Протоколирование и аудит.
Подсистема протоколирования и аудита является обязательным компонентом любой АС. Протоколирование, или регистрация, представляет собой механизм подотчётности системы обеспечения информаионной безопасности, фиксирующий все события, относящиеся к вопросам безопасности. В свою очередь, аудит – это анализ протоколируемой информации с целью оперативного выявления и предотвращения нарушений режима информационной безопасности.
Системы обнаружения вторжений уровня хоста можно рассматривать как системы активного аудита.
Назначение механизма регистрации и аудита:
- обеспечение подотчётности пользователей и администраторов;
- обеспечение возможности реконструкции последовательности событий (что
бывает необходимо, например, при расследовании инцидентов, связанных с
информационной безопасностью);
- обнаружение попыток нарушения информационной безопасности;
- предоставление информации для выявления и анализа технических проблем, не
связанных с безопасностью. Протоколируемые данные помещаются в регистрационный журнал, который представляет собой хронологически упорядоченную совокупность записей результатов деятельности субъектов АС, достаточную для восстановления, просмотра и анализа последовательности действий с целью контроля конечного результата.
Типовая запись регистрационного журнала выглядит следующим образом (рис. 1.3.7.1).
Поскольку системные журналы являются основным источником информации для последующего аудита и выявления нарушений безопасности, вопросу защиты системных журналов от несанкционированной модификации должно уделяться самое пристальное внимание. Система протоколирования должна быть спроектирована таким образом, чтобы ни один пользователь (включая администраторов!) не мог произвольным образом модифицировать записи системных журналов.
Не менее важен вопрос о порядке хранения системных журналов. Поскольку файлы журналов хранятся на том или ином носителе, неизбежно возникает проблема переполнения максимально допустимого объма системного журнала. При этом реакция системы может быть различной, например:
- система может быть заблокирована вплоть до решения проблемы с доступным дисковым пространством;
- могут быть автоматически удалены самые старые записи системных журналов;
- система может продолжить функционирование, временно приостановив протоколирование информации.
Безусловно, последний вариант в большинстве случаев является неприемлемым, и порядок хранения системных журналов должен быть чётко регламентирован в политике безопасности организации.
Принципы обеспечения целостности информации.
Большинство механизмов, реализующих защиту информации от угроз нарушения конфиденциальности, в той или иной степени способствуют обеспечению целостности информации. В данном разделе мы остановимся более подробно на механизмах, специфичных для подсистемы обеспечения целостности.
Сформулируем для начала основные принципы обеспечения целостности, сформулированные Кларком и Вилсоном :
1. Корректность транзакций. Принцип требует обеспечения невозможности произвольной модификации
данных пользователем. Данные должны модифицироваться исключительно таким образом, чтобы обеспечивалось сохранение их целостности.
2. Аутентификация пользователей. Изменение данных может осуществляться только аутентифицированными для
выполнения соответствующих действий пользователями.
3. Минимизация привилегий.Процессы должны быть наделены теми и только теми привилегиями в АС,
которые минимально достаточны для их выполнения.
4. Разделение обязанностей. Для выполнения критических или необратимых операций требуется участие
нескольких независимых пользователей. На практике разделение обязанностей может быть реализовано либо исключительно организационными методами, либо с использованием криптографических схем разделения секрета.
5. Аудит произошедших событий. Данный принцип требует создания механизма подотчётности пользователей,
позволяющего отследить моменты нарушения целостности информации.
6. Объективный контроль. Необходимо реализовать оперативное выделение данных, контроль целостности которых является оправданным. Действительно, в большинстве случаев строго контролировать целостность всех данных, присутствующих в системе, нецелесообразно хотя бы из соображений производительности: контроль целостности является крайне ресурсоёмкой операцией.
7. Управление передачей привилегий. Порядок передачи привилегий должен полностью соответствовать организационной структуре предприятия. Перечисленные принципы позволяют сформировать общую структуру системы защиты от угроз нарушения целостности (рис. 1.4.1).
Как видно из рис. 1.4.1, принципиально новыми по сравнению с сервисами,
применявшимися для построения системы защиты от угроз нарушения
конфиденциальности, являются криптографические механизмы обеспечения целостности.
Отметим, что механизмы обеспечения корректности транзакций также могут включать в
семя криптографические примитивы.