5.6 Программно-аппаратные средства и комплексы обеспечения безопасности информации

После того, как проанализирован список угроз и составлен список классов возможных атак на систему, необходимо составление технической спецификации для реализации технологического процесса и составление перечня программно-аппаратных средств.

Для того чтобы минимизировать или предотвратить реализацию данных угроз, выбраны следующие программно-аппаратные комплексы:

1) Межсетевой экран. Устанавливается на границе локальной сети центрального офиса и Интернет.

2) Аппаратно-программный комплекс шифрования данных. Обеспечивает шифрование и целостность данных и автоматизированное установление подлинности пользователя. Установление подлинности подтверждает, что данные получены от правильного источника и посылаются по правильному адресу. Проверка целостности предотвращает изменение данных при передаче.

3) Антивирусные программы. Предотвращает реализацию угрозы по внедрению вредоносного ПО. Устанавливается на АРМ каждого сотрудника.

4) Антиспам-боты. Устанавливаются на АРМ каждого сотрудника и предотвращают возможность утечки конфиденциальной информации (логинов и паролей сотрудников) через фишинговые сайты.

5) База данных, содержащая информацию о клиентах и заказах со встроенными средствами обеспечения безопасности информации: логированием, разграничением доступа, созданием резервных копий (back up и transaction log). Располагается во внутренней сети центрального офиса сети магазинов.

6) Источники бесперебойного питания и резервный генератор.

7) Использование экранирующих маршрутизаторов. Они обеспечивают передачу данных по адресу, установленному системным администратором, а не по указанному в пакете. Это позволяет построить зону так называемой статической маршрутизации, включив в нее наиболее безопасные почтовые серверы.

Техническая спецификация программно-аппаратных средств и сравнительная характеристика каждого элемента с двумя его аналогами приведена ниже. Также присутствует обоснование выбора каждого элемента.

Сервер БД

Выбрано: Oracle Database 11g. Размер блока данных задается вручную. Сертифицирован в России. Технология Real Application Cluster, Real Application Testing. Множество предоставляемых функциональных возможностей. Гибко настраиваемая ролевая модель управления доступом. Высокая производительность, есть BitMap и Reverse индексы. Механизм материализованных представлений, хранение сложных SQL-запросов. Поддержка объектно-ориентированных типов, массивов и вложенных таблиц. Хорошая масштабируемость.

Аналог 1: Microsoft SQL Server 2008. Размер блока постоянный и равен 8Кб. Отсутствие BitMap и Reverse индексов. Поддержка не всех видов триггеров. Хорошая масштабируемость. Достаточно дорогое обслуживание.

Аналог 2: IBM DB2 UDB 9. Поддержка только локальных индексов, отсутствие BitMap и Reverse индексов. Меньше поддерживаемых вариантов партиционирования. Менее развитый механизм блокировок и обеспечение целостности чтения.

Межсетевой экран

Выбрано: Ideco ICS 3. Сертифицирован ФСТЭК (сертификат действителен до 22 февраля 2014 года). Контроль доступа, ограничение трафика, удаленное подключение, виртуальные частные сети, может использоваться как DHCP-сервер, FTP-сервер, файловый веб-архив, сервер точного времени, DNS-сервер, полноценный маршрутизатор. Подключение к провайдерам, резервирование каналов. Широкие функциональные возможности и невысокая стоимость. Небольшое время восстановление после сбоев из-за встроенной системы мониторинга.

Аналог 1: Juniper SRX100B. Пакетная фильтрация, NAT: 200 Мбит/с для IMIX-трафика (максимум 650 Мбит/с), пакетов в секунду: 75 000, защита от атак (IDP-система): 60 Mбит/с, IPSec VPN: 65 Mбит/с, одновременно установленных сессий: 512 Мбайт DRAM - 16 000, новых сессий в секунду: 2 000. 8 портов. Достаточно большое время восстановление после сбоев.

Аналог 2: D-Link DFL-1600 VPN. Нет портов DMZ, Пропускная способность межсетевого экрана (Мбит/с) 320 Мб/с, большое количество поддерживаемых алгоритмов шифрования, хорошие технические характеристики. Очень высокая стоимость.

Маршрутизаторы

Выбрано:

Аналог 1:

Аналог 2:

Антивирус

Выбрано:

Аналог 1:

Аналог 2:

Аппаратно-программный комплекс шифрования данных

Выбрано: Континент 3.5. Сертифицированное ФСБ и ФСТЭК средство построения виртуальных частных сетей (VPN) на основе глобальных сетей общего пользования, использующих протоколы семейства TCP/IP. Подключение удаленных и мобильных пользователей к VPN по защищенному каналу, разделение доступа между информационными подсистемами организации, организация защищенного взаимодействия со сторонними организациями, безопасное удаленное управление маршрутизаторами. Высокая надежность и отказоустойчивость. Простота внедрения и обслуживания. Удобство управления и поддержки. Высокая пропускная способность. Высокая масштабируемость. Поддержка всех современных протоколов и технологий. Невысокая стоимость.

Аналог 1:

Аналог 2:

Веб-сервер

Выбрано: Oracle WebLogic 11g. Хорошая техническая поддержка, масштабируемость. Создает распределенную, использующую оперативную память сеть обработки данных, объединяющую и распределяющую память среди систем. Высокая производительность. Легкая интеграция с выбранным сервером БД. Поддержка SSL. одно из лучших на данный момент средств построения и разработки порталов любой сложности. Включает в себя инструменты быстрой разработки, обеспечения безопасности и администрирования. Обновление информации на портале осуществляется с помощью тех же механизмов, что и начальная разработка, граница проходит в правах доступа к тому или иному разделу сайта. Поддерживает ограничение доступа к определённым директориям или всему серверу, основанное на IP-адресах пользователей.

Аналог 1: Apache. Самый популярный веб-сервер. Надежен.

Поддерживает множество механизмов обеспечения безопасности. Есть проблемы с лицензиями.

Аналог 2: Resin. Только для приложений Java. Много уязвимостей. Использование нативного кода для основной функциональности сервера, в частности, для работы с сокетами и файловой системой. Работает на Linux и Win32 системах.

Операционная система

Выбрано:

Аналог 1:

Аналог 2:

PoS-терминал

Выбрано:

Аналог 1:

Аналог 2:

Почтовый сервер

Выбрано:

Аналог 1:

Аналог 2:

DNS-сервер

Выбрано:

Аналог 1:

Аналог 2: