Административный уровень информационной безопасности.

На программно-технические методы защиты информации опираются организационные меры. К ним можно отнести:

1. Разработку политики безопасности;

2. Проведение анализа рисков;

3. Планирование обеспечения информационной безопасности;

4. Планирование действий в чрезвычайных ситуациях;

5. Подбор механизмов и средств обеспечения информационной безопасности.

Первые два этапа обычно трактуются как выработка политики безопасности и составляют так называемый административный уровень системы ОБИ предприятия.

Третий и четвертый этапы заключаются в разработке процедур безопасности. На этих этапах формируется уровень планирования системы ОБИ.

На последнем этапе практических мероприятий определяется программно-технический уровень системы ОБИ.

Законы и стандарты в области информационной безопасности являются лишь отправным нормативным базисом системы ОБИ информационной системы. Основой практического построения интегрированной системы является создание административного уровня системы, определяющего генеральное направление работ по ОБИ.

Целью административного уровня является разработка программы работ в области информационной безопасности и обеспечение ее выполнения. Программа представляет официальную политику безопасности, отражающую собственный концептуальный подход организации к ОБИ. Конкретизация политики безопасности выражается в планах по информационной защите АС.

 

 

Управление рисками.

Риск представляет функцию вероятности

- что данный источник угроз осуществит конкретную уязвимость

- результирующего влияния нежелательного события на организацию

Общая оценка рисков включает следующие шаги:

- характеристика системы

- идентификация угроз

- идентификация уязвимостей

- анализ средств защиты (контроля)

- определение вероятностей (ранжирование частот появление)

- анализ влияния

- определение риска

- рекомендации по средствам защиты (контроля)

- результирующая документация

Операции уменьшения риска:

- принятие риска

- уклонение от риска

- отграничение риска

- планирование риска

- исследование и подтверждения риска

- передача риска

 

Процедурный уровень информационной безопасности.

Классы мер:

- управление персоналом

- физическая защита

- поддержание работоспособности

- реагирование на нарушение режима безопасности

- планирование восстановительных работ

Управление персоналом

Выделяют два общих принципа:

- разделение обязанностей

т.е. распределение ролей и обязанностей, чтобы один человек не мог нарушить критически для организации процесс

- минимизация привилегий

т.е. выделение для пользователей только тех прав, которые необходимы им для выполнения служебных обязанностей

Физическая защита

Информационная безопасность зависит от окружения

«Непрерывная защита в пространстве и времени»

Основные направления:

- физическое управление доступом

- противопожарные меры

- защита поддерживающей инфраструктуры

- защита от перехвата данных

- защита мобильных устройств

Меры физического управления

Позволяют контролировать вход и выход сотрудников и посетителей

Применяется объектный подход:

1. определение периметра безопасности

2. выделение объектов и связей между ними контролируемой территории (декомпозиция)

Средства: двери, замки, перегородки, видеокамеры, датчики движения и прочее

Поддержание работоспособности

Повседневные мероприятия, направленные на поддержание работоспособности информационной системы

Выделяют следующие направления:

- поддержка пользователей

- поддержка ПО

- конфигурационное управление

- резервное копирование

- управление носителями

- документирование

- регламентные работы

Реагирование на нарушения режима безопасности

Действия должны быть заранее спланированы

Основные цели:

- локализация инцидента и уменьшение наносимого вреда

- выявление нарушителя

- предупреждение повторных нарушений

(!) выявление нарушителя и остановка последствий нарушения

Наличие человека из персонала, который постоянно доступен и способен принимать меры по реагированию на нарушение

Планирование восстановительных работ

Основные этапы:

- выявление критически важных функций организации (установка приоритетов)

- идентификация ресурсов, необходимых для выполнения критически важных функций

- определения перечня возможных аварий

- разработка стратегии восстановительных работ

- подготовка к реализации выбранной стратегии

- проверка стратегии

 

Архитектурная безопасность. Особенности современных информационных систем, существенные с точки зрения безопасности.

С точки зрения безопасности наиболее существенными представля­ются следующие аспекты современных ИС:

• корпоративная сеть имеет несколько территориально разнесен­ных частей (поскольку организация располагается на несколь­ких производственных площадках), связи между которыми на­ходятся в велении внешнего поставщика сетевых услуг, выходя за пределы зоны, контролируемой организацией:

• корпоративная иль имеет одно или несколько подключений к Internet;

• на каждой из производственных площадок могут находиться критически важные серверы, в доступе к которым нуждаются сотрудники, работающие на других площадках, мобильные пользователи и. возможно, сотрудники других организаций;

• для доступа пользователей могут применяться не только ком­пьютеры, но и потребительские устройства, использующие, в частности, беспроводную связь;

• в течение одного сеанса работы пользователю приходится обра­щаться к нескольким информационным сервисам, опираю­щимся на разные аппаратно-программные платформы;

• к доступности информационных сервисов предъявляются же­сткие требования, которые обычно выражаются в необходимо­сти круглосуточного функционирования с максимальным вре­менем простоя порядка нескольких минут;

• информационная система представляет собой сеть с активными агентами, то есть в процессе работы программные компоненты, такие как апплеты или сервлеты, перелаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами;

• не все пользовательские системы контролируются сетевыми и/или системными администраторами организации;

• программное обеспечение, особенно полученное по сети, не может считаться надежным, в нем могут быть ошибки, создающие проблемы защите;

• конфигурация информационной системы постоянно изменяется на уровнях административных данных, программ и аппарату­ры (меняется состав пользователей, их привилегии и версии программ, появляются новые сервисы, новая аппаратура и т.п.)

 

 

Аутентификация.

Аутентификация – проверка подлинности

Бывает: односторонняя (клиент доказывает подлинность серверу)

Двусторонняя (взаимная)

Парольная аутентификация

Простота и привычность

Наиболее слабое средство проверки подлинности

Проблема хранения паролей

Меры повышения надежности:

- наложение технических ограничений (задание сложности)

- управление сроком действий (периодическая смена паролей)

- ограничение доступа к месту хранений паролей

- ограничение числа неудачных попыток входа в систему

- использование программных генераторов паролей

Одноразовые пароли

Более надежный механизм

Система S/KEY компании Bellcore, на основе технологии клиент-сервер

Общая схема:

f – одноразовая функция (известна серверу аутентификации и пользователю)

K – секретный ключ (известен только пользователю

Подготовительный этап:

задается число n и пользователь применяет функцию f к секретному ключу K n раз и результат R сохраняется на сервере

Процедура проверки подлинности:

- сервер отсылает клиенту значение числа n

- пользователь применяет функцию f к K n-1 раз и результат отправляет серверу

- сервер применяет функцию f к полученному значению и сравнивает со значением R полученным от пользователя ранее

- в случае совпадения процедура аутентификации проходит успешно

- сохраняется новое значение R для n--1

значение n уменьшается на единицу

Возможна другая схема реализации процедуры проверки подлинности на основе одноразовых паролей

Когда имеется функция от времени как алгоритм генерации новых паролей

Часы сервера и клиента синхронизированы

Генерация новых паролей происходит через небольшие промежутки времени

Протокол Kerberos

Сетевой протокол аутентификации, позволяющий передавать данные через незащищённые сети для безопасной идентификации

Ориентирован на клиент-серверной модель

Обеспечивает взаимную аутентификацию

1993 – RFC 1510

 

Управление доступом.

Средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты (пользователи и процессы) могут выполнить над объектами (компьютерные ресурсы)

Управление доступом – физическое и логическое

Логическое управление доступом – это механизм многопользовательских систем, предназначенный для обеспечения конфиденциальности и целостности объектов и в некоторой мере их доступность (запрет на обслуживание неавторизованных пользователей)

Формальная постановка задачи:

определить множество допустимых операций для каждой пары «субъект-объект» и контролировать выполнение установленного порядка

Отношение «субъект-объект» можно представить через матрицу доступа

принцип распределения привилегий для сервисов

существующие связи между сервисами (согласованность)

Разнообразие объектов и применяемых к ним операций приводит к децентрализации логического управления доступом

Общий критерии, на основе которых определяется возможность предоставления доступа:

идентификатор субъекта

атрибуты субъекта

Контроль прав доступа производится разными компонентами программной среды

Например,

ядро ОС

сервисы безопасности

система управления БД

монитор транзакций и др.

Число администрируемых отношений пропорционально произведению количества пользователей на количество объектов

Использование ролей → число отношений пропорционально сумме количества пользователей и объектов

 

2001 Национальный институт стандартов и технологий США предложил проект стандарта ролевого управления доступом

Основные понятия:

- пользователь

- сеанс работы пользователя

- роль (часто определяется в соответствии с организационной структурой)

- объект (сущность, доступ к которой разграничивается)

- операция

- право доступа (разрешение выполнять определенные операции над определенными объектами)

Ролям приписываются пользователи и права доступа

 

Протоколирование и аудит.

Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе. У каждого сервиса свой набор возможных событии, но в любом случае их можно разделить на внешние (вызванные действиями других сервисов), внут­ренние (вызванные действиями самого сервиса) и клиентские (вызван­ные действиями пользователей и администраторов).

Аудит — это анализ накопленной информации, проводимый опера­тивно, в реальном времени или периодически (например, раз в лень). Оперативный аудит с автоматическим реагированием на выявленные не­штатные ситуации называется активным.

Реализация протоколирования и аудита решает следующие задачи:

• обеспечение подотчетности пользователей и администраторов;

• событий;

• обнаружение попыток нарушений информационной безопасности;

• предоставление информации для выявления и анализа проблем.

«Оранжевая книга» выделяет сле­дующие события:

• вход в систему (успешный или нет);

• выход из системы;

• обращение к удаленной системе;

• операции с файлами (открыть, закрыть, переименовать, удалить);

• сиена привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т.п.).

При протоколировании события рекомендуется записывать, по крайней мере следующую информацию:

• дата и время события;

• уникальный идентификатор пользователя-инициатора действия;

• тип события;

• результат действия (успех или неудача);

• источник запроса (например, имя терминала);

• плена затронутых объектов (например, открываемых или удаленных файлов);

описание изменений, внесенных в баш данных зашиты

 

Аудит информационной безопасности

Является системным процессом получения и оценки объективных данных о текущем состоянии системы, действиях и событиях, происходящих в ней, который устанавливает уровень их соответствия определенному критерию

Позволяет:

- оценить текущую безопасности функционирования системы

- оценить риски и управлять ими

- прогнозировать влияние рисков на бизнес-процессы

Внешний аудит:

- проводится специализированными организациями

- анализируются меры риска от внешних атак

- осуществляется сканирование портов, поиск уязвимостей в сетевом и прикладном ПО

- проверка взаимодействия в Web-серверами, почтовыми и файловыми серверами

- Ethical Hacking

Внутренний аудит:

- команда из числа персонала организации

- оценка рисков существующих технологий, используемых в ИС

- сканирование портов и уязвимостей внутренних хостов

- анализируется выполнение установленной политики безопасности, контроль и управление доступом к ресурсам

- выполнение персоналом парольной политики

⇐ Предыдущая1234Следующая ⇒

Поделиться:

Воспользуйтесь поиском по сайту: