Информация. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ. В. Ф. Шаньгининформационная безопасность компьютерных систем
 Скачать 5.69 Mb.
|
|
Глава 4 СТАНДАРТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Проблемой информационной компьютерной безопасности начали заниматься с того момента, когда компьютер стал обра батывать данные, ценность которых высока для пользователя. С развитием компьютерных сетей и ростом спроса на электрон ные услуги ситуация в сфере информационной безопасности серьезно обострилась, а вопрос стандартизации подходов к ее решению стал особенно актуальным как для разработчиков, так и для пользователей ИТ-средств. 4.1. Роль стандартов информационной безопасности Главная задача стандартов информационной безопасности — создать основу для взаимодействия между производителями, по требителями и экспертами по квалификации продуктов ИТ. Ка ждая из этих групп имеет свои интересы и свои взгляды на про блему информационной безопасности. Потребители заинтересованы в методике, позволяющей обос нованно выбрать продукт, отвечающий их нуждам и решающий их проблемы, для чего им необходима шкала оценки безопасно сти. Потребители также нуждаются в инструменте, с помощью которого они могли бы формулировать свои требования произво дителям. При этом потребителей интересуют исключительно ха рактеристики и свойства конечного продукта, а не методы и сред ства их достижения. К сожалению, многие потребители не пони мают, что требования безопасности обязательно противоречат функциональным требованиям (удобству работы, быстродейст вию и т. д.), накладывают ограничения на совместимость и, как правило, вынуждают отказаться от широко распространенных и поэтому незащищенных прикладных программных средств. Производители нуждаются в стандартах как средстве сравне ния возможностей своих продуктов, в применении процедуры сертификации как механизма объективной оценки их свойств, а также в стандартизации определенного набора требований безо пасности, который мог бы ограничить фантазию заказчика кон кретного продукта и заставить его выбирать требования из этого набора. С точки зрения производителя требования безопасности должны быть максимально конкретными и регламентировать необходимость применения тех или иных средств, механизмов, алгоритмов и т. д. Кроме того, требования не должны противо речить существующим парадигмам обработки информации, ар хитектуре вычислительных систем и технологиям создания ин формационных продуктов. Однако такой подход также нельзя признать в качестве доминирующего, так как он не учитывает нужд пользователей и пытается подогнать требования защиты под существующие системы и технологии. Эксперты по квалификации и специалисты по сертификации рассматривают стандарты как инструмент, позволяющий им оценить уровень безопасности, обеспечиваемый продуктами ИТ, и предоставить потребителям возможность сделать обоснован ный выбор. Эксперты по квалификации находятся в двойствен ном положении: с одной стороны, они, как и прбизводители, за интересованы в четких и простых критериях, над которыми не надо ломать голову, как их применить к конкретному продукту, а с другой стороны, они должны дать обоснованный ответ поль зователям — удовлетворяет продукт их нужды или нет. Таким образом, перед стандартами информационной безо пасности стоит непростая задача — примирить три разные точки зрения и создать эффективный механизм взаимодействия всех сторон. Причем ущемление потребностей хотя бы одной из них приведет к невозможности взаимопонимания и взаимодействия и, следовательно, не позволит решить общую задачу — создание защищенной системы обработки информации. Необходимость в таких стандартах была осознана достаточ но давно, и в этом направлении достигнут существенный про гресс, закрепленный в документах разработки 1990-х гг. Первым и наиболее известным документом была Оранжевая книга (по цвету обложки) «Критерии безопасности компьютерных сис тем» Министерства обороны США. В этом документе определе ны 4 уровня безопасности — D, С, В и А. По мере перехода от уровня D до А к надежности системы предъявляются все более жесткие требования. Уровни С и В подразделяются на классы (C l, С2, В1, В2, ВЗ). Чтобы система в результате процедуры сер тификации могла быть отнесена к некоторому классу, ее защита должна удовлетворять оговоренным требованиям. К другим важ ным стандартам информационной безопасности этого поколе ния относятся: «Руководящие документы Гостехкомиссии Рос сии», «Европейские критерии безопасности информационных технологий», «Федеральные критерии безопасности информаци онных технологий США», «Канадские критерии безопасности компьютерных систем» [30, 63]. В последнее время в разных странах появилось новое поко ление стандартов, посвященных практическим вопросам управ ления информационной безопасностью компании. Это прежде всего международные стандарты управления информационной безопасностью ISO 15408, ISO 17799 и некоторые другие. Пред ставляется целесообразным проанализировать наиболее важные из этих документов, сопоставить содержащиеся в них требова ния и критерии, а также оценить эффективность их практиче ского применения. 