытого протокола при установлении соединения «клиент-сервер», обеспечивающего защищенное взаимодействие абонентов по виртуальному каналу связи;

Доступность открытых протоколов Internet для взаимодействия по защищенному виртуальному каналу после установления соединения.

В рамках указанных концепций создания СОБ корпоративной сети возможны два подхода к обеспечению безопасности ККС: фрагментарный и комплексный.

Главной отличительной особенностью фрагментарного подхода является отсутствие единой защищенной среды. Такой подход ориентируется на противодействие строго определенным угрозам при определенных условиях, например, использование специализиро-ванных антивирусных средств или автономных средств шифрования. Фрагментарные меры защиты обеспечивают эффективную защиту только конкретных объектов ККС от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты. Естественно, что фрагментарный подход имеет ограниченные области применения.

Для комплексного подхода отличительной особенностью является создание защищенной среды передачи, приема, хранения и обработки информации, объединяющей разнородные меры и средства противодействия угрозам безопасности. Эта среда строится на основе разработанной для конкретной ККС политики безопасности, что позволяет гарантировать определенный уровень безопасности. Недостатки комплексного подхода: сложность управления, ограничения на свободу действий пользователей сети, высокая чувствительность к ошибкам установки и настройки средств защиты. Области применения такого подхода неизмеримо шире. Он применяется для создания СОБ крупных ККС (где нарушение безопасности информации может принести огромный материальный ущерб) или небольших ККС, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи. Комплексный подход реализуется большинством государственных и крупных коммерческих предприятий и учреждений. Он нашел свое отражение в различных стандартах и целенаправленно проводится в жизнь.

Классификация средствзащиты и способы из разработки

В зависимости от способа реализации методы и средства защиты разделяются на следующие группы.

1. Организационные методы . Они представляют собой набор инструкций, определяющий обязательные для всех пользователей порядок и правила использования компьютеров сети, а также ограничения по правилам доступа в компьютерные помещения.

2. Технологические методы . Они рассматриваются как основа защиты любой системы. Любое технологическое решение реализуется организационно, аппаратно или программно. Примеры технологических решений: фильтрация пакетов, мониторинг и аудит сети, автоматическое ведение журналов регистрации, система «обратного дозвона» (по запросу удаленного пользователя соединение не устанавливается, а лишь регистрируется запрос на соединение, после чего система сама производит обратный вызов абонента по указанному им адресу).

3. Аппаратные средства защиты (АСЗ). Они обеспечивают наиболее надежную защиту, с их помощью могут быть реализованы практически любые концепции защиты, но стоимость реализации оказывается на порядок выше по сравнению с аналогичными по назначению программным средствами. Аппаратные средства исключают любое вмешательство в их работу непосредственно из сети, изучение их работы возможно только при наличии непосредственного физического доступа к ним. Кроме того, они отличаются большей производительностью по сравнению с программными средствами (особенно если они используются в устройствах криптографической защиты).

4. Программные средства защиты (ПСЗ). Это наиболее распространенные средства, с их помощью реализуются все идеи и методы защиты, причем стоимость реализации сравнительно невысока. Основной недостаток программных средств – доступность для хакеров, особенно это касается широко распространенных на рынке средств защиты. Поэтому желательна разработка собственных оригинальных программных средств защиты.

5. Программно-аппаратные (гибридные) средства защиты . Они основаны на использовании технологических устройств, допускающих некоторую настройку параметров их работы программными методами, и представляют собой компромисс между предыдущими двумя способами, совмещая высокую производительность аппаратно реализованных систем и гибкость настройки программных. К числу таких гибридных средств относятся аппаратно реализованные маршрутизаторы фирмы Cisco, допускающие их настройку для работы в качестве пакетных фильтров.

Для СОБ корпоративной сети существуют различные варианты разработки и приобретения средств защиты . Приведем краткую характеристику этих вариантов.

Коммерческая реализация средств защиты – это доступное и полнофункциональное решение по комплектации СОБ аппаратными и программными средствами защиты. Используя такое решение, необходимо обращать внимание на сертификацию этих средств и приобретать только лицензионные версии. Общим и очевидным недостатком является неопределенность степени защиты по отношению к возможностям фирмы производителя. В связи с этим там, где это возможно, следует воспринимать общие рекомендации, но не всегда использовать конкретные рекомендуемые решения.

Самостоятельная разработка средств защиты – во всех случаях это наиболее предпочтительный вариант, особенно если речь идет о технологических и организационных методах защиты. При самостоятельной разработке АСЗ и ПСЗ достигается более высокая надежность защиты ККС, однако серьезным недостатком такого решения является трудность сертификации конечного продукта. Рациональным представляется такой вариант, когда осуществляется самостоятельная разработка только тех дополнений средств защиты, которые необходимы, но отсутствуют в готовом продукте. В этом случае получается дополнительный рубеж защиты, в том числе и от фирмы-производителя данного продукта.

Индивидуальный заказ средств защиты крупным производителям – такое решение могло бы стать идеальным, но в настоящее время трудно найти организацию, готовую реализовать такой заказ в полном объеме. Кроме того, этот вариант связан с немалыми финансовыми и временными затратами.

Смешанный подход к реализации средств защиты основан на том, что следует, не полагаясь на опыт поставщика, самостоятельно разобраться во всех возможностях настройки предлагаемого изделия и произвести ее, хотя это и связано с существенными трудозатратами. Такой подход почти всегда реален и реализуем.

Традиционные методы и средства обеспечения безопасности ККС

Рассматриваемые ниже конкретные методы и средства защиты, используемые в ККС, разделены на традиционные и специфические сетевые. Традиционные методы и средства зарождались и применялись еще до появления ТКС как в отдельных компьютерах, так и в многопользовательских средствах, построенных на одном компьютере. Сетевые методы и средства появились только с развитием сетевых технологий. Они не заменяют, а дополняют традиционные методы.

Традиционные методы и средства . К ним относятся следующие.

1. Криптографические методы защиты . Они необходимы во всех случаях обеспечения безопасности (независимо от того, применяются они в сети или вне ее) и основаны на шифровании информации и программ. Шифрование программ гарантирует невозможность внесения в них изменений. Криптографическая защита данных осуществляется как при их хранении, так и при передаче по сети. В настоящее время доступны как программная, так и высокопроизводительная аппаратная реализация средств криптографии.

Различают два способа шифрования: канальное и оконечное (абонентское) .

Канальное шифрование реализуется с помощью протокола канального уровня, при этом защищается вся передаваемая по каналу связи информация, включая служебную. Особенности канального шифрования :

Обеспечивается надежная защита всей передаваемой информации, причем вскрытие ключа шифрования для одного канала не приводит к компрометации информации в других каналах;

На промежуточных узлах (ретрансляторах, шлюзах и т.д.) вся информация оказывается открытой;

Для каждой пары узлов необходим свой ключ;

Алгоритм шифрования должен обеспечивать скорость шифрования на уровне пропускной способности канала, что нередко приводит к необходимости его реализации аппаратными средствами, а это увеличивает расходы на создание и обслуживание системы защиты.

Абонентское шифрование реализуется с помощью протокола прикладного или в некоторых случаях представительного уровня. Оно обеспечивает конфиденциальность данных между двумя прикладными объектами (отправитель зашифровывает данные, получатель – расшифровывает). Особенности абонентского шифрования :

Защищается только содержание сообщения, служебная информация остается открытой;

При стойком алгоритме шифрования никто, кроме отправителя и получателя, не может восстановить информацию;

Маршрут передачи не имеет значения – в любом канале информация остается защищенной;

Для каждой пары пользователей требуется уникальный ключ;

Пользователи принимают участие в выполняемых операциях и должны знать процедуры шифрования и распределения ключей.

