Навігація
Головна
 
Головна arrow Інформатика arrow Інформаційні системи і технології в економіці і управлінні
< Попередня   ЗМІСТ   Наступна >

Етапи побудови системи безпеки ІС

Концепція інформаційної безпеки визначає етапи побудови системи інформаційної безпеки у відповідності зі стандартизованим життєвим циклом ІС: аудит безпеки (обстеження) існуючої системи захисту ІВ, аналіз ризиків, формування вимог і вироблення першочергових заходів захисту, проектування, впровадження та атестація, супровід системи. Розглянемо коротко зміст окремих етапів.

Аудит безпеки. Аудит безпеки може включати в себе, принаймні, чотири різних групи робіт.

До першої групи належать так звані тестові зломи ІС. Ці тести застосовуються, як правило, на початкових стадіях обстеження захищеності ІС. Причина малої ефективності тестових зломів ховається в самій постановці завдання. Дійсно, основним завданням зломщика є виявлення декількох вразливостей і їх використання для доступу в систему. Якщо тест виявився успішним, то, запобігши потенційний розвиток можливих сценаріїв злому, роботу треба починати спочатку і шукати наступні. Неуспіх злому може означати в рівній мірі як захищеність системи, так і недостатність тестів.

Друга група - експрес-обстеження. У рамках цієї, зазвичай нетривалої роботи оцінюється загальний стан механізмів безпеки в обстежуваній ІС на основі стандартизованих перевірок. Експрес-обстеження зазвичай проводиться у разі, коли необхідно визначити пріоритетні напрямки, що дозволяють забезпечити мінімальний рівень захисту інформаційних ресурсів. Основу для нього складають списки контрольних питань, які заповнюються в результаті як інтерв'ювання, так і тестової роботи автоматизованих сканерів захищеності.

Третя група робіт з аудиту - атестація систем на відповідність вимогам захищеності інформаційних ресурсів. При цьому відбувається формальна перевірка набору вимог як організаційного, так і технічного аспектів, розглядаються повнота і достатність реалізації механізмів безпеки. Типова методика аналізу корпоративної інформаційної захищеності складається їх сукупності таких методів:

  • o вивчення вихідних даних по структурі, архітектурі, інфраструктурі і конфігурації ІС на момент обстеження;
  • o попередня оцінка ризиків, пов'язаних із здійсненням погроз безпеки щодо технічних та інформаційних ресурсів;
  • o аналіз механізмів безпеки організаційного рівня, політики безпеки організації та організаційно-розпорядився

тельной документації щодо забезпечення режиму ІБ і оцінка їх відповідності вимогам існуючих стандартів і нормативних документів, а також їх адекватності існуючим ризикам;

  • o аналіз конфігураційних файлів маршрутизаторів і Ргоху-серверів, поштових та DNS-серверів (Domain Name System), шлюзів віртуальних приватних мереж (VPN), інших критичних елементів мережевої інфраструктури;
  • o сканування зовнішніх мережевих адрес локальної мережі;
  • o сканування ресурсів локальної мережі зсередини;
  • o аналіз конфігурації серверів і робочих станцій за допомогою спеціалізованих програмних агентів.

Перераховані технічні методи передбачають застосування як активного, так і пасивного тестування системи захисту. Активне тестування полягає в моделюванні дій потенційного зловмисника; а пасивне - передбачає аналіз конфігурації ОС і додатків по шаблонах з використанням списків перевірки. Тестування може проводитися вручну або з використанням спеціалізованих програмних засобів.

При аналізі конфігурації засобів захисту для зовнішнього периметра локальної мережі та управління міжмережевими взаємодіями особлива увага звертається на наступні аспекти:

  • o настройка правил розмежування доступу (фільтрація мережевих пакетів);
  • o використовувані схеми та налаштування параметрів аутентифікації;
  • o настройка параметрів системи реєстрації подій;
  • o використання механізмів, що забезпечують приховування топології мережі, що захищається (наприклад, трансляція мережевих адрес);
  • o настройка механізмів оповіщення про атаки і реагування;
  • o наявність і працездатність засобів контролю цілісності;
  • o версії використовуваного ПЗ і встановлені оновлення.

Аналіз конфігурації передбачає перевірку правильності встановлення сотень різних параметрів. Для автоматизації цього процесу можуть використовуватися спеціалізовані програмні засоби аналізу захищеності, вибір яких в даний час досить широкий.

Один із сучасних і швидко розвиваються методів автоматизації процесів аналізу та контролю захищеності розподілених комп'ютерних систем - використання технології інтелектуальних програмних агентів. На кожну з контрольованих систем встановлюється програмний агент, який виконує відповідні налаштування ПО, перевіряє їх правильність, контролює цілісність файлів, своєчасність установки оновлень, а також вирішує інші завдання з контролю захищеності ІС. Управління агентами здійснює по мережі програма-менеджер. Такі менеджерм, є центральними компонентами подібних систем, посилають керуючі команди всім агентам контрольованого ними домену і зберігають всі отримані від агентів дані в центральній БД. Адміністратор управляє менеджерами за допомогою графічної консолі, що дозволяє вибирати, налаштовувати і створювати політики безпеки, аналізувати зміни стану системи, здійснювати ранжування вразливостей і т.п. Всі взаємодії між агентами, менеджерами і керуючої консоллю здійснюються по захищеному клієнт-серверному протоколу. Такий підхід, наприклад, використаний при побудові комплексної системи управління безпекою організації ESM (виробник - компанія "Symantec Enterprise Security Manager").

Четверта група - пред проектне обстеження - самий трудомісткий варіант аудиту. Такий аудит передбачає аналіз організаційної структури підприємства в додатку до ІР, правила доступу співробітників до тих чи інших додатків. Потім виконується аналіз самих додатків. Після цього повинні враховуватися конкретні служби доступу з одного рівня на інший, а також служби, необхідні для інформаційного обміну. Потім картина доповнюється вбудованими механізмами безпеки, що в поєднанні з оцінками втрат у разі порушення ІБ дає підстави для ранжирування ризиків, які існують в ІС, і вироблення адекватних контрзаходів. Успішне проведення передпроектного обстеження, подальшого аналізу ризиків і формування вимог визначають, наскільки вжиті заходи будуть адекватні загрозам, ефективні і економічно виправдані.

Проектування системи. В даний час склалися два підходи до побудови системи ІБ: продуктовий і проектний. В рамках продуктового підходу вибирається набір засобів фізичної, технічної та програмної захисту (готове рішення), аналізуються їх функції, а на основі аналізу функцій визначається політика доступу у робочі та технологічні приміщення, до інформаційних ресурсів. Можна надходити навпаки: спочатку опрацьовується політика доступу, на основі якої визначаються функції, необхідні для її реалізації, і проводиться вибір засобів і продуктів, що забезпечують виконання цих функцій. Вибір методів залежить від конкретних умов діяльності організації, її місцезнаходження, розташування приміщень, складу підсистем ІС, сукупності розв'язуваних завдань, вимог до системи захисту і т.д. Продуктовий підхід більш дешевий з точки зору витрат на проектування. Крім того, в деяких випадках він є єдино можливим в умовах дефіциту рішень або жорстких вимог нормативних документів на державному рівні (наприклад, для криптографічного захисту в мережах спеціального призначення та урядових телефонних мережах застосовується тільки такий підхід). Проектний підхід свідомо більш повний, і рішення , побудовані на його основі, більш оптимізовані і простіше атестується. Він переважніше й при створенні великих гетерогенних розподілених систем, оскільки на відміну від продуктового підходу не пов'язаний спочатку з тією чи іншою платформою. Крім того, він забезпечує більш "довгоживучі" рішення, оскільки допускає проведення заміни продуктів і рішень без зміни політики доступу. Це, у свою чергу, забезпечує хороший показник повернення інвестицій (ROI) при розвитку ІС і системи ІБ.

Об'єкти або програми? При проектуванні архітектури системи інформаційної безпеки застосовуються об'єктний, прикладної або змішаний підходи.

Об'єктний підхід будує захист інформації на підставі фізичної структури того чи іншого об'єкта (будівлі, підрозділи, підприємства). Застосування об'єктного підходу передбачає використання набору універсальних рішень для забезпечення механізмів безпеки, що підтримують однорідний набір організаційних заходів. Класичним прикладом такого підходу є побудова захищених інфраструктур зовнішнього інформаційного обміну, локальної мережі, системи телекомунікацій тощо До його недоліків відносяться очевидна неповнота універсальних механізмів, особливо для організацій з великим набором складно пов'язаних між собою додатків.

Прикладної підхід "прив'язує" механізми безпеки до конкретного додатком. Приклад такого підходу - захист підсистеми або окремих зон автоматизації (бухгалтерія, склад, кадри, проектне бюро, аналітичний відділ, відділи маркетингу і продажів і т.д.). При більшій повноті захисних заходів такого підходу у нього є і недоліки, а саме: необхідно пов'язувати різні за функціональними можливостями засоби безпеки для мінімізації витрат на адміністрування та експлуатацію, а також задіяти вже існуючі засоби захисту інформації для збереження інвестицій.

Можлива комбінація двох описаних підходів. У змішаному підході ІС представляється як сукупність об'єктів, для кожного з яких застосований об'єктний підхід, а для сукупності взаємопов'язаних об'єктів - прикладний. Така методика виявляється більш трудомісткою на стадії проектування, однак часто дає хорошу економію коштів при впровадженні, експлуатації та супроводі системи захисту інформації.

Служби та механізми безпеки. Стратегію захисту можна реалізувати двома методами: ресурсним і сервісним. Перший метод розглядає ІС як набір ресурсів, які "прив'язуються" до конкретних компонентам системи ІБ. Цей метод хороший для невеликих ІС з обмеженим набором завдань. При розширенні кола завдань і розростанні ІС доводиться багато в чому дублювати елементи захисту для однотипних ресурсів, що часто призводить до невиправданих витрат. Сервісний підхід трактує ІВ як набір служб, програмних і телекомунікаційних сервісів для надання послуг користувачам. У цьому випадку один і той же елемент захисту можна використовувати для різних сервісів, побудованих на одному і тому ж ПО або технічному пристрої. Сьогодні сервісний підхід видається кращим, оскільки він припускає строгий функціональний аналіз існуючих численних служб, що забезпечують функціонування ІС, і дозволяє виключити широкий клас загроз за допомогою відмови від "зайвих" служб і оптимізації роботи залишилися, роблячи структуру системи ІБ логічно обгрунтованою. Саме сервісний підхід лежить в основі сучасних стандартів з безпеки, зокрема ISO 15408.

Впровадження та атестація. Етап впровадження включає в себе комплекс послідовно проведених заходів, у тому числі установку і конфігурування засобів захисту, навчання персоналу роботі із засобами захисту, проведення попередніх випробувань і здачу в дослідну експлуатацію. Дослідна експлуатація дозволяє виявити і усунути можливі недоліки функціонування підсистеми інформаційної безпеки, перш ніж запустити систему в "бойовій" режим. Якщо в процесі дослідної експлуатації виявлені факти некоректної роботи компонентів, проводять коректування налаштувань засобів захисту, режимів їх функціонування тощо За результатами дослідної експлуатації вносять коректування (при необхідності) і уточнюють налаштування засобів захисту. Далі слід проведення приймально-здавальних випробувань, введення в штатну експлуатацію і надання технічної підтримки та супроводу.

Підтвердження функціональної повноти системи безпеки і забезпечення необхідного рівня захищеності ІС забезпечується проведенням атестації системи ІБ відповідним акредитованим центром Федеральної служби з технічного та експортного контролю або зарубіжної незалежною лабораторією. Атестація передбачає комплексну перевірку об'єкта, що захищається в реальних умовах експлуатації для оцінки відповідності застосовуваного комплексу заходів і засобів захисту необхідному рівню безпеки. Атестація проводиться у відповідності зі схемою, що накопичується на підготовчому етапі виходячи з наступного переліку робіт:

  • o аналіз вихідних даних, попереднє ознайомлення з атестуються об'єктом та інформатизації;
  • o експертне обстеження об'єкта інформатизації та аналіз документації по захисту інформації на предмет відповідності вимогам;
  • o випробування окремих засобів і систем захисту інформації на атестуються об'єкті за допомогою спеціальної контрольної апаратури і тестових засобів;
  • o випробування окремих засобів і систем захисту інформації в випробувальних центрах (лабораторіях);
  • o комплексні атестаційні випробування об'єкта інформатизації в реальних умовах експлуатації;
  • o аналіз результатів експертного обстеження та атестаційних випробувань та затвердження висновку за результатами атестації об'єкта інформатизації.

За результатами випробувань готується звітна документація, проводиться оцінка результатів випробувань і видається атестат відповідності встановленого зразка. Його наявність дає право обробки інформації зі ступенем конфіденційності і на період часу, встановленими в атестаті.

Технічна підтримка і супроводження. Для підтримки працездатності підсистеми інформаційної безпеки та безперебійного виконання їй своїх функцій необхідно передбачити комплекс заходів з технічної підтримки та супроводження програмного і апаратного забезпечення підсистеми інформаційної безпеки, включаючи поточне адміністрування, роботи, що проводяться в екстрених випадках, а також періодично проводяться профілактичні роботи. Даний комплекс заходів включає в себе:

  • o адміністрування штатних засобів захисту та їх технічне обслуговування;
  • o контроль стану системи, профілактичне обстеження конфігурації, виявлення потенційних проблем;
  • o моніторинг та установку випускаються оновлень і програмних корекцій засобів захисту, а також використовуваних ОС, СУБД і додатків;
  • o регулярний пошук і аналіз вразливостей в захищається системі з використанням спеціальних засобів сканування;
  • o діагностику несправностей і проведення відновних робіт при виникненні аварійних і нештатних ситуацій;
  • o періодичне тестування системи інформаційної безпеки та оцінка ефективності захисту.

Технічна підтримка і супроводження системи інформаційної безпеки вимагає наявності у обслуговуючого персоналу певних знань і навичок і може здійснюватися як штатними співробітниками організації - власника ІВ, відповідальними за інформаційну безпеку, так і співробітниками спеціалізованих організацій.

 
Якщо Ви помітили помилку в тексті позначте слово та натисніть Shift + Enter
< Попередня   ЗМІСТ   Наступна >
 
Дисципліни
Агропромисловість
Аудит та Бухоблік
Банківська справа
БЖД
Географія
Документознавство
Екологія
Економіка
Етика та Естетика
Журналістика
Інвестування
Інформатика
Історія
Культурологія
Література
Логіка
Логістика
Маркетинг
Медицина
Нерухомість
Менеджмент
Педагогіка
Політологія
Політекономія
Право
Природознавство
Психологія
Релігієзнавство
Риторика
Соціологія
Статистика
Техніка
Страхова справа
Товарознавство
Туризм
Філософія
Фінанси
Пошук