Эшелонированная система защиты информации. Составляющие эшелонированной системы защиты информации Требования к архитектуре ИС для обеспечения безопасности ее функционирования
Прикрытие на ближних подступах
ЗПРК «Панцирь-С1» - это универсальное средство борьбы с воздушными целями, имеющих скорость до 1000 м/с, на дистанции от 200 до 20 тысяч метров. Комплекс может уничтожать цели, летящие на высоте от 5 метров до 15 тысяч метров. Также он может бороться с легкой бронированной техникой противника и его живой силой. Это комплекс практически мгновенно может обнаружить и уничтожить самолет, вертолет, крылатую ракету или управляемую авиабомбу противника.
Этот зенитный ракетно-пушечный комплекс может быть размещен на колесном или гусеничном шасси, возможна и стационарная установка. Комплекс имеет защищенную от помех систему связи.
Уничтожение воздушных целей производится за счет пушечного вооружения и зенитных ракет, имеющих ИК и РЛ наведение.
Каждая машина имеет три локатора: РЛС раннего обнаружения и целеуказания, радар сопровождения и наведения, а также пассивный оптический радар.
РЛС обнаружения цели может сразу вести до двадцати объектов, передавать в бортовую вычислительную машину их координаты и данные по скорости движения. Кроме этого, данная РЛС определяет тип цели и ее государственную принадлежность.
РЛС сопровождения целей и ракет в значительной степени определяет высокую эффективность комплекса, она изготовлена с применением фазированной антенной решетки. Применение такого радара позволяет ЗПРК вести огонь сразу по трем целям, при этом по наиболее опасной из них возможен залп из двух ракет.
Оптико-электронная система (ОЭС) используется для стрельбы по низколетящим целям, а также наземным целям.
Зенитный ракетный комплекс Бук
Противодействие на средней дальности
Самоходная огневая установка (СОУ) «Бук-М1» оснащена четырьмя ракетами и РЛС сантиметрового диапазона 9С35. СОУ предназначена для поиска, сопровождения и поражения воздушных целей. В установке есть цифровой вычислительный комплекс, аппаратура связи и навигации, телевизионно-оптический визир, автономная система жизнеобеспечения. СОУ может работать автономно, без привязки к командному пункту и станции обнаружения целей. Правда, в таком случае зона поражения уменьшается до 6-7 градусов по углу и 120 градусов по азимуту. СОУ может выполнять свои функции в условиях постановки радиоэлектронных помех.
Заряжающая установка комплекса «Бук» может осуществлять хранение, перевозку и погрузку восьми ракет.
Комплекс вооружен зенитной твердотопливной одноступенчатой ракетой 9М38. Она имеет радиолокационную систему наведения с полуактивным принципом работы и осколочно-фугасную боевую часть. На начальном этапе полета коррекция осуществляется радиосигналами, а на завершающем – за счет самонаведения.
Зенитно-ракетный комплекс С-400 «Триумф».
Дальний радиус и ближний космос
Индекс УВ ПВО 40Р6, по классификации НАТО SS SA-21 Growler. Комплекс предназначен для уничтожения современных и перспективных средств воздушно-космического нападения на средней и большой дальности.
ЗРК С-400 ( одновременного пуска 12 ракет) совместно с ОТРК «Искандер» и береговыми противокорабельными комплексами «Бастион» играет ключевую роль в концепции ВС России
Нет никаких гарантий, что новейшие средства воздушного нападения США, на разработку которых тратятся миллионы долларов, смогут преодолеть российскую систему ПВО и ПРО, утверждает американский журнал The National Interest. Согласно выводам издания, американская армия не имеет опыта столкновения с высокотехнологичным противником, поэтому результат потенциального военного конфликта с РФ предсказать невозможно. В случае операции под угрозой перехвата окажутся прежде всего современные самолёты-невидимки и крылатые ракеты, например «Томагавки», подчёркивает автор статьи. О возможностях американского оружия и потенциале противовоздушной обороны России - в материале RT
Американский самолёт B-2 Spirit
Инвестиции Пентагона в создание самолётов с широким использованием стелс-технологий не дадут гарантированного результата против российской системы «ограничения и воспрещения доступа и манёвра» (A2/AD - anti-access and area denial). Об этом пишет американское издание The National Interest.
A2/AD - распространённый на Западе термин, который подразумевает наличие у государства комплексов дальнего поражения, способных перехватывать средства воздушного нападения за сотни и десятки километров от границ и наносить превентивные удары по наземным и морским объектам противника.
Заокеанское издание отмечает, что Россия обладает «воздушным минным полем», которое «НАТО придётся каким-либо образом нейтрализовать или огибать в случае конфликта». Главным преимуществом Москвы называется эшелонированная система ПВО, основными «достоинствами которой являются дальность, точность и мобильность».
Как пишет The National Interest, при вторжении в воздушное пространство России уязвимыми окажутся не только новейшие американские самолёты, но и крылатые ракеты морского базирования (речь идёт о «Томагавках»). По этой причине «лучший способ противостоять комплексам ПВО - это избегать их», делает вывод журнал.
Контроль над небом
В западной прессе широко распространена точка зрения об уязвимости самолётов и ракет НАТО перед средствами ПВО/ПРО, которыми вооружены российские войска. По мнению военного эксперта Юрия Кнутова, она основана на привычке Соединённых Штатов начинать боевые действия только при достижении полного превосходства в воздухе.
«Американцы никогда не вторгаются в страну без предварительного уничтожения командных пунктов и средств ПВО. В случае России это абсолютно невозможная ситуация. Поэтому их так раздражает текущее положение дел. В то же время процесс подготовки к вероятной войне с нами в США никогда не заканчивался и американцы продолжают совершенствовать авиацию и средства поражения», - констатировал в беседе с RT Кнутов.
По словам эксперта, Соединённые Штаты традиционно опережали нашу страну в сфере развития авиационных технологий. Однако на протяжении полувека отечественные учёные создают высокоэффективные образцы вооружений, которые способны перехватывать новейшие самолёты и ракеты НАТО и создавать серьёзные помехи их электронной аппаратуре.
Созданию эшелонированной системы ПВО/ПРО в Советском Союзе уделялось колоссальное внимание. До начала 1960-х годов американские самолёты-разведчики почти беспрепятственно летали над СССР. Однако с появлением первых зенитных ракетных комплексов (ЗРК) и уничтожением U-2 под Свердловском (1 мая 1960 года) интенсивность полётов американских ВВС над территорией нашей страны заметно снизилась.
В формирование и развитие противовоздушной обороны, а также системы предупреждения о ракетном нападении (СПРН) были вложены колоссальные средства. В результате СССР удалось обеспечить надёжную защиту важнейших административных центров, ключевых объектов военной инфраструктуры, командных пунктов и промышленных зон.
На вооружение были приняты разнообразные радиолокационные станции (мониторинг воздушного пространства, обнаружение целей, разведка), автоматизированные системы управления (обработка радиолокационной информации и её передача командованию), средства постановки помех и комплексы огневого поражения (зенитные ракетные комплексы, истребители, системы радиоэлектронной борьбы).
По состоянию на конец 1980-х годов штатная численность войск ПВО СССР превышала 500 тыс. человек. Советский Союз защищали Московский округ ПВО, 3-я отдельная армия предупреждения о ракетном нападении, 9-й отдельный корпус ПВО, 18-й отдельный корпус контроля космического пространства, а также восемь армий ПВО со штабами в Минске, Киеве, Свердловске, Ленинграде, Архангельске, Ташкенте, Новосибирске, Хабаровске и Тбилиси.
В общей сложности на боевом дежурстве находились свыше 1260 дивизионов ЗРК, 211 зенитных ракетных полков, 28 радиотехнических полков, 36 радиотехнических бригад, 70 истребительных полков ПВО, насчитывавших свыше 2,5 тыс. боевых самолётов.
После распада СССР в связи с изменением геополитической обстановки и смены военной доктрины численность войск ПВО была сокращена. Сейчас в состав ВКС входят подразделения Космических войск (отвечают за СПРН), 1-я армия ПВО-ПРО (защищает Московскую область) и пять армий ВВС и ПВО, прикрывающих юг РФ, западные регионы Центральной России, Дальний Восток, Сибирь, Поволжье, Урал и Арктику.
По информации Минобороны РФ, в последние годы Россия восстановила непрерывное радиолокационное поле «на основных ракетоопасных направлениях» и укрепила систему ПВО за счёт поступления в войска новейших ЗРК С-400 «Триумф», «Панцирь-С», модернизированных версий «Тора» и «Бука».
В ближайшие годы военные планируют завершить модернизацию системы ПРО А-135 «Амур» и развернуть серийное производство комплекса С-500, способного перехватывать почти все известные цели, включая орбитальные самолёты, спутники, межконтинентальные баллистические ракеты и их боевые блоки.
«Не приносит прорывных результатов»
В беседе с RT профессор Академии военных наук Вадим Козюлин отметил, что в США не прекращаются споры относительно обоснованности ставки на малую радиолокационную заметность самолётов и ракет. По его словам, в Соединённых Штатах растут опасения по поводу того, что современным РЛС (прежде всего российским) не составляет труда обнаружить в воздухе так называемые «невидимки».
«Отсюда возникает вопрос, имеет ли смысл так напряжённо работать на этом направлении, если оно не приносит прорывных результатов. Американцы были пионерами в развитии технологий малозаметности. На проекты «невидимок» были потрачены сотни миллиардов долларов, но даже не все серийные образцы оправдали ожидания», - сказал Козюлин.
Малая радиолокационная заметность достигается снижением эффективной площади рассеивания (ЭПР). Этот показатель зависит от наличия плоских геометрических форм в конструкции самолёта и специальных радиопоглощающих материалов. «Невидимкой» принято называть самолёт с ЭПР менее 0,4 кв. м.
Первым серийным малозаметным самолётом США стал тактический бомбардировщик Lockheed F-117 Nighthawk, поднявшийся в небо в 1981 году. Он участвовал в операциях против Панамы, Ирака и Югославии. Несмотря на невероятный для своего времени показатель ЭПР (от 0,025 кв. м до 0,1 кв. м), F-117 имел множество существенных недостатков.
Помимо чрезвычайно высокой цены и сложности в эксплуатации, Nighthawk безнадёжно проигрывал более ранним машинам ВВС США по показателям боевой нагрузки (чуть более двух тонн) и радиусу действия (около 900 км). К тому же эффект малозаметности достигался лишь в режиме радиомолчания (отключение средств связи и системы опознавания «свой-чужой»).
27 марта 1999 года американская высокотехнологичная машина была сбита советским ЗРК С-125 югославских войск ПВО, который уже тогда считался устаревшим. Это была единственная боевая потеря F-117. С тех пор среди военных и экспертов не утихают дискуссии о том, как подобный инцидент стал возможен. В 2008 году Nighthawk был выведен из состава ВВС США.
Наиболее современные образцы американской авиации также представлены «невидимками». ЭПР первого самолёта пятого поколения F-22 составляет 0,005-0,3 кв. м, новейшего истребителя F-35 - 0,001-0,1 кв. м, дальнего бомбардировщика B-2 Spirit - 0,0014-0,1 кв. м. При этом ЗРК С-300 и С-400 способны фиксировать воздушные цели с ЭПР в районе 0,01 кв. м (точных данных нет).
Козюлин отметил, что западные и отечественные СМИ нередко пытаются выяснить, могут ли российские зенитные комплексы перехватить американские самолёты. По его словам, на противовоздушный бой одновременно влияет множество факторов, предсказать его результат заранее невозможно.
«ЭПР меняется в зависимости от высоты и дальности полёта самолёта. В одной точке он может быть виден хорошо, в другой - нет. Однако большая популярность российских средств ПВО на мировом рынке и опасения американцев относительно возможностей С-400 говорят о том, что противовоздушная оборона России справляется с поставленными задачами, то есть защитой от любых средств воздушного нападения», - резюмировал Козюлин.
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Размещено на http://www.allbest.ru
1. ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ
1.1 Актуальность
1.2 Цель
1.3 Задачи
2. ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ
2.1 Эшелонированная защита
2.2 Составляющие эшелонированной системы защиты информации
2.2.1 Антивирусные программы
2.2.2 Протоколирование и аудит
2.2.3 Физическая защита
2.2.4 Аутентификация и парольная защита
2.2.5 Межсетевые экраны
2.2.6 Демилитаризованная зона
2.2.7 VPN
2.2.8 Система обнаружения вторжений
3. ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ
СПИСОК ИСПОЛЬЗОВАННЫХ ИНФОРМАЦИОННЫХ ИСТОЧНИКОВ
эшелонированный защита информация антивирусный
1. ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ.
