Основные программно-технические меры

Программно-технические меры образуют последний и самый важный рубеж информационной защиты. Напомним, что основную часть ущерба наносят действия легальных пользователей, по отношению к которым операционные регуляторы не могут дать решающего эффекта. Главные враги — некомпетентность и неаккуратность при выполнении служебных обязанностей, и только программно-технические меры способны им противостоять.

Компьютеры помогли автоматизировать многие области человеческой деятельности. Вполне естественным представляется желание возложить на них и обеспечение собственной безопасности. Даже физическую защиту все чаще поручают не охранникам, а интегрированным компьютерным системам, что позволяет одновременно отслеживать перемещения сотрудников и по пространству предприятия, и по информационному пространству. Это вторая причина, объясняющая важность программно-технических мер.

Мы рассмотрим следующие основные сервисы безопасности:

• идентификацию и аутентификацию,

• управление доступом,

• протоколирование и аудит,

• криптографию,

• экранирование.

Идентификация и аутентификация

Идентификацию и аутентификацию можно считать основой программно-технических средств безопасности, поскольку остальные сервисы рассчитаны на обслуживание именованных субъектов. Идентификация и аутентификация — это первая линия обороны, "проходная" информационного пространства организации. Без порядка на проходной не будет порядка и внутри охраняемой территории.

Идентификация позволяет субъекту (пользователю или процессу, действующему от имени определенного пользователя) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентификация" иногда используют сочетание "проверка подлинности".

Субъект может подтвердить свою подлинность, если предъявит по крайней мере одну из следующих сущностей:

• нечто, что он знает (пароль, личный идентификационный номер, криптографический ключ и т.п.),

• нечто, чем он владеет (личную карточку или иное устройство аналогичного назначения),

• нечто, что есть часть его самого (голос, отпечатки пальцев и т.п., то есть свои биометрические характеристики).

К сожалению, надежная идентификация и аутентификация затруднена по ряду принципиальных причин. Во-первых, компьютерная система основывается на информации в том виде, как она была получена; строго говоря, источник информации остается неизвестным. Например, злоумышленник мог воспроизвести ранее перехваченные данные. Следовательно, необходимо принять меры для безопасного ввода и передачи идентификационной и аутентификационной информации; в сетевой среде это сопряжено с особыми трудностями. Во-вторых, почти все аутентификационные сущности можно узнать, украсть или подделать. В-третьих, имеется противоречие между надежностью аутентификации с одной стороны, и удобствами пользователя и системного администратора с другой. Так, из соображений безопасности необходимо с определенной частотой просить пользователя повторно вводить аутентификационную информацию (ведь на его место мог сесть другой человек), а это не только хлопотно, но и повышает вероятность подглядывания за вводом. В-четвертых, чем надежнее средство защиты, тем оно дороже. Особенно дороги средства измерения биометрических характеристик.

Таким образом, необходимо искать компромисс между надежностью, доступностью по цене и удобством использования и администрирования средств идентификации и аутентификации. Обычно компромисс достигается за счет комбинирования первых двух из трех перечисленных выше базовых механизмов проверки подлинности; однако, в целях ясности изложения, мы рассмотрим их современную трактовку по очереди.

Наиболее распространенным средством аутентификации являются пароли. Система сравнивает введенный и ранее заданный для данного пользователя пароль; в случае совпадения подлинность пользователя считается доказанной. Другое средство, постепенно набирающее популярность, — секретные криптографические ключи пользователей.

Обратим внимание на то, что процесс идентификации и аутентификации может идти не только между пользователем и системой — его целесообразно применять и к равноправным партнерам по общению, а также для проверки подлинности источника данных (см. Разд. Рекомендации X.800). Когда аутентификации подвергаются процесс или данные, а не человек, выбор допустимых средств сужается. Компьютерные сущности не могут чем-то обладать, у них нет биометрических характеристик. Единственное, что у них есть, это информация; значит, проверка подлинности может основываться только на том, что процесс или данные знают. С другой стороны, память и терпение у компьютерных сущностей не в пример лучше человеческих, они в состоянии помнить или извлекать из соответствующих устройств и многократно применять длинные криптографические ключи, поэтому в распределенных средах методы криптографии выходят на первый план; по существу им нет альтернативы.

Любопытно отметить, что иногда фаза аутентификации отсутствует совсем (партнеру верят на слово) или носит чисто символический характер. Так, при получении письма по электронной почте вторая сторона описывается строкой "From:"; подделать ее не составляет большого труда. Порой в качестве свидетельства подлинности выступает только сетевой адрес или имя компьютера — вещь явно недостаточная для подлинного доверия. Только использование криптографии поможет навести здесь порядок. В таких условиях монополизация криптографических услуг одним ведомством и связанные с этим однобокость и замедленность развития очевидным образом вредят информационной безопасности.

Главное достоинство парольной аутентификации — простота и привычность. Пароли давно встроены в операционные системы и иные сервисы. При правильном использовании пароли могут обеспечить приемлемый для многих организаций уровень безопасности [17]. Тем не менее, по совокупности характеристик их следует признать самым слабым средством проверки подлинности.

Надежность паролей основывается на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым (имя подруги, название спортивной команды и т.п.). Однако простой пароль нетрудно угадать, особенно если знать пристрастия данного пользователя. Известна классическая история про советского разведчика Рихарда Зорге, объект внимания которого через каждое слово говорил "карамба"; разумеется, этим же словом открывался сверхсекретный сейф.

Иногда пароли с самого начала не являются тайной, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки системы производится их смена. Правда, это можно считать аспектом простоты использования программного продукта.

Ввод пароля можно подсмотреть (это называется подглядыванием из-за плеча). В экзотических случаях для подглядывания используются оптические приборы.

Пароли нередко сообщают коллегам, чтобы те смогли выполнить какие-либо нестандартные действия (например, подменить на некоторое время владельца пароля). Теоретически в подобных случаях более правильно задействовать средства управления доступом, но на практике так никто не поступает; а тайна, которую знают двое, это уже не тайна.

Пароль можно угадать методом грубой силы, используя, быть может, словарь. Если файл паролей зашифрован, но доступен на чтение, его можно перекачать к себе на компьютер и попытаться подобрать пароль, запрограммировав полный перебор (алгоритм шифрования предполагается известным).

Нередко на персональных компьютерах пароли используются как средство управления доступом. Подобную практику едва ли можно приветствовать. Во-первых, многочисленные пароли трудно использовать и администрировать. Во-вторых, они быстро становятся известными практически всем.

Пароли уязвимы по отношению к электронному перехвату. Это наиболее принципиальный недостаток, который нельзя компенсировать улучшением администрирования или обучением пользователей. Практически единственный выход — использование криптографии для шифрования паролей перед передачей по линиям связи или для того, чтобы вообще их не передавать, как это делается в сервере аутентификации Kerberos.

Тем не менее, следующие меры позволяют значительно повысить надежность парольной защиты:

• наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.);

• управление сроком действия паролей, их периодическая смена;

• ограничение доступа к файлу паролей;

• ограничение числа неудачных попыток входа в систему (это затруднит применение метода грубой силы);

• обучение пользователей (например, тому, что пароли, в отличие от обеда, лучше не разделять с другом);

• использование программных генераторов паролей [17] (такая программа, основываясь на несложных правилах, может порождать только благозвучные и, следовательно, запоминающиеся пароли).

Перечисленные меры целесообразно применять всегда, даже если наряду с паролями используются другие методы аутентификации, основанные, например, на применении токенов [19].

Токен — это предмет (устройство), владение которым подтверждает подлинность пользователя. Различают токены с памятью (пассивные, которые только хранят, но не обрабатывают информацию) и интеллектуальные токены (активные).

Самой распространенной разновидностью токенов с памятью являются карточки с магнитной полосой. Для использования подобных токенов необходимо устройство чтения, снабженное также клавиатурой и процессором. Обычно пользователь набирает на этой клавиатуре свой личный идентификационный номер, после чего процессор проверяет его совпадение с тем, что записано на карточке, а также подлинность самой карточки. Таким образом, здесь фактически применяется комбинация двух способов защиты, что существенно затрудняет действия злоумышленника — мало украсть или подделать карточку, нужно узнать еще и личный номер "жертвы".

Обратим внимание на необходимость обработки аутентификационной информации самим устройством чтения, без передачи в компьютер — это исключает возможность электронного перехвата.

Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.

Наряду с несомненными достоинствами, токены с памятью обладают и определенными недостатками. Прежде всего, они существенно дороже паролей. Их необходимо делать, раздавать пользователям, обслуживать случаи потери. Они нуждаются в специальных устройствах чтения. Пользоваться ими не очень удобно, особенно если организация установила у себя интегрированную систему безопасности. Чтобы сходить, например, в туалет, нужно вынуть карточку из устройства чтения, положить ее себе в карман, совершить моцион, вернуться, вновь вставить карточку в устройство чтения и т.д. Пользователей придется убеждать, что повышенные меры безопасности действительно необходимы.

Как известно, одним из самых мощных средств в руках злоумышленника является изменение программы аутентификации, при котором пароли не только проверяются, но и запоминаются для последующего несанкционированного использования. Выборочные обследования показали, что подобная операция была проделана хакерами на многих хостах Internet. Удивительно, что некоторые банкоматы, обслуживающие клиентов по карточкам с магнитной полосой, подверглись аналогичной модификации. Лица, получившие доступ к накопленной информации, могли подделывать карточки и пользоваться ими от имени законных владельцев. Против таких технических новинок рядовые граждане бессильны.

Интеллектуальные токены характеризуются наличием собственной вычислительной мощности. Они подразделяются на интеллектуальные карты (стандартизованные ISO) и прочие токены. Карты нуждаются в интерфейсном устройстве, прочие токены обычно обладают ручным интерфейсом (дисплеем и клавиатурой) и по внешнему виду напоминают калькуляторы. Чтобы токен начал работать, пользователь должен ввести свой личный идентификационный номер.

По принципу действия интеллектуальные токены можно разделить на следующие категории:

• Статический обмен паролями: пользователь обычным образом доказывает токену свою подлинность, затем токен проверяется компьютерной системой.

• Динамическая генерация паролей: токен генерирует пароли, периодически (например, раз в минуту) изменяя их. Компьютерная система должна иметь синхронизированный генератор паролей. Информация от токена поступает по электронному интерфейсу или набирается пользователем на клавиатуре терминала.

• Запросно-ответные системы: компьютер выдает случайное число, которое преобразуется криптографическим механизмом, встроенным в токен, после чего результат возвращается в компьютер для проверки. Здесь также возможно использование электронного или ручного интерфейса. В последнем случае пользователь читает запрос с экрана терминала, набирает его на клавиатуре токена (возможно, в это время вводится и личный номер), на дисплее токена видит ответ и переносит его на клавиатуру терминала.

Главным достоинством интеллектуальных токенов является возможность их применения при аутентификации по открытой сети. Генерируемые или выдаваемые в ответ пароли постоянно меняются, и злоумышленник не получит заметных дивидендов, даже если перехватит текущий пароль. С практической точки зрения интеллектуальные токены реализуют механизм одноразовых паролей.

Еще одним достоинством является потенциальная многофункциональность интеллектуальных токенов. Их можно применять не только для целей безопасности, но и, например, для финансовых операций.

Основным недостатком интеллектуальных токенов является их высокая стоимость. (Правда, это хотя бы отчасти можно трактовать и как достоинство, поскольку тем самым затрудняется подделка.) Если у токена нет электронного интерфейса, пользователю при аутентификации приходится совершать много манипуляций, что для владельцев дорогих устройств должно быть особенно обидно. Администрирование интеллектуальных токенов по сравнению с магнитными картами усложнено за счет необходимости управления криптографическими ключами.

За безопасность действительно приходится платить — деньгами и неудобствами.

Устройства контроля биометрических характеристик сложны и дороги, поэтому пока они применяются только в специфических организациях с высокими требованиями к безопасности.

Очень важной и трудной задачей является администрирование службы идентификации и аутентификации. Необходимо постоянно поддерживать конфиденциальность, целостность и доступность соответствующей информации, что особенно непросто в сетевой разнородной среде. Целесообразно, наряду с ранее декларировавшимся тезисом всемерной автоматизации, применить максимально возможную централизацию информации. Достичь этого можно применением выделенных серверов проверки подлинности (таких как Kerberos) или средств централизованного администрирования (таких как CA-Unicenter). Некоторые операционные системы, например, Solaris или NetWare, предлагают сетевые сервисы, которые могут служить основой централизации административных данных.

Отметим, что централизация облегчает жизнь не только системным администраторам, но и пользователям, поскольку позволяет реализовать важную концепцию единого входа. Единожды пройдя проверку подлинности, пользователь получает доступ ко всем ресурсам сети (естественно, в пределах своих полномочий).

11-Идентификация нападающего (или источника распр вредоносных программ)

Идентификация нападающего (или источника распространения вредоносных программ) является важным шагом в процессе реагирования, следующим непосредственно за локализацией нападения. В случае если нападение осуществлялось из локальной сети предприятия, при надлежащем соблюдении внутренних режимных правил эта задача может оказаться относительно легкой. В случае если нападение было совершено извне, задача идентификации нападающих принципиально усложняется и в некоторых ситуациях проблема становится практически неразрешимой.

Как правило, для обнаружения источника нападения необходимо:

• детально изучить все технические аспекты нападения;

• провести качественный анализ процесса нападения в контексте функционирования атакуемой системы защиты информации;

• организовать взаимодействие со сторонними организациями, которые могут содействовать в идентификации нападающего.

Одной из наиболее важных задач анализа процесса нападения является установление той информации, которая была известна нападающим до начала нападения и которой они воспользовались для осуществления этого нападения. В частности, в процессе такого анализа с определенной степенью уверенности можно установить, что до начала нападения злоумышленникам были известны:

• информация о структуре и составе атакуемой информационной системы (используемые программные и аппаратные средства, их архитектура и используемые настройки);

• сведения о режиме работы организации и функционирования отдельных элементов информационной системы. Сведения о регламенте некоторых бизнес-процессов предприятия;

• конкретные идентификационные данные (имена пользователей, пароли), необходимые для проникновения в информационную систему и/или правила (алгоритмы) их генерации.

Обобщение всех этих сведений может помочь установить, какие контакты были у нападающих с атакуемой компанией (а каких не было), и, сопоставляя факты, а также пользуясь методом исключения, постараться ограничить круг лиц, которые потенциально могли быть причастны к организации данного инцидента.

В свою очередь, проведение такого анализа будет возможно только в том случае, если все информационные системы и системы защиты информации настроены надлежащим образом (в частности, в них ведутся все необходимые системные журналы) и системные данные не были повреждены в процессе нападения.

Вторым важным направлением организационной и аналитической работы при установлении (идентификации) нападающих, совершивших нападение извне, является взаимодействие с администраторами систем (телекоммуникационных сетей, компьютеров, использовавшихся в качестве прокси-серверов, и т.п.), с использованием которых было осуществлено нападение. Подходы к такому взаимодействию в каждом конкретном случае, скорее всего, будут индивидуальными и могут зависеть от политики раскрытия информации администрации той сети или узла, через который осуществлялась атака. Также могут быть предприняты действия для того, чтобы в судебном порядке или с привлечением правоохранительных органов обязать администрации таких сетей и узлов предоставить необходимую информацию, связанную с произошедшим нападением.

Процесс идентификации должен по возможности проводиться с учетом того, что впоследствии необходимо будет использовать информацию о нападающих как доказательство в уголовном процессе. В частности, при снятии (копировании) необходимых лог-файлов с атакованных компьютеров представителями правоохранительных органов, ведущими следствие по данному делу, должны быть соблюдены все процессуальные формальности, предусмотренные уголовно-процессуальным законодательством. Одной из особенностей процедуры изъятия доказательств у потерпевшей стороны в этом случае является то, что понятые, присутствующие при изъятии, должны по возможности иметь хотя бы общее представление о смысле производимой процедуры¹⁾. Также на этом этапе при необходимости может быть проведена технико-криминалистическая экспертиза компьютерных систем.

12-Иерархия уровней организационной работы в сфере ИБ

Различают несколько организационных уровней, характеризующихся специфическими задачами, подходами к решению задач ИБ и используемыми организационными методами.

• Уровень международных профессиональных объединений (как правило, неправительственных и некоммерческих), так или иначе связанных со сферой информационных технологий, телекоммуникаций и информационной безопасности.

• Уровень крупных компаний, работающих в сфере информационных технологий и в значительной мере определяющих (прямо или косвенно) состояние информационной безопасности в сообществе пользователей информационных систем, а также влияющих на безопасность различных элементов информационной инфраструктуры.

• Государственный уровень – уровень государственных и межправительственных организаций, так или иначе влияющих на жизнь общества, состояние правовой системы, развитие экономики и технологий.

• Уровень отдельных компаний (предприятий и организаций) – сообщество пользователей информационных систем, так или иначе заинтересованных в собственной информационной безопасности и обеспечивающих защиту имеющихся у них информационных ресурсов собственными силами.

Также отдельно можно выделить дополнительный промежуточный уровень, включающий в себя консалтинговые и внедренческие компании, учебные центры (включая также сообщество специалистов, занимающихся консультациями, внедрениями и обучением в индивидуальном порядке), работающие в сфере информационной безопасности и действующие как связующее звено между различными организационными уровнями, а также представляющие интересы различных участников информационного взаимодействия.

Все эти составляющие образуют своеобразную организационную иерархию, представленную на рис. 1.4. [40].

Рис. 1.4.  Иерархия уровней организационной работы в сфере информационной безопасности

Следует понимать, что субъекты, находящиеся на верхних ступенях данной иерархии (в частности, государственные органы, крупные IT-корпорации), выступают не только как владельцы собственных информационных ресурсов, требующих защиты, но и как субъекты, которые воздействуют на инфраструктуру, лежащую в основе обмена и хранения информации, а также на общественно-экономические отношения, влияющие на информационную безопасность. И тот факт, что такие субъекты сами уделяют значительное внимание защите собственных ресурсов (вкладывают существенные средства в обеспечение информационной безопасности, инициируют новые разработки для собственных нужд, используют наиболее передовые технологии в этой сфере и т.п.), не должен отвлекать внимание от того обстоятельства, что эти субъекты фактически создают инфраструктуру для повседневной деятельности множества компаний, организаций, людей, профессиональных и бизнес-сообществ и используют для этого организационные методы и приемы, которые существенно отличаются по своей природе от методов, характерных для работы по обеспечению информационной безопасности отдельных субъектов и защите отдельных информационных активов.

13-Классификация угроз как источников рисков и Наиболее распространенные угрозы

Классификация угроз как источников рисков

Непосредственным источником рисков и негативных воздействий являются угрозы, под которыми понимаются потенциальные или реально возможные действия по отношению к информационным ресурсам, нарушающие информационную безопасность. Выделяется множество типов угроз и множество критериев для классификации угроз информационной безопасности. Одним из основных таких критериев является расположение источника нарушений к информационным ресурсам, в отношении которых осуществляется негативное воздействие. В соответствии с этим критерием нарушения могут быть разделены:

• на обусловленные внутренними факторами (персоналом предприятия, работой собственных информационных систем);

• обусловленные внешними факторами (злоумышленниками, не имеющими непосредственного отношения к компании – владельцу информационных активов, природными факторами и т.п.).

Другим важным критерием является наличие намерений осуществить нарушение. В соответствии с ним выделяют:

• целенаправленные воздействия (могут быть осуществлены как собственным персоналом, так и внешними противниками);

• случайные воздействия (ошибки пользователей и администраторов, сбои и случайные нарушения в работе оборудования, непредвиденные воздействия природных факторов).

Также можно выделить следующие классификации угроз:

• по объектам (персонал, материальные и финансовые средства, информация);

• по величине ущерба (предельный, значительный, незначительный);

• по вероятности возникновения (весьма вероятные, вероятные, маловероятные);

• по типу ущерба (моральный, материальный)

На практике основными наиболее распространенными способами нарушения информационной безопасности являются:

• получение несанкционированного доступа (в том числе и путем превышения прав при санкционированной работе с информационными системами) к определенным сведениям или массивам данных, распространение которых ограничено, с целью их изучения, копирования, распространения, незаконного использования и т.п.;

• несанкционированное использование информационных ресурсов (ресурсов вычислительных и телекоммуникационных систем) с целью получения выгоды или нанесения ущерба (как тем системам, которые незаконно используются, так и третьим лицам);

• несанкционированная злонамеренная модификация (изменение) данных;

• кража денежных средств в электронных платежных системах и системах "клиент-банк", а также кража бездокументарных ценных бумаг и иные формы незаконного присвоения имущественных прав;

• вывод из строя (полный или частичный) программных и аппаратных средств обработки, передачи и хранения информации;

• осуществление атак типа "отказ в обслуживании" – DoS (в частности, в отношении серверов в сети Интернет);

• распространение вирусов и других вредоносных программ, осуществляющих различные негативные воздействия.

Современная практика использования информационных систем характеризуется большим количеством и постоянным ростом числа нарушений информационной безопасности. Одним из важных факторов этого является постоянно растущая доступность современных информационных технологий для преступников, а также постоянно растущая привлекательность информационных систем как потенциальных объектов нападения. Также важным обстоятельством является постоянное усложнение и рост разнообразия используемых информационных систем и, в частности, программных продуктов. Так, например, объем (и, соответственно, сложность) одной из наиболее распространенных операционных систем – Microsoft Windows – увеличился с примерно 4 миллионов строк программного кода в 1992 году (Windows NT) до более чем 35 миллионов строк в 2000 году (Windows 2000). С учетом того, что в среднем каждая тысяча строк программного кода может содержать от 5 до 15 ошибок, появление все большего числа различных уязвимостей, создающих угрозы для информационной безопасности, становится практически неизбежным.

Наиболее распространенные угрозы

Прежде чем переходить к рассмотрению средств обеспечения информационной безопасности, рассмотрим наиболее распространенные угрозы, которым подвержены современные компьютерные системы. Знание возможных угроз, а также уязвимых мест защиты, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

Отметим, что само понятие "угроза" в разных ситуациях зачастую трактуется по-разному. Например, для подчеркнуто открытой организации может просто не существовать угроз конфиденциальности — вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ считается серьезной опасностью.

Мы попытаемся встать на точку зрения типичной (по нашему мнению) организации. Впрочем, многие угрозы (например, пожар) опасны для всех.

Самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иногда такие ошибки являются угрозами (неправильно введенные данные, ошибка в программе, вызвавшая крах системы), иногда они создают слабости, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). Обычно 65% потерь — следствие непреднамеренных ошибок. Пожары и наводнения можно считать пустяками по сравнению с безграмотностью и расхлябанностью. Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками — максимальная автоматизация и строгий контроль за правильностью совершаемых действий.

На втором месте по размерам ущерба располагаются кражи и подлоги. По данным газеты USA Today в 1992 году в результате подобных противоправных действий с использованием персональных компьютеров американским организациям был нанесен суммарный ущерб в размере 882 миллионов долларов. Можно предположить, что подлинный ущерб намного больше, поскольку многие организации по понятным причинам скрывают такие инциденты. В большинстве расследованных случаев виновниками оказывались штатные сотрудники организаций, отлично знакомые с режимом работы и защитными мерами. Еще раз мы убеждаемся в том, что внутренняя угроза гораздо опаснее внешней.

Весьма опасны так называемые обиженные сотрудники — нынешние и бывшие. Как правило, их действиями руководит желание нанести вред организации-обидчику, например:

• повредить оборудование;

• встроить логическую бомбу, которая со временем разрушит программы и/или данные;

• ввести неверные данные;

• удалить данные;

• изменить данные и т.д.

Обиженные сотрудники, даже бывшие, знакомы с порядками в организации и способны вредить весьма эффективно. Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа к информационным ресурсам аннулировались.

Угрозы, исходящие от окружающей среды, к сожалению, отличаются большим разнообразием. В первую очередь следует выделить нарушения инфраструктуры — аварии электропитания, временное отсутствие связи, перебои с водоснабжением, гражданские беспорядки и т.п. Опасны, разумеется, стихийные бедствия и события, воспринимаемые как стихийные бедствия - пожары, наводнения, землетрясения, ураганы. На долю огня, воды и аналогичных "врагов" (среди которых самый опасный — низкое качество электропитания и его перебои) приходится 13% потерь, нанесенных информационным системам.

Много говорят и пишут о хакерах, но исходящая от них угроза зачастую преувеличивается. Верно, что почти каждый Internet-сервер по нескольку раз в день подвергается попыткам проникновения; верно, что иногда такие попытки оказываются удачными; верно, что изредка подобные действия связаны со шпионажем. Однако в целом ущерб от деятельности хакеров (в сравнении с другими угрозами) представляется не столь уж значительным. Вероятно, больше всего пугает непредсказуемость действий людей такого сорта. Представьте себе, что в любой момент к Вам в квартиру могут забраться посторонние люди. Даже если они не имеют злого умысла, а зашли просто так, посмотреть, нет ли чего интересного, приятного в этом мало.

Много говорят и пишут и о программных вирусах. Как показали исследования, несмотря на экспоненциальный рост числа известных вирусов, аналогичного роста количества инцидентов, вызванных вирусами, не зарегистрировано. Соблюдение несложных правил компьютерной гигиены сводит риск заражения практически к нулю. Там где работают, а не играют, число зараженных компьютеров составляет лишь доли процента.

Мы не будем останавливаться на уточнении понятий "зловредный код", "вирус", "червь", "Троянский конь". Справедливости ради отметим лишь, что зловредный код поражает не только персональные компьютеры, но и системы других типов.

Таковы основные угрозы, на долю которых приходится львиная доля урона, наносимого информационным системам.

14-КОНДОР 2006 – инструмент для разработки и управления политикой безопасности

Система разработки и управления политикой информационной безопасности

КОНДОР 2006 – современный и удобный инструмент для разработки и управления политикой безопасности информационной системы компании на основе лучших стандартов (ISO 17799:2000, ISO 17799:2005, ISO 27001). КОНДОР 2006 позволит Вам использовать не только поставляемые с программой базы стандартов, но также самостоятельно создавать и работать с любыми другими стандартами и базами требований, в том числе и с корпоративными стандартами Вашей компании.

Система разработки и управления политикой информационной безопасности

КОНДОР 2006 – эффективная система разработки и управления политикой безопасности информационной системы компании на основе лучших международный стандартов - ISO 17799:2000, ISO 17799:2005, ISO 27001. Это современный и удобный инструмент для разработки всех основных положений политики информационной безопасности Вашей компании и управления процессом внедрения этих положений на практике.

Международный стандарт менеджмента безопасности ISO/IEC 17799 разработан на базе британского BS 7799, который предназначен для управления информационной безопасностью организации вне зависимости от ее сферы деятельности.

КОНДОР 2006 содержит также новую версию стандарта – ISO 17799:2005, описывающую такие аспекты управления информационной безопасности, как:

- политика безопасности - организационные методы обеспечения информационной безопасности - управление ресурсами - пользователи информационной системы - физическая безопасность - управление коммуникациями и процессами - контроль доступа - приобретение, разработка и сопровождение информационных систем - управление инцидентами информационной безопасности - управление непрерывностью ведения бизнеса - соответствие системы требованиям

КОНДОР 2006 кроме ISO 17799:2000 и ISO 17799:2005 содержит также стандарт 27001, по которому сертифицируют системы управления информационной безопасностью.

При помощи модуля редактора баз, Вы сможете редактировать базы, включенные в комплект поставки, а также самостоятельно создавать требуемые Вам базы стандартов.

КОНДОР 2006 в простой и удобной форме поможет разработать с нуля, проанализировать существующую политику безопасности, разработать и внедрить изменения и дополнения в соответствии с лучшими международными стандартами.

Система КОНДОР 2006 состоит из баз лучших стандартов управления информационной безопасностью (ISO 17799:2000, ISO 17799:2005, ISO 27001, СТО БР ИББС-1.0-2006*), представленных в виде перечня требований. Анализируя выполнение каждого требования, Вы получаете полную картину - какие в Вашей системе положения выполняются, а какие нет. У каждого положения стандарта задан по умолчанию вес, который характеризует степень критичности данного положения для поддержания необходимого уровня защищенности. Значения весов проставлены на основе опыта экспертов Digital Security. Учитывая, что универсальные значения весов не могут учесть все особенности различных компаний, в программе предусмотрена возможность изменения весов при работе с положениями стандарта.

После того, как даны все ответы, для анализа дальнейших действий в системе КОНДОР 2006 предусмотрен модуль управления контрмерами. В нем отражаются все невыполненные в Вашей компании положения стандартов. Причем Вы можете задать пороговое значение весов, чтобы отображались только критичные для Вас положения стандарта, которые не выполнены. После задания контрмеры к невыполненному положению Вы видите соотношение стоимости данной контрмеры и величины, на которую изменилось значение критичности всех невыполненных требований. Таким образом, Вы можете расставить приоритеты и заранее оценить эффективность планируемых мероприятий при разработке или работе с уже существующей политикой информационной безопасности Вашей компании.

КОНДОР 2006 позволит Вам использовать не только поставляемые с программой базы стандартов. Редактор баз требований, поставляемый вместе с системой КОНДОР 2006, дает возможность самостоятельно создавать и работать с любыми другими стандартами и базами требований, в том числе и с корпоративными стандартами Вашей компании.

* - база СТО БР ИББС-1.0-2006 не входит в стандартный комплект поставки.

Скриншоты

Анализ политики безопасности

http://www.dsec.ru/img/screenshot/kondor_vid.jpg

Управление контрмерами

http://www.dsec.ru/img/screenshot/kondor_kontrmeri.jpg

Редактор баз требований http://www.dsec.ru/img/screenshot/base_editor.png

Работа с периодами

http://www.dsec.ru/img/screenshot/kondor_periodi.jpg

Отчет

http://www.dsec.ru/img/screenshot/kondor_otchet2006.jpg

Справочные материалы

http://www.dsec.ru/img/screenshot/kondor_man1.jpg

Система КОНДОР 2006 содержит подробное справочное руководство, которое полностью описывает все этапы работы:

Кроме описания работы с системой, в справочных материалах Вы найдете описания принципов работы алгоритма, различные рекомендации экспертов, которые Вам помогут при занесении данных и работе с полученными результатами.

Кроме справочных материалов, для более эффективной работы, Вы можете воспользоваться Поддержкой.

Поддержка продукта

Для всех пользователей программного обеспечения Digital Security доступны различные варианты поддержки.

• Поддержка

• Расширенная поддержка

Поддержка

Поддержка включает в себя:

• Консультации по установке, настройке и эксплуатации программного обеспечения по телефону и электронной почте;

• Бесплатное получение обновлений приобретенной версии системы

Стоимость годовой поддержки - 20% от стоимости приобретаемой лицензии.

Расширенная поддержка *

Расширенная поддержка включает в себя:

• Консультации по установке, настройке и эксплуатации программного обеспечения по телефону и электронной почте;

• Бесплатное получение обновлений приобретенной версии системы;

• Сопровождение специалистов, работающих с системой: консультации по занесению данных, анализ отчетов, рекомендации и консультации по результатам анализа

Стоимость годовой расширенной поддержки - 40% от стоимости приобретаемой лицензии.

Режим работы службы поддержки:

Работа со службой поддержки доступна с 10:00 до 19:00 (по московскому времени) каждый день кроме выходных.

Координаты службы поддержки:

Служба поддержки доступна по электронной почте support@dsec.ru. Также Вы можете связаться со службой поддержки по телефонам +7(812)703-1547, 430-9130. Срок обработки запроса службой поддержки не превышает 24 часов (в рабочие дни).

15-Контроль выполнения требований политики ИБ и проведения аудитов

Департамент информационной безопасности.

Функции, связанные с контролем выполнения требований политики информационной безопасности и проведением аудитов

могут включать в себя:

• сбор и анализ сведений о нарушениях различных требований политики безопасности, поступающих из различных источников (в том числе и от администраторов информационных систем) и определение приоритетных направлений контрольной работы;

• проверку организационной документации отдельных подразделений предприятия на предмет соответствия требованиям политики информационной безопасности (в том числе и своевременности внесения всех необходимых изменений в действующие внутренние организационные документы);

• проверку состояния (правильности ведения) текущей хозяйственной и кадровой документации отдельных подразделений предприятия, связанной с обеспечением информационной безопасности (правильности и своевременности заполнения журналов, своевременность оформления обязательств о неразглашении сведений сотрудниками и т.п.);

• проведение комплексных аудитов информационной безопасности на предприятии;

• организацию контрольных проверок защищенности отдельных элементов информационных систем (серверов, сегментов сети и т.п.);

• привлечение сторонних организаций для проведения аудитов информационной безопасности на предприятии, проверок надежности информационных систем.

Кроме перечисленных функций, непосредственно связанных с защитой информационных ресурсов, также большое значение имеет выполнение функций, связанных с охраной имущества предприятия и решением задач, которые связаны с обеспечением безопасности предприятия в более широком смысле. В частности, для обеспечения информационной безопасности имеет значение выполнение таких функций, как:

• охрана территории и имущества предприятия, а также охрана персонала;

• обеспечение соблюдения пропускного режима;

• наблюдение за территорией и помещениями (в том числе при помощи видеокамер);

• контроль за ввозом на территорию предприятия и вывозом готовой продукции, материалов, документов и другого имущества;

• организация внутренних служебных проверок и расследований, а также взаимодействия с правоохранительными органами;

• контроль за соблюдением временного режима работы, а также за соблюдением правил внутреннего распорядка.

16-Локализация и устранение последствий инцендента

Локализация и устранение последствий является основным этапом, в рамках которого, собственно, осуществляется реагирование на инцидент. На этом этапе происходит:

• определение конкретных параметров нарушения (нападения), его характера (конкретных сегментов сети, серверов, групп рабочих станций, приложений, затронутых нападением);

• предварительный анализ действий нарушителя и сценария произошедшего (происходящего) нападения, алгоритма работы появившегося вируса и т.п.;

• блокирование действий нарушителя (если нарушение является длящимся);

• блокирование (полное или частичное) работы информационной системы (сервера, базы данных, сегмента сети и т.п.) с целью недопущения дальнейших разрушительных действий, распространения вредоносных программ или утечки конфиденциальной информации.

Прекращение нападения и восстановление нормальной работы информационных систем может потребовать скоординированных действий не только самих сотрудников департамента информационной безопасности, но и:

• специалистов ИТ-подразделений, отвечающих за атакуемые информационные сервисы;

• пользователей атакованных информационных систем;

• предприятий-партнеров, имеющих отношение к атакованным информационным ресурсам;

• разработчиков и поставщиков атакованных информационных систем;

• поставщиков телекоммуникационных услуг, через которых осуществляется атака;

• сторонних консультантов, специализирующихся на соответствующих проблемах информационной безопасности.

Одним из наиболее важных обстоятельств работы на данном этапе является то, какими полномочиями обладает специалист (дежурный), отвечающий за реагирование на инциденты. В частности, необходимо заранее предусмотреть возможность оперативного самостоятельного отключения тех или иных информационных сервисов специалистами по реагированию на инциденты (самостоятельно, либо через соответствующее ИТ-подразделение). Особую важность имеет способность ответственных специалистов оперативно оценить ситуацию, провести ее анализ (в большинстве практических ситуаций это необходимо будет делать по неполным данным о нападающей стороне) и принять решение о приостановке работы тех или иных информационных сервисов, до выявления и устранения угроз и/или введения в действие дополнительных средств противодействия вторжениям. При принятии такого решения необходимо учитывать (как правило, на основе экспертных оценок) как возможный ущерб, который может быть вызван выявленным нарушением, так и возможный ущерб от остановки информационных сервисов, которая (остановка) может быть осуществлена с целью предотвращения ущерба от действий нападающей стороны.

Характерным примером такой ситуации является нападение на систему электронной торговли, когда нападающая сторона может нанести серьезный ущерб (похитить конфиденциальную информацию участников торговых сделок, самостоятельно совершить незаконные сделки от имени участников торговой системы и т.п.), а остановка сервиса с целью предотвращения такого ущерба может привести к потерям, связанным с упущенной выгодой от несовершенных сделок и ущербом для деловой репутации. Другим примером такой ситуации является реагирование на распределенные атаки типа "отказ в обслуживании" (Distributed Deny of Service, DDoS), часто осуществляемые на серверы в сети Интернет, когда может быть необходимо на некоторое время полностью отключить сервер как в ущерб пользователям, так и в ущерб владельцам информационных ресурсов, расположенных на сервере.

Основой для принятия решений может быть заранее сформированный перечень (справочник) возможных основных инцидентов и признаков нарушений (проникновений), в котором может быть приведена оценка рисков суммарных потерь и рекомендованные действия для каждого типа нарушений (в том числе и перечень ситуаций, когда необходимо осуществить отключение сервисов во избежание утечки или нарушения целостности информации, являющейся наиболее критичной для всей деятельности предприятия).

17-Методы обеспечения безотказности

Методы обеспечения безотказности

Безотказность сервисов и служб хранения данных достигается с помощью систем самотестирования и внесения избыточности на различных уровнях : аппаратном, программном, информационном.

Методы поддержания безотказности являются смежной областью в схемах комплексной информационной безопасности предприятия.

Основным методом в этой сфере является внесение избыточности. Она может реализовываться в системе на трех уровнях :

-уровне данных (или информации),

-уровне сервисов (или приложений)

-и уровне аппаратного обеспечения.

Внесение избыточности на уровне данных практикуется достаточно давно : это резервное копирование и помехоустойчивое кодирование. Резервное копирование выполняется обычно при хранении информации на современных запоминающих устройствах (поскольку для них в аварийной ситуации характерен выход из строя больших блоков данных целиком – трудновосстановимое с помощью помехоустойчивого кодирования повреждение). А вот использование кодов с обнаружением и некоторым потенциалом для исправления ошибок получило широкое применение в средствах телекоммуникации.

Внесение избыточности на уровне приложений используется гораздо реже. Однако, многие, особенно сетевые, службы изначально поддерживают возможность работы с резервным или вообще с неограниченным заранее неизвестным количеством альтернативных служб. Введение такой возможности рекомендуется при разработке программного обеспечения, однако, сам процесс автоматического переключения на альтернативную службу должен подтвержаться криптографическим обменом первоначальной (установочной) информацией. Это необходимо делать для того, чтобы злоумышленник не мог, выведя из строя реальный сервис, навязать Вашей программе свой сервис с фальсифицированной информацией.

Внесение избыточности на аппаратном уровне реализуется обычно в отношении периферийных устройств (накопители на гибких и жестких дисках, сетевые и видео- адаптеры, мониторы, устройства ввода информации от пользователя). Это связано с тем, что дублирование работы основных компонентов ЭВМ (процессора, ОЗУ) гораздо проще выполнить, установив просто полноценную дублирующую ЭВМ с теми же функциями. Для автоматического определения работоспособности ЭВМ в программное обеспечение встраиваются либо

1) проверка контрольных сумм информации, либо

2) тестовые примеры с заведомо известным результатом, запускаемые время от времени, либо

3) монтирование трех и более дублирующих устройств и сверка их выходных результаты по мажоритарному правилу (каких результатов больше – те и есть правильные, а машины, выдавшие не такие результаты, выведены из строя).

18-Наиболее распространенные угрозы