Програмне забезпечення системи
Програмна частина Сall-центру повинна коректно функціонувати під управлінням діючої операційної системи.
Система не повинна накладати інших обмежень на склад програмного забезпечення, що встановлюється на комп'ютери користувачів, повинна бути забезпечена незалежність системного і прикладного програмного забезпечення від СВТ та інших компонент зовнішнього середовища.
В якості програмного забезпечення повинні застосовуватися програмні продукти »:
• Операційна система: на сервері Call-центру - «Linux Fedora», на робочих станціях користувачів - MS Windows 2000 / XP / 2003;
• ВО «Naumen SoftPhone»;
• Драйвера USB-телефонів.
Технічне забезпечення
Комплекс технічних засобів повинен забезпечувати можливість нарощування по продуктивності без зміни програмного забезпечення.
Підсистеми зберігання інформації повинні бути забезпечені пристроями автоматичного резервного копіювання даних.
Апаратну частину системи не слід піддавати дії прямих сонячних променів, високої вологості, різко високою або різко низькій температурі.
2. Методи протидії зовнішнім і внутрішнім загрозам
2.1 Методи протидії зовнішнім і внутрішнім загрозам інформаційної безпеки.
Таким чином, для вирішення проблеми в комплексі необхідно планувати проведення програмно-технічних заходів щодо захисту мережі і циркулюючої по ній інформації від несанкціонованого доступу, закупівлю відповідного програмного і апаратного забезпечення, розробити заходи щодо забезпечення загального режиму безпеки, а також спеціальні заходи щодо забезпечення особливого режиму використання критичної інформації і доступу до неї.
Організаційно-технічні заходи щодо забезпечення режиму інформаційної безпеки. Для забезпечення режиму інформаційної безпеки в рамках органу внутрішніх справ доцільно вжити наступні заходи:
- узяти під жорсткий контроль всі канали зв’язку, по яких корпоративна мережа може сполучатися із зовнішнім світом (телефонні комутовані, виділені, цифрові, радіоканали тощо);
- організувати розмежування доступу в мережі до різних інформаційних ресурсів шляхом розбиття мережі на ізольовані сегменти, для кожної групи користувачів мережі надати строго тільки необхідні ресурси;
- виділити експлуатований WWW-сервер в окремий ізольований сегмент, а при необхідності і фізично ізолювати його від решти мережі;
- видалити (заблокувати) на експлуатованих в мережі комп’ютерах накопичувачі на змінних носіях, видалити або опечатати шлейфи невживаних комунікаційних портів, для інших встановити нестандартні зовнішні роз’єми, експлуатація яких без спеціального ключа (перехідника) неможлива, при нагоді використовувати як робочі місця термінали замість персональних комп’ютерів;
- ключі для комунікаційних портів зберігати в опечатаних пеналах в металевому сховищі і видавати строго певним співробітникам;
- перенесення будь-якої інформації з комп’ютера на комп’ютер крім мережі здійснювати тільки на одному зовнішньому накопичувачі, при цьому займатися цим повинен один конкретний співробітник, який має нести персональну відповідальність за збереження інформації;
- носії, на яких фізично розміщується критично важлива інформація, помістити в контейнери типу Mobil rack, опечатувати замки і передню панель контейнера при експлуатації масиву, в неробочий час поміщати контейнер в металеве сховище (сейф);
- офіційно призначити співробітника, який несе відповідальність за захист інформації на підприємстві (в організації), визначити коло його обов’язків (За законом відповідальність за захист інформації несе керівник органу. Він може призначити наказом відповідального або службу захисту інформації);
- провести суцільну перевірку комп’ютерів, що експлуатуються на підприємстві (в організації) на предмет нештатних закладок або підключень, після перевірки корпуси комп’ютерів опечатати;
- для припинення спроб зняття інформації з працюючих комп’ютерів шляхом візуального спостереження або сканування електромагнітної сигнатури обладнати вікна в приміщеннях, в яких розміщуються комп’ютери, внутрішніми жорсткими металевими жалюзі, зобов’язати персонал закривати жалюзі при обробці критичної інформації;
- для збереження найкритичнішої інформації як зберігається на носіях, так і переміщається по мережі, застосовувати криптографічне програмне забезпечення, що використовує сучасні алгоритми шифрування;
- постійно сканувати простір корпоративної мережі і поступаючи ззовні інформацію антивірусними програмами, регулярно обновляти бази даних антивірусів, зобов’язати персонал систематично перевіряти носії, особливо змінні, а також вхідну пошту, на предмет наявності вірусів;
- встановити дисциплінарну відповідальність персоналу за порушення режиму інформаційної безпеки і недбале відношення до збереження інформації, кожний випадок порушення режиму і вжиті відносно порушника дисциплінарні заходи доводити до зведення колективу, акцентувати увагу персоналу на тому, що розповсюдження шкідливих програм (вірусів) і порушення правил експлуатації комп’ютерів і їх мереж, що призвело втрату (пошкодження) інформації, в даний час є кримінально караними діяннями;
- встановити штатно передбачені паролі на доступ до BIOS комп’ютерів, на комп’ютерах, які містять критичну інформацію додатково встановити паролі на завантаження, передбачити систему парольної ідентифікації користувачів в мережі, ведення протоколів роботи користувачів;
- встановити в корпоративній мережі внутрішні POP, SMTP, Proxy HTTP/FTP серверу, все спілкування користувачів мережі із зовнішнім світом здійснювати тільки через ці серверу, встановити на них програмне забезпечення для об’єктивного контролю за вмістом інформації, яка циркулює через них;
- встановити на комп’ютерах, у тому числі і не підключених до мережі, засобів об'єктивного контролю за діяльність персоналу;
- встановити програмну систему моніторингу руху пакетів в корпоративній мережі і доступу до критичної інформації, вести протоколювання доступу до подібної інформації;
- встановити програмну систему типу расket sniffer для сканування мережі, при виникненні ризику порушення режиму безпеки переводити її в режим перехоплення пакетів;
- призначити конкретного співробітника, який займатиметься аналізом результатів роботи засобів об’єктивного контролю, контролювати стан безпеки мережі і при виникненні нештатних ситуацій вживати заходи по негайному реагуванню;
- систематично перевіряти дотримання режиму інформаційної безпеки - збереження печаток на устаткуванні, ключів комунікаційних портів, зовнішніх і змінних носіїв, носіїв у контейнерах, наявність нетабельних комунікаційних пристроїв і носіїв на робочих місцях персоналу, наявність комп’ютерів, залишених персоналом у включеному стані без нагляду.
Короткі рекомендації з організації розмежованого доступу в мережі для невеликої організації. Початкові дані: є локальна мережа, яка об’єднує декілька відділів (або інших структурних підрозділів), Web-сервер і доступ до Інтернет.
Потрібен: розмежувати права доступу на рівні відділів/підрозділів до ресурсів інших підрозділів і забезпечення безпеки при роботі з Інтернетом в плані несанкціонованого доступу з Інтернету до внутрішньої мережі організації.
Пропонується наступне рішення: мережа організації розбивається на сегменти за допомогою збору сегментів мережі на РІЗНИХ концентраторах (хабах). Усередині одного сегменту передбачається, що всі машини мають однаковий рівень доступу. В центрі мережі ставиться машина під ОС Linux з набудованими правилами фільтрації. Для кожного сегменту в сервері передбачається окрема мережна платня.
Доступ з одного сегменту в інший може бути дозволений або заборонений повністю або частково. Під частковим обмеженням доступу слід розуміти наступні види обмежень:
1. По IP-адресі джерела і приймача пакету.
2. По протоколу TCP/UDP/ICMP.
3. По порту джерела і приймача пакету.
4. По ознаці SYN/ACK (ініціатор/відповідач).
5. По інтерфейсах головного маршрутизатора.
Крім того, може бути виконана жорстка прив’язка IP-адрес до MAC- адрес мережної плати на робочих машинах при їх роботі з/через головний маршрутизатор, що утрудняє просту перестановку IP адреси навіть усередині одного сегменту з машини на машину для запобігання представленню однієї машини реквізитами іншої в мережі. (Правда при цьому не виключається перестановка мережної плати фізично з машини на машину або, за наявності у мережній платі такої можливості, перепрограмування її MAC-адреси на апаратному рівні. Проте ці дії вимагають високої кваліфікації користувача, легко виявляються при дубляжі MAC-адрес у вигляді порушення роботи двох робочих машин у мережі).
Приклад схеми приведений на рис. 2.1.
Рисунок 2.1 - Приклад сегментації мережі
На рис. 2.1 показано 3 підмережі для організації 3 роздільних сегментів, внутрішній трафік яких не може прослуховуватися в режимі сніффування з іншого сегменту мережі. WWW-сервер у вказаному прикладі винесений в окремий сегмент на окрему машину. Це виправдано, якщо потрібна велика закритість і надійність машини під Linux. Хоча у багатьох випадках WWW сервер може бути розміщений прямо на Linux-машині. Доступ при цьому до даного WWW серверу може бути розмежовано за описаних вище умов незалежно від того на окремій машині або на машині-маршрутизаторі знаходиться WWW.
Адміністрування власне Linux і WWW серверів може проводитися з самого серверу або з будь-якої з робочих станцій. Доступ для адміністрування може бути додатково захищено від прослуховування трафіку усередині свого сегменту.
Всі вище перелічені обмеження застосовні і до виходу через даний Linux-сервер в Інтернет і для блокування несанкціонованого проникнення з інтернету у внутрішні сегменти. Крім того на даному Linux-сервері можуть бути встановлені proxy-сервери для доступу до Інтернету, у тому числі і з можливістю фільтрації запрошуваних доменних імен при серфінгу по Інтернету для блокування відвідування небажаних сайтів.
Крім того, може бути на базі Linux організовано поштовий сервер SMTP/POP3 і модемні підключення для доступу ззовні.
Всі описані рішення практично незалежні і можуть додаватися поступово за мірою необхідності.