1.1 Актуальность
Изучение эшелонированной системы защиты информации в компьютерных системах «офисного» типа актуально в связи с постоянным ростом количества атак на сети крупных организаций с целью, например, копирования баз данных, содержащих конфиденциальную информацию. Такая система защиты является очень мощным средством против злоумышленников и может эффективно сдерживать их попытки несанкционированного доступа (НСД) к защищаемой системе.
Целью данной работы является изучение эшелонированной системы защиты компьютерных систем «офисного» типа.
1.3 Задачи
Для достижения поставленной цели необходимо решить следующие задачи:
Изучить принципы построения и работы эшелонированной системы безопасности;
Изучить независимые системы защиты, включаемые в эшелонированную систему защиты информации;
Определить требования, предъявляемые к системам защиты;
2. ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ
2.1 Эшелонированная защита
Эшелонированная защита (англ. Defense in Depth) - концепция страхования информации, в которой несколько различных слоёв систем защиты установлены по всей компьютерной системе. Его предназначение - предоставлять избыточную защищенность компьютерной системы в случае неисправности системы контроля безопасности или при использовании злоумышленником некой уязвимости.
Идея эшелонированной защиты состоит в защите системы от любой атаки, используя, как правило, последовательно, ряд независимых методов.
Изначально эшелонированная защита являлась сугубо военной стратегией, позволяющей скорее не упредить и предотвратить, а отложить атаку противника, купить немного времени для того, чтобы правильно расположить различные меры защиты. Для более полного понимания можно привести пример: колючая проволока эффективно сдерживает пехоту, но танки легко переезжают её. Однако по противотанковым ежам танк проехать не может, в отличие от пехоты, которая их просто обходит. Но если их использовать вместе, то ни танки, ни пехота быстро пройти не смогут, и у защищающейся стороны будет время на подготовку.
Размещение механизмов защиты, процедур и политик призвано повысить защищенность компьютерной системы, где несколько уровней защиты могут предотвратить шпионаж и прямые атаки на критически важные системы. С точки зрения компьютерных сетей, эшелонированная защита предназначена не только для предотвращения НСД, но и для предоставления времени, за которое можно обнаружить атаку и отреагировать на неё, тем самым снижая последствия нарушения.
В компьютерной системе «офисного» типа может обрабатываться информация с различными уровнями доступа - от свободной, до информации, составляющей государственную тайну. Именно поэтому, для предотвращения НСД и различных видов атак, в такой системе требуется наличие эффективной системы защиты информации.
Далее будут рассмотрены основные слои защиты (эшелоны), используемые в эшелонированных системах защиты. Следует учесть, что система защиты, состоящая из двух и более приведенных ниже систем, считается эшелонированной.
2.2 Составляющие эшелонированной системы защиты информации
2.2.1Антивирусные программы
Антивирусная программа (антивирус) -- специализированная программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ вообще и восстановления заражённых (модифицированных) такими программами файлов, а также для профилактики -- предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.
Относится к программным средствам, используемым в целях обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом.
Классифицировать антивирусные продукты можно сразу по нескольким признакам:
По используемым технологиям антивирусной защиты:
Классические антивирусные продукты (продукты, применяющие только сигнатурный метод детектирования);
Продукты проактивной антивирусной защиты (продукты, применяющие только проактивные технологии антивирусной защиты);
Комбинированные продукты (продукты, применяющие как классические, сигнатурные методы защиты, так и проактивные).
По функционалу продуктов:
Антивирусные продукты (продукты, обеспечивающие только антивирусную защиту)
Комбинированные продукты (продукты, обеспечивающие не только защиту от вредоносных программ, но и фильтрацию спама, шифрование и резервное копирование данных и другие функции);
По целевым платформам:
Антивирусные продукты для ОС семейства Windows;
Антивирусные продукты для ОС семейства *NIX (к данному семейству относятся ОС BSD, Linux и др.);
Антивирусные продукты для ОС семейства MacOS;
Антивирусные продукты для мобильных платформ (Windows Mobile, Symbian, iOS, BlackBerry, Android, Windows Phone 7 и др.).
Антивирусные продукты для корпоративных пользователей можно также классифицировать по объектам защиты:
Антивирусные продукты для защиты рабочих станций;
Антивирусные продукты для защиты файловых и терминальных серверов;
Антивирусные продукты для защиты почтовых и Интернет-шлюзов;
Антивирусные продукты для защиты серверов виртуализации.
Требования к средствам антивирусной защиты включают общие требования к средствам антивирусной защиты и требования к функциям безопасности средств антивирусной защиты.
Для дифференциации требований к функциям безопасности средств антивирусной защиты установлено шесть классов защиты средств антивирусной защиты. Самый низкий класс - шестой, самый высокий - первый.
Средства антивирусной защиты, соответствующие 6 классу защиты, применяются в информационных системах персональных данных 3 и 4 классов.
Средства антивирусной защиты, соответствующие 5 классу защиты, применяются в информационных системах персональных данных 2 класса.
Средства антивирусной защиты, соответствующие 4 классу защиты, применяются в государственных информационных системах, в которых обрабатывается информация ограниченного доступа, не содержащая сведения, составляющие государственную тайну, в информационных системах персональных данных 1 класса, а также в информационных системах общего пользования II класса.
Средства антивирусной защиты, соответствующие 3, 2 и 1 классам защиты, применяются в информационных системах, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну.
Также выделяются следующие типы средств антивирусной защиты:
тип «А» - средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для централизованного администрирования средствами антивирусной защиты, установленными на компонентах информационных систем (серверах, автоматизированных рабочих местах);
тип «Б» - средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на серверах информационных систем;
тип «В» - средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на автоматизированных рабочих местах информационных систем;
тип «Г» - средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на автономных автоматизированных рабочих местах.
Средства антивирусной защиты типа «А» не применяются в информационных системах самостоятельно и предназначены для использования только совместно со средствами антивирусной защиты типов «Б» и (или) «В».
Цель эшелонированной антивирусной защиты состоит в фильтрации вредоносного ПО на разных уровнях защищаемой системы. Рассмотрим:
Уровень подключения
Корпоративная сеть как минимум состоит из уровня подключения и ядра. На уровне подключения у многих организаций установлены средства межсетевого экранирования, системы обнаружения и предотвращения вторжений (IDS/IPS/IDP) и средства защиты от атак типа отказа в обслуживании. На базе данных решений реализуется первый уровень защиты от проникновения вредоносного ПО. Межсетевые экраны и средства IDS/IPS/IDP «из коробки» обладают встроенным функционалом инспекции на уровне протокол-агентов. Более того, стандартом де-факто для UTM решений является встроенный антивирус, который проверяет входящий/исходящий трафик. Наличие поточных антивирусов в межсетевых экранах также становится нормой. Подобные опции появляются все чаще в новых версиях хорошо известных всем продуктов. Однако же многие пользователи забывают про встроенные функции сетевого оборудования, но, как правило, их активация не требует дополнительных затрат на покупку опций расширения.
Таким образом, оптимальное применение встроенных функций безопасности сетевого оборудования и активация дополнительных опций антивирусного контроля на межсетевых экранах позволит создать первый уровень эшелонированной защиты.
Уровень защиты приложений
К уровню защиты приложений можно отнести как шлюзовые решения по антивирусной проверке, так и средства безопасности, изначально направленные на решение не антивирусных задач. Подобные решения представлены на рынке и сертифицированы по требованиям ФСТЭК России. Данные продукты не требуют серьезных затрат при внедрении и не привязаны к типам проверяемого контента, а потому могут использоваться в организациях любого масштаба.
Решения, основной функцией которых не является антивирусная проверка, также могут выступать в роли второго уровня фильтрации вредоносного ПО. Примером служат широко распространенные шлюзовые решения по фильтрации спама и защите веб-сервисов -- URL-фильтрации, Web Application Firewall, средства балансировки. Зачастую они обладают возможностью осуществлять антивирусную проверку обрабатываемого контента при помощи нескольких производителей фильтрации вредоносного контента. В частности, реализация антивирусной проверки на уровне почтовых систем или шлюзов фильтрации спама. В случае последовательного применения нескольких антивирусных продуктов эффективность фильтрации вирусов во входящей/исходящей корреспонденции может достигать почти 100%.
С помощью указанного подхода можно уже на первом и втором уровне эшелонированной защиты достичь серьезных показателей по фильтрации вредоносного ПО. Иными словами, при реализации адекватной системы антивирусной защиты (до пользователя) львиная доля вредоносного ПО будет отфильтрована на уровне шлюзовых решений того или иного назначения.
Уровень защиты хоста
Под защитой хостов подразумевается реализация функций антивирусных проверок серверов и рабочих мест пользователей. Поскольку в повседневной работе сотрудники применяют множество стационарных и мобильных устройств, то нужно защищать их все. Более того, простой сигнатурный антивирус уже давно не считается серьезным инструментом защиты. Именно поэтому многие организации перешли на технологии Host IPS, которая позволяет задействовать при проверке дополнительные механизмы контроля/защиты посредством функционала межсетевого экрана, IPS-системы (поведенческий анализ).
Если вопросы защиты рабочих мест пользователей уже хорошо отрегулированы, то реализация Host IPS на прикладных серверах (физических или виртуальных) -- задача специфическая. С одной стороны, технология Host IPS не должна существенно увеличивать загрузку сервера, с другой -- обязана обеспечить требуемый уровень защищенности. Разумный баланс можно найти только при помощи пилотного тестирования решения на конкретном наборе приложений и аппаратной платформе.
2.2.2Протоколирование и аудит
Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе. Например - кто и когда пытался входить в систему, чем завершилась эта попытка, кто и какими информационными ресурсами пользовался, какие и кем модифицировались информационные ресурсы и много других.
Аудит - это анализ накопленной информации, проводимый оперативно, почти в реальном времени, или периодически.
Реализация протоколирования и аудита преследует следующие главные цели:
Обеспечение подотчетности пользователей и администраторов;
Обеспечение возможности реконструкции последовательности событий;
Обнаружение попыток нарушений информационной безопасности;
Предоставление информации для выявления и анализа проблем.
Таким образом протоколирование и аудит относятся к подсистеме регистрации и учета. С помощью этих операций можно быстро и эффективно находить неполадки и уязвимости в существующей СЗИ. В зависимости от класса СЗИ этот её элемент может принимать различные формы и решать разные задачи, такие как регистрация и учет:
Входа (выхода) субъектов доступа в (из) систему(ы) (узел сети) (на всех уровнях);
Запуска (завершения) программ и процессов (заданий, задач) (на уровнях 2А, 1Г, 1В, 1Б, 1А);
Доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи (на уровнях 2А 1Г, 1В, 1Б, 1А);
Доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей (на уровнях 2А 1Г, 1В, 1Б, 1А);
Изменения полномочий субъектов доступа (1В, 1Б, 1А);
Создаваемых защищаемых объектов доступа (2А, 1В, 1Б, 1А);
Сигнализация попыток нарушения защиты (1В, 1Б, 1А).
Таким образом, при построении эшелонированной защиты, системы протоколирования и аудита должны быть установлены на границе защищаемой системы, на сервере, на каждой АРМ, а также на всех устройствах аутентификации (например, при входе на защищаемую территорию).
2.2.3 Физическая защита
Сюда входят меры по предотвращению хищения устройств и носителей информации, а также защита от халатности и стихийных бедствий:
КПП на границе охраняемой территории;
Установка заборов, запрещающих знаков, ограничителей высоты кузова для машин, различных барьеров и т.д. по периметру защищаемой территории;
Расположение стратегически важных объектов так, чтобы злоумышленнику пришлось пересекать большое открытое пространство, чтобы попасть к ним;
Освещение защищаемой территории, а именно ворот, дверей и других стратегически важных объектов. Следует учесть, что неяркий свет, распределенный по всей территории эффективнее единичных ярких пятен прожекторов, так как у прожекторов есть слепые зоны. Также должна быть предусмотрена система резервного энергообеспечения, в случае отключения основной;
Посты охраны у входов в помещения;
Установка системы сигнализации и датчиков (датчики движения, прикосновения, разбития стекла). Следует учесть, что данная система должна работать в тандеме с системой видеонаблюдения для исключения ложных срабатываний датчиков;
Установка системы видеонаблюдения;
Различные средства контроля доступа, от замков до биометрических средств;
Средства контроля вскрытия аппаратуры (пломбы на корпусах, и т.д.);
Закрепление аппаратуры на рабочих местах при помощи специализированных замков.
2.2.4 Аутентификация и парольная защита
Аутентификамция (англ. Authentication) -- процедура проверки подлинности, например: проверка подлинности пользователя путём сравнения введённого им пароля с паролем в базе данных пользователей; подтверждение подлинности электронного письма путём проверки цифровой подписи письма по ключу проверки подписи отправителя; проверка контрольной суммы файла на соответствие сумме, заявленной автором этого файла. В русском языке термин применяется, в основном, в области информационных технологий.
Учитывая степень доверия и политику безопасности систем, проводимая проверка подлинности может быть односторонней или взаимной. Обычно она проводится с помощью криптографических способов.
Существует несколько документов, утверждающих стандарты аутентификации. Для России актуален следующий: ГОСТ Р ИСО/МЭК 9594-8-98 - Основы аутентификации.
Настоящий стандарт:
Определяет формат информации аутентификации, хранимой справочником;
Описывает способ получения из справочника информации аутентификации;
Устанавливает предпосылки о способах формирования и размещения в справочнике информации аутентификации;
Определяет три способа, с помощью которых прикладные программы могут использовать такую информацию аутентификации для выполнения аутентификации, и описывает, каким образом с помощью аутентификации могут быть обеспечены другие услуги защиты.
В настоящем стандарте изложены два вида аутентификации: простая, использующая пароль как проверку заявленной идентичности, и строгая, использующая удостоверения личности, созданные с использованием криптографических методов.
В любой системе аутентификации обычно можно выделить несколько элементов:
Субъект, который будет проходить процедуру;
Характеристика субъекта -- отличительная черта;
Хозяин системы аутентификации, несущий ответственность и контролирующий её работу;
Сам механизм аутентификации, то есть принцип работы системы;
Механизм, предоставляющий определённые права доступа или лишающий субъекта оных.
Также можно выделить 3 фактора аутентификации:
Что-то, что мы знаем -- пароль. Это тайные сведения, которыми должен обладать только авторизованный субъект. Паролем может быть речевое слово, текстовое слово, комбинация для замка или личный идентификационный номер (PIN). Парольный механизм может быть довольно легко воплощён и имеет низкую стоимость. Но имеет существенные недостатки: сохранить пароль в тайне зачастую бывает сложно, злоумышленники постоянно придумывают новые способы кражи, взлома и подбора пароля. Это делает парольный механизм слабозащищённым.
Что-то, что мы имеем -- устройство аутентификации. Здесь важно обстоятельство обладания субъектом каким-то неповторимым предметом. Это может быть личная печать, ключ от замка, для компьютера это файл данных, содержащих характеристику. Характеристика часто встраивается в особое устройство аутентификации, например, пластиковая карта, смарт-карта. Для злоумышленника заполучить такое устройство становится более сложно, чем взломать пароль, а субъект может сразу же сообщить в случае кражи устройства. Это делает данный метод более защищённым, чем парольный механизм, однако стоимость такой системы более высокая.
Что-то, что является частью нас -- биометрика. Характеристикой является физическая особенность субъекта. Это может быть портрет, отпечаток пальца или ладони, голос или особенность глаза. С точки зрения субъекта, данный способ является наиболее простым: не надо ни запоминать пароль, ни переносить с собой устройство аутентификации. Однако биометрическая система должна обладать высокой чувствительностью, чтобы подтверждать авторизованного пользователя, но отвергать злоумышленника со схожими биометрическими параметрами. Также стоимость такой системы довольно велика. Но, несмотря на свои недостатки, биометрика остается довольно перспективным фактором.
Рассмотрим более подробно способы аутентификации.
Аутентификация по многоразовым паролям.
Состоит во вводе пользовательского идентификатора, в просторечии называемого «логином» (англ. login -- регистрационное имя пользователя, учётка) и пароля -- неких конфиденциальных сведений. Достоверная (эталонная) пара логин-пароль хранится в специальной базе данных.
Простая аутентификация имеет следующий общий алгоритм:
Субъект запрашивает доступ в систему и вводит личный идентификатор и пароль.
Введённые неповторимые данные поступают на сервер аутентификации, где сравниваются с эталонными.
При совпадении данных с эталонными аутентификация признаётся успешной, при различии -- субъект перемещается к 1-му шагу
Введённый субъектом пароль может передаваться в сети двумя способами:
Незашифрованно, в открытом виде, на основе протокола парольной аутентификации (Password Authentication Protocol, PAP)
С использованием шифрования SSL или TLS. В этом случае неповторимые данные, введённые субъектом, передаются по сети защищёно.
Аутентификация по одноразовым паролям.
Заполучив однажды многоразовый пароль субъекта, злоумышленник имеет постоянный доступ к взломанным конфиденциальным сведениям. Эта проблема решается применением одноразовых паролей (OTP -- One Time Password). Суть этого метода -- пароль действителен только для одного входа в систему, при каждом следующем запросе доступа -- требуется новый пароль. Реализован механизм аутентификации по одