CC BY
56
П. Л. ЗАКОПАЙЛО
Управление исполнения наказаний Минюста РФ по Омской области
УДК 004.056.5
ПРОБЛЕМЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ КОРПОРАТИВНОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ УПРАВЛЕНИЯ ИСПОЛНЕНИЯ НАКАЗАНИЙ_
СТАТЬЯ ПРЕДЛАГАЕТ ПОДХОДЫ К РЕШЕНИЮ ПРОБЛЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ, ВКЛЮЧАЮЩИЕ ОБСЛЕДОВАНИЕ ИНФОРМАЦИОННЫХ СИСТЕМ, ОЦЕНКУ ИНФОРМАЦИОННЫХ ПОТОКОВ, АНАЛИЗ РИСКОВ.
1. Состояние вопроса обеспечения информационной безопасности
Внедрение персональных компьютеров (ПК) в управлениях исполнения наказаний (УИН) Российской Федерации началось десять лет назад и пришло на смену машиносчетным станциям, вычислительным цехам и центрам, укомплектованным компьютерами семейства СМ или ЕС. Доступ к ним имел ограниченный круг подготовленных специалистов. Вопросы безопасности не стояли так остро и практически сводились к обеспечению целостности информации. Сотрудникам, в лучшем случае, предоставлялась возможность работы на удаленных терминалах. С внедрением ПК непосредственно на рабочих местах значительно повысилась эффективность их использования, но расширился круг лиц, имеющих доступ к размещенной на них информации. В связи с тем, что ПК на этом этапе, как правило, не были объединены в локальные вычислительные сети (ЛВС), вопросы обеспечения информационной безопасности (ИБ) в основном могли решаться организационными мерами. С ростом количества ПК обострился вопрос децентрализации информации. В разных ПК появлялось большое количество одинаковых документов, которые не могли оперативно поддерживаться в актуальном состоянии, программных продуктов, в которые должна заноситься, редактироваться и использоваться информация большим кругом лиц. Началось активное внедрение ЛВС, что позволило значительно упростить и ускорить доступ к информации, повысить ее достоверность. Стали активно внедряться клиент-серверные и файл-серверные приложения, системы, позволяющие производить репликацию информации, т.е. поддержание ее в актуальном состоянии на разных ПК. При этом увеличился круг лиц, имеющих возможность ее использовать, а значит и риск неправомерного изменения или уничтожения информации, ее дискредитаци и.
Информационная безопасность (ИБ) включает вопросы обеспечения целостности, доступности, конфиденциальности. Системы информационной безопасности должны противостоять атакам, ведущимся как изнутри так и извне корпоративной сети. К сожалению, состояние ИБ не просто оказывается тревожным, но продолжает быстро ухудшаться. Постоянно обнаруживаются новые слабости в программном обеспечении и, как следствие, новые способы проведения атак.
Информационная безопасность является одним из важнейших аспектов интегральной безопасности наряду с аварийной, пожарной, охранной, экологической и др. Понятие интегральной безопасности [1 ) предполагает обязательную непрерывность процесса обеспечения безопасности как во времени, так и в пространстве (по всему технологическому циклу деятельности) с обязательным учетом всех возможных видов угроз (несанкционирован-
ный доступ, съем информации, терроризм, пожар, стихийные бедствия и т.п.). Это справедливо как для государственных, так и для коммерческих структур. Не являются исключением и правоохранительные органы, обладающие информацией, представляющей интересдпя определенных кругов.
Независимо от конкретных приложений концепция обеспечения информационной безопасности строится по аналогичной схеме.
Вопросы защиты информации, составляющей государственную или иную тайну, регламентируются нормативными актами соответствующих органов (ФАПСИ, ГТК, ФСБ), ведомственными руководящими документами.
Большая часть информации, обрабатываемой в информационных сетях, не является секретной, но зачастую она жизненно важна для конкретной организации и требует не менее пристального внимания служб, обеспечивающих информационную безопасность.
На рынке систем ИБ присутствует широкий выбор средств защиты, но высокая цена делает их применение не всегда возможным. Не секрет, что в сегодняшних экономических условиях государственные службы не в состоянии обеспечить установку соответствующего оборудования для защиты всего парка вычислительной техники. Неудовлетворительная штатная обеспеченность служб информатизации, отсутствие в них специалистов по администрированию информационных систем, обеспечению ИБ в сочетании с постоянным увеличением производительности вычислительной техники не позволяют обеспечивать в необходимом объеме администрирование вычислительных систем.
В настоящее время имеется огромное количество публикаций по тематике обеспечения ИБ, включая рекомендации и инструкции. Администраторы ИС как правило загружены работой по обеспечению работоспособности систем и далеко не всегда имеют возможность и время разобраться в этом море информации.
В этой ситуации, учитывая многогранность вопросов обеспечения ИБ, для подразделений, выполняющих специфические задачи, необходимы типовые решения, позволяющие обеспечить защиту, адекватную вероятным угрозам с привлечением минимальных финансовых средств.
2. Разработка политики безопасности
Целями информационной безопасности являются защита ценностей системы, гарантия достоверности, целостности, конфиденциальности информации, ее доступности, когда она нужна, сглаживание последствий разрушений, которые могут иметь место, если информация будет модифицирована или разрушена. На основе анализа угроз и построенной модели можно обоснованно выбрать систему контрмер, снижающих риски до допустимых
уровней и обладающих наибольшей ценовой эффективностью.
Создание системы ИБ начинается с разработки политики безопасности (ПБ). ПБ описывает мероприятия, направленные на противодействие потенциальным угрозам, защиту информации и ассоциированных с ней ресурсов.
При определении политики ИБ в подразделениях УИС используются руководящие документы и стандарты Гостехкомиссии России по ИБ, приказ Министерства юстиции Российской Федерации № 10 от 21.01.2000 г. об утверждении «Концепции информатизации Министерства юстиции Российской Федерации», в которой, в частности, определен порядок формирования структурных подразделений информатизации и обеспечения информационной безопасности систем информатизации, ведомственные руководящие документы ГУИН Минюста РФ, временные руководящие документы УИН по Омской области, регламентирующие обеспечение ИБ в подчиненных подразделениях, -«Концепция защиты СВТУИН», «Инструкция по обеспечению защиты ИС УИН».
Обеспечение И Б начинается с обследования информационных систем, оценки информационных потоков и анализа рисков. По результатам обследования проводится проектирование системы ИБ, выбор технических средств и систем защиты, организационных мер. Разрабатывается пакет организационно-распорядительных документов, описывающих необходимые меры по обеспечению ИБ, включающий политику безопасности, план обеспечения непрерывной работы и восстановления ИС, положения о службе и т.д.
Примерный перечень задач, решаемых при создании системы ИБ, приведен на рис. 1.
3. Особенности корпоративной ИС УИН
Корпоративная сеть (КС) регионального органа уголовно-исполнительной системы Минюста России является составной частью единой автоматизированной информационной системы (АИС УИС). КС объединяет информационные сети территориального управления и подчиненных подразделений. Это распределенная система, состоящая из баз данных (БД), расположенных на территориально удаленных серверах и, в отличие от "монолитных" вычислительных систем, не имеющая заданного периметра и спецификации. Между компонентами в сетях существуют каналы, которые могут проходить по незащищенной территории. Каждая компонента распределенной системы в данном случае представляет собой самостоятельную защищенную систему, а, в целом множество взаимодействующих, защищенных порознь систем. Вопросы ее гарантированной защиты сводятся к защищенности компонент в условиях рассматриваемого окружения и организации защищенных шлюзов для взаимодействия компонентов. Схема АИС УИС может быть условно представлена в виде, приведенном на рис.2.
Информационные потоки и организация защиты в АИС строятся по уровням, на каждом из которых функционирует информация как внутри, так и выходящая за его пределы. Таким образом необходима защита ИС и используемых каналов связи на следующих уровнях:
- Локальные данные, обрабатываемые внутри ИС и задачи ее защиты;
- Информационные потоки внутри рабочих групп, созданных по направлениям служебной деятельности (при этом возникает задача исключения доступа к информации вне группы и при помощи утечки через каналы связи);
- Корпоративная сеть АИС УИН и защита информации, передаваемой по телекоммуникациям внутри региона;
- АИС УИС Минюста РФ, Интернет и вопросы защиты информации, передаваемой по ведомственным каналам и каналам связи общего пользования.
Ресурсы корпоративной информационной системы включают средства вычислительной техники, информаци-
онные ресурсы (включая локальные данные, системы клиент/сервер, территориально-распределенные базы данных) и относятся к одному из предопределенных классов: физических, программных и информационных.
Типовая АИС состоит из компонентов, решающих свои специфичные задачи, но в общем случае она включает 4 уровня программного обеспечения (ПО):
- уровень прикладного программного обеспечения (ПО), отвечающий за взаимодействие с пользователем, проведение аутентификации, обеспечивающий разграничение прав доступа;
- уровень системы управления базами данных (СУБД), отвечающий за хранение и обработку данных информационной системы;
- уровень операционной системы (ОС), отвечающий за обслуживание СУБД и прикладного программного обеспечения, доступ к ресурсам информационной системы;
-Туровень сети, отвечающий за взаимодействие узлов информационной системы, формирование политики использования ресурсов сети.
У злоумышленников имеется достаточно широкий спектр возможностей по нарушению политики безопасности, которые могут быть осуществлены на всех четырех вышеназванных уровнях ИС.
Особенностью КС является наличие информационных ресурсов широкого спектра, включающих данные различного уровня конфиденциальности. Дифференциация подхода к выбору методов и средств защиты определяется важностью обрабатываемой информации, различием автоматизированных систем (АС) по своему составу, структуре, способам обработки информации, количественному и качественному составу пользователей и обслуживающего персонала. Сотрудники отделов и служб согласно должностных инструкций имеют разные права доступа к информации.
Автоматизированные системы классифицированы в соответствии с руководящим документом Гостехкомиссии РФ [2 ]. Определяющими признаками, по которым производится группировка АС, являются наличие в АС информации различного уровня конфиденциальности, уровень полномочий пользователей на доступ к конфиденциальной информации, режим обработки данных в АС: коллективный или индивидуальный.
Для классификации информационных ресурсов АИС целесообразно использовать средства автоматизации. Пример системы классификации ПО приведен на рис. 3.
Система содержит информацию о правах доступа сотрудников, уровне конфиденциальности, путях доступа, связанных ресурсах и используется совместно с системой классификации аппаратных средств для построения матриц контроля доступа.
4. Угрозы безопасности информационных систем УИН
Информационная безопасность не сводится исключительно к защите информации, это принципиально более широкое понятие. Владелец информационной системы (ИС) может пострадать (понести материальные и/или моральные убытки) не только от несанкционированного доступа к информации, но и от поломки системы, вызвавшей перерыв в работе и не позволившей вовремя принять или передать информацию, подготовить необходимый документ, воспользоваться банками данных и т.д.
Для ИС существует возможность случайных, целенаправленных или внутренних действий или событий, а результате которых может произойти разрушение, искажение или несанкционированное использование ресурсов сети, включая хранимую, передаваемую и обрабатываемую информацию. Угрозы возможны на уровне ИС, ЛВС, корпоративных систем.
Ни одна организация не застрахована от воровства. Кроме того, любая организация обычно представляет
Определение политики ИБ.
1
Кадровое обеспечение работ но созданию системы ИБ. '
Описание струетуры организации, ее информационных ресурсов.
Определение ресурсов, требующих защиты.
Определение и оценка угроз (рисков)
-!_;_а
Выбор мер, обеспечивающих адек- , ватную защиту информационных ресурсов.
_]
Аудит информационных систем, систем обеспечения ИБ.
- используемые руководящие документы и стандарты;
- определение взглядов на проблемы сохранения конфиденциальности, целостности, доступности информации, и на способы и методы решения этих проблем;
- определение орг. вопросов по обеспечению ИБ;
- подходы к управлению рисками.
- определение структуры, подчиненности службы, обеспечивающей режим ИБ в организации и ее филиалах;
- разработка функциональных обязанностей;
- организация обучения и повышения квалификации персонала.
- описание структуры организации;
- выявление субъекты информационных отношений и их интересов, связанных с использованием информационных систем;
- состав и размещение СВТ и поддерживающей инфраструктуры;
- классификация информационных ресурсов организации;
- структура данных и место их хранения;
- технология обработки информации;
- структура и интенсивность информационных потоков.
- определение ценности ресурсов;
- разработка и утверждение перечня сведений, относящихся к служебной и коммерческой тайне;
- реестр объектов, обрабатывающих конфиденциальную информацию;
- реестр ресурсов информационных систем, подлежащих заицгге.
- определение всех возможных источников угроз ИБ;
- угрозы, актуальные для ИС и ущерб от них;
- построение матриц контроля доступа к ресурсам;
- определение путей доступа и уязвимости ресурсов;
- оценка вероятности угроз.
- определение базового уровня ИБ;
- определение повышенных требований к ИБ;
- управление рисками (уменьшение, уклонение, изменение, принятие);
- организационные (административные), законодательные, морально-этические, физические, аппаратные, программные меры защиты информационных ресурсов.
встроенные средства аудита ОС; внешнее ПО аудита;
использование интелектуального коммуникационного оборудования; спецобследование и аттестация помещений и объектов ВТ; построение модели нарушителя; проведение тестирования на проникновение; определение вероятностных характеристик надежности.
Рис. 1. Основные этапы обеспечения ИБ.
интересы, которым всегда кто-нибудь противостоит, возможны действия, направленные на получение информации с целью дискредитации организации или достижения противоположных целей [3 ]. Подразделения УИС используют в служебной деятельности широкий спектр информационных ресурсов, куда входят оперативные данные, сведения производственно-хозяйственного и финансово-экономического направлений.
При создании корпоративной системы безопасности необходимо определить, от кого следует защищаться, кто заинтересован в несанкционированном получении информации или дестабилизации деятельности организации. Отсюда следует, какие компоненты системы являются 1 наиболее уязвимыми, каким может быть ущерб в случае
успешной атаки на корпоративную систему, каковы технические возможности и возможные действия потенциального нарушителя.
Информация может находиться в трех состояниях: передачи, хранения и обработки. Спектр интересов субъектов, связанных с использованием ИС, можно подразделить на следующие основные категории:
• доступность (возможность за приемлемое время получить требуемую информационную услугу);
• целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения);
• конфиденциальность (секретность, адресность) (защита от несанкционированного ознакомления).
Рис. 2. Структура АИС УИС: АИС УИН 1-М - корпоративная информационная система региональных управлений УИС; Оргединица 1-К- ЛВС подразделения регионального управления УИС; Домен территориального органа УИС - группа серверов, совместно использующих одну и ту же по содержанию базу данных «Общая адресная книга», включающая в себя информационные сети территориального управления и подразделений.
.ПрограмСистУИН - Программное oSeciie
Q Файл Правка Вид Создание Действия Окно ?
Jgixjj
[i-F-lf^
-Ъ 1 сэ l^fei
W
Новый
¿^. Печать Удалить
¡Н, Размещение
Программные системы
I
Г
По группам ПС
№
п. п.
Н аименование П С
Код
Разра(_1 Дагга р
► Операционные системы
& Прикладные ПС оперативно-режимного направлен! Ь Прикладные ПС отдела кадров & Прикладные ПС производственного и инженерного
► Прикладные ПС спецучета
i i i ! S 6.1 1С: Бухгалтерия РФ1 1С 01.01.21
» '. •■Л'/''*-,,/',./ 6.2 1С: Бухгалтерия РФ 2 1С 1998
« ' V oc 6.3 1 С: Зарплата и кадры РФЗ 1С 01.01.2С
«1 1 if1 6.4 Excel «Лимиты бюджетных ассигн» РФ 4 OA 01.06.2(^J
Г' j . «С? j Работа ... jC-j;;
Рис. 3. Классификация ПО.
Конфиденциальность обеспечивается организацией защиты от НСД. Основные модели НСД:
- удаленный доступ (через сетевой адаптер или модем, перехват излучений);
- прямой доступ без вскрытия ПК (через клавиатуру, дисководы, порты ввода-вывода);
- прямой доступ с вскрытием ПК (через доступ к СШ, подключение к ЖД, режим прямого доступа к памяти) [4].
Источником угроз (см. рис. 3) могут быть: стихийные бедствия, аварии и прочие случайные воздействия, некомпетентные служащие, хакеры и крэкеры, неудовлетворенные своим статусом или нечестные служащие, инициативный
шпионаж, организованная преступность, экономический шпионаж.
Слабым местом обычно является неэффективная система защиты при входе пользователей в сеть и отсутствие локальных систем защиты на рабочих местах. Политики в отношении управления паролями, как правило, или неадекватны, или их просто не существует. При отсутствии или недостаточной квалификации администрирования велика возможность потенциальных угроз доступа в корпоративную сеть по коммутируемым каналам. В настоящее время любая организация в той или иной мере пользуется услугами Internet, но при этом не всегда
Воздействия, нарушающие БД
Рис. 4. Воздействия, нарушающие ИБ.
использует такие средства защиты от доступа к информации, как межсетевые экраны, что повышает риск стать мишенью для попыток вторжения.
Обеспечение ИБ осложняет открытая архитектура компьютерного оборудования, позволяющая наращивать ресурсы, конфигурировать, в ряде случаев дающая неквалифицированному пользователю возможность доступа к администрированию ЛВС, что, может привести к краху системы. Имеется возможность довольно легко добавлять недекларированные возможности. Например в ПК могут быть установлены устройства, способствующие съему информации или ее уничтожению, а учитывая то, что ПК как правило произведены из импортных комплектующих и в большинстве случаев сертифицированы, эти возможности могут быть заложены в самих комплектующих. Нелицензионное или некачественно разработанное ПО, общедоступность обширного арсенала инструментария компьютерных преступлений делают информационные системы (ИС) легкодоступными.
