Лагоша О.Н. - Сертификация информационных систем (2021). Курс лекций по дисциплине Сертификация информационных систем. Предназначено для студентов специальности Информационные системы и программирование
 Скачать 5.4 Mb.
|
|
ЛЕКЦИЯ 7. МОНИТОРИНГ АКТИВНОСТИ И БЛОКИРОВАНИЕ 1. Система контроля действий пользователя Система контроля действий пользователя — программный или про- граммно-аппаратный комплекс, позволяющий отслеживать действия пользова- теля. Данная система осуществляет мониторинг рабочих операций пользовате- ля на предмет их соответствия корпоративным политикам. Необходимость возникновения таких систем была обусловлена увеличе- нием инсайдерских угроз. Подобные программные комплексы предотвращают или помогают расследовать утечки конфиденциальной информации, а также выявить нецелевое использование рабочего времени. Мониторинг рабочего стола. Одним из основных способов контроля действий пользователя является мониторинг его рабочего стола. Это реализует- ся двумя способами — администратор видит все то, что сейчас видит пользова- тель, или просматривает сохраненные снимки экрана или видеозапись действий пользователя. Они могут быть использованы как вещественные доказательства нарушения трудового договора. Технически снятие скриншотов очень простая операция. Мониторинг процессов. Также система контроля действий пользователя отслеживает запущенные приложения, сохраняя различные параметры: время запуска, время работы, время активности на экране и т. д. Это позволяет оце- нить эффективность использования рабочего времени работником, отследить вирусную атаку, которая может повредить корпоративную информацию. Кроме того, долгое время работы сотрудника с определенным приложением может оз- начать, что сотрудник испытывает трудности при работе с ним. Большинство систем позволяет блокировать запуск определенных процессов. Может сущест- вовать функция завершения уже запущенных процессов удаленно. Как и в случае со скриншотами, есть множество вариантов получения списка процессов. Например, библиотека tlhelp32.h позволяет получить список процессов в Windows. В Unix-подобных системах это делается, например, ко- мандой ps. Мониторинг доступа к USB. Съемные usb-носители представляют серь- езную угрозу конфиденциальной информации, поэтому доступ к ним должен контролироваться системой. Большинство систем наблюдения предоставляют возможность блокировки доступа ко всем устройствам, фильтрации устройств и журналирование использования usb-устройств. Это предотвращает как утечку информации, так и проникновение вирусов на рабочий компьютер. Часто при разрешенном доступе все, что копируется на съемный носитель, сохраняется в другом месте и может быть использовано для расследования нарушений поли- тики компании. 6 / 10 57 B Windows технически это реализуется несколькими способами: – полное блокирование через реестр; – полное блокирование через запрет записи файлов %SystemRoot%\Inf\ Usbstor.pnf, %SystemRoot%\Inf\Usbstor.inf; – частичная блокировка и фильтрация возможна через написание USB- драйвера. В Linux и некоторых других Unix-подобных системах возможны сле- дующие варианты блокировки: – запрет загрузки драйвера usb-накопителя; – при загрузке системы передать параметр nousb ядру; – запретить монтирование устройств всем пользователям, кроме админи- стратора. Мониторинг интернет-активности. Интернет — серьезный канал утеч- ки конфиденциальных данных, поэтому системы контроля за действиями поль- зователя отслеживают многие аспекты интернет-активности работника. 1. Мониторинг посещаемых веб-сайтов позволяет выявить нецелевое ис- пользование рабочего времени, отслеживать поисковые запросы сотрудника (из них можно отследить — ищет ли он другие вакансии или не относящуюся к ра- боте информацию). Сохраняются Url, заголовки посещенных страниц, время их посещения. Некоторыми системами реализуется возможность наблюдения в режиме реального времени за открытыми сайтами. 2. Социальные сети. Помимо нецелевой траты рабочего времени на соци- альные сети через них может утекать конфиденциальная информация. Поэтому система может сохранять набор данных: просматриваемые профили, переписку, а также отправляемые туда фотографии. 3. IM. Чтобы предотвратить или потом доказать утечку информации, пе- рехватываются и сохраняются сообщения большинства популярных IM- протоколов и месседжеров (ICQ, Jabber, IRC, Skype). Это делается как про- граммными средствами, так и через анализ трафика, проходящего через шлюз. 4. Мониторинг электронной почты. По данным Infowatch, в первой по- ловине 2013 г. почти 30% утечек происходили через Email, поэтому важно кон- тролировать, что отсылается/принимается сотрудником компании. Для этого ведется полное журналирование всех сообщений электронной почты. Чаще все- го это делается путем перехвата сообщений локального почтового клиента, од- нако возможен и перехват сообщений отправляемых через веб-клиент. Технически такой вид мониторинга может быть реализован двумя спосо- бами: – перехват непосредственно сетевого трафика программно или аппаратно. Это работает до тех пор, пока не используется защищенное интернет-соедине- ние, например SSL; – перехват содержания веб-форм, полей ввода и пр. При таком методе на- блюдения скрыть передаваемое сообщение практически не возможно. Мониторинг локальных действий. Основные локальные действия поль- зователя тоже контролируются: 7 / 10 58 1. Мониторинг клавиатуры. Система записывает все нажимаемые клави- ши, включая системные (CTRL, SHIFT, ALT, CAPS LOCK), кроме этого, могут быть записаны название окна, в которое производился ввод, язык раскладки и т. д. Это позволяет контролировать использование конфиденциальной ин- формации, восстанавливать забытые пароли, отслеживать объем проделанной работы (для стенографисток). Программа, занимающаяся только перехватом нажатий клавиш, называется кейлоггер. Для Windows кейлоггеры создаются с помощью так называемых хуков, когда между нажатием клавиши и отправкой сообщения окну о факте нажатия вклинивается сторонняя функция, которая отмечает факт нажатия клавиши. В Unix-подобных системах, использующих Х-сервер, кейлаггеры реализуются посредством функции XQueryKeymap из библиотеки Xlib. 2. Буфер обмена. Система сохраняет все, что было скопировано в буфер обмена, и почти всегда сопутствующую информацию. Это позволяет предотвра- тить потерю информации, дает возможность обнаружить разглашение конфи- денциальной информации. Windows предоставляет стандартную функцию для этих целей SetClipboardViewer, для Linux это делается через Xlib. Также есть платформонезависимые средства управления буфером обмена, например Qt. Запоминаются все действия с файлами: копирование, удаление, редакти- рование и программа, через которую действие совершено. Это позволяет уста- новить, какие файлы использовал сотрудник для своей работы, и выявить ви- русную атаку. Для Windows программно это реализуется подменой стандарт- ных функций чтения/записи файла в соответствующих DLL. В Linux этого можно достичь, перехватывая системные вызовы. 3. Печать файлов. Через принтер может утечь конфиденциальная инфор- мация, достаточно распечатать важный документ и вынести с предприятия, по- этому сохраняются названия печатаемых файлов, время и дата печати. Также печатаемые файлы могут сохраняться как в виде исходного файла, так и в виде графического файла. В Windows для таких целей предусмотрен Print Spooler API, позволяющий управлять очередью печати. Для Linux теневое копирование файлов печати реализуется с помощью CUPS. 2. Брандмауэры Фаервол или брандмауэр — это своеобразный защитный экран между се- тью Интернет и самим компьютером, который представляет собой комплекс программ для выявления и блокировки хакерских атак (рис. 11). Брандмауэр — это система или комбинация систем, позволяющие разде- лить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, эта гра- ница проводится между локальной сетью предприятия и Интернет, хотя ее можно провести и внутри локальной сети предприятия. Брандмауэр таким об- разом пропускает через себя весь трафик. Для каждого проходящего пакета брандмауэр принимает решение пропускать его или отбросить. Для того чтобы брандмауэр мог принимать эти решения, ему необходимо определить набор 8 / 10 59 правил. О том, как эти правила описываются и какие параметры используются при их описании, речь пойдет ниже. Рис. 11 Межсетевой экран Как правило, брандмауэры функционируют на какой-либо UNIX-плат- форме — чаще всего это BSDI, SunOS, AIX, IRIX и т. д., реже — DOS, VMS, WNT, Windows NT. Из аппаратных платформ встречаются INTEL, Sun SPARC, RS6000, Alpha, HP PA-RISC, семейство RISC процессоров R4400-R5000. По- мимо Ethernet многие брандмауэры поддерживают FDDI, Token Ring, 100Base- T, 100VG-AnyLan, различные серийные устройства. Требования к оперативной памяти и объему жесткого диска зависят от количества машин в защищаемом сегменте сети, но чаще всего рекомендуется иметь не менее 32 Мб ОЗУ и 500 Мб на жестком диске. Как правило, в операционную систему, под управлением которой работа- ет брандмауэр, вносятся изменения, цель которых — повышение защиты само- го брандмауэра. Эти изменения затрагивают как ядро ОС, так и соответствую- щие файлы конфигурации. На самом брандмауэре не разрешается иметь счетов пользователей (а значит, и потенциальных дыр), только счет администратора. Некоторые брандмауэры работают только в однопользовательском режиме. Многие брандмауэры имеют систему проверки целостности программных ко- дов. При этом контрольные суммы программных кодов хранятся в защищенном месте и сравниваются при старте программы во избежание подмены программ- ного обеспечения. Все брандмауэры можно разделить на три типа: – пакетные фильтры (packet filter); – серверы прикладного уровня (application gateways); – серверы уровня соединения (circuit gateways). Все типы могут одновременно встретиться в одном брандмауэре. Пакетные фильтры. Брандмауэры с пакетными фильтрами принимают решение о том, пропускать пакет или отбросить, просматривая IP-адреса, флаги или номера TCP-портов в заголовке этого пакета. IP-адрес и номер порта — это информация сетевого и транспортного уровней соответственно, но пакетные фильтры используют и информацию прикладного уровня, так как все стандарт- ные сервисы в TCP/IP ассоциируются с определенным номером порта. 9 / 10 60 Для описания правил прохождения пакетов составляются таблицы типа: Действие тип пакета адрес источн. порт источн. адрес назнач. порт назнач. флаги. Поле «действие» может принимать значения «пропустить» или «отбро- сить». Тип пакета — TCP, UDP или ICMP. Флаги — флаги из заголовка IP-пакета. Поля «порт источника» и «порт назначения» имеют смысл только для TCP и UDP-пакетов. Серверы прикладного уровня. Брандмауэры с серверами прикладного уровня используют серверы конкретных сервисов — TELNET, FTP и т. д. (proxy server), запускаемые на брандмауэре и пропускающие через себя весь трафик, относящийся к данному сервису. Таким образом, между клиентом и сервером образуются два соединения: от клиента до брандмауэра и от бранд- мауэра до места назначения. Полный набор поддерживаемых серверов различается для каждого кон- кретного брандмауэра, однако чаще всего встречаются серверы для следующих сервисов: терминалы (Telnet, Rlogin), передача файлов (Ftp), электронная почта (SMTP, POP3), WWW (HTTP), Gopher, Wais X Window System (X11), принтер Rsh, Finger новости (NNTP) и т. д. Использование серверов прикладного уровня позволяет решить важную задачу — скрыть от внешних пользователей структуру локальной сети, вклю- чая информацию в заголовках почтовых пакетов или службы доменных имен (DNS). Другим положительным качеством является возможность аутентифика- ции на пользовательском уровне (аутентификация — процесс подтверждения идентичности чего-либо; в данном случае это процесс подтверждения, действи- тельно ли пользователь является тем, за кого он себя выдает). При описании правил доступа используются такие параметры, как назва- ние сервиса, имя пользователя, допустимый временной диапазон использова- ния сервиса, компьютеры, с которых можно пользоваться сервисом, схемы ау- тентификации. Серверы протоколов прикладного уровня позволяют обеспечить наиболее высокий уровень защиты — взаимодействие с внешним миром реали- зуется через небольшое число прикладных программ, полностью контроли- рующих весь входящий и выходящий трафик. Функции брандмауэров. 1. Блокировка внешних атак. В идеале брандмауэр должен блокировать все известные типы атак, включая сканирование портов, IP-спуффинг, DoS и DDoS, подбор паролей и пр. 2. Блокировка утечки информации. Даже если вредоносный код проник в компьютер (не обязательно через сеть, а, например, в виде вируса на купленном пиратском CD), брандмауэр должен предотвратить утечку информации, забло- кировав вирусу выход в сеть. 3. Контроль приложений. Неизбежное наличие открытых дверей (т. е. от- крытых портов) является одним из самых тонких мест в блокировке утечки информации, а один из самых надежных способов воспрепятствовать проник- новению вирусов через эти двери — контроль приложений, запрашивающих 10 / 10 61 разрешение на доступ. Кроме банальной проверки по имени файла весьма же- лательна проверка аутентичности приложения. 4. Поддержка зональной защиты. Работа в локальной сети часто подра- зумевает практически полное доверие к локальному контенту. Это открывает уникальные возможности по использованию новейших (и, как правило, потен- циально опасных) технологий. В то же время уровень доверия к интернет-кон- тенту значительно ниже, а значит, необходим дифференцируемый подход к анализу опасности того или иного содержания. 5. Протоколирование и предупреждение. Брандмауэр должен собирать строго необходимый объем информации. Избыток (равно как и недостаток) сведений недопустим. Возможность настройки файлов регистрации и указания причин для привлечения внимания пользователя приветствуются. 6. Максимально прозрачная работа. Эффективность и применяемость системы часто обратно пропорциональны сложности ее настройки, админист- рирования и сопровождения. Несмотря на традиционный скепсис в отношении «мастеров» (wizards) по настройке и прочих буржуйских штучек, даже опытные администраторы не пренебрегают ими просто в целях экономии времени. Нельзя забывать и об оборотной стороне медали — о недостатках, причем не отдельных решений, а всей технологии в целом. Сетевые сканеры (брандмауэры, фаерволы) обеспечивают сетевую безо- пасность, в зависимости от функциональности контролируют входящий и ис- ходящий интернет-трафик, контролируют сетевую активность приложений, за- щищают от хакеров, загрузки вредоносного ПО. Главное предназначение фаервола — защита сети или отдельно взятого узла от нежелательного доступа и фильтрация данных. Фаерволы имеют много разновидностей, выполняющих специфические задачи фильтрации и ограниче- ния доступа. Персональный фаервол имеет при использовании как плюсы, так и минусы. К основным плюсам можно отнести, конечно, значительное повышение уровня безопасности и контроль доступа к системам сети, а из основных мину- сов можно выделить блокирование нужных пользователю служб и снижение пропускной способности за счет фильтрации данных и сосредоточения всех со- единений в одном месте. Outpost Firewall Free — бесплатный файервол для защиты персонального компьютера от хакерских атак. Кроме защиты от внешнего проникновения из сети Outpost Firewall Free позволяет проводить защиту от нелегальной утечки конфиденциальной информации посредством установленных на компьютере приложений. В отличие от других файерволов, Outpost Firewall Free начинает защищать вас сразу после установки программы. Файерволы: – Comodo Firewall Pro — лучший бесплатный фаервол; – Jetico Personal Firewall 1.0.1.61; – PC tools firewall plus; – Safety Net 3.61.0002. Другие неэффективны в отношении тестов утечки. 1 / 10 62 PrivateFirewall — это бесплатный персональный фаервол, обеспечиваю- щий отличную многоуровневую проактивную защиту системы от разнообраз- ных сетевых угроз и опасности, исходящей от потенциально опасного про- граммного оборудования. Пользователь сам сможет установить правила безо- пасности для Интернета и локальных сетей. Windows 7 Firewall Control — небольшой бесплатный фаервол, защи- щающий систему от нежелательной входящей и исходящей сетевой активно- сти, контролирующий доступ приложений к Интернету. 2 / 10 63 ЛЕКЦИЯ 8. АВТОМАТИЗИРОВАННЫЕ СРЕДСТВА АУДИТА 1. Аудит безопасности: виды и этапы Для того чтобы гарантировать эффективную защиту от информационных атак злоумышленников, компаниям необходимо иметь объективную оценку те- кущего уровня безопасности АС. Именно для этих целей и применяется аудит безопасности. Аудит безопасности — это процесс сбора и анализа информации об АС, необходимой для последующего проведения качественной или количественной оценки уровня защиты от атак злоумышленников. Как правило, для проведения аудита привлекаются внешние компании, которые предоставляют консалтинговые услуги в области информационной безопасности. Инициатором процедуры аудита может являться руководство предприятия, служба автоматизации или служба информационной безопасно- сти. В ряде случаев аудит также может проводиться по требованию страховых компаний или регулирующих органов. Аудит безопасности проводится груп- пой экспертов, численность и состав которой зависят от целей и задач обследо- вания, а также сложности объекта оценки. В настоящее время можно выделить следующие основные виды аудита информационной безопасности: – экспертный аудит безопасности, в процессе которого выявляются не- достатки в системе мер защиты информации на основе имеющегося опыта экс- пертов, участвующих в процедуре обследования; – оценка соответствия рекомендациям Международного стандарта ISO 17799, а также требованиям руководящих документов ФСТЭК (Гостехко- миссии); – инструментальный анализ защищенности АС, направленный на выявле- ние и устранение уязвимостей программно-аппаратного обеспечения системы; – комплексный аудит, включающий в себя все вышеперечисленные фор- мы проведения обследования. Каждый из вышеперечисленных видов аудита может проводиться по от- дельности или в комплексе в зависимости от тех задач, которые необходимо решить предприятию. В качестве объекта аудита может выступать как АС ком- пании в целом, так и ее отдельные сегменты, в которых проводится обработка информации, подлежащей защите. В общем случае аудит безопасности, вне зависимости от формы его про- ведения, состоит из четырех основных этапов, каждый из которых преду- сматривает выполнение определенного круга задач (рис. 12). На первом этапе совместно с заказчиком разрабатывается регламент, ус- танавливающий состав и порядок проведения работ. Основная задача регла- мента заключается в определении границ, в рамках которых будет проведено обследование. Регламент является тем документом, который позволяет избе- 3 / 10 64 жать взаимных претензий по завершении аудита, поскольку четко определяет обязанности сторон. Рис. 12 Основные этапы аудита безопасности На втором этапе, в соответствии с согласованным регламентом, осуще- ствляется сбор исходной информации. Методы сбора информации включают интервьюирование сотрудников заказчика, заполнение опросных листов, ана- лиз предоставленной организационно-распорядительной и технической доку- ментации, использование специализированных инструментальных средств. Третий этап работ предполагает проведение анализа собранной инфор- мации с целью оценки текущего уровня защищенности АС заказчика. На четвертом этапе по результатам проведенного анализа проводится разработка рекомендаций по повышению уровня защищенности АС от угроз информационной безопасности. 2. Сбор исходных данных для проведения аудита Качество проводимого аудита безопасности во многом зависит от полно- ты и точности информации, которая была получена в процессе сбора исходных данных. Поэтому информация должна включать в себя: существующую орга- низационно-распорядительную документацию, касающуюся вопросов инфор- мационной безопасности, сведения о программно-аппаратном обеспечении АС, информацию о средствах защиты, установленных в АС, и т. д. Более подроб- ный перечень исходных данных представлен в таблице 5. Таблица 5 Перечень исходных данных, необходимых для проведения аудита безопасности Тип информации Описание состава исходных данных Организационно- распорядительная документация по во- просам информаци- онной безопасности политика информационной безопасности АС; руководящие документы (приказы, распоряжения, инструкции) по вопросам хранения, порядка доступа и передачи информации; регламенты работы пользователей с информационными ресурсами АС Информация об ап- паратном обеспече- нии хостов перечень серверов, рабочих станций и коммуникационного обору- дования, установленного в АС; информация об аппаратной конфигурации серверов и рабочих стан- ций; информация о периферийном оборудовании, установленном в АС 4 / 10 65 Продолжение табл. 5 Тип информации Описание состава исходных данных Информация об об- щесистемном ПО информация об операционных системах, установленных на рабочих станциях и серверах АС; данные о СУБД, установленных в АС Информация о при- кладном ПО перечень прикладного ПО общего и специального назначения, ус- тановленного в АС; описание функциональных задач, решаемых с помощью прикладно- го ПО, установленного в АС Информация о сред- ствах защиты, уста- новленных в АС информация о производителе средства защиты; конфигурационные настройки средства защиты; схема установки средства защиты Информация о топо- логии АС карта локальной вычислительной сети, включающей схему распре- деления серверов и рабочих станций по сегментам сети; информация о типах каналов связи, используемых в АС; информация об используемых в АС сетевых протоколах; схема информационных потоков АС 3. Оценка уровня безопасности АС После сбора необходимой информации проводится ее анализ с целью оценки текущего уровня защищенности системы. В процессе такого анализа определяются риски информационной безопасности, которым может быть под- вержена компания. Фактически риск представляет собой интегральную оценку того, насколько эффективно существующие средства защиты способны проти- востоять информационным атакам. Обычно выделяют две основные группы методов расчета рисков безо- пасности. Первая группа позволяет установить уровень риска путем оценки степе- ни соответствия определенному набору требований по обеспечению информа- ционной безопасности. Вторая группа методов оценки рисков информационной безопасности базируется на определении вероятности реализации атак, а также уровней их ущерба. В данном случае значение риска вычисляется отдельно для каждой атаки и в общем случае представляется как произведение вероятности проведе- ния атаки на величину возможного ущерба от этой атаки. Значение ущерба оп- ределяется собственником информационного ресурса, а вероятность атаки вы- числяется группой экспертов, проводящих процедуру аудита. Методы первой и второй групп могут использовать количественные или качественные шкалы для определения величины риска информационной безо- пасности. В таблицах 6 и 7 приведены примеры качественных шкал оценки рисков информационной безопасности, в которых для оценки уровней ущерба и вероятности атаки используется пять понятийных уровней. При использовании качественных шкал для вычисления уровня риска применяются специальные таблицы, в которых в первом столбце задаются по- нятийные уровни ущерба, а в первой строке — уровни вероятности атаки. Ячейки же таблицы, расположенные на пересечении первой строки и столбца, 5 / 10 66 содержат уровень риска безопасности. Размерность таблицы зависит от количе- ства концептуальных уровней вероятности атаки и ущерба. Уровень риска можно определить на основе таблицы 8. Таблица 6 Качественная шкала оценки уровня ущерба Уровень ущерба Описание Малый ущерб Приводит к незначительным потерям материальных активов, кото- рые быстро восстанавливаются, или к незначительному влиянию на репутацию компании Умеренный ущерб Вызывает заметные потери материальных активов или приводит к умеренному влиянию на репутацию компании Ущерб средней тяжести Приводит к существенным потерям материальных активов или зна- чительному урону репутации компании Большой ущерб Вызывает большие потери материальных активов и наносит большой урон репутации компании Критический ущерб Приводит к критическим потерям материальных активов или к пол- ной потере репутации компании на рынке, что делает невозможным дальнейшую деятельность организации Таблица 7 Качественная шкала оценки вероятности проведения атаки Уровень вероятности атаки Описание Очень низкая Атака практически никогда не будет проведена. Уровень соответст- вует числовому интервалу вероятности (0, 0,25) Низкая Вероятность проведения атаки достаточно низкая. Уровень соответ- ствует числовому интервалу вероятности (0,25, 0,5) Средняя Вероятность проведения атаки приблизительно равна 0,5 Высокая Атака скорее всего будет проведена. Уровень соответствует число- вому интервалу вероятности (0,5, 0,75) Очень высокая Атака почти наверняка будет проведена. Уровень соответствует чи- словому интервалу вероятности (0,75, 1) Таблица 8 Пример таблицы определения уровня риска информационной безопасности Вероятность атаки Ущерб очень низкая низкая средняя высокая очень высокая Малый ущерб Низкий риск Низкий риск Низкий риск Средний риск Средний риск Умеренный ущерб Низкий риск Низкий риск Средний риск Средний риск Высокий риск Ущерб средней тяжести Низкий риск Средний риск Средний риск Средний риск Высокий риск Большой ущерб Средний риск Средний риск Средний риск Средний риск Высокий риск Критический ущерб Средний риск Высокий риск Высокий риск Высокий риск Высокий риск 6 / 10 67 При расчете значений вероятности проведения атаки, а также уровня воз- можного ущерба могут использоваться статистические методы, методы экс- пертных оценок или элементы теории принятия решений. В процессе проведения аудита безопасности могут использоваться спе- циализированные программные комплексы, позволяющие автоматизировать процесс анализа исходных данных и расчета значений рисков. Примерами та- ких комплексов являются «Гриф» и «Кондор» (компании «Digital Security»), а также «АванГард» (Института системного анализа РАН). 4. Результаты аудита безопасности Рекомендации могут включать в себя следующие типы действий, направ- ленных на минимизацию выявленных рисков: – уменьшение риска за счет использования дополнительных организаци- онных и технических средств защиты, позволяющих снизить вероятность прове- дения атаки или уменьшить возможный ущерб от нее. Так, например, установка межсетевых экранов в точке подключения АС к сети Интернет позволяет суще- ственно снизить вероятность проведения успешной атаки на общедоступные ин- формационные ресурсы АС, такие как веб-серверы, почтовые серверы и т. д.; – уклонение от риска путем изменения архитектуры или схемы информа- ционных потоков АС, что позволяет исключить возможность проведения той или иной атаки. Так, например, физическое отключение от сети Интернет сег- мента АС, в котором обрабатывается конфиденциальная информация, позволя- ет исключить атаки на конфиденциальную информацию из этой сети; – изменение характера риска в результате принятия мер по страхованию. В качестве примеров такого изменения характера риска можно привести стра- хование оборудования АС от пожара или страхование информационных ресур- сов от возможного нарушения их конфиденциальности, целостности или дос- тупности. В настоящее время российские компании уже предлагают услуги по страхованию информационных рисков; – принятие риска в том случае, если он уменьшен до того уровня, на ко- тором он не представляет опасности для АС. При выборе мер по повышению уровня защиты АС учитывается одно принципиальное ограничение — стоимость их реализации не должна превы- шать стоимость защищаемых информационных ресурсов. В завершение процедуры аудита его результаты оформляются в виде от- четного документа, который предоставляется заказчику. В общем случае этот документ состоит из следующих основных разделов: – описание границ, в рамках которых был проведен аудит безопасности; – описание структуры АС заказчика; – методы и средства, которые использовались в процессе проведения ау- дита; – описание выявленных уязвимостей и недостатков, включая уровень их риска; 7 / 10 68 – рекомендации по совершенствованию комплексной системы обеспече- ния информационной безопасности; – предложения по плану реализации первоочередных мер, направленных на минимизацию выявленных рисков. 5. Программные продукты, предназначенные для анализа и управления рисками В настоящее время имеется большое разнообразие как методов анализа и управления рисками, так и реализующих их программных средств. Приведем примеры некоторых наиболее распространенных. CRAMM. Метод CRAMM (the UK Goverment Risk Analysis and Manag- ment Method) был разработан Службой безопасности Великобритании (UK Security Service) по заданию британского правительства и взят на воору- жение в качестве государственного стандарта. Он используется начиная с 1985 г. правительственными и коммерческими организациями Великобритании. За это время CRAMM приобрел популярность во всем мире. Метод CRAMM — это довольно мощный и универсальный инструмент, позволяющий, помимо анализа рисков, решать также и ряд других аудиторских задач (проведение обследования ИС и выпуск сопроводительной документации на всех этапах; проведение аудита в соответствии с требованиями британского правительства, а также стандарта BS 7799:1995 — Code of Practice for Informa- tion Security Management BS7799; разработка политики безопасности и плана обеспечения непрерывности бизнеса). В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетающий количественные и качественные методы анализа. Метод является универсальным и подходит как для больших, так и для малых организаций, как правительственного, так и коммерческого сектора. Версии программного обес- печения CRAMM, ориентированные на разные типы организаций, отличаются друг от друга своими базами знаний (profiles). Для коммерческих организаций имеется коммерческий профиль (commercial profile), для правительственных организаций — правительственный профиль (government profile). Правительст- венный вариант профиля также позволяет проводить аудит на соответствие требованиям американского стандарта ITSEC («Оранжевая книга»). CRAMM предполагает разделение всей процедуры на три последователь- ных этапа. Задачей первого этапа является ответ на вопрос: «Достаточно ли для защиты системы применения средств базового уровня, реализующих традици- онные функции безопасности, или необходимо проведение более детального анализа?» На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер. RiskWatch. Программное обеспечение RiskWatch, разрабатываемое аме- риканской компанией RiskWatch, Inc., является мощным средством анализа и управления рисками. В семейство RiskWatch входят программные продукты для проведения различных видов аудита безопасности. Оно включает в себя следующие средства аудита и анализа рисков: 8 / 10 69 – RiskWatch for Physical Security — для физических методов защиты ИС; – RiskWatch for Information Systems — для информационных рисков; – HIPAA-WATCH for Healthcare Industry — для оценки соответствия тре- бованиям стандарта HIPAA; – RiskWatch RW17799 for ISO17799 — для оценки соответствия требова- ниям стандарта ISO17799. В методе RiskWatch в качестве критериев для оценки и управления рис- ками используются «предсказание годовых потерь» (annual loss expectancy — ALE) и оценка возврата от инвестиций (return on investment — ROI). Семейство программных продуктов RiskWatch имеет массу достоинств. К недостаткам данного продукта можно отнести его относительно высокую стоимость. COBRA. Система COBRA (Consultative Objective and Bi-Functional Risk Analysis), разрабатываемая компанией Risk Associates, является средством ана- лиза рисков и оценки соответствия ИС стандарту ISO17799. COBRA реализует методы количественной оценки рисков, а также инструменты для консалтинга и проведения обзоров безопасности. При разработке инструментария COBRA были использованы принципы построения экспертных систем, обширная база знаний по угрозам и уязвимостям, а также большое количество вопросников, с успехом применяющихся на практике. В семейство программных продуктов COBRA входят COBRA ISO17799 Security Consultant, COBRA Policy Complian- ce Analyst и COBRA Data Protection Consultant. Buddy System. Программный продукт Buddy System, разрабатываемый компанией Countermeasures Corporation, позволяет осуществлять как количест- венный, так и качественный анализ рисков. Он содержит развитые средства ге- нерации отчетов. Основной акцент при использовании Buddy System делается на информационные риски, связанные с нарушением физической безопасности, и управление проектами. Результатом проведения аудита в последнее время все чаще становится сертификат, удостоверяющий соответствие обследуемой ИС требованиям при- знанного международного стандарта. Наличие такого сертификата позволяет организации получать конкурентные преимущества, связанные с большим до- верием со стороны клиентов и партнеров. 9 / 10 70 10 / 10 |