Выбор способа шифрования зависит от результатов анализа риска, от выяснения того, что более, уязвимо – непосредственно отдельный канал связи или содержание сообщения, передаваемого по различным каналам. Для канального шифрования затрачивается меньше времени, оно более прозрачно для пользователя и требует меньше ключей. Абонентское шифрование более гибко, может использоваться выборочно, но требует участия пользователей.

2. Парольная защита . Основана на использовании некоторой комбинации символов (пароля), открывающей доступ к запрашиваемому ресурсу сети. С помощью паролей защищаются файлы, личные или фирменные архивы, программы или отдельные компьютеры (пароль на его включение). В сетях пароли используются как самостоятельно, так и в качестве основы для различных методов аутентификации.

В практике использования паролей выработан ряд требований :

Длина пароля не может быть менее 8 символов (короткие пароли обладают слабой защищенностью, так как на современных компьютерах раскрываются простым перебором);

В качестве пароля не может использоваться слово из какого бы то ни было языка;

Один и тот же пароль не может быть использован для доступа к разным объектам;

Старый пароль не должен использоваться повторно;

Пароль должен меняться как можно чаще.

3. Идентификация пользователей . Это развитие системы парольной защиты на более современном техническом уровне. Для идентификации пользователей применяются специальные электронные карты, содержащие идентифицирующую конкретного пользователя информацию. Реализация системы идентификации пользователей осуществляется аппаратно, поэтому она является более надежной, чем парольная защита.

4. Аутентификация пользователей. Это процедура проверки пользователей, аппаратуры или программы для получения доступа к определенному ресурсу. В сущности это также развитие системы парольной защиты для использования в сетях. По отношению к пользователю система аутентификации обычно требует указания имени и предъявления пароля или электронной карты. Частая смена паролей, а тем более электронных карт неудобна, поэтому многие переходят к использованию одноразового динамического пароля, который генерируется аппаратными или программными средствами.

5. Привязка программ и данных к конкретному компьютеру . Основная идея этого метода состоит в том, что в данные или программу включаются конкретные параметры (характеристики) конкретного компьютера, что делает невозможным чтение данных или исполнение программ на другом компьютере. Применительно к сети различные модификации такого метода могут требовать либо выполнения всех операций на конкретном компьютере, либо наличия активного соединения сети с конкретным компьютером.

6. Разграничение прав доступа пользователей к ресурсам сети . В основу метода положено использование таблиц или наборов таблиц, определяющих права пользователей и построенных по правилам «разрешено все, кроме» или «разрешено только». Таблицы по идентификатору или паролю пользователя определяют его права доступа к ресурсам сети – дискам, конкретным файлам, операциям записи, чтения или копирования, системному принтеру и т.д. Возможность такого разграничения определяется, как правило, возможностями используемой операционной системы, которые заложены именно в ней. Большинство современных ОС предусматривают разграничение доступа, но в каждой из них эти возможности реализованы разными способами и в разном объеме.

7. Использование заложенных в ОС возможностей защиты . Это превратилось в обязательное правило, однако большинство используемых ОС имеют недостаточную защиту или предоставляют возможности ее реализации дополнительными средствами. Например, операционная система Windows NT сертифицирована на класс защиты, предусматривающий: защиту объектов от повторного использования другими процессами, возможность владельца ресурса (например, файла) контролировать доступ к нему, идентификацию пользователей с помощью уникальных имен и паролей, возможность аудита связанных с безопасностью событий, защиту ОС самой себя от изменений.

Специфические методы и средства

Введем сначала понятие промежуточной сети, которая представляет собой совокупность оборудования (включая межсетевые экраны , маршрутизаторы, концентраторы, мосты и т.д.), расположенного между двумя объединенными сетями. Основными типами устройств защиты промежуточной сети являются пакетные фильтры, прокси-системы, системы контроля текущего состояния, которые обычно реализуются в межсетевых экранах.

1. Межсетевые экраны (брандмауэры) – механизмы защиты сети от внешнего мира, они служат барьером, ограничивающим распространение информации из одной сети в другую. Межсетевые экраны (МЭ) реализуются программными, аппаратными или программно-аппаратными средствами. Они могут быть: открытыми (функционируют на основе открытых протоколов Internet и служат для подключения к ККС открытых серверов Internet) и корпоративными (служат для обеспечения в ККС защищенного взаимодействия «клиент-сервер» с закрытыми серверами корпоративной сети, в том числе по виртуальным каналам сетей общего пользования), внешними (работают на виртуальном канале парами – входной и выходной МЭ, предназначены для разграничения прав доступа к виртуальному каналу связи и согласования параметров его защищенности при взаимодействии «клиент-сервер») и внутренними (обеспечивают разграничение прав доступа к ресурсам информационного сервера).

Основные функции МЭ корпоративной сети :

Физическое разделение рабочих станций и серверов ККС от каналов связи общего назначения (деление на подсети);

Разграничение прав доступа пользователей ККС к серверам по нескольким признакам;

Регистрация всех событий, связанных с доступом к серверам ККС;

Обеспечение многоэтапной идентификации и аутентификации всех сетевых элементов;

Контроль за целостностью программ и данных, а также отслеживание прерывания такого контроля во время сеанса обмена данными;

Сокрытие IP-адресов информационных серверов;

Согласование качества обслуживания между межсетевыми средствами защиты глобальной сети при установлении соединения.

Кроме того, межсетевой экран ККС на уровне взаимодействия «клиент-сервер» должен использовать средства защиты, реализующие функции таких служб безопасности: засекречивания соединения, выборочных полей и потока данных, контроля за целостностью соединения и выборочных полей, защиты от отказов с подтверждением отправления и доставки.

Используются несколько типов МЭ , отличающихся назначением и принципами построения. Основные из них – пакетные фильтры, прокси-системы, устройства контроля текущего состояния.

Пакетные фильтры – аппаратные или программные механизмы, предназначенные для ограничения входящего и исходящего трафиков между взаимодействующими абонентами сети, реализующие при этом определенный набор задаваемых при настройке правил. Примером аппаратного фильтра может служить фильтрующий маршрутизатор, в который встроены функции ограничения трафика на входе и выходе. Он отличается высокой пропускной способностью. Программный фильтр обычно устанавливается на сетевом сервере, выполняющем роль маршрутизирующего шлюза. Его пропускная способность ниже, чем у аппаратного фильтра, зато его система настройки является более гибкой и удобной.

Прокси-система – это шлюз прикладного уровня, реализующий идею прокси-сервера (сервера-посредника), который выступает в роли посредника между внешней и внутренней сетями (при использовании прокси-сервера ККС и Internet физически не соединены). Основные преимущества прокси-сервера: сохранение инкогнито компьютера конечного пользователя (сокрытие IP-адреса этого компьютера от хакера) и экономия адресного пространства, так как для внутренней сети может использоваться любая схема адресации, включая использование официально не зарегистрированных IP-адресов. Его основной недостаток – поддержка только тех протоколов, для которых он разработан.

Устройства контроля текущего состояния обеспечивают отслеживание соединения по его установлению. В отличие от фильтров они не просто ориентируются на заголовок IP-пакета, но и проверяют информацию о приложении, чтобы убедиться, что это действительно тот пакет, который объявлен в заголовке. Кроме того, такие устройства значительно производительнее прокси-систем.

2. Средства усиления защиты сети – это некоторые устройства промежуточной сети и отдельные технологические решения.

К ним относятся:

Шлюзы уровня виртуального канала, позволяющие пользователям соединяться и обмениваться пакетами с сервером. При этом каждый пакет в отдельности не проверяется, а после проверки адресных данных принимаются сразу несколько пакетов. Такие шлюзы могут использоваться для полного запрета прямых контактов компьютеров внутренней сети с внешней сетью;

Переключаемые мосты на концентраторе, контролирующие направление трафика в сети и реализующие дополнительную фильтрацию пакетов, создавая таким образом еще один барьер для хакеров;

Создание виртуальной части сети, если предусматривается подключение удаленных пользователей к ККС. Применение такой технологии основано на аутентификации удаленных пользователей и шифровании всего сетевого трафика;

Изоляция протоколов путем использования протокола TCP/IP только для связи с Internet. Во внутренней сети используются другие протоколы, несовместимые с TCP/IP, а доступ к Internet осуществляется через шлюз прикладного уровня;

Реализация межсетевого экрана на внутреннем сервере. Такой экран располагается после выделенного сетевого экрана и является последним рубежом защиты.

3. Архитектурные методы защиты – это решения, принимаемые на уровне топологии и архитектуры сети с целью повышения ее защищенности. Такие решения могут приниматься на уровне внутренней сети (корпоративной, локальной) или на уровне промежуточной сети, которая связывает внутреннюю сеть с внешней (например, с сетью Internet).

На уровне топологии и архитектуры внутренней сети могут приниматься такие решения:

Физическая изоляция закрытого сегмента внутренней сети, содержащего конфиденциальную информацию, от внешней сети, связь с которой поддерживается через открытый сегмент внутренней сети;

Кратковременное (сеансовое) подключение внутренней сети к сегменту сети, подключенному к Internet, с помощью коммутатора и/или переключаемого моста (такое подключение более безопасно, чем постоянное соединение);

Функциональное разделение внутренней сети на подсети, при котором в каждой подсети работают пользователи (сотрудники компании), объединенные по профессиональным интересам.

Меры обеспечения безопасности на уровне архитектуры промежуточной сети нередко связаны с реализацией компонентов многоуровневой защиты. Если промежуточная сеть включает маршрутизатор, компьютер, выделенный для межсетевого экрана, и концентратор, соединенный непосредственно с сервером внутренней сети, то средства защиты могут быть реализованы на каждом из этих устройств. Например, на маршрутизаторе – фильтрация пакетов, на компьютере – межсетевой экран, на концентраторе – переключаемый мост и виртуальная ЛКС, на сервере внутренней сети – еще один межсетевой экран.

Обязательным дополнением к рассмотренным сетевым методам и средствам защиты является мониторинг и аудит сети, составляющие основу обеспечения ее безопасности. Мониторинг (контроль текущего состояния и параметров работы сети) и аудит (регулярный анализ журналов регистрации для выявления происходящих в сети процессов и активности пользователей) входят в обязанности сетевого администратора. Проведение этой работы обеспечивается сетевыми ОС, которые имеют соответствующие встроенные или дополнительно поставляемые программы. Для этой же цели могут использоваться дополнительные средства: аппаратные или программные перехватчики пакетов (анализирующие собранные пакеты на наличие в них информации, которой может воспользоваться злоумышленник), аппаратно реализованные анализаторы сети (измеряющие и контролирующие трафик в сети) и др.

В заключение еще раз следует подчеркнуть, что при построении СОБ корпоративной сети предпочтительнее использовать аппаратные или аппаратно-программные средства, так как чисто программные средства не обеспечивают такой же надежной защиты.

Компьютерная политика безопасности - краткое заявление высшего руководства относительно его позиции по поводу ценности информации, ответственности должностных лиц по ее защите и распределении организационных обязанностей. Эта политика - один из ключевых компонентов общей программы защиты компьютерных систем. Она является тем политическим заявлением, в котором могут быть сформулированы начальные требования к защите ЛВС. Однако, может оказаться уместным описать цели защиты ЛВС, обязанности, и т.д. в отдельной политике, которую нужно использовать совместно с существующей более общей политикой. В этом разделе обсуждается разработка политики безопасности, которая могла бы быть применена к ЛВС. Также представлен один пример политики безопасности ЛВС. Этот пример политики носит демонстрационный характер. Он не предназначен для использования организацией в том виде, как есть. Цель этого примера политики состоит в том, чтобы явно описать вопросы, которые должны быть учтены при разработке политики безопасности ЛВС.
Политика безопасности ЛВС должна быть разработана на соответствующем уровне руководства организацией, то есть тем лицом в организации, кому напрямую подчиняются служащие, которых касается эта политика. Политика должна быть создана группой лиц, которые могут включать высшее управление, сотрудников отдела безопасности, и администраторов ЛВС. Политика должна устанавливать:

• Значение информации- позицию руководства по вопросу ценности информации;
• Ответственность - Кто отвечает за защиту информации в ЛВС;
• Обязательство - Обязательства организации по защите информации и ЛВС;
• Область применения - Что включается в состав ЛВС и каких ее частей, если таковые имеются, политика не касается.

Политика безопасности ЛВС должна быть написана так, чтобы редко требовались ее модификации. Потребность в изменениях может указывать на то, что она слишком конкретна. Например, включение требования использовать определенный пакет для обнаружения вирусов, включающего название пакета, в политику может быть слишком конкретным с точки зрения высокого темпа разработки антивирусных программ. Может быть более разумно будет просто заявить, что программное обеспечение обнаружения вирусов должно находиться на ПК ЛВС, серверах, и т.д. и позволить администраторам ЛВС самим определять конкретный используемый продукт.
Политика безопасности ЛВС должна ясно определить и установить ответственность за защиту информации, которая обрабатывается, хранится и передается в ЛВС, и самой ЛВС. Основная ответственность может быть возложена на владельца данных, то есть, на менеджера отдела организации, который создает данные, обрабатывает их и т.д.. Дополнительная ответственность может быть, кроме того, возложена на пользователей и конечных пользователей, то есть на тех лиц внутри организации, которым предоставлен доступ к информации теми лицами, кто отвечает за нее в первую очередь. Администраторы ЛВС должны ясно определить роль отдельных лиц, ответственных за поддержание работоспособности ЛВС. Пример политики защиты ЛВС, приведенный ниже, определяет обязанности функциональных менеджеров (тех, на кого может быть возложена основная ответственность), пользователей (тех, на кого может быть возложена дополнительная ответственность), администраторов ЛВС (кто отвечает за внедрение и поддержание работоспособности защиты ЛВС и ее самой), и местных администраторов (тех, кто отвечает за поддержание защиты в их части ЛВС). Местные администраторы обычно отвечают за один или группу серверов и автоматизированных рабочих мест в ЛВС. Эти обязанности были скомпилированы из , , , и .

Пример Политики Безопасности ЛВС

Цель

Информация, используемая в ЛВС Агентства XYZ, является критической для выполнения организацией своих задач. Размер и сложность ЛВС в пределах XYZ увеличилась и теперь она обрабатывает критическую информацию. Из-за этого должны быть реализованы определенные меры и процедуры безопасности для защиты информации, обрабатываемой в ЛВС XYZ. ЛВС XYZ обеспечивает разделение информации и программ между большим числом пользователей. Эта среда увеличивает риск безопасности и требует более сильных механизмов защиты, чем те, что были бы необходимы при работе на отдельно стоящих ПК. Эти усиленные требования к защите в вычислительной среде XYZ послужили причиной появления этой политики, которая касается использования ЛВС в XYZ.
Эта политика имеет две цели. Первая - подчеркнуть для всех служащих XYZ важность безопасности в среде ЛВС XYZ и явно указать их роли при поддержании этой безопасности. Вторая - установить определенные обязанности по обеспечению безопасности данных и информации, и самой ЛВС XYZ.

Степень детализации

Все автоматизированные информационные ценности и службы, которые используются локальной вычислительной сетью (ЛВС) XYZ, охватываются этой политикой. Она одинаково применима к серверам ЛВС, периферийному оборудованию, автоматизированным рабочим местам и персональным компьютерам (ПК) в пределах среды ЛВС XYZ. Ресурсы ЛВС XYZ включают данные, информацию, программное обеспечение, аппаратные средства, средства обслуживания и телекоммуникации. Политика применима ко всем лицам, имеющим отношение к XYZ ЛВС, включая всех служащих XYZ, поставщиков и работающих по контракту, которые используют XYZ ЛВС.