4.2. Международные стандарты информационной безопасности В соответствии с международными и национальными стан дартами обеспечение информационной безопасности в любой компании предполагает следующее: • определение целей обеспечения информационной безопас ности компьютерных систем; • создание эффективной системы управления информацион ной безопасностью; • расчет совокупности детализированных качественных и ко личественных показателей для оценки соответствия ин формационной безопасности поставленным целям; • применение инструментария обеспечения информацион ной безопасности и оценки ее текущего состояния; • использование методик управления безопасностью, позво ляющих объективно оценить защищенность информацион- ных активов и управлять информационной безопасностью компании. Рассмотрим наиболее известные международные стандарты в области защиты информации, которые могут быть использованы в отечественных условиях [52]. 4 .2 .1 . Стандарты IS O /IE C 17799:2002 (BS 7 7 9 9 :2 0 0 0 ) Международный стандарт ISO/IEC 17799:2000 (BS 7799—1:2000) «Управление информационной безопасностью — Информацион ные технологии» («Information technology — Information security management») является одним из наиболее известных стандартов в области зашиты информации. Данный стандарт был разработан на основе первой части Британского стандарта BS 7799—1:1995 «Практические рекомендации по управлению информационной безопасностью» («Information security management — Part 1: Code of practice for information security management») и относится к новому поколению стандартов информационной безопасности компью терных ИС. Текущая версия стандарта ISO/IEC 17799:2000 (BS 7799— 1:2000) рассматривает следующие актуальные вопросы обес печения информационной безопасности организаций и предпри ятий: • необходимость обеспечения информационной безопасности; • основные понятия и определения информационной безо пасности; • политика информационной безопасности компании; • организация информационной безопасности на предпри ятии; • классификация и управление корпоративными информа ционными ресурсами; • кадровый менеджмент и информационная безопасность; • физическая безопасность; • администрирование безопасности КИС; • управление доступом; • требования по безопасности к КИС в ходе их разработки, эксплуатации и сопровождения; • управление бизнес-процессами компании с точки зрения информационной безопасности; • внутренний аудит информационной безопасности компании. Вторая часть стандарта BS 7799—2:2000 «Спецификации сис тем управления информационной безопасностью» («Information security management — Part 2: Specification for information security management systems»), определяет возможные функциональные спецификации корпоративных систем управления информаци онной безопасностью с точки зрения их проверки на соответст вие требованиям первой части данного стандарта. В соответст вии с положениями этого стандарта также регламентируется процедура аудита КИС. Дополнительные рекомендации для управления информаци онной безопасностью содержат руководства Британского инсти тута стандартов — British Standards Institution (BSI), изданные в 1995—2003 гг. в виде следующей серии: • «Введение в проблему управления информационной безопас ностью» («Information security managment: an introduction»); • «Возможности сертификации на требования стандарта BS 7799» («Preparing for BS 7799 sertification»); • «Руководство BS 7799 по оценке и управлению рисками» («Guide to BS 7799 risk assessment and risk management»); • «Руководство для проведения аудита на требования стан дарта» («BS 7799 Guide to BS 7799 auditing»); • «Практические рекомендации по управлению безопасно стью информационных технологий» («Code of practice for IT management»). В 2002 г. международный стандарт ISO 17799 (BS 7799) был пересмотрен и существенно дополнен. В новом варианте этого стандарта большое внимание уделено вопросам повышения куль туры защиты информации в различных международных компани ях. По мнению специалистов, обновление международного стан дарта ISO 17799 (BS 7799) позволит не только повысить культуру защиты информационных активов компании, но и скоординиро вать действия различных ведущих государственных и коммерче ских структур в области защиты информации. 4 .2 .2 . Г ер м а н с ки й стандарт BSI В отличие от ISO 17799 германское «Руководство по защите информационных технологий для базового уровня защищенно сти» посвящено детальному рассмотрению частных вопросов управления информационной безопасностью компании. В германском стандарте BSI представлены: • общая методика управления информационной безопасно стью (организация менеджмента в области информацион ной безопасности, методология использования руково дства); • описания компонентов современных ИТ; • описания основных компонентов организации режима ин формационной безопасности (организационный и техниче ский уровни защиты данных, планирование действий в чрезвычайных ситуациях, поддержка непрерывности биз неса); • характеристики объектов информатизации (здания, поме щения, кабельные сети, контролируемые зоны); • характеристики основных информационных активов ком пании (в том числе аппаратное и программное обеспече ние, например рабочие станции и серверы под управлени ем ОС семейства DOS, Windows и UNIX); • характеристики компьютерных сетей на основе различных сетевых технологий, например сети Novell NetWare, сети UNIX и Windows). • характеристика активного и пассивного телекоммуникаци онного оборудования ведущих поставщиков, например Cisco Systems; • подробные каталоги угроз безопасности и мер контроля (более 600 наименований в каждом каталоге). Вопросы защиты приведенных информационных активов компании рассматриваются по определенному сценарию: общее описание информационного актива компании — возможные уг розы и уязвимости безопасности — возможные меры и средства контроля и защиты. 4 .2 .3 . М е ж д у н а р о д н ы й стандарт ISO 15408 « О б щ и е критерии безопасности инф орм ационны х технологий» Одним из главных результатов стандартизации в сфере сис тематизации требований и характеристик защищенных инфор мационных комплексов стала система международных и нацио нальных стандартов безопасности информации, которая насчи тывает более сотни различных документов. Важное место в этой 6 - 3 3 4 8 системе стандартов занимает стандарт ISO 15408, известный как «Common Criteria». В 1990 г. Международная организация по стандартизации (ISO) приступила к разработке международного стандарта по критериям оценки безопасности ИТ для общего использования. В разработке участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Уч реждение безопасности коммуникаций (Канада), Агентство ин формационной безопасности (Германия), Агентство националь ной безопасности коммуникаций (Голландия), органы исполне ния Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция), которые опирались на свой солидный задел. За десятилетие разработки лучшими специалистами мира до кумент неоднократно редактировался. Первые две версии были опубликованы соответственно в январе и мае 1998 г. Версия 2.1 этого стандарта утверждена 8 июня 1999 г. Международной орга низацией по стандартизации (ISO) в качестве международного стандарта информационной безопасности ISO/IEC 15408 под названием «Общие критерии оценки безопасности информаци онных технологий», или «Common Criteria». «Общие критерии» (ОК) обобщили содержание и опыт ис пользования Оранжевой книги, развили европейские и канад ские критерии и воплотили в реальные структуры концепцию типовых профилей защиты федеральных критериев США. В ОК проведена классификация широкого набора требова ний безопасности ИТ, определены структуры их группирования и принципы использования. Главные достоинства ОК — полно та требований безопасности и их систематизация, гибкость в применении и открытость для последующего развития. Ведущие мировые производители оборудования ИТ сразу стали поставлять заказчикам средства, полностью отвечающие требованиям ОК. ОК разрабатывались для удовлетворения запросов трех групп специалистов, в равной степени являющихся пользователями этого документа: производителей и потребителей продуктов ИТ, а также экспертов по оценке уровня их безопасности. ОК обес печивают нормативную поддержку процесса выбора ИТ-продук- та, к которому предъявляются требования функционирования в условиях действия определенных угроз, служат руководящим ма териалом для разработчиков таких систем, а также регламента- руют технологию их создания и процедуру оценки обеспечивае мого уровня безопасности. ОК. рассматривают информационную безопасность, во-пер вых, как совокупность конфиденциальности и целостности ин формации, обрабатываемой ИТ-продуктом, а также доступности ресурсов ВС и, во-вторых, ставят перед средствами защиты зада чу противодействия угрозам, актуальным для среды эксплуата ции этого продукта и реализации политики безопасности, при нятой в этой среде эксплуатации. Поэтому в концепцию ОК входят все аспекты процесса проектирования, производства и эксплуатации ИТ-продуктов, предназначенных для работы в ус ловиях действия определенных угроз безопасности. Потребители ИТ-продуктов озабочены наличием угроз безо пасности, приводящих к определенным рискам для обрабатывае мой информации. Для противодействия этим угрозам ИТ-про- дукты должны включать в свой состав средства защиты, противо действующие этим угрозам и направленные на устранение уязвимостей, однако ошибки в средствах защиты в свою очередь могут приводить к появлению новых уязвимостей. Сертифика ция средств защиты позволяет подтвердить их адекватность угро зам и рискам. ОК регламентируют все стадии разработки, квалификацион ного анализа и эксплуатации ИТ-продуктов. ОК предлагают концепцию процесса разработки и квалификационного анализа ИТ-продуктов, требующую от потребителей и производителей большой работы по составлению и оформлению объемных и подробных нормативных документов. Требования ОК являются практически всеобъемлющей эн циклопедией информационной безопасности, поэтому их можно использовать в качестве справочника по безопасности ИТ. Стандарт ISO 15408 поднял стандартизацию ИТ на межгосу дарственный уровень. Возникла реальная перспектива создания единого безопасного информационного пространства, в котором сертификация безопасности систем обработки информации бу дет осуществляться на глобальном уровне, что предоставит воз можности для интеграции национальных ИС, что в свою оче редь откроет новые сферы применения ИТ. Принятый базовый стандарт информационной безопасности ISO 15408, безусловно, очень важен и для российских разработ чиков. В разд. 4.3 рассматривается отечественный ГОСТ Р ИСО/ МЭК 15408—2002, являющийсяся аналогом стандарта ISO 15408. 4 .2 .4 . Стандарты для беспроводны х сетей Стандарт IEEE 802.11. В 1990 г. Комитет IEEE 802 сформи ровал рабочую группу 802.11 для разработки стандарта для бес проводных локальных сетей. Работы по созданию стандарта были завершены через 7 лет. В 1997 г. была ратифицирована первая спецификация беспроводного стандарта IEEE 802.11, обеспечивающего передачу данных с гарантированной скоро стью 1 Мб/с (в некоторых случаях до 2 Мб/с) в полосе частот 2,4 ГГц. Эта полоса частот доступна для нелицензионного ис пользования в большинстве стран мира. Стандарт IEEE 802.11 является базовым стандартом и опре деляет протоколы, необходимые для организации беспроводных локальных сетей WLAN (Wireless Local Area Network). Основные из них — протокол управления доступом к среде MAC (Medium Accsess Control — нижний подуровень канального уровня) и про токол PHY передачи сигналов в физической среде. В качестве физической среды допускается использование радиоволн и ин фракрасного излучения. В основу стандарта IEEE 802.11 положена сотовая архитекту ра, причем сеть может состоять как из одной, так и нескольких ячеек. Каждая из них управляется базовой станцией, называемой точкой доступа АР (Access Point), которая вместе с находящими ся в пределах радиуса ее действия рабочими станциями пользо вателей образует базовую зону обслуживания BSS (Basic Service Set). Точки доступа многосотовой сети взаимодействуют между собой через распределительную систему DS (Distribution System), представляющую собой эквивалент магистрального сегмента ка бельных JIC. Вся инфраструктура, включающая точки доступа и распределительную систему образует расширенную зону обслужи вания ESS (Extended Service Set). Стандартом предусмотрен так же односотовый вариант беспроводной сети, который может быть реализован и без точки доступа, при этом часть ее функций выполняются непосредственно рабочими станциями. Для обеспечения перехода мобильных рабочих станций из зоны действия одной точки доступа к другой в многосотовых системах предусмотрены специальные процедуры сканирования (активного и пассивного прослушивания эфира) и присоедине ния (Association), однако строгих спецификаций по реализации роуминга стандарт IEEE 802.11 не предусматривает. Для защиты WLAN стандартом IEEE 802.11 предусмотрен алгоритм WEP (Wired Equivalent Privacy). Он включает средства противодействия НСД к сети, а также шифрование для предот вращения перехвата информации. Однако заложенная в первую спецификацию стандарта IEEE 802.11 скорость передачи данных в беспроводной сети перестала удовлетворять потребностям пользователей: алгоритм WEP имел ряд существенных недостатков — отсутствие управления клю чом, использование общего статического ключа, малые разряд ности ключа и вектора инициализации, сложности использова ния алгоритма RC4. Чтобы сделать технологию Wireless LAN недорогой, популяр ной и удовлетворяющей жестким требованиям бизнес-приложе ний, разработчики создали семейство новых спецификаций стандарта IEEE 802.11 — а, Ь, ..., і. Стандарты этого семейства, по сути, являются беспроводными расширениями протокола Ethernet, что обеспечивает хорошее взаимодействие с проводны ми сетями Ethernet. Стандарт IEEE 802.11b был ратифицирован IEEE в сентябре 1999 г. как развитие базового стандарта 802.11; в нем используется полоса частот 2,4 ГГц, скорость передачи достигает 11 Мб/с (по добно Ethernet). Благодаря ориентации на освоенный диапазон 2,4 ГГц стандарт 802.11b завоевал большую популярность у про изводителей оборудования. В качестве базовой радиотехнологии в нем используется метод распределенного спектра с прямой по следовательностью DSSS (Direct Sequence Spread Spectrum), кото рый отличается высокой устойчивостью к искажению данных по мехами, в том числе преднамеренными. Этот стандарт получил широкое распространение, и беспроводные LAN стали привлека тельным решением с технической и финансовой точки зрения. Стандарт IEEE 802.11а предназначен для работы в частотном диапазоне 5 ГГц. Скорость передачи данных до 54 Мбит/с, т. е. примерно в 5 раз быстрее сетей 802.11b. Ассоциация WECA на зывает этот стандарт Wi-Fi5. Это наиболее широкополосный стандарт из семейства стандартов 802.11. Определены три обяза тельные скорости — 6, 12 и 24 Мбит/с и пять необязательных — 9, 18, 36, 48 и 54 Мбит/с. В качестве метода модуляции сигнала принято ортогональное частотное мультиплексирование OFDM (Orthogonal Frequency Division Multiplexing). Его отличие от ме тода DSSS заключается в том, что OFDM предполагает парал лельную передачу полезного сигнала одновременно по несколь ким частотам диапазона, в то время как технологии расширения спектра DSSS передают сигналы последовательно. В результате повышается пропускная способность канала и качество сигнала. К недостаткам стандарта 802.11а относится большая потребляе мая мощность радиопередатчиков для частот 5 ГГц, а также меньший радиус действия (около 100 м). Для простоты запоминания в качестве общего имени для стан дартов 802.11b и 802.11а, а также всех последующих, относящихся к беспроводным локальным сетям (WLAN), Ассоциацией беспро водной совместимости с Ethernet WECA (Wireless Ethernet Compa tibility Aliance) был введен термин Wi-Fi (Wireless Fidelity). Если устройство помечено этим знаком, оно протестировано на совмес тимость с другими устройствами 802.11. Стандарт IEEE 802.11g представляет собой развитие 802.11b и обратно совместим с 802.11b; предназначен для обеспечения ско ростей передачи данных до 54 Мбит/с. В числе достоинств 802.1 lg надо отметить низкую потребляемую мощность, большие расстоя ния (до 300 м) и высокую проникающую способность сигнала. Стандарт IEEE 802. ll i — стандарт обеспечения безопасности в беспроводных сетях; ратифицирован IEEE в 2004 г. Этот стандарт решил существовавшие проблемы в области аутентификации и протокола шифрования, обеспечив значительно более высокий уровень безопасности. Стандарт 802.11і может применяться в сетях Wi-Fi, независимо от используемого стандарта — 802.11а, b или g. Существуют два очень похожих стандарта — WPA и 802.11і. WPA был разработан в Wi-Fi Alliance как решение, которое мож но применить немедленно, не дожидаясь завершения длитель ной процедуры ратификации 802.1 И в IEEE. Оба стандарта ис пользуют механизм 802.1х (см. далее) для обеспечения надежной аутентификации, оба используют сильные алгоритмы шифрова ния и предназначены для замены протокола WEP. Их основное отличие заключается в использовании различ ных механизмов шифрования. В WPA применяется протокол ТКІР (Temporal Key Integrity Protocol), который, также как и WEP, использует шифр RC4, но значительно более безопасным способом. Обеспечение конфиденциальности данных в стандар те IEEE 802.11і основано на использовании алгоритма шифрова ния AES (Advanced Encryption Standard). Использующий его за щитный протокол получил название ССМР (Counter-Mode СВС MAC Protocol). Алгоритм AES обладает высокой криптостойко стью. Длина ключа AES равна 128, 192 или 256 бит, что обеспе чивает наиболее надежное шифрование из доступных сейчас. Стандарт 802.11 і предполагает наличие трех участников про цесса аутентификации. Это сервер аутентификации AS (Authen tication Server), точка доступа АР (Access Point) и рабочая стан ция STA (Station). В процессе шифрования данных участвуют только АР и STA (AS не используется). Стандарт предусматрива ет двустороннюю аутентификацию (в отличие от WEP, где ау тентифицируется только рабочая станция, но не точка доступа). При этом местами принятия решения о разрешении доступа яв ляются сервер аутентификации AS и рабочая станция STA, а местами исполнения этого решения — точка доступа АР и STA. Для работы по стандарту 802.11і создается иерархия ключей, содержащая мастер-ключ МК (Master Key), парный мастер-ключ РМК (Pairwise Master Key), парный временный ключ РТК (Pairwise Transient Key), а также групповые временные ключи GTK (Group Transient Key), служащие для защиты широковеща тельного сетевого трафика. МК — это симметричный ключ, реализующий решение STA и AS о взаимной аутентификации. Для каждой сессии создается новый МК. РМК — обновляемый симметричный ключ, владение кото рым означает разрешение (авторизацию) на доступ к среде пере дачи данных в течение данной сессии. РМК создается на основе МК. Для каждой пары STA и АР в каждой сессии создается но вый РМК. РТК — это коллекция операционных ключей, которые ис пользуются для привязки РМК к данным STA и АР, распростра нения GTK и шифрования данных. Процесс аутентификации и доставки ключей определяется стандартом 802.1х. Он предоставляет возможность использовать в беспроводных сетях такие традиционные серверы аутентифи кации, как RADIUS (Remote Authentication Dial-In User Server). Стандарт 802.1 li не определяет тип сервера аутентификации, но использование RADIUS для этой цели является стандартным ре шением. Транспортом для сообщений 802.1х служит протокол ЕАР (Extensible Authentication Protocol). ЕАР позволяет легко добавлять новые методы аутентификации. Точке доступа не требуется знать об используемом методе аутентификации, поэтому изменение ме тода никак не затрагивает точку доступа. Наиболее популярные методы ЕАР — это LEAP, РЕАР, TTLS и FAST. Каждый из мето дов имеет свои сильные и слабые стороны, условия применения, по-разному поддерживается производителями оборудования и ПО. Выделяют пять фаз работы 802.11і. Первая фаза — обнаружение. В этой фазе рабочая станция STA находит точку доступа АР, с которой может установить связь и получает от нее используемые в данной сети параметры безопасности. Таким образом STA узнает идентификатор сети SSID и методы аутентификации, доступные в данной сети. Затем STA выбирает метод аутентификации, и между STA и АР уста навливается соединение. После этого STA и АР готовы к началу второй фазы 802.1х. Вторая фаза — аутентификация. В этой фазе выполняется взаимная аутентификация STA и сервера AS, создаются МК и РМК. В данной фазе STA и АР блокируют весь трафик, кроме трафика 802.1х. Третья фаза — AS перемещает ключ РМК на АР. Теперь STA и АР владеют действительными ключами РМК. Четвертая фаза — управление ключами 802.1х. В этой фазе происходит генерация, привязка и верификация ключа РТК. Пятая фаза — шифрование и передача данных. Для шифро вания используется соответствующая часть РТК. Стандартом 802.11і предусмотрен режим PSK (Pre-Shared Key), который позволяет обойтись без сервера аутентификации AS. При использовании этого режима на STA и на АР вручную вводится Pre-Shared Key, который используется в качестве РМК. Дальше генерация РТК происходит описанным выше порядком. Режим PSK может использоваться в небольших сетях, где неце лесообразно устанавливать AS. 4 .2 .5 . Стандарты и н ф орм ац ионной безопасности в Интернете По оценке Комитета ООН по предупреждению преступности и борьбе с ней, компьютерная преступность вышла на уровень одной из международных проблем. Поэтому чрезвычайно важно добиваться эффективного решения проблем обеспечения безо пасности коммерческой информации в глобальной сети Интер нет и смежных Интранет-сетях, которые по своей технической сущности не имеют принципиальных отличий и различаются в основном масштабами и открытостью. Рассмотрим особенности стандартизации процесса обеспече ния безопасности коммерческой информации в сетях с протоко лом передачи данных ІР/ТСР и с акцентом на защиту телеком муникаций [90]. Обеспечение безопасности ИТ особенно актуально для от крытых систем коммерческого применения, обрабатывающих информацию ограниченного доступа, не содержащую государст венную тайну. Под открытыми системами понимают совокуп ности всевозможного вычислительного и телекоммуникацион ного оборудования разного производства, совместное функцио нирование которого обеспечивается соответствием требованиям международных стандартов. Термин «открытые системы» подразумевает также, что если вычислительная система соответствует стандартам, то она будет открыта для взаимосвязи с любой другой системой, которая со ответствует тем же стандартам. Это, в частности, относится и к механизмам криптографической защиты информации или к за щите от НСД к информации. Важная заслуга Интернета состоит в том, что он заставил по-новому взглянуть на такие технологии. Во-первых, Интернет поощряет применение открытых стандартов, доступных для вне дрения всем, кто проявит к ним интерес. Во-вторых, он пред ставляет собой крупнейшую в мире, и вероятно, единственную, сеть, к которой подключается такое множество разных компью теров. И наконец, Интернет становится общепринятым средст вом представления быстроменяющейся новой продукции и но вых технологий на мировом рынке. В Интернете уже давно существует ряд комитетов, в основ ном из организаций-добровольцев, которые осторожно проводят предлагаемые технологии через процесс стандартизации. Эти ко митеты, составляющие основную часть Рабочей группы инжене ров Интернета IETF (Internet Engineering Task Force) провели стандартизацию нескольких важных протоколов, ускоряя их внедрение в Интернете. Непосредственными результатами уси лий IETF являются такие протоколы, как семейство TCP/IP для передачи данных, SMTP (Simple Mail Transport Protocol) и POP (Post Office Protocol) для электронной почты, а также SNMP (Simple Network Management Protocol) для управления сетью. В Интернете популярны протоколы безопасной передачи дан ных, а именно SSL, SET, IPSec. Перечисленные протоколы поя вились в Интернете сравнительно недавно как необходимость за шиты ценной информации и сразу стали стандартами де-факто. Протокол SSL (Secure Socket Layer) — популярный сетевой протокол с шифрованием данных для безопасной передачи по сети. Он позволяет устанавливать защищенное соединение, про изводить контроль целостности данных и решать различные со путствующие задачи. Протокол SSL обеспечивает защиту данных между сервисными протоколами (такими как HTTP, FTP и др.) и транспортными протоколами (TCP/IP) с помощью современной криптографии. Протокол SSL подробно рассмотрен в главе 11. Протокол SET (Security Electronics Transaction) — перспек тивный стандарт безопасных электронных транзакций в сети Интернет, предназначенный для организации электронной тор говли через сеть Интернет. Протокол SET основан на использо вании цифровых сертификатов по стандарту Х.509. Протокол выполнения защищенных транзакций SET являет ся стандартом, разработанным компаниями MasterCard и Visa при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя защищенный механизм выполнения платежей. SET является открытым стандартным многосторонним про токолом для проведения безопасных платежей с использованием пластиковых карточек в Интернете. SET обеспечивает кросс-ау тентификацию счета держателя карты, продавца и банка продав ца для проверки готовности оплаты, а также целостность и сек ретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET более правильно можно назвать стандартной тех нологией или системой протоколов выполнения безопасных пла тежей с использованием пластиковых карт через Интернет. SET позволяет потребителям и продавцам подтверждать подлинность всех участников сделки, происходящей в Интернете, с помощью криптографии, в том числе применяя цифровые сертификаты. Как упоминалось ранее, базовыми задачами защиты инфор мации являются обеспечение ее доступности, конфиденциально сти, целостности и юридической значимости. SET, в отличии от других протоколов, позволяет решать указанные задачи защиты информации в целом. В частности, он обеспечивает следующие специальные тре бования защиты операций электронной коммерции: • секретность данных оплаты и конфиденциальность инфор мации заказа, переданной наряду с данными об оплате; • сохранение целостности данных платежей. Целостность информации платежей обеспечивается с помощью цифро вой подписи; • специальную криптографию с открытым ключом для про ведения аутентификации; • аутентификацию держателя по кредитной карточке. Она обеспечивается применением цифровой подписи и серти фикатов держателя карт; • аутентификацию продавца и его возможности принимать платежи по пластиковым карточкам с применением циф ровой подписи и сертификатов продавца; • аутентификацию того, что банк продавца является дейст вующей организацией, которая может принимать платежи по пластиковым карточкам через связь с процессинговой карточной системой. Аутентификация банка продавца обеспечивается использованием цифровой подписи и сер тификатов банка продавца; • готовность оплаты транзакций в результате аутентифика ции сертификата с открытым ключом для всех сторон; • безопасность передачи данных посредством преимущест венного использования криптографии. Основное преимущество SET по сравнению с другими суще ствующими системами обеспечения информационной безопас ности заключается в использовании цифровых сертификатов (стандарт Х509, версия 3), которые ассоциируют держателя кар ты, продавца и банк продавца с банковскими учреждениями платежных систем Visa и Mastercard. Кроме того, SET позволяет сохранить существующие отношения между банком, держателя ми карт и продавцами и интегрируется с существующими систе мами. Протокол IPSec. Спецификация IPSec входит в стандарт IP ѵ.6 и является дополнительной по отношению к текущей версии про токолов TCP/IP. Она разработана Рабочей группой IP Security IETF. В настоящее время IPSec включает 3 алгоритмо-независи- мых базовых спецификации, представляющих соответствующие RFC-стандарты. Протокол IPSec обеспечивает стандартный спо соб шифрования трафика на сетевом (третьем) уровне IP и заши- шает информацию на основе сквозного шифрования: независимо от работающего приложения при этом шифруется каждый пакет данных, проходящий по каналу. Это позволяет организациям соз давать в Интернете виртуальные частные сети. Протокол IPSec подробно рассмотрен в гл. 12. Инфраструктура управления открытыми ключами РКІ (Public Key Infrastructure) предназначена для защищенного управления криптографическими ключами электронного документооборота, основанного на применении криптографии с открытыми ключа ми. Эта инфраструктура подразумевает использование цифровых сертификатов, удовлетворяющих рекомендациям международно го стандарта Х.509 и развернутой сети центров сертификации, обеспечивающих выдачу и сопровождение цифровых сертифика тов для всех участников электронного обмена документами. Ин фраструктура РКІ подробно рассматривается в гл. 13. 4.3. Отечественные стандарты безопасности информационных технологий Исторически сложилось так, что в России проблемы безо пасности ИТ изучались и своевременно решались в основном в сфере охраны государственной тайны. Аналогичные задачи ком мерческого сектора экономики долгое время не находили соот ветствующих решений. Информация, содержащаяся в системах или продуктах ИТ, является критическим ресурсом, позволяющим организациям успешно решать свои задачи. Кроме того, частные лица вправе ожидать, что их персональная информация, будучи размещен ной в продуктах или системах ИТ, останется приватной, доступ ной им по мере необходимости и не сможет быть подвергнута несанкционированной модификации. Проблема защиты информации в коммерческой АС имеет свои особенности, которые необходимо учитывать, поскольку они оказывают серьезное влияние на информационную безопас ность (ИБ). Перечислим основные из них. Приоритет экономических факторов. Для коммерческой АС важно снизить либо исключить финансовые потери и обеспе чить получение прибыли владельцем и пользователями данного инструментария в условиях реальных рисков. Важным условием при этом, в частности, является минимизация типично банков ских рисков (например потерь за счет ошибочных направлений платежей, фальсификации платежных документов и т. п.). Открытость проектирования, предусматривающая создание подсистемы защиты информации из средств, широко доступных на рынке и работающих в открытых системах. Юридическая значимость коммерческой информации, которую можно определить как свойство безопасной информации, позво ляющее обеспечить юридическую силу электронным документам или информационным процессам в соответствии с законода тельством Российской Федерации. Среди различных стандартов по безопасности ИТ, сущест вующих в настоящее время в России, следует выделить норма тивные документы по критериям оценки защищенности средств вычислительной техники и АС и документы, регулирующие ин формационную безопасность (табл. 4.1, строки 1—10). К ним можно добавить нормативные документы по криптографической защите систем обработки информации и информационных тех нологий (табл. 4.1, строки 11—13). Таблица 4.1. Российские стандарты, регулирующие информационную безопасность № п/п Стандарт Наименование 1 ГОСТ Р И С О /М ЭК 15408-1-2002 Методы и средства обеспечения безо пасности. Критерии оценки безопас ности информационных технологий. Часть 1. Введение и общая модель 2 ГОСТ Р ИС О /М ЭК 15408-2-2002 Методы и средства обеспечения безо пасности. Критерии оценки безопас ности информационных технологий. 1 Часть 2. Функциональные требования 1 безопасности 3 ГОСТ Р И С О /М ЭК 15408-3-2002 Методы и средства обеспечения безо пасности. Критерии оценки безопас ности информационных технологий. Часть 3. Требования доверия к безо пасности 4 ГОСТ Р 50 7 3 9 -9 5 Средства вычислительной техники. Зашита от несанкционированного доступа к информации. Общие техни ческие требования Окончание табл. 4.1 № п/п Стандарт Наименование 5 ГОСТ Р 5 0 9 2 2 -9 6 Зашита информации. Основные тер мины и определения 6 ГОСТ Р 5 1 1 8 8 -9 8 Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое ру ководство 7 ГОСТ Р 5 1 2 7 5 -9 9 Защита информации. Объект инфор матизации. Факторы, воздействующие на информацию. Общие положения 8 ГОСТ Р ИСО 7 4 9 8 -1 -9 9 Информационная технология. Взаи мосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель 9 ГОСТ Р ИСО 7 4 9 8 -2 -9 9 Информационная технология. Взаи мосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитек тура защиты информации 10 ГОСТ Р 5 0 7 3 9 -9 5 Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие техни ческие требования 11 ГОСТ 2 8 1 4 7 -8 9 Системы обработки информации. За щита криптографическая. Алгоритм криптографического преобразования 12 ГОСТ Р 34.10-2001 Информационная технология. Крип тографическая защита информации. Процессы формирования и проверки электронной цифровой подписи 13 ГОСТ Р 3 4 .1 1 -9 4 Информационная технология. Крип тографическая защита информации. Функция хэширования Стандарты в структуре И Б выступают как связующее звено между технической и концептуальной стороной вопроса. Введение в 1999 г. Международного стандарта ISO 15408 в области обеспечения ИБ имело большое значение как для разра ботчиков компьютерных ИС, так и для их пользователей. Стан дарт ISO 15408—2002 стал своего рода гарантией качества и на дежности сертифицированных по нему программных продуктов. Этот стандарт позволил потребителям лучше ориентироваться при выборе ПО и приобретать продукты, соответствующие их требованиям безопасности, и, как следствие этого, повысил кон курентоспособность ІТ-компаний, сертифицирующих свою про дукцию в соответствии с ISO 15408. ГОСТ Р ИСО/МЭК 15408—2002 «Критерии оценки безопас ности информационных технологий» действует в России с января 2004 г. и является аналогом стандарта ISO 15408. ГОСТ Р ИСО/ МЭК 15408, называемый также «Общими критериями» (ОК), яв ляется на сегодня самым полным стандартом, определяющим инструменты оценки безопасности ИС и порядок их использо вания [18, 19, 20]. ОК направлены на защиту информации от несанкциониро ванного раскрытия, модификации, полной или частичной поте ри и применимы к защитным мерам, реализуемым аппаратны ми, программно-аппаратными и программными средствами. ОК предназначены служить основой при оценке характери стик безопасности продуктов и систем ИТ. Заложенные в стан дарте наборы требований позволяют сравнивать результаты не зависимых оценок безопасности. На основании этих результатов потребитель может принимать решение о том, достаточно ли безопасны ИТ-продукты или системы для их применения с за данным уровнем риска. ГОСТ Р ИСО/МЭК 15408—2002 состоит из трех частей. Часть 1 (ГОСТ Р ИСО/МЭК 15408-1 «Введение и общая мо дель») устанавливает общий подход к формированию требований безопасности и оценке безопасности. На их основе разрабатыва ются основные конструкции (профиль защиты и задание по безо пасности) представления требований безопасности в интересах потребителей, разработчиков и оценщиков продуктов и систем ИТ. Требования безопасности объекта оценки (ОО) по методоло гии ОК определяются, исходя из целей безопасности, которые ос новываются на анализе назначения ОО и условий среды его ис пользования (угроз, предположений, политики безопасности). Часть 2 (ГОСТ Р ИСО/МЭК 15408-2 «Функциональные тре бования безопасности») содержит универсальный каталог функ циональных требований безопасности и предусматривает воз можность их детализации и расширения по определенным пра вилам. Часть 3 (ГОСТ Р ИСО/МЭК 15408-3 «Требования доверия к безопасности») включает систематизированный каталог требова ний доверия, определяющих меры, которые должны быть при няты на всех этапах жизненного цикла продукта или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним функциональным требованиям. Здесь же содержатся оценочные уровни доверия (ОУД), определяющие шкалу требований, которые позволяют с возрастающей степе нью полноты и строгости оценить проектную, тестовую и экс плуатационную документацию, правильность реализации функ ций безопасности 0 0 , уязвимости продукта или системы ИТ, стойкость механизмов защиты и сделать заключение об уровне доверия к безопасности объекта оценки. Обобщая вышесказанное, можно отметить, что каркас безо пасности, заложенный частью 1 ГОСТ Р ИСО/МЭК 15408, заполняется содержимым из классов, семейств и компонентов части 2, а часть 3 определяет, как оценить прочность всего «строения». Стандарт «Критерии оценки безопасности информационных технологий» отражает достижения последних лет в области ИБ. Впервые документ такого уровня содержит разделы, адресован ные потребителям, производителям и экспертам по оценке безо пасности ИТ-продуктов. Главные достоинства ГОСТ Р ИСО/МЭК 15408: • полнота требований к ИБ; • гибкость в применении; • открытость для последующего развития с учетом новейших достижений науки и техники. Часть 2 ТЕХНОЛОГИИ ЗАЩИТЫ ДАННЫХ Безопасность данных означает их конфиденциальность, це лостность и подлинность. Критерии безопасности данных могут быть определены следующим образом. Конфиденциальность данных предполагает их доступность только для тех лиц, которые имеют на это соответствующие пол номочия. Под обеспечением конфиденциальности информации по нимается создание таких условий, при которых понять содержа ние передаваемых данных может только законный получатель, которому данная информация предназначена. Целостность информации предполагает ее неизменность в процессе передачи от отправителя к получателю. Под обеспечени ем целостности информации понимается достижение идентич ности отправляемых и принимаемых данных. Подлинность информации предполагает соответствие этой информации ее явному описанию и содержанию, в частности, соответствие действительным характеристикам указанных: от правителя, времени отправления и содержания. Обеспечение под линности информации, реализуемое на основе аутентификации, состоит в достоверном установлении отправителя, а также защи те информации от изменения при ее передаче от отправителя к получателю. Своевременно обнаруженное нарушение подлинности и це лостности полученного сообщения позволяет предотвратить от рицательные последствия, связанные с дальнейшим использова нием такого искаженного сообщения. 7 - 33 4 8 |