9.3 Методы проектирования безопасности и меры и средства контроля и управления

Применяемые свойства безопасности для идентифицированных угроз

Реализуемые проекты и методы

Вирусные атаки и введение вредоносной программы

- Целостность - Управление доступом - Аутентификация

- Использование антивирусных программ на шлюзах к Интернету для сканирования всего трафика от сотрудника до Интернета. Процесс сканирования должен охватывать все сетевые протоколы, разрешенные к применению. - Сканирование файлов и всех хранимых данных на наличие вирусов и троянов, а также других видов вредоносных программ. - Верификация целостности данных/файлов с использованием алгоритмов, таких как хэширование/контрольные суммы, сертификаты. - Маршрутизация трафика, используемого для услуг доступа к Интернету, посредством небольшого количества контролируемых шлюзов безопасности.  - Активное установление подлинности содержания

Неавторизованный доступ

- Управление доступом - Аутентификация - Конфиденциальность - Безопасность связи - Целостность - Непрозрачность

- Ограниченное количество разрешений для веб-приложений при доступе к серверной базе данных. - Сегментация сети и уровни безопасность внутри демилитаризованной зоны (DMZ) для предотвращения каналов связи, направленных к корпоративным активам данных. - Безопасная регистрация пользователя для обеспечения уверенности в том, что полномочия доступа выданы подлинным пользователям - например, с привлечением к данному процессу независимого органа регистрации. - Аутентификация с использованием цифровых сертификатов, паролей, биометрии или смарт-карт. - Межсетевые экраны и списки управления доступом для предотвращения несанкционированного доступа пользователей. - Управление доступом, основанное на ролях, для ограничения функций пользователя, разрешенных к выполнению. - Анализ регистрационных журналов веб-приложений для идентификации атак и их сдерживания. - Надлежащие уровни шифрования хранимой информации. - Обеспечение уверенности в безопасном соединении между веб-браузерами и веб-серверами с использованием таких технологий, как SSLv3/TLS. - Защита основной связи с веб-сервисами с помощью, например сообщений SOAP . - Верификация целостности данных/файлов с использованием алгоритмов, таких как хэширование/контрольные суммы, сертификаты. - На уровне веб-приложений целостность данных URL , куки-файлов  или элементов скрытых форм обеспечивается: - шифрованием всех данных (даже если используется SSLv3); - использованием изменяемых временных меток; - использованием цифровой подписи или ключевого хэша для чувствительных данных. - Использование "инвертированного" прокси-сервера между веб-сервером и внешней сетью

Атаки "отказ в обслуживании"

- Доступность - Непрозрачность

- Блокирование неиспользуемых портов протоколов и услуг, чтобы предотвратить их реагирование на несанкционированное сканирование/зондирование, которые приводят к возможности лавинного распространения трафика DoS. - Исключение описательной информации из предупреждающих баннеров предотвращает получение злоумышленниками специальной информации

Фальсификация информационного наполнения транзакций

- Неотказуемость

- Подробные журналы регистрации транзакций. - Использование цифровых подписей

 SOAP (Simple Object Access Protocol) - Простой протокол доступа к объектам.  URL (Uniform Resource Locator) - Унифицированный указатель ресурса (Интернет).  Куки - небольшой фрагмент данных о предыстории обращений данного пользователя к веб-серверу, автоматически создаваемый сервером на машине пользователя.