Цели

Цели программы защиты информации XYZ состоят в том, чтобы гарантировать целостность, доступность и конфиденциальность данных, которые должны быть достаточно полными, точными, и своевременными, чтобы удовлетворять потребности XYZ, не жертвуя при этом основными принципами, описанными в этой политике. Определяются следующие цели:

• Гарантировать, что в среде ЛВС XYZ обеспечивается соответствующая безопасность, соответствующая критичности информации и т.д..;
• Гарантировать, что безопасность является рентабельной и основана на соотношении стоимости и риска, или необходимо удовлетворяет соответствующим руководящим требованиям;
• Гарантировать, что обеспечена соответствующая поддержка защиты данных в каждой функциональной области;
• Гарантировать индивидуальную подотчетность для данных, информации, и других компьютерных ресурсов, к которым осуществляется доступ;
• Гарантировать проверяемость среды ЛВС XYZ;
• Гарантировать, что служащие будут обеспечены достаточно полными руководствами по распределению обязанностей относительно поддержания безопасности при работе в автоматизированной информационной системе;
• Гарантировать, что для всех критических функций XYZ ЛВС имеются соответствующие планы обеспечения непрерывной работы, или планы восстановления при стихийных бедствиях;
• Гарантировать что все соответствующие федеральные и организационные законы, указы и т.д. учтены и их твердо придерживаются.

Ответственность

Следующие группы сотрудников несут ответственность за внедрение и достижение целей безопасности, сформулированных в этой политике. Детальные обязанности представлены в Обязанностях по Обеспечению Защиты ЛВС XYZ .
1. Функциональное руководство (ФР) - те служащие, кто несет ответственность согласно своим функциональным обязанностям (не в области компьютерной безопасности) внутри XYZ. Функциональное Руководство отвечает за информирование сотрудников относительно этой политики, гарантию того, что каждый сотрудник имеет ее копию, и взаимодействие со всеми служащими по проблемам безопасности.
2. Администраторы ЛВС (АД) - служащие, кто участвуют в ежедневном управлении и поддержании работоспособности ЛВС XYZ. Они отвечают за обеспечение непрерывного функционирования ЛВС. Администраторы ЛВС отвечают за осуществление соответствующих мер защиты в ЛВС в соответствии с политикой безопасности ЛВС XYZ .
3. Местные Администраторы (МА) - служащие, которые являются ответственными за предоставление конечным пользователям доступа к необходимым ресурсам ЛВС, которые размещены на серверах, входящих в их зону ответственности. Местные администраторы отвечают за обеспечение защиты своих серверов - в соответствии с политикой безопасности ЛВС XYZ.
4. Конечные пользователи (П) - являются любыми служащими, которые имеют доступ к ЛВС XYZ. Они отвечают за использование ЛВС в соответствии с политикой безопасности ЛВС. Все пользователи данных отвечают за соблюдение специфических политик безопасности, установленных теми лицами, кто несет основную ответственностью за защиту тех или иных данных, и за доклад руководству о любом подозрении на нарушение защиты.

Наказания

Отказ соблюдать эту политику может подвергнуть информацию XYZ недопустимому риску потери конфиденциальности, целостности или доступности при ее хранении, обработке или передаче в ЛВС XYZ. Нарушения стандартов, процедур или руководств, поддерживающих эту политику, будут привлечь внимание руководства и могут привести к дисциплинарной ответственности вплоть до увольнения со службы.

ОБЩИЕ ПРАВИЛА РАЗГРАНИЧЕНИЯ ДОСТУПА В ЛВС

ОП1. Каждый персональный компьютер должен иметь "владельца" или " системного администратора ", который является ответственным за работоспособность и безопасность компьютера, и за соблюдение всех политик и процедур, связанных с использованием данного компьютера. Основной пользователь компьютера может выполнять эту роль. Эти пользователи должны быть обучены и обеспечены соответствующими руководствами так, чтобы они могли корректно соблюдать все политики и процедуры.
ОП2. Чтобы предотвратить неавторизованный доступ к данным ЛВС, программному обеспечению, и другим ресурсам, находящимся на сервере ЛВС, все механизмы защиты сервера ЛВС должны находиться под монопольным управлением местного администратора и местного персонала Администраторов ЛВС.
ОП3. Чтобы предотвратить распространение злонамеренного программного обеспечения и помочь выполнению лицензионных соглашений о программах, пользователи должны гарантировать, что их программное обеспечение должным образом лицензировано и является безопасным.
ОП4. За все изменения(замены) программного обеспечения и создание резервных копий данных на серверах отвечают Администраторы ЛВС.
ОП5. Каждому пользователю должен быть назначен уникальный ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ и начальный пароль (или другая информация для идентификации и аутентификации), только после того, как закончено оформление надлежащей документации. Пользователи не должны совместно использовать назначенные им ИДЕНТИФИКАТОРЫ ПОЛЬЗОВАТЕЛЯ.
ОП6. Пользователи должны аутентифицироваться в ЛВС перед обращением к ресурсам ЛВС.
ОП7. ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ должен удаляться после продолжительного периода неиспользования.
ОП8. Использование аппаратных средств ЛВС типа мониторов / регистраторов трафика и маршрутизаторов должно быть авторизовано и проводиться под контролем Администраторов ЛВС.
ОП9. Акт о Компьютерной безопасности 1987 года (P.L. 100-235)устанавливает, что " Каждое агентство должно обеспечить обязательное периодическое обучение в области компьютерной безопасности и правил работы на компьютере, и принимать зачеты по правильности работы на компьютере всех служащих, кто участвует в управлении, использовании, или функционировании каждой Федеральной компьютерной системы, которая находится в зоне ответственности этого агентства".

• Служащие, ответственные за управление, функционирование и использование ЛВС XYZ должны пройти курс обучения в области компьютерной безопасности и правил работы на компьютере.
• Обучение компьютерной безопасности должно проводиться в рамках существующих программ обучения, таких как программы ввода в строй для новых служащих, и курсов обучения, связанных с использованием информационных технологий.

ОП10. Отчеты о безопасности должны готовиться и рассматриваться ежедневно.

ОСОБЫЕ ОБЯЗАННОСТИ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЛВС XYZ 1.

Пользователи
Ожидается, что пользователи хорошо осведомлены относительно политики безопасности Агентства, и других применимых законов, политик, указов и процедур и твердо их придерживаются. Пользователи полностью отвечают за их собственное поведение. В частности, пользователи отвечают за следующее:
П1. Отвечают за понимание и соблюдение соответствующих Федеральных законов, политик и процедур министерства, политик и процедур XYZ и других применимых политик безопасности и связанных с ними последствий для ЛВС XYZ.
П2. Отвечают за использование доступных механизмов безопасности для защиты конфиденциальности и целостности их собственной информации, когда это требуется.
П2.1. Следуют местным процедурами защиты критических данных, а также процедурам безопасности самой ЛВС XYZ. Используют механизмы защиты файлов для поддержания соответствующего управления доступом к файлам.
П2.2. Выбирает и использует хорошие пароли. Использует FIPS 112, Использование Паролей как руководство при выборе хороших паролей. Не записывает паролей, и не раскрывает их другим. Не использует совместно идентификаторы пользователей.
П3. Отвечает за помощь другим пользователям, кто будет не в состоянии должным образом использовать доступные механизмы защиты. Помогает защитить собственность других лиц. Уведомляет их относительно незащищенности их ресурсов (например, файлов, идентификаторов).
П4. Отвечает за уведомление местного администратора или члена руководства о нарушении защиты или обнаруженном отказе.
П5. Отвечает за неиспользование слабых мест АС.
П5.1. Не осуществляет намеренного изменения, уничтожения, чтения, или передачи информации неавторизованным способом: не мешает специально получить другим пользователям авторизованный доступ к ресурсам ЛВС и информации в ней.
П5.2. Предоставляет правильную информацию для идентификации и аутентификации, когда это требуется, и не пытается угадать подобную информацию для других пользователей.
П6. Отвечает за гарантию выполнения резервного копирования данных и программного обеспечения находящегося на жестком диске их собственного автоматизированного рабочего места.
П7. Отвечает за понимание принципов работы злонамеренного программного обеспечения, методов, с помощью которых оно вносится и распространяется, и уязвимых мест, которые используются злонамеренным программным обеспечением и неавторизованными пользователями.
П8. Отвечает за знание и использование соответствующих политик и процедур для предотвращения, обнаружения, и удаления злонамеренного программного обеспечения.
П9. Отвечает за знание того, на что нужно обращать внимание при работе в определенных системах и конкретных программах, чтобы обнаружить признаки их необычной работы, и что нужно сделать или с кем связаться для получения дополнительной информации.
П10. Отвечает за использование программно-аппаратных средств защиты, которые доступны для защиты системы от злонамеренного программного обеспечения.
П11. Отвечает за знание и использование процедур по обеспечению непрерывной работы для сдерживания и восстановления при потенциальных инцидентах.
2. Функциональное руководство
Функциональное руководство (и управляющие более высокого уровня) отвечают за разработку и выполнение эффективных политик безопасности, которые отражают специфические цели ЛВС XYZ. Они полностью отвечают за обеспечение того, что защита информации и линий связи является и остается важной и критической целью в повседневной деятельности. В частности функциональное руководство отвечает за следующее:
ФМ1. Отвечает за проведение эффективного управления риском для того, чтобы обеспечить основу для формулирования разумной политики. Управление риском требует идентификации ценностей, которые нужно защитить, определения уязвимых мест, анализа риска их использования и реализации рентабельных средств защиты.
ФМ2. Отвечает за гарантию того, чтобы каждый пользователь получил, как минимум, копию политики безопасности и местного руководства (если таковые есть в наличии) до внесения его в списки пользователей АС.
ФМ3. Отвечает за осуществление программы обучения основам безопасности для пользователей, чтобы можно было гарантировать знание ими местной политики безопасности и правил работы на компьютере.
ФМ4. Отвечает за гарантию того, что весь персонал в пределах операционной единицы организации знает эту политику и отвечает за включение ее в инструктажи по компьютерной безопасности и программы обучения.
ФМ5. Отвечает за информирование местного администратора и администраторов ЛВС об изменениях в статусе любого служащего, который использует ЛВС XYZ. Это изменение статуса может включать переход из организации в организацию в одном ведомстве, переход из отдела в отдел, или окончание службы в XYZ.
ФМ6. Отвечает за гарантию того, что пользователи понимают природу злонамеренного программного обеспечения, понимают,как оно вообще распространяется, и какие программно-аппаратные средства защиты должны использоваться против него.
3. Администраторы Локальной Вычислительной Сети (ЛВС)
Предполагается, что администраторы ЛВС (или назначенный для этого персонал) претворяет (в части их касающейся) местные политики безопасности, так как это связано с применением программно-аппаратных средств защиты, архивированием критических программ и данных, управлением доступом и защитой оборудования ЛВС. В частности, администраторы ЛВС отвечают за следующее:
ОУ1. Отвечают за корректное применение доступных механизмов защиты для осуществления местных политик безопасности.
ОУ2. Отвечает за уведомление руководства о работоспособности существующих политик и любых технических соображениях, которые могли бы улучшить их эффективность.
ОУ3. Отвечает за защищенность среды ЛВС внутри организации и интерфейсов с глобальными сетями.
ОУ4. Отвечает за оперативное и эффективное улаживание происшествий с компьютерной безопасностью.
ОУ4.1. Уведомляет местных администраторов о проникновении злоумышленника в ЛВС, помогает другим местным администраторам улаживать происшествия с безопасностью.
ОУ4.2. Сотрудничает с местными администраторами при выявлении нарушителя и помогает им это сделать.
ОУ5. Отвечает за использование надежных и доступных средств аудирования для облегчения обнаружения нарушений безопасности.
ОУ6. Отвечает за проведение своевременных проверок системных журналов серверов ЛВС.
ОУ7. Отвечает за отслеживание информации о политиках безопасности и приемах обеспечения безопасности в других организациях и, когда это необходимо, информирование местных пользователей и уведомление руководства об изменениях или новых разработках.
ОУ8. Отвечает за крайнюю осторожность и корректность при применении им своих экстраординарных полномочий и привилегий. Безопасность пользователей должна всегда стоять на первом месте.
ОУ9. Отвечает за разработку соответствующих процедур и издание инструкций по предотвращению, обнаружению, и удалению злонамеренного программного обеспечения, соответствующих руководящим принципам, содержащимся в этом документе.
ОУ10. Отвечает за своевременное создание резервных копий всех данных и программного обеспечения на серверах ЛВС.
ОУ11. Отвечает за выявление и рекомендацию пакетов программ для обнаружения и удаления злонамеренного программного обеспечения.
ОУ12. Отвечает за разработку процедур, позволяющих пользователям сообщать о компьютерных вирусах и других инцидентах и отвечает за уведомление потенциально затрагиваемых лиц о возможной угрозе им.
ОУ13. Отвечает за скорое уведомление соответствующей группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая выявление злонамеренного программного обеспечения.
ОУ14. Отвечает за оказание помощи при определении источника злонамеренного программного обеспечения и зоны его распространения.
ОУ15. Отвечает за обеспечение помощи в удалении злонамеренного программного обеспечения.
ОУ16. Отвечает за проведение периодического анализа для того, чтобы гарантировать, что соблюдаются надлежащие процедуры безопасности, включая те, которые предназначены для защиты от злонамеренного программного обеспечения.
4. Местные Администраторы
Ожидается, что местные администраторы (или назначенный персонал) будут использовать доступные службы и механизмы защиты ЛВС на сервере, за который они отвечают, чтобы поддерживать и претворять в жизнь применимые политики и процедуры безопасности. В частности, местные администраторы отвечают за следующее:
МA1. Отвечают за управление привилегиями доступа всех пользователей к данным, программам и функциям.
МA2. Отвечают за контроль за всеми связанными с защитой событиями и за расследование любых реальных или подозреваемых нарушений там, где это уместно. В соответствующих случаях отвечают за уведомление и координацию действий с Администраторами ЛВС по контролю или расследованию событий, связанных с нарушением безопасности.
МA3. Отвечает за поддержание и защиту программного обеспечения и соответствующих файлов на сервере ЛВС, используя доступные механизмы и процедуры защиты.
МA4. Отвечает за сканирование сервера ЛВС антивирусным программным обеспечением через регулярные интервалы времени для гарантии того, что никакому вирусу не удалось разместиться на сервере ЛВС.
МA5. Отвечает за назначение уникального ИП и начального пароля (или другой идентификационной и аутентификационной информации) каждому пользователю только после того, как будет оформлена надлежащая документация.
МA6. Отвечает за быстрое уведомление соответствующего персонала группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая злонамеренное программное обеспечение;
МA6.1. Уведомляет Администраторов ЛВС о проникновении в ЛВС, помогает другим местным администраторам улаживать нарушение безопасности.
МА6.2. Сотрудничает с другими местными администраторами и Администраторами ЛВС в поиске нарушителя и помогает им это сделать.
МA7. Отвечает за обеспечение помощи при выявлении источника злонамеренного программного обеспечения и зоны его распространения.

Приложение B. Специфика персональных компьютеров

Персональные компьютеры обычно не имеют встроенных программно-аппаратных средств для аутентификации пользователя, управления доступом или защиты памяти, которая делилась бы на системную память и память, используемую для приложений пользователя. Из-за отсутствия средств защиты и свободы действий, с которой пользователи могут совместно использовать и изменять программное обеспечение, персональные компьютеры очень уязвимы к атакам вирусов, неправомочным пользователям и связанным с этим угрозам.
Предотвращение вирусов в среде ПК должно полагаться на постоянное внимание пользователя, чтобы можно было обнаруживать потенциальные угрозы, бороться с ними и восстанавливать среду после повреждений. Пользователи персонального компьютера являются в сущности администраторами персонального компьютера, и должны на практике осуществлять это администрирование как часть их работы на компьютере. Персональные компьютеры, как правило, не содержат возможностей аудирования, поэтому пользователь должен всегда следить за работой компьютера, чтобы знать, что является нормальной, а что ненормальной работой. В конечном счете, пользователи персонального компьютера должны понимать некоторые из технических аспектов их компьютеров для того, чтобы обнаружить проблемы с безопасностью и восстановить среду в нормальное состояние. Не все пользователи персонального компьютера ориентируются в технических вопросах, что создает некоторые проблемы и придает большую важность обучению пользователей и участию его в борьбе с вирусами.
Из-за зависимости от участия пользователя, политики безопасности для ЛВС (и, как следствие, для ПК) более трудно претворить в жизнь, чем политики для многопользовательского компьютера. Однако, информирование об этих политиках в программе обучения пользователя поможет им выработать правильное поведении при работе на компьютере. Пользователям нужно показывать на иллюстративном примере, что может случиться, если они не будут следовать политикам. Пример того, как пользователи, которые совместно используют инфицированное программное обеспечение, затем распространяют это программное обеспечение повсюду в организации, мог бы эффективно иллюстрировать этот момент, делая таким образом цель политики более ясной и увеличивал бы вероятность того, что ей будут следовать. (Не предполагается, что в организации на самом деле будет производиться заражение программ вирусами с целью демонстрации, просто пример иллюстрирует такую возможность). Другой эффективный метод для улучшения сотрудничества с пользователями состоит в том, чтобы создать список эффективных действий по администрированию персональным компьютером, специфических для каждой вычислительной среды на ПЭВМ. Создание такого списка могло бы помочь пользователям при определении того, как лучше всего претворить политики в жизнь, а список мог бы быть удобным контрольным списком, который пользователи могли бы использовать по мере необходимости.
Для общих рекомендаций по защите ПК см. . Рекомендации по защите против злонамеренного программного обеспечения можно найти в .

Приложение C. Планы восстановления и обеспечения непрерывной работы ЛВС

Инцидент с компьютерной безопасностью - любой неблагоприятный случай, в ходе которого может оказаться под угрозой некоторый аспект компьютерной безопасности: потеря конфиденциальности данных, потеря данных или целостности системы, разрушение или отказ в обслуживании. В среде ЛВС понятие инцидента с компьютерной безопасностью может быть распространено на все области ЛВС (аппаратные средства ЭВМ, программное обеспечение, данные, передачу данных, и т.д.) включая саму ЛВС. Планы восстановления в среде ЛВС должны быть разработаны таким образом, чтобы любой инцидент с защитой ЛВС мог быть своевременно улажен, с наименьшим, насколько это возможно, воздействием на возможности организации по обработке и передаче данных. План восстановления должен описывать (1)действия по улаживанию инцидента, (2) действия по резервированию и (3) действия по восстановлению.
1. Цель действий по улаживанию инцидента состоит в том, чтобы уменьшить потенциально опасные последствия проблемы, связанной с безопасностью ЛВС. Это требует не только наличия возможности улаживать инциденты, но и ресурсов для предупреждения пользователей. Это требует сотрудничества со всеми пользователями для гарантий того, что об инцидентах будет сообщено и они будут улажены, а будущие инциденты - предотвращены . рекомендуется как руководство при разработке действий по улаживанию инцидента.
2. Планы действий по резервированию подготавливаются, чтобы гарантировать, что необходимые организации задачи (выявленные при анализе риска) могут быть корректно завершены при разрушении ЛВС и продолжены впоследствии, когда ЛВС будет восстановлена .
3. Планы восстановления создаются, чтобы обеспечить плавное, быстрое восстановление среды ЛВС после перерыва в ее работе . Должен быть разработан и поддерживаться ряд инструкций, чтобы минимизировать время, требуемое для восстановления. Приоритет нужно отдавать тем приложениям, службам, и т.д., которые считаются критическими для функционирования организации. Процедуры действий по резервированию должны гарантировать, что эти критические службы и приложения доступны пользователям.

Приложение D. Обучение и информированность

Акт о Компьютерной безопасности 1987 года (P.L. 100-235)устанавливает, что " Каждое агентство должно обеспечить обязательное периодическое обучение в области компьютерной безопасности и правил работы на компьютере, и принимать зачеты по правильности работы на компьютере всех служащих, кто участвует в управлении, использовании, или функционировании каждой Федеральной компьютерной системы, которая находится в зоне ответственности этого агентства".
обеспечивает рекомендации по формулированию требований к курсам обучения компьютерной безопасности для разнообразных слушателей, которые должны пройти некоторое обучение в области компьютерной безопасности. Он сосредотачивается на целях обучения, основанных на степени, в которой знание компьютерной безопасности требуется некоторому лицу, поскольку это касается его рабочих функций. Для детального обсуждения и общих рекомендаций по вопросам обучения защите компьютера читателю рекомендуется обратиться к .
Чтобы поддерживать безопасность в среде ЛВС, пользователи ЛВС должны получить обучение в определенных областях работы и использования ЛВС. Механизмы защиты, процедуры, и т.д. не могут быть действенными, если они используются неправильно. Ниже приведены списки требований к программам обучения для функционального руководства, администраторов ЛВС и пользователей. Целью обучения для функционального руководства является (1) понимание важности политики безопасности и (2) понимание того, как эта политика должна осуществляться в ЛВС для того, чтобы она была эффективной. Целью обучения для администраторов ЛВС является понимание, как обеспечивается защита ЛВС при ее повседневной работе. Также важно подчеркнуть необходимость эффективных действий по улаживанию инцидента. Целью обучения для пользователей являются (1) осознании роли пользователя в политике безопасности и обязанностей, возлагаемых на него в этой области, (2) обучении использованию служб и механизмов защиты для эффективного поддержания безопасности, и (3) понимании того, как использовать процедуры действий по улаживанию инцидента. Конкретно требования к курсам обучению обсуждаются ниже.
Функциональное руководство должно :
1. Понимать важность политики безопасности ЛВС и то, как эта политика влияет на решения, принимаемые относительно защиты ЛВС. Понимать важность определения адекватной степени безопасности для различных типов информации, которой владеет функциональное руководство (или за которые несет ответственность).
2. Понимать, что ЛВС является ценным ресурсом для организации, который требует защиты. Понимать важность обеспечения адекватной защиты (через финансирование, укомплектовывание персоналом, и т.д.).
Администраторы ЛВС должны :
1. Понимать во всех аспектах, как работает ЛВС. Быть способны отличать нормальную работу системы от ненормальной работы системы.
2. Понимать роль администратора ЛВС в реализации политики безопасности ЛВС.
3. Понимать, как работают службы и механизмы безопасности. Быть способны распознать неправильное использование механизмов защиты пользователями.
4. Понимать, как надо эффективно использовать возможности по улаживанию инцидентов.
Пользователи ЛВС должны :
1. Понимать политику безопасности и обязанности пользователя, проистекающие из нее. Понимать, почему важно поддержание безопасности ЛВС.
2. Понимать, как использовать службы и механизмы защиты, обеспечиваемые ЛВС, чтобы поддерживать безопасность ЛВС и защищать критическую информацию.
3. Понимать, как использовать возможности по улаживанию инцидентов, знать, как сообщать об инциденте, и т.д..
4. Отличать нормальную работу автоматизированного рабочего места или ПК от неправильной работы.

Литература

Martin, James, and K. K. Chapman, The Arben Group, Inc.; Local Area Networks, Architectures and Implementations, Prentice Hall, 1989.
Barkley, John F., and K. Olsen; Introduction to Heterogenous Computing Environments, NIST Special Publication 500-176, November, 1989.
A Guide to Understanding Discretionary Access Control in Trusted Systems, NCSC-TG-003, Version 1, September 30, 1987
National Computer Systems Laboratory (NCSL) Bulletin, Data Encryption Standard, June, 1990.
Smid, Miles, E. Barker, D. Balenson, and M. Haykin; Message Authentication Code (MAC) Validation System: Requirements and Procedures, NIST Special Publication 500-156, May, 1988.
Oldehoeft, Arthur E.; Foundations of a Security Policy for Use of the National Research and Educational Network, NIST Interagency Report, NISTIR 4734, February 1992.
U.S. Department of Commerce Information Technology Management Handbook, Attachment 13-D: Malicious Software Policy and Guidelines, November 8, 1991.
Wack, John P., and L. Carnahan; Computer Viruses and Related Threats: A Management Guide, NIST Special Publication 500-166, August 1989.
Information Security Guideline for Financial Institutions, X9/TG-5, Accredited Committee X9F2, March 1992.
National Computer Systems Laboratory (NCSL) Bulletin, Connecting to the Internet: Security Considerations, July 1993.
National Computer Systems Laboratory (NCSL) Bulletin, Advanced Authentication Technology, November 1991.
Daniel V. Klein, "Foiling the Cracker: A Survey of, and Improvements to, Password Security", Software Engineering Institute. (This work was sponsored in part by the Department of Defense.)
Gilbert, Irene; Guide for Selecting Automated Risk Analysis Tools, NIST Special Publication 500-174, October, 1989.
Katzke, Stuart W. ,Phd., "A Framework for Computer Security Risk Management", NIST, October, 1992.
Department of Defense Password Management Guideline, National Computer Security Center, April, 1985.
Federal Information Processing Standard (FIPS PUB) 112, Password Usage, May, 1985.
Roback Edward, NIST Coordinator, Glossary of Computer Security Terminology, NISTIR 4659, September, 1991.
Todd, Mary Anne and Constance Guitian, Computer Security Training Guidelines, NIST Special Publication 500-172, November, 1989.
Steinauer, Dennis D.; Security of Personal Computer Systems: A Management Guide, NBS Special Publication 500-120, January, 1985.
Wack, John P.; Establishing a Computer Security Incident Response Capability (CSIRC), NIST Special Publication 800-3, November, 1991.
Federal Information Processing Standard (FIPS PUB) 31, Guidelines for Automatic Data Processing Physical Security and Risk Management, June, 1974.

Литература для дальнейшего чтения

Berson, T.A, and Beth, T. (Eds.); Local Area Network Security Workshop LANSEC ‘89 Proceedings, Springer-Verlag, Berlin, 1989.
Federal Information Processing Standard Publication (FIPS PUB) 83, Guideline on User Authentication Techniques for Computer Network Access Control, September, 1980.
Gahan, Chris; LAN Security, the Business Threat from Within, BICC Data Networks Limited, November, 1990.
Muftic, Sead; Security Mechanisms for Computer Networks, Ellis Horwood Limited, West Sussex, England, 1989.
National Research Council; Computers At Risk: Safe Computing in the Information Age, National Academy Press, Washington, D.C., 1991.
Schweitzer, James A.; Protecting Information on Local Area Networks, Butterworth Publishers, Stoneham, MA, 1988.

Network Security Library - All you want to know about Windows, UNIX, NetWare, WWW, Firewalls, Intrusion Detection Systems, Security Policy, etc.

Обратно

1.1.2. Организационная структура предприятия

Рис 1.Схема организационной структуры.

Организационная структура предприятия: линейно-функциональная

Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.

Стоить выделить отдел АСУ (Автоматизация систем управления), так как данный отдел отвечает за работоспособность сети и, в нашем случае главное, за ее безопасность.

Функции отдела АСУ:

Поддержка рабочих мест;

Построение и прокладка сети;

Администрирование сети;

Рассмотрим несколько характерных случаев, наглядно демонстрирующих типичные инциденты, связанные с деятельностью пользователей. Все описанные ниже случаи взяты из практики и с весьма высокой степенью вероятности могут возникнуть и в организации ОК «БОР».

Случай 1. Многопоточная закачка

Сценарий. Сотрудник загружает из Интернета утилиту для многопоточного сохранения контента указанных сайтов. Указав несколько сайтов, он запускает утилиту в фоновом режиме. В результате сбоя утилита начинает выдавать 500-700 запросов в секунду в непрерывном цикле, что приводит к ситуации DoS на корпоративном прокси-сервере.

Анализ. В данном случае злой умысел со стороны сотрудника отсутствует, однако анализ ситуации показал, что применение данной утилиты не требуется для решения производственных задач. Кроме того, утилита не проходила никаких тестов со стороны администраторов сети и ее применение не было согласовано с ними, что, собственно, и привело к данной ситуации.

Решение проблемы. В политике безопасности вводится запрет на установку программного обеспечения, активно взаимодействующего с Интернетом, без согласования с администраторами и службой безопасности. После этого проводятся технические мероприятия для поиска и удаления подобных программ и блокировки их последующей установки.

Случай 2. Электронная почта

Сценарий. Желая поздравить с Новым годом коллег, сотрудник составляет базу рассылки из 1500 адресов, после чего создает письмо с Flash-мультфильмом размером в 1,5 Мбайт и запускает рассылку. Подобные операции производят также его коллеги, рассылая поздравительные письма с вложенными картинками, Flash-роликами и звуковыми файлами. В результате создается ситуация DoS на почтовом сервере и блокируется прием-отправка деловой корреспонденции.

Анализ. Это типичный пример нецелевого использования корпоративной электронной почты, обычно подобные проблемы возникают перед праздниками. Наиболее характерно данная ситуация проявляется в больших сетях (более 500 пользователей).

Решение проблемы . Технически решить подобную проблему очень сложно, так как ограничения на объем письма и количество писем в единицу времени не всегда приемлемы и малоэффективны при большом количестве пользователей. Наиболее действенная мера - разработка правил использования корпоративного почтового сервера и доведение этих правил до сведения всех пользователей.

Случай 3. Средства анализа сети

Сценарий. Недавно принятый на работу молодой программист для самообразования загружает из Интернета сканер сетевой безопасности XSpider. Для изучения его работы он выставляет настройки по максимуму и в качестве цели указывает адрес одного из корпоративных серверов. В результате средства защиты сервера регистрируют атаку, замедляется время реакции сервера на запросы пользователей.

Анализ. В данном случае злой умысел отсутствует, так как установивший данную программу пользователь сети не имел четкого представления о возможных последствиях.

Решение проблемы . В политике безопасности вводится раздел, категорически запрещающий установку и использование на рабочих местах пользователей средств активного и пассивного исследования сети, генераторов сетевых пакетов, сканеров безопасности и иных средств. Согласно данному положению применение подобных инструментов разрешается только администраторам сети и специалистам по защите информации.

Случай 4. Почтовый вирус

Сценарий. Пользователь получает письмо, содержащее явные аномалии (отправителем и получателем письма является сам пользователь, текст письма не соответствует деловой переписке или отсутствует). К письму приложен архив с неким приложением. Несмотря на инструктаж, любопытство оказывается сильнее, пользователь сохраняет архив на диск, распаковывает и запускает файл, который оказывается новой разновидностью почтового червя.

Анализ. Технические меры в данном случае бесполезны. Тот факт, что пользователь получил письмо, свидетельствует о том, что применяемый почтовый антивирус и антивирус на ПК пользователя не детектируют данную разновидность вируса.

Решение проблемы . Обучение пользователей и разработка планов проведения мероприятий в случае появления в сети почтового или сетевого червя.

Случай 5. Несанкционированное подключение модема

Сценарий. Пользователь несанкционированно подключает к своему компьютеру сотовый телефон и выходит в Интернет через GPRS-соединение. В ходе работы в Интернете на его компьютер проникает сетевой червь, который в дальнейшем пытается заразить другие компьютеры в рамках ЛВС.

Анализ. Сотовые телефоны с GPRS очень распространены, поэтому организовать точку несанкционированного подключения не составляет труда. Опасность такого подключения очень велика, так как оно не контролируется администраторами и не защищено брандмауэром.

Решение проблемы. У данной проблемы имеется два решения: техническое и административное. Для эффективной защиты необходимо применять оба: с одной стороны, политика безопасности должна строжайше запрещать пользователям подключение модемов или сотовых телефонов для выхода в Интернет, а с другой - необходимо предпринимать технические меры для блокирования такой возможности (привилегии и политики безопасности, средства мониторинга).

Случай 6. Зараженный ноутбук

Сценарий. Пользователю выдается служебный ноутбук, который он берет с собой в командировку. Там он подключается к сети, и его компьютер заражается сетевым червем. По возвращении он подключается к ЛВС, и его ноутбук становится источником заражения сети.

Анализ. Данная ситуация достаточно распространена, то есть в этом случае вирус проникает в сеть путем подключения к сети зараженного мобильного компьютера (ноутбука, КПК). Проблема усугубляется наличием в современных ноутбуках Wi-Fi-адаптеров.

Решение проблемы . Данная проблема не имеет однозначного решения. Хорошие результаты достигаются в случае установки на ноутбук антивируса и брандмауэра, причем установка производится администраторами, а пользователю строжайше запрещается их отключать или переконфигурировать.

Случай 7. Работа с электронной почтой в обход корпоративного почтового сервера

Сценарий. Пользователь заводит один или несколько почтовых ящиков в Интернете и использует их в обход корпоративного почтового сервера. В результате он получает письмо с вирусом, и его компьютер в дальнейшем становится источником заражения ЛВС.

Анализ . Это весьма распространенная ситуация. Корпоративный сервер достаточно легко защитить, установив на нем систему почтовых фильтров и антивирус (как вариант - несколько антивирусов). Работа в обход почтового сервера открывает неконтролируемую администраторами брешь в защите сети. Вышесказанное относится также к средствам онлайновых коммуникаций типа ICQ, MSN Messanger и их аналогов.

Решение проблемы. Наиболее эффективное решение - запрет для сотрудников компании на использование посторонних почтовых ящиков. С одной стороны, данный шаг кажется драконовской мерой, с другой - закрывает канал утечки информации и устраняет один из основных источников проникновения вредоносных программ в сеть.

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»

В связи с бурным ростом глобальных информационных технологий, вопросы защиты информации в IP-сетях приобретают большую актуальность. В нашем случае во внутренней локальной сети предприятия циркулирует информация, распространение которой нежелательно, и существует потребность в анализе каналов утечки и вариантов защиты. Все "слабые места" сетевых информационных систем можно условно классифицировать на два класса:

Ошибки в программном обеспечении серверов и рабочих станций, позволяющие получить полный или частичный доступ к информации, хранящейся на данной компьютере;

Ошибки при проектировании сетевых протоколов, приводящие к тому, например, что даже при корректной программной реализации того или иного протокола появляются возможности для несанкционированного доступа.

Межсетевые экраны (firewall, брандмауэр) делают возможной фильтрацию входящего и исходящего трафика, идущего через систему. Межсетевой экран использует один или более наборов ""правил"" для проверки сетевых пакетов при их входе или выходе через сетевое соединение, он или позволяет прохождение трафика или блокирует его. Правила межсетевого экрана могут проверять одну или более характеристик пакетов, включая но не ограничиваясь типом протокола, адресом хоста источника или назначения и портом источника или назначения.

Межсетевые экраны могут серьезно повысить уровень безопасности хоста или сети. Они могут быть использованы для выполнения одной или более ниже перечисленных задач:

Для защиты и изоляции приложений, сервисов и машин во внутренней сети от нежелательного трафика, приходящего из внешней сети Интернет.

Для ограничения или запрещения доступа хостов внутренней сети к сервисам внешней сети Интернет.

Для поддержки преобразования сетевых адресов (network address translation, NAT), что позволяет использование во внутренней сети приватных IP адресов (либо через один выделенный IP адрес, либо через адрес из пула автоматически присваиваемых публичных адресов).

Итак, чтобы обеспечить информационную безопасность ЛВС следует учесть следующие угрозы:

Анализ сетевого трафика с целью получения доступа к конфиденциальной информации, например к передаваемым в открытом виде по сети пользовательским паролям;
нарушение целостности передаваемой информации. При этом может модифицироваться как пользовательская, так и служебная информация, например подмена идентификатора группы, к которой принадлежит пользователь;
получение несанкционированного доступа к информационным ресурсам, например с использованием подмены одной из сторон обмена данными с целью получения доступа к файл-серверу от имени другого пользователя;
попытка совершения ряда действий от имени зарегистрированного пользователя в системе, например злоумышленник, скомпрометировав пароль администратора, может начать общаться с ЛВС от его имени.
Причинами возникновения данных угроз в общем случае могут оказаться:
наличие уязвимостей в базовых версиях сетевых протоколов. Так, при использовании стека протоколов TCP/IP нарушитель может внедрить в ЛВС ложный ARP-сервер (см. пример, приведенный далее);
уязвимости специализированных защитных механизмов. Например, причиной возникновения подмены стороны информационного обмена может служить уязвимость процедур аутентификации клиентов при доступе к серверу;
некорректное назначение уровня доступа;
использование в качестве каналов передачи данных общедоступной среды, например применение топологии построения ЛВС с общей шиной. В данном случае злоумышленник может использовать ПО (например, Network Monitor или LanAnalyzer), позволяющее просматривать все передаваемые в сети пакеты;
некорректное администрирование ОС, например задание не до конца продуманных разрешений на удаленное редактирование системного реестра (в ОС Windows NT);
ошибки в реализации ОС;
ошибки персонала.

Обеспечение защиты в соответствии с заданной политикой безопасности в ЛВС является комплексной задачей и осуществляется при помощи:

Корректного администрирования сетевых настроек ОС (в том числе и настроек, отвечающих в данной ОС за сетевую безопасность, которые являются штатными средствами большинства современных ОС);
дополнительных защитных механизмов: шифрования, ЭЦП, аутентификации сторон и др.;
организационных методов защиты и контроля за их неукоснительным соблюдением, например с использованием системы аудита.программных ... с помощью программного обеспечения... реализация или поддержка принятой политики безопасности в данной организации . Например, согласно политике безопасности ... ОК . ...

Экология и безопасность жизнедеятельности (1)

Реферат >> Экология

... бор ). ... количествах окись углерода... формирование политики» ... реализации через производственные структуры с помощью структур управления . Безопасное ... обеспечивается сетью ... фрагментов программных блоков... : локальные (... рациональную организацию используемой...

Экология и экономика природопользования

Реферат >> Экология

Роль как в экономике, так и в политике . Под экологической безопасностью понимается степень адекватности экологических... сетью поставщиков и руководством программы (дирекцией программы) - пример непосредственного влияния среды на реализацию программных ...

Информация и информатика (2)

Лекция >> Информатика

... помощью двоичных сигналов. Принцип программного управления... нажать ОК . Рамки... серверов локальных сетей , ... хрома и бора . Это... реализации ; проведение единой технической политики в области обеспечения информационной безопасности Российской Федерации; организация ...