Нанаев курсач. Исследование возможности применения средств защиты на предприятиях

• Название: Исследование возможности применения средств защиты на предприятиях
• Дата: 10.09.2019
• Размер: 0.66 Mb.
• Имя файла: Нанаев курсач.doc
• Тип: Курсовой проект; #86478
• страница: 2 из 3

1.2. Анализ угроз на предприятиях

Фундаментом для создания системы защиты информации является документ, в котором формулируются принципы и основные положения политики предприятия в области информационной безопасности. Какие вопросы он охватывает?

1. Разработка правового обеспечения защиты информации. Фактически это система нормативно-правовых документов, актуальных для деятельности предприятия. С ее помощью, с одной стороны, определяются правила обеспечения информационной безопасности на предприятии (например, обязанности сотрудников), а с другой — устанавливается ответственность за их нарушение. В состав правового обеспечения включаются государственные законы и акты (например, закон о государственной тайне), внутренние нормативные и организационные документы предприятия (устав, правила внутреннего распорядка, инструкции для сотрудников о сохранении коммерческой или иной тайны и т.д.).

2. Определение потенциальных угроз безопасности информации. Их можно разделить на три группы — это угрозы, возникающие:

• 
  вследствие действий человека — это могут быть как случайные ошибки специалистов предприятия при работе с информационной системой (неправильный ввод данных или их удаление), так и предумышленные действия (кража документов или носителей информации);
  
• 
  вследствие некорректной работы или отказа технических, или программных средств (например, сбой в работе операционной системы, вызванный вирусом);
  
• 
  из-за стихийных бедствий, природных катаклизмов, форс-мажорных обстоятельств (наводнения, пожары, смерчи, военные действия и т.д.).
  

Список потенциальных угроз для информационной безопасности предприятия может быть очень велик. Рекомендуется оценить каждую из них с позиции здравого смысла или данных статистики, а затем проранжировать по степени вероятности возникновения и объема потенциального ущерба.

3. Составление перечня данных, подлежащих защите. Информация, которая используется на предприятии, может быть открытой (доступна для всех) или закрытой (доступна для ограниченного круга лиц).

К первому типу относятся сведения, которые не составляют государственной или коммерческой тайны, не относятся к категории конфиденциальной информации (согласно законодательству или внутренним документам предприятия). Ущерб от потери подобного рода сведений не является значительным, поэтому их защита не приоритетна.

Ко второму типу относятся:

• 
  данные, являющиеся государственной тайной — их перечень определяется законодательством;
  
• 
  коммерческие или служебные сведения — любая информация, связанная с производством, финансами, использующимися технологиями, утечка или утрата которой может нанести ущерб интересам предприятия;
  
• 
  персональные данные сотрудников.
  

Эта информация должна быть защищена в первую очередь. Для каждого типа такого рода данных указывается, как и где они возникают, с помощью каких программных или технических средств ведется их обработка, какие подразделения (сотрудники) с ними работают и т.д.

4. Создание подразделения, ответственного за вопросы защиты информации. Как правило, на российских предприятиях существует разделение функций, связанных с обеспечением информационной безопасности. Это подразумевает, что за разработку политики защиты данных, выполнение организационных мер отвечает служба безопасности компании, а вопросы, связанные с применением любых программных и аппаратных средств, включаются в компетенцию ИТ-подразделения. Нередко возникают ситуации, когда стремление как можно надежнее защитить данные вступает в противоречие с потребностями бизнеса предприятия. В том числе это происходит, если меры безопасности разрабатываются без учета возможностей современных ИТ-средств.

Например, на одном из предприятий служба безопасности запретила сотрудникам иметь доступ к рабочему адресу электронной почты из внешней среды, мотивируя свое решение необходимостью избежать утечек информации. В результате стали возникать задержки при выполнении бизнес-процессов: сотрудники не могли оперативно принимать необходимые управленческие решения, если они находились не в офисе предприятия. Участие в разработке подобной меры сотрудников ИТ-подразделения позволило бы избежать этой проблемы: доступ к рабочей почте был бы сохранен, а защита данных обеспечивалась бы за счет применения дополнительных программных средств.

Поэтому более правильным подходом является создание единой точки принятия решений, а именно создание подразделения, задачей которого будет решение всего спектра вопросов по защите информации на предприятии. В его состав необходимо включить как сотрудников службы безопасности, так и ИТ-специалистов.

5. Определение основных направлений обеспечения информационной безопасности. В рамках решения этой задачи, в частности, обозначаются компоненты АСУ, которые нуждаются в защите, определяются необходимые программные и технические средства, формулируются организационные меры, направленные на защиту информации.

1.3. Угрозы информационным ресурсам предприятия

Все угрозы информационным ресурсам предприятия можно отнести к одной из следующих категорий:

1. Угрозы доступности информации, хранимой и обрабатываемой и информации, передаваемой по каналам связи;

2. Угрозы целостности информации, хранимой и обрабатываемой и информации, передаваемой по каналам связи;

3. Угрозы конфиденциальности информации, хранимой и обрабатываемой и информации, передаваемой по каналам связи.

Угрозы безопасности информационных ресурсов, с точки зрения реализации, можно разделить на следующие группы:

• 
  угрозы, реализуемые с использованием технических средств;
  
• 
  угрозы, реализуемые с использованием программных средств;
  
• 
  угрозы, реализуемые путем использования технических каналов утечки информации.
  

Угрозы, реализуемые с использованием технических средств, которые включают в себя приемо-передающее и коммутирующее оборудование, оборудование серверов и рабочих станций, а также линии связи. К этому классу принадлежат угрозы доступности, целостности и, в некоторых случаях конфиденциальности информации, хранимой, обрабатываемой и передаваемой по каналам связи, связанные с повреждениями и отказами технических средств, приемо-передающего и коммутирующего оборудования и повреждением линий связи.

Для технических средств характерны угрозы, связанные с их умышленным или неумышленным повреждением, ошибками конфигурации и выходом из строя:

• 
  вывод из строя;
  
• 
  несанкционированное изменение конфигурации активного сетевого оборудования и приемо-передающего оборудования;
  
• 
  физическое повреждение технических средств, линий связи, сетевого и каналообразующего оборудования;
  
• 
  проблемы с питанием технических средств;
  
• 
  отказы технических средств;
  
• 
  установка непроверенных технических средств или замена вышедших из строя аппаратных компонент на неидентичные компоненты;
  
• 
  хищение технических средств и долговременных носителей конфиденциальной информации вследствие отсутствия контроля над их использованием и хранением.
  

Следующие угрозы, реализуемые с использованием программных средств это наиболее многочисленный класс угроз конфиденциальности, целостности и доступности информационных ресурсов, связанный с получением несанкционированного доступа к информации, хранимой и обрабатываемой, а также передаваемой по каналам связи, при помощи использования возможностей, предоставляемых ПО. Большинство рассматриваемых в этом классе угроз реализуется путем осуществления локальных или удаленных атак на информационные ресурсы системы внутренними и внешними злоумышленниками. Результатом успешного осуществления этих угроз становится получение несанкционированного доступа к информации баз данных и файловых систем корпоративной сети, данным, конфигурации маршрутизаторов и другого активного сетевого оборудования.

В этом классе рассматриваются следующие основные виды угроз:

• 
  внедрение вирусов и других разрушающих программных воздействий;
  
• 
  нарушение целостности исполняемых файлов;
  
• 
  ошибки кода и конфигурации ПО, активного сетевого оборудования;
  
• 
  модификация ПО;
  
• 
  наличие в ПО не декларированных возможностей, оставленных для отладки, либо умышленно внедренных;
  
• 
  использование уязвимостей ПО для взлома программной защиты с целью получения несанкционированного доступа к информационным ресурсам или нарушения их доступности;
  
• 
  выполнение одним пользователем несанкционированных действий от имени другого пользователя;
  
• 
  раскрытие, перехват и хищение секретных кодов и паролей;
  
• 
  загрузка и установка в системе не лицензионного, непроверенного системного и прикладного ПО.
  

Отдельно следует рассмотреть угрозы, связанные с использованием сетей передачи данных. Данный класс угроз характеризуется получением внутренним или внешним нарушителем сетевого доступа к серверам баз данных и файловым серверам, маршрутизаторам и активному сетевому оборудованию. Здесь выделяются следующие виды угроз, характерные для предприятия:

• 
  перехват информации на линиях связи путем использования различных видов анализаторов сетевого трафика;
  
• 
  замена, вставка, удаление или изменение данных пользователей в информационном потоке;
  
• 
  перехват информации, передаваемой по каналам связи, с целью ее последующего использования для обхода средств сетевой аутентификации;
  
• 
  статистический анализ сетевого трафика.
  

Последними в этом списке находятся угрозы утечки информации по техническим каналам связи.

При проведении работ с использованием конфиденциальной информации и эксплуатации технических средств возможны следующие каналы утечки или нарушения целостности информации или работоспособности технических средств:

• 
  побочные электромагнитные излучения информативного сигнала от технических средств и линий передачи информации;
  
• 
  акустическое излучение информативного речевого сигнала или сигнала, обусловленного функционированием технических средств обработки информации;
  
• 
  несанкционированный доступ к информации, обрабатываемой в автоматизированных системах;
  
• 
  хищение технических средств с хранящейся в них информацией или отдельных носителей информации;
  
• 
  просмотр информации с экранов дисплеев и других средств ее отображения с помощью оптических средств;
  
• 
  воздействие на технические или программные средства в целях нарушения целостности информации, работоспособности технических средств.
  

Кроме перехвата информации техническими средствами возможно непреднамеренное попадание конфиденциальной информации к лицам, не допущенным к ней, но находящимся в пределах контролируемой зоны. Утечка информации возможна по следующим каналам:

• 
  радиоканалы;
  
• 
  ИК-канал;
  
• 
  ультразвуковой канал;
  
• 
  проводные линии.
  

Глава 2. Проектная часть

2.1. Анализ средств обеспечения информационной безопасности предприятия.

С учетом сложившейся практики обеспечения информационной безопасности выделяют следующие направления защиты информации:

• 
  правовая защита - это специальные законы, другие нормативные акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе;
  
• 
  организационная защита - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающая или ослабляющая нанесение, какого-либо ущерба исполнителям;
  
• 
  инженерно-техническая защита - это использование различных технических средств, препятствующих нанесению ущерба производственной деятельности.
  

Рассмотрим подробнее такие виды защиты как организационная и инженерно - техническая.

Организационная защита.

Организационная защита информации на предприятии — регламентация производственной деятельности и взаимоотношений субъектов (сотрудников предприятия) на нормативно-правовой основе, исключающая или ослабляющая нанесение ущерба данному предприятию.

Организационная защита информации:

• 
  организация работы с персоналом;
  
• 
  организация внутри объектового и пропускного режимов и охраны;
  
• 
  организация работы с носителями сведений;
  
• 
  комплексное планирование мероприятий по защите информации;
  
• 
  организация аналитической работы и контроля.
  

Основные принципы организационной защиты информации:

• 
  принцип комплексного подхода — эффективное использование сил, средств, способов и методов защиты информации для решения поставленных задач в зависимости от конкретной складывающейся ситуации и наличия факторов, ослабляющих или усиливающих угрозу защищаемой информации;
  
• 
  принцип оперативности принятия управленческих решений (существенно влияет на эффективность функционирования и гибкость системы защиты информации и отражает нацеленность руководства и персонала предприятия на решение задач защиты информации);
  
• 
  принцип персональной ответственности — наиболее эффективное распределение задач по защите информации между руководством и персоналом предприятия и определение ответственности за полноту и качество их выполнения.
  

Среди основных условий организационной защиты информации можно выделить следующие:

• 
  непрерывность всестороннего анализа функционирования системы защиты информации в целях принятия своевременных мер по повышению ее эффективности;
  
• 
  неукоснительное соблюдение руководством и персоналом предприятия установленных норм и правил защиты конфиденциальной информации.
  

При соблюдении перечисленных условий обеспечивается наиболее полное и качественное решение задач по защите конфиденциальной информации на предприятии.

Инженерно-техническая защита.

Инженерно-техническая защита должна отвечать современным требованиям: Постоянство и готовность к любым угрозам; Создание разных по уровню безопасности зон; Всегда опережать мошенников на 1 ход, быть в курсе технологических новинок; Уровень защиты информации должен быть соизмерим с важностью и ценностью сведений; Невозможность посторонним получить доступ к секретным данным; Не использовать один вид защиты, объединять разные меры и запускать в действие комплекс защитных средств; В первую очередь охранять самую важную информацию. Вся территория предприятия должна разделяться на зоны, вход в которые производится по специальному допуску. Чем ближе зона к тайным сведениям, тем выше уровень контроля и уже количество лиц, которые могут туда пройти. Этого можно добиться с помощью установки постов или контрольно-пропускных пунктов.

Такие меры принимаются для того, чтобы у возможного постороннего субъекта на пути его движения возникали препятствия в виде контрольных зон и рубежей, на которых можно было бы выявить факт кражи и задержать мошенника.

2.2. Виртуальная частная сеть

Под термином ―виртуальная частная сеть (Virtual Private Network - VPN) понимают широкий круг технологий, обеспечивающих безопасную и качественную связь в пределах контролируемой группы пользователей по открытой глобальной сети.

Цель VPN-технологий состоит в максимальной степени обособления потоков данных одного предприятия от потоков данных всех других пользователей публичной сети. Обособленность должна быть обеспечена в отношении параметров пропускной способности потоков и в конфиденциальности передаваемых данных.

VPN можно применять для решения трех разных задач:

• 
  для организации глобальной связи между филиалами одной компании (интрасеть),
  
• 
  для соединения частной сети компании с ее деловыми партнерами и клиентами (экстрасеть),
  
• 
  для взаимодействия с корпоративной сетью отдельных мобильных пользователей или работающих дома сотрудников (удаленный доступ).
  

В качестве среды для создания виртуальных частных сетей выступают сети пакетной коммутации: X.25, FR, ATM, IP (Internet). Наиболее популярны технологии VPN, рассчитанные на использование в среде Internet.

Качество обслуживания в VPN.

Параметрами качества обслуживания в VPN являются характеристики транспортного обслуживания: задержка, вариация задержки и доля потерянных пакетов при транспортировке по сети. Эти параметры оговариваются в соглашении о качестве обслуживания, которое заключается между провайдером сети и клиентом. Для обеспечения качества обслуживания необходимы дополнительные технологические механизмы, встроенные в протоколы и оборудование сети.

Технология FR имеет встроенные возможности для поддержки дифференцированного качества обслуживания для разных виртуальных каналов. Гарантируемыми параметрами качества являются средняя согласованная пропускная способность и максимальная пульсация трафика. Если клиенту нужно передавать разные виды трафика с разным качеством обслуживания, то он просто заказывает несколько виртуальных каналов соответствующего качества.

Технология АТМ имеет более тонкие процедуры поддержания параметров качества обслуживания, чем технология FR. АТМ предоставляет трафику реального времени гарантии по задержкам передаваемых пакетов.

Internet пока не может дать пользователям гарантий дифференцированного обслуживания.

В частных IP-сетях провайдер имеет набор механизмов для дифференцированного обслуживания своих клиентов. К таким механизмам относятся приоритетное обслуживание (обслуживание очередей WFQ), резервирование полосы пропускания (протокол резервирования ресурсов RSVP), поддержка виртуальных каналов (протокол коммутации меток MPLS).

Защита данных в VPN.

Для того чтобы виртуальные частные сети использовались как полноценный транспорт для передачи трафика, необходимы не только гарантии на качество передачи, но и гарантии в безопасности передаваемых данных. Многие специалисты прежде всего связывают термин ―виртуальные частные сети именно с безопасностью данных.

При подключении корпоративной сети к любой открытой сети возникает два вида угроз:

• 
  несанкционированный доступ к внутренним ресурсам корпоративной сети, полученный злоумышленником в результате логического входа в эту сеть,
  
• 
  несанкционированный доступ к корпоративным данным в процессе их передачи по открытой сети.
  

Для того чтобы виртуальная частная сеть по уровню безопасности приблизилась к истинной частной сети, в которой эти угрозы практически отсутствуют, VPN должна включать средства для отображения угроз как первого, так второго типов. К средствам VPN относится широкий круг устройств безопасности: многофункциональные брандмауэры, маршрутизаторы со встроенными возможностями фильтрации пакетов, proxy-серверы, аппаратные и программные шифраторы передаваемого трафика.

2.3. Организация VPN

Виртуальные частные сети отличаются друг от друга многими характеристиками: набором функциональных возможностей VPN-устройств, точками размещения VPN-устройств, типом платформы, на которой работают эти устройства, применяемыми протоколами шифрования и аутентификации. Существует несколько типов VPN-устройств: отдельное аппаратное устройство VPN на основе специализированной ОС реального времени, имеющее два или более сетевых интерфейса и аппаратную криптографическую поддержку, отдельное программное решение, которое дополняет стандартную операционную систему функциями VPN, расширение брандмауэра за счет дополнительных функций защищенного канала, средства VPN, встроенные в маршрутизатор или коммутатор.

Устройства VPN могут играть в виртуальных частных сетях роль шлюза или клиента.

Шлюз VPN – это сетевое устройство, подключенное к нескольким сетям, которое выполняет функции шифрования и аутентификации для многочисленных хостов позади него. Размещение шлюза должно быть аналогично размещению брандмауэра, т.е. таким образом, чтобы через него проходил весь трафик, предназначенный для внутренней корпоративной сети. В зависимости от стратегии безопасности предприятия, исходящие пакеты либо шифруются, либо посылаются в открытом виде, либо блокируются шлюзом. Для входящих туннелируемых пакетов внешний адрес является адресом VPN-шлюза, а внутренний адрес – адресом некоторого хоста позади шлюза. Шлюз VPN может быть реализован всеми перечисленными выше способами, т.е. в виде отдельного аппаратного устройства, отдельного программного решения, а также в виде брандмауэра или маршрутизатора, дополненных функциями VPN.

Клиент VPN – это программный или аппаратно-программный комплекс, обычно на базе персонального компьютера. Его сетевое транспортное обеспечение модифицировано для выполнения шифрования и аутентификации трафика, которым устройство обменивается со шлюзами VPN и/или другими клиентами VPN. Обычно реализация VPN-клиента представляет собой программное решение.

Для создания виртуальной частной сети предприятия нужны как VPN-шлюзы, так и VPN-клиенты. Шлюзы целесообразно использовать для защиты локальных сетей предприятия, а VPN-клиенты – для удаленных и мобильных пользователей, которым требуется устанавливать соединения с корпоративной сетью через Интернет.

Расположение VPN устройств в сети.

При создании защищенных каналов виртуальных частных сетей VPN-средства могут располагаться как в среде оборудования провайдера публичной сети, так и в среде оборудования предприятия. В зависимости от этого различают три варианта схемы образования защищенного канала:

1 схема (пользовательская) — все средства VPN размещаются в сети предприятия;

2 схема (провайдерская) — все средства VPN размещаются в сети провайдера;

3 схема (смешанная) — часть средств VPN размещены в сети провайдера, а часть — в сети предприятия.

Пользовательская схема.

Предприятие самостоятельно защищает данные, передаваемые по публичной сети, размещая VPN-шлюзы и VPN-клиенты в своей сети и на своей территории (рис. 2.1). Такую схему иногда называют пользовательской. Оборудование VPN физически находится в помещении предприятия. Предприятие берет на себя полностью задачу обеспечения безопасности, а у провайдера только получает гарантированную (или негарантированную) пропускную способность. Локальные сети предприятия защищаются чаще всего с помощью VPN-шлюзов. В условиях, когда услуги провайдера по поддержанию VPN не используются, такое решение наиболее экономично, так как один шлюз защищает сразу все узлы корпоративной сети, расположенной позади него.

При образовании защищенных каналов между шлюзами различных локальных сетей одного и того же предприятия, технология VPN используется для реализации услуг интрасетей. В результате образуются защищенные интрасети. При прокладке каналов VPN между шлюзами разных предприятий формируется защищенная экстрасеть. Администратор локальной сети должен так настроить VPN-шлюз, чтобы он поддерживал установление защищенных каналов только с определенными шлюзами своего предприятия (в рамках интрасети), и тех предприятий, с которыми оно обменивается конфиденциальной информацией (в рамках экстрасети).


Рис.2.1. Организация VPNс помощью средств предприятия.
В целом схема, при которой все оборудование VPN размещается на территории предприятия, с точки зрения администратора предприятия обладает рядом как достоинств, так и недостатков.

Достоинства:

• 
  прежде всего, это полный контроль администратора предприятия над ситуацией по защите корпоративной сети: выбор протоколов защищенного канала, настройка VPN на взаимодействие только с определенными абонентами или сетями, выбор стратегии смены паролей и т. п. Предприятие остается физическим владельцем устройств, которые содержат наиболее важную информацию о безопасности (такую, как пароли, ключи и т. д.);
  
• 
  полный контроль над распределением пропускной способности защищенного канала для приложений. В том случае, когда провайдер предоставляет гарантии качества транспортного обслуживания, помещение пользователя является единственным местом для задания приоритетов исходящего трафика (поскольку у провайдера при получении зашифрованных пакетов не остается никаких признаков, на основании которых он мог бы осуществлять дифференцированное обслуживание). В этом случае VPN можно реализовать с использованием транспортных услуг многих провайдеров, не привязываясь к какому-нибудь определенному — главное, чтобы они предоставляли гарантии по пропускной способности канала и задержкам пакетов;
  
• 
  безопасность реализуется "из-конца-в-конец": от места расположения пользователя до места назначения. Данные защищаются еще до выхода из помещения пользователя. Это свойство не всегда принимается во внимание, так как телефонные каналы и выделенные линии, которые используются для доступа к сети провайдера услуг Internet, чаще всего считаются вполне защищенными и без шифрования данных. Однако при передаче очень важных конфиденциальных данных такая защита может оказаться необходимой.
  

Недостатки:

• 
  высокая стоимость VPN-устройств, а также их обслуживания;
  
• 
  низкая степень масштабируемости VPN из-за децентрализованности применяемой схемы. При расширении VPN необходимо приобретать, устанавливать и конфигурировать новый VPN-шлюз в каждом вновь подключаемом филиале, а в каждом новом удаленном компьютере — клиентское программное обеспечение VPN. При использовании услуг провайдера все защищенные каналы проходят через несколько его шлюзов. Поэтому подключение нового филиала или удаленного пользователя требует гораздо меньших материальных и административных затрат, так как сводится в основном к внесению небольших изменений в конфигурационные настройки существующих шлюзов.
  

Провайдерская схема.

В данном случае виртуальная частная сеть организуется исключительно с помощью средств провайдера, поэтому такая схема и называется провайдерской (рис. 2.2). Провайдер устанавливает в своей сети некоторое количество VPN-шлюзов, образующих защищенные каналы внутри публичной сети для тех своих клиентов, которые пожелали воспользоваться услугами VPN. Это хорошо масштабируемое и экономичное решение, управляемое централизованно администратором сети провайдера.

Для компьютеров корпоративной сети (как объединенных в локальные сети, так и автономных) защищенный канал прозрачен. Программное обеспечение этих конечных узлов остается без изменений, а также отпадает необходимость приобретения, конфигурирования и поддержки собственного VPN-шлюза. Реализация провайдерского варианта VPN по-прежнему требует участия администратора корпоративной сети, хотя и в гораздо меньшем объеме по сравнению с предыдущим вариантом. Как минимум, администратор должен предоставить провайдеру перечень адресов, входящих в состав интрасети и экстрасети предприятия, а возможно, и данные для аутентификации пользователей и оборудования корпоративной сети.

Гибкость этой схемы состоит в легкости подключения новых пользователей к существующим защищенным каналам, независимо от места их расположения. Особенно это полезно при подсоединении к экстрасети — вместо индивидуального конфигурирования VPN-средств на каждом конце канала вносятся изменения только в VPN-шлюзы провайдера данного предприятия и провайдера предприятия-партнера. При этом необходимо, чтобы оба провайдера использовали совместимые средства VPN.