Еще одна потенциальная угроза исходит от использования анализаторов протоколов. Процесс анализа протоколов включает захват циркулирующих в сети пакетов, реализующих тот или иной сетевой протокол, и изучение содержимого этих пакетов [5]. Существуют чисто программные решения, примером которых является утилита Network Monitor, входящая в состав SMS, одного из компонентов семейства MS BackOffice. Этот тип программного обеспечения может быть установлен на компьютере, оснащенном сетевым адаптером, что позволит перехватывать и сохранять на локальном диске практически весь сетевой трафик для последующего анализа и реконструкции.
Одной из важнейших проблем при создании вычислительной сети является выбор операционной системы (ОС). Предпочтительным с точки зрения обеспечения требований безопасности является выбор отечественной ОС, имеющей высокую надежность, дружественный интерфейс, встроенные средства защиты информации, исходные тексты ядра которой доступны для проведения анализа. В настоящее время отечественных ОС, отвечающих пере-
численным требованиям, на рынке информационных технологий нет.
Между ресурсами существуют взаимосвязи. Выход из строя какого-либо оборудования может привести к потере данных или выходу из строя другого критически важного элемента системы. Подобные взаимосвязи учитываются в модели организации с точки зрения ИБ. Для каждого ресурса указываются ассоциированные с ним ресурсы, от которых зависит его функционирование, описываются возможные последствия при их неработоспособности. Например, для рабочего места бухгалтера описываются ресурсы, при выходе из строя которых возможна дестабилизация работы и меры, которые необходимы для исключения или минимизации потерь (см. рис. 5).
Построенная модель позволяет выделить критичные элементы, определить угрозы безопасности, возможность дезорганизации ее деятельности, возможные финансовые потери, ущерб репутации организации от разглашения конфиденциальной информации и т.д. и оценить вероятности их реализации.
При анализе слабых мест в системе безопасности необходимо руководствоваться концепцией слабейшего звена цепи. Можно оснастить компьютер средствами защиты, но при отсутствии контроля со стороны администратора службы ИБ они могут оказаться не правильно настроены или просто отключены пользователем для упрощения своей работы. Можно установить железную дверь на помещение с ПК, систему контроля доступа к ресурсам, но если после входа в ПК, он остается без присмотра и пользовательский бюджет не блокируется, то информация может стать легкой добычей злоумышленника. Если подход к организации системы безопасности не является всеобъемлющим, если не рассматриваются все области потенциального риска, система будет открыта для атак.
5. Кадровое обеспечение ИБ
Исход любого дела зависит от человека, который за него отвечает, его квалификации, возможностей, отношения к делу.
Учитывая специфику УИС, созданием системы ИБ должны заниматься собственные специалисты. При этом возможно создание отдельного подразделения, подразделения в составе службы безопасности или службы автоматизации. В УИС эти обязанности возложены на службы автоматизации. В связи с недостаточными штатами возникает много сложностей, в т.ч. ситуация когда администратор ЛВС и ИБ находятся в одном лице, хотя задачи у них разные или даже противоположные. Администратор ЛВС должен обеспечить надежный, простой доступ к ресурсам, а администратор ИБ - его максимально ограничить, обеспечить целостность, достоверность и конфиденциальность данных.
Обеспечение ИБ должно носить комплексный характер, и для ее решения необходимы знания и навыки в самых разнообразных областях. Разобраться во множестве средств защиты, выбрать оптимальную по реализуемым функциям и стоимости, грамотно настроить ее могут только профессионалы, обладающие глубокими познаниями как в области информационных технологий (ИТ), так и в области ИБ. Исходя из этого, необходимо создание соответствующего структурного подразделения, постоянно и профессионально ведущего работу по обеспечению ИБ. Оно должно разрабатывать политику безопасности, внедрять, обслуживать и модернизировать необходимые средства защиты и быть независим от службы, обеспечивающей эксплуатацию информационных систем.
Наличие в организации службы информационной безопасности, использующей имеющиеся средства защиты информационных ресурсов, даже без применения дорогостоящего оборудования, может обеспечить приемлемый уровень ИБ. Но, никакая система не может обеспечить требуемый уровень безопасности без надлежащей подготовки персонала организации и пользователей системы, а также соблюдения ими всех установленных правил, нацеленных на обеспечение безопасности. Необходимо проведение занятий с сотрудниками организации, где до их сведения доводится утвержденный перечень сведений,
относящихся к служебной тайне, и юридическая ответствен- | ность за их неправомерное использование. На сегодняшний день утечка конфиденциальной информации по вине сотрудников занимает первое место и составляет 80% [6].
Необходимо создать условия для сотрудников службы ИБ, позволяющие постоянно совершенствовать свои знания как самостоятельно, так и на специализированных курсах.
6. Выбор мер, обеспечивающих режим ИБ
Существует достаточно большой арсенал средств, который можно использовать, чтобы уменьшить риск разглашения или потери информации. Они различны как по решаемым задачам, так и по качеству и цене.
Как правило, количество ПК, обрабатывающих секретную информацию, ограничено. Для них можно обеспечить защиту, поместив их в охраняемые, экранированные помещения, оборудованные генераторами белого шума, сетевыми фильтрами, программно-аппаратными средствами санкционирования доступа к ресурсам, криптографического закрытия данных, шифрования/дешифрования файлов и каталогов, невосстановимого стирания информации. Прямой доступ к ПК исключается организационно-административными и инженерно-техническими мерами. Это пропускной режим в здания, ограничение доступа в помещения с ПК, в том числе с применением технических средств. Несанкционированный доступ исключается применением идентификации и аутентификации при входе в ИС, криптографической защитой хранимой, передаваемой информации и т.д.
Любой подход к защите имущества и информации должен начинаться с физической защиты, она является основой, на которой строится вся остальная часть системы безопасности. Нельзя помешать злоумышленнику получить доступ к информации, хранящейся в компьютере, если он может забрать этот компьютер с собой.
Наиболее вероятные угрозы ИС представляют нарушения целостности и надежности Учитывая то, что большая
ИС УИН.ОЗ Buhl Рабочее место бухгалтера
Ресурсы, влияющие на работоспособность ИС Возможные последствия при ограничении доступа к ресурсам Рекомендуемые контрмеры
Главный контроллер домена Невозможность регистрации в ЛВС, отсутствие доступа к ресурсам Наличие резервного контроллера домена
Сервер бухгалтерской системы Невозможность регистрации на сервере, работы с системой. Дублирование бухгалтерской системы на другом ПК, возможность использования его в качестве сервера
Сетевой концентратор Отсутствие доступа к ресурсам ЛВС Наличие запасного концентратора
Сетевой коммутатор Невозможность регистрации в ЛВС, отсутствие доступа к ресурсам Наличие запасного коммутатора
Сетевой принтер Невозможность распечатки документации Наличие второго сетевого принтера и возможности перенаправления печати
Электронный ключ бухгалтерской системы Невозможность регистрации в бухгалтерской системе Возможность оперативной замены электронного ключа или установки его программного эмулятора
ПО бухгалтерской системы Невозможность доступа к базам данных бухгалтерской системы Наличие дистрибутива и его оперативной переустановки
Рис. 5. Ассоциированные ресурсы информационной системы.
Таблица 1
Угрозы и меры по безопасности информационных систем
Критические характеристики информации Способ действия нарушителей Меры безопасности
Конфиденциальность Хакеринг с удаленных позиций. Несанкционированный доступ. Подрыв систем изнутри Нелегальная продажа данных и программ. Шпионаж служащих. Электронное подслушивание. Воровство паролей Эффективные коды доступа. Контроль паролей. Надежность персонала. Копирование данных. Многоуровневая обработка. Испытания системы на безопасность(аудит по безопасности)
Целостность Хакеринг с удаленных позиций. Внутренний саботаж. Внедрение вирусов. Преднамеренное стирание данных. Эффективные коды доступа. Контроль паролей. Надежность персонала. Антивирусные программы. Проверка «следов и хвостов». Физическая охрана
Полезность Внутренний саботаж. Внедрение «червей». Закладка «логических бомб», «троянских коней», вирусов, бактерий Контроль доступа. Антивирусные программы. Проверка «следов» и «хвостов». Надежность персонала
часть угроз ИС происходит от «неквалифицированных нарушителей», в частности, от сотрудников подразделения, существует возможность значительно уменьшить угрозу нарушения безопасности ИС. Информационная безопасность АИС основана на максимальном использовании организационных и физических средств защиты ИС, не требующих для своей реализации дополнительных финансовых затрат, нестандартных приемов и оборудования, штатных средств операционных систем, используемого прикладного ПО. Для обеспечения безопасности конфиденциальной информации применяются аппаратные, программно-аппаратные и программные средства. Обеспечение ИБ строится по иерархическому принципу (защита ПК, ЛВС, корпоративной сети).
При разработке мероприятий по защите, целесообразно создать базы данных (БД), содержащие наиболее вероятные типовые нарушающие воздействия в соответствии с тремя уровнями угроз и необходимые нейтрализующие их меры [7]. В табл. 1 приведен фрагменттакой БД.
Методы и средства защиты информационных ресурсов, можно подразделить на средства защиты ПК, серверов, ЛВС, корпоративной сети, которые необходимо использовать комплексно. Они включают встроенные средства контроля доступа пользователей к информации операционных систем (в нашем случае построенных по технологии Windows 9x/NT/2000), используемого прикладного программного обеспечения (ППО), внешних программных и аппаратных средств.
ИБ строится по иерархическому принципу, обеспечивающему гибкое администрирование информационных ресурсов, доступ к серверу или рабочей станции на основе аутентификации, к базам данных на основе разрабатываемых для них списков управления доступом. Права доступа на уровне отдельных документов обеспечивают более детализированные формы определения ограничений на чтение и редактирование конкретных документов. Различные уровни шифрования и права доступа могут быть назначены личным картотекам документов на локальном компьютере или на сменном носителе.
При построении корпоративной информационной сети УИС для повышения оперативности и надежности при обмене информацией использована система Lotus Notes. Она позволяет построить надежную систему защиты. Безопасность данных в Lotus Notes построена по иерархическому принципу, обеспечивающему гибкое администрирование информационных ресурсов, Доступ к серверу или I рабочей станции на основе аутентификации. Права доступа i к БД управляется Списком Управления Доступом (ACL -[ Access Control List). С его помощью администратор может
É указать пользователей по именам, группам и "ролям", определить, что для доступа к картотеке документов пользова-
тель должен будет задать свой Ю и пароль, указать права доступа от максимального - менеджер, до минимального -«нет доступа». Права доступа на уровне отдельных документов обеспечивают более детализированные формы определения ограничений на чтение и редактирование конкретных документов. Документам могут быть назначены специфические группы авторов и редакторов. Пользователи, не включенные ни в один из этих списков, не могут получить доступ к содержанию документа или просто его не увидят. Шифрование на уровне полей еще более детально управляет доступом, позволяя только держателям ключей шифрования просматривать содержимое защищенных полей. Различные уровни шифрования и права доступа могут быть назначены личным картотекам документов на локальном компьютере или на сменном носителе.
Разрабатывается стратегия управления рисками разных классов. Возможно несколько подходов:
- Уменьшение риска. Многие риски могут быть существенно уменьшены путем использования весьма простых и дешевых контрмер. Например, грамотное управление паролями снижает риск несанкционированного доступа;
- Уклонение от риска. От некоторых классов рисков можно уклониться. Например, вынесение \Л/еЬ-сервера организации за пределы локальной сети позволяет избежать риска несанкционированного доступа в локальную сеть со стороны \Л/еЬ-клиентов;
- Изменение характера риска. Если не удается уклониться от риска или эффективно его уменьшить, можно принять некоторые меры страховки. Например оборудование может быть застраховано от пожара, могут быть заключены договоры с поставщиками СЕГГ о сопровождении и компенсации ущерба, вызванного нештатными ситуациями;
- Принятие риска. Многие риски не могут быть уменьшены до пренебрежимо малой величины.
При обеспечении информационной безопасности принимается некоторый обязательный минимальный (базовый) уровень ИБ. Базовый уровень обеспечивается совокупностью проверенных практикой правил обеспечения ИБ на всех этапах жизненного цикла информационной технологии.
Существует ряд стандартов и спецификаций, в которых рассматривается минимальный (типовой) набор наиболее вероятных угроз, таких как вирусы, сбои оборудования, несанкционированный доступ и т. д. В настоящее время существуют национальные и ведомственные стандарты, в которых определены требования к базовому уровню безопасности информационных технологий, предложены контрмеры, достаточные для выполнения этих требований. Например Британский стандарт «В57799: Управление ИБ», «Руководство по политике безопасности для автоматизи-
рованных информационных систем» США, германский стандарт BSI[8]. К сожалению, такие стандарты и рекомендации в УИС отсутствуют, что приводит к необходимости разработки временных положений и рекомендаций в региональных УИН самостоятельно.
7. Средства мониторинга и аудита вычислительных сетей
Создание системы ИБ начинается с анализа информации о структуре сети, ее загрузке, узких местах, контроля за системными ресурсами, пакетами передающимися между устройствами сети. Проведение этой работы в корпоративных информационных сетях невозможно без средств автоматизации мониторинга и анализа.
Часто возникает необходимость в количественном измерении некоторых характеристик сети, таких, например, как интенсивность потоков данных по сетевым линиям связи, задержки, возникающие на различных этапах обработки пакетов, время реакции на запросы того или иного вида, частота возникновения определенных событий и др.
Некоторые измерения на сети могут быть выполнены встроенными в операционную систему программными измерителями. Примером этому служит компонент ОС Windows NT PerformanceMonitor. Однако стандартные средства Windows NT не позволяют решить все проблемы, связанные с сопровождением аудита. При возникновении конкретных проблем применяются программы независимых производителей. В первую очередь это вспомогательные программы и информация из ресурсов Windows NT, затем бесплатные и условно бесплатные служебные программы Frank Heyne.
Наиболее совершенным средством исследования сети является анализатор протоколов, захватывающий циркулирующие в сети пакеты. Основываясь на результатах их анализа, можно осуществлять обоснованное и взвешенное изменение каких-либо компонентов сети, оптимизацию ее производительности, поиск и устранение неполадок.
Lotus Notes имеет средства мониторинга, позволяющие собирать информацию о работе серверов. Это помогает администратору в управлении, обнаружении неисправностей, обоснованном планировании системы, предоставляющий хронологию выполнения всех операций, связанных
Е.А. АЛЬТМАН, А.В. АЛЕКСАНДРОВ
Омский государственный университет путей сообщения
УДК 004.3
Развитие железнодорожного транспорта приводит к появлению сложных производственных, экономических и социальных структур, эффективное управление которыми требует постоянно растущих объемов информации. В связи с этим возникает вопрос о развитии информационных систем. Создание информационных систем является важным резервом повышения эффективности работы железнодорожного транспорта. Информационные системы на железнодорожном транспорте могут использоваться для контроля и оптимизации перевозок, инженерных задач, повышения качества предоставляемых услуг.
Сложность информационных систем предъявляет высокие требования при подготовке специалистов. Спе-
с доступом к серверам, базам данных, документам, список авторов, которые последовательно редактировали документ, даты и продолжительность сеансов редактирования. Система протоколирования событий позволяет собирать информацию обо всех ошибках, возникающих на серверах. Все версии документа содержат записи внутри аудиторского журнала, которые предоставляют исчерпывающую историю жизненного цикла документа.
В настоящих условиях вопрос обеспечения ИБ является хоть и сложным, но в значительной степени выполнимым. Одним из условий его реализации является воля руководства управлений и учреждений, наличие подготовленных специалистов. Грамотное, повседневное администрирование, организация аудита являются основной составляющей обеспечения устойчивой работы информационных систем, обеспечения целостности и конфиденциальности данных.
Литература
1. Основы рассматриваемого подхода. -Jetlnfo, 1997, 1 (32).
2. Руководящий документ Гостехкомиссии России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по доступу к информации», 1992.
3. Г.Салливан, Д.Бенаж Microsoft BackOffice в подлиннике: В 2т.: пер. с англ.-СПб.: BHV, 1997.-С. 1101
4. Шахов В.Г. Безопасность информационных систем. -М: Транспорт, 2000. - 89 с.
5. Апрышкина Г. Мониторинг в корпоративных сетях. / КомпьютерПресс, 2001.
6. Атаками весь мир полнится.'/ Компьютер Пресс. -2001.-№ 10.-С. 50.
7. Безопасность информационных систем. / КомпьютерПресс.-1998.-№ 6.-С. 117.
8. Анализ рисков, управление рисками,-Jetlnfo, 1999, 1 (68).
ЗАКОПАЙЛО Павел Леонидович, начальник отдела автоматизации Управления исполнения наказаний Минюста РФ по Омской области.
циалисты, обслуживающие информационные системы, должны обладать широким спектром знаний в области компьютерных технологий. При этом необходимо постоянное повышение квалификации ввиду быстрого развития данной области.
Специалисты по информационным системам должны обладать знаниями в следующих направлениях: Интернет/ Интранет технологии, сетевое администрирование локальных и глобальных сетей, управление потоками информации и оптимизация трафика, конфигурирование сетевого оборудования, в том числе и современного высокоскоростного, обеспечение информационной безопасности сети.
СПЕЦИАЛИЗИРОВАННАЯ ЛАБОРАТОРИЯ КОМПЬЮТЕРНЫХ ТЕХНОЛОГИЙ
