Стратегии защиты информации.

⇐ ПредыдущаяСтр 9 из 22Следующая ⇒

В основе комплекса мероприятий по информационной безопасности должна быть стратегия защиты информации. В ней определяются цели, критерии, принципы и процедуры, необходимые для построения надежной системы защиты. В хорошо разработанной стратегии должны найти отражение не только степень защиты, поиск брешей, места установки брандмауэров или proxy-серверов и т. п. В ней необходимо еще четко определить процедуры и способы их применения для того, чтобы гарантировать надежную защит.
Важнейшей особенностью общей стратегии информационной защиты является исследование системы безопасности. Можно выделить два основных направления: анализ средств защиты; определение факта вторжения.На основе концепции безопасности информации разрабатываются стратегия безопасности информации и архитектура системы защиты информации (Следующий этап обобщенного подхода к обеспечению безопасности состоит в определении политики, содержание которой — наиболее рациональные средства и ресурсы, подходы и цели рассматриваемой задачи.

Разработку концепции защиты рекомендуется проводить в три этапа (На первом этапе должна быть четко определена целевая установка защиты, т. е. какие реальные ценности, производственные процессы, программы, массивы данных необходимо защищать. На этом этапе целесообразно дифференцировать по значимости отдельные объекты, требующие защиты.
На втором этапе должен быть проведен анализ преступных действий, которые потенциально могут быть совершены в отношении защищаемого объекта. Важно определить степень реальной опасности таких наиболее широко распространенных преступлений, как экономический шпионаж, терроризм, саботаж, кражи со взломом. Затем нужно проанализировать наиболее вероятные действия злоумышленников в отношении основных объектов, нуждающихсявзащите.
Иерархический подход к обеспечению безопасности информации.

Главной задачей третьего этапа является анализ обстановки, в том числе местных специфических условий, производственных процессов, уже установленных технических средств защиты. Концепция защиты должна содержать перечень организационных, технических и других мер, которые обеспечивают максимальную безопасность при заданном остаточном риске и минимальные затраты на их реализацию.
Политика защиты — это общий документ, где перечисляются правила доступа, определяются пути реализации политики и описывается базовая архитектура среды защиты.

Сам по себе документ состоит из нескольких страниц текста. Он формирует основу физической архитектуры сети, а содержащаяся в нем информация определяет выбор продуктов защиты. При этом документ может и не включать списка необходимых закупок, но выбор конкретных компонентов после его составления должен быть очевидным.
Политика защиты выходит далеко за рамки простой идеи «не впускать злоумышленников». Это очень сложный документ, определяющий доступ к данным, характер серфинга в WWW, использование паролей или шифрования, отношение к вложениям в электронную почту, использование Java и ActiveX и многое другое. Он детализирует эти правила для отдельных лиц или групп. Нельзя забывать и об элементарной физической защите. Ведь если кто-нибудь может войти в серверную комнату и получить доступ к основному файловому серверу или выйти из офиса с резервными дискетами и дисками в кармане, то все остальные меры становятся попросту бессмысленными.
Конечно, политика не должна позволять чужакам проникнуть в сеть, но, кроме того, она должна устанавливать контроль и над потенциально нечистоплотными сотрудниками вашей организации. Девиз любого администратора системы защиты — «Никому не доверяй! ».
На первом этапе разработки политики прежде всего необходимо определиться, каким пользователям какая информация и какие сервисы доступны, какова вероятность нанесения вреда и какая защита уже есть.
Кроме того, политика защиты должна диктовать иерархию прав доступа, т. е. пользователям следует предоставить доступ только к той информации, которая действительно нужна им для выполнения своей работы.

Политика защиты должна обязательно отражать следующее:

ü контроль доступа (запрет на доступ пользователя к материалам, которыми ему не разрешено пользоваться;

ü идентификацию и аутентификацию (использование паролей или других механизмов для проверки статуса пользователя);
G учет (запись всех действий пользователя в сети);

ü контрольный журнал (журнал позволяет определить, когда и где произошло нарушение защиты);

ü аккуратность (защита от любых случайных нарушений);

ü надежность (предотвращение монополизации ресурсов системы одним пользователем);

ü обмен данными (защита всех коммуникаций).

Доступ определяется политикой в отношении брандмауэров: доступ к системным ресурсам и данным из сети можно описать на уровне операционной системы и при необходимости дополнить программами защиты независимых разработчиков.

Пароли могут быть самой ценной частью вашей среды защиты, но при неправильном использовании или обращении они могут стать ключом в вашу сеть. Политика правильного использования паролей особенно полезна при управлении временными бюджетами, чтобы кто-нибудь не воспользовался действительным паролем после того, как временные сотрудники или подрядчики завершили работу.
Некоторые операционные системы предлагают также такую возможность, как квалификация, т. е. вводят минимальный уровень трудности паролей. В этих системах администратор защиты может просто задать правило «Не использовать легко угадываемых паролей». Например, пароль, в котором указаны только имя и возраст пользователя, система не примет. Конечные же пользователи обычно выбирают самые простые пути. Если им приходится иметь дело со слишком большим числом паролей, они будут использовать один и тот же пароль или задавать легко запоминаемые пароли, или, хуже того, записывать их на листке и хранить в ящике стола.

Изобилие устройств защиты, брандмауэров, шлюзов и VPN (виртуальная частная сеть), а также растущий спрос на доступ к корпоративным данным со стороны сотрудников, партнеров и заказчиков, ведет к созданию сложной среды защиты, трудной для управления. Правила для многих из перечисленных устройств приходится часто задавать отдельно.
По мере того как крупные корпорации продолжают объединяться и поглощать более мелкие компании, среда защиты (и сеть в целом) все чаще принимает бессистемный характер. Когда это происходит, управлять правилами становится чрезвычайно трудно.

Брандмауэры (как аппаратные, так и программные) позволяют определить, кто имеет право доступа в вашу сеть извне. Все брандмауэры реализуют те или иные правила; разница состоит в уровне детализации и простоте использования, обеспечиваемой интерфейсом управления.

В идеале брандмауэр позволяет решить три задачи:

ü задавать правила из интуитивно понятного графического интерфейса;

ü управлять доступом вплоть до уровня индивидуальных файлов и объектов;

ü группировать файлы и объекты для коллективного применения к ним правил в целях упрощения управления.

На сетевом уровне управлять защитой с помощью правил можно несколькими способами. Один из распространенных способов — с помощью адресации, когда пользователи приписываются к конкретной внутренней подсети для ограничения уровня их доступа. Фильтрация пакетов позволяет пропускать или блокировать пакеты в момент пересечения ими некоторых границ в зависимости от адреса отправителя или получателя.

Системы защиты функционируют на прикладном уровне; в этом случае системы или приложения, которым адресованы пакеты, запрашивают у пользователя пароль, проверяют его и затем предоставляют доступ в соответствии с предопределенными правилами.
Виртуальная частная сеть (VPN) по своей природе уже определяется некоторыми правилами (во всяком случае, так должно быть). VPN — это защищенный канал между несколькими офисами через общедоступную сеть, который представляет собой экономически выгодный способ связать друг с другом многочисленные филиалы, партнеров и заказчиков.

В простейшем случае сеть связывает двух или более лиц или групп по защищенному соединению. В идеале организация этого соединения определяется совокупностью правил. Однако данная простейшая модель не учитывает необходимости контроля доступа: к чему будет иметь доступ удаленный пользователь после подключения к сети VPN?
Конечная цель сети VPN — введение строгих детализированных правил: с увеличением размеров сеть VPN требует более жесткого надзора, определения правили их соблюдения.

Некоторые сети VPN предназначены не для замены брандмауэров, у которых есть свои правила, а, скорее, для их дополнения. В идеале правила для обеих систем должны быть согласованы. Правила VPN регламентируют в первую очередь, как пользователи могут подключиться к сети: уровень шифрования, использование паролей и другие зависящие от соединения факторы. Ничто не угрожает защите больше, чем активный код. Благодаря ActiveX и Java компьютерные программы получили возможность перемещаться по WWW, позволяя тем самым проделывать всевозможные полезные трюки, а также открывая возможность проводить опасные атаки на сеть.
Помимо введения ограничений на тип активного кода, политика защиты в отношении WWW может запрещать доступ из корпоративной сети к определенным IP-адресам. Часто причиной введения подобных ограничений являются не столько требования защиты, сколько политика в отношении персонала.

Тем не менее иногда запрещение доступа к определенным узлам бывает обусловлено соображениями защиты, в первую очередь это касается хакерских серверов, откуда сотрудник может непреднамеренно загрузить вредоносный апплет или почерпнуть информацию, которую он может использовать для атаки на сеть. Нужно постоянно помнить, что большинство атак совершается сотрудниками организации, так что предусмотрительность не помешает.

Политика защиты — это всего лишь бумажный документ. Для ее реализации и соблюдения требуется технология. Более того, как только политика будет разработана, ее предстоит воплотить в жизнь.
Один из простейших способов реализовать защиту — поручить заняться этим специализированной компании. К тому же, одна из самых грубых ошибок, совершаемых многими, состоит в том, что, разработав политику и купив оборудование, они на том и успокаиваются.
Систему защиты сначала надо правильно подключить, а потом ее необходимо регулярно пересматривать. Потребности, задачи и правила могут со временем измениться.

Если система не будет постоянно адаптироваться с учетом этих изменений, то в ней неизбежно появятся «дыры».

Большинство предложений сторонних услуг предусматривает предоставление заказчику интерфейса на базе WWW, откуда он может брать изменения. Несмотря на удобство, такой подход не обеспечивает всех необходимых средств контроля. Важной частью создания политики защиты является планирование. Установив свои потребности до начала реализации и проанализировав их вплоть до уровня всех подразделений, вы сможете в результате создать гораздо лучший проект организации защиты, особенно в долгосрочной перспективе.

Определение политики ничего не дает, если она не соблюдается, впрочем, как ничего не дает и установка устройств защиты, если их оставляют без присмотра.
Защита — сложный и часто противоречивый процесс, реализация и управление которым осуществляется с помощью множества подчас слабо связанных между собой устройств и программ.

⇐ Предыдущая 4 5 6 7 8910 11 12 13 Следующая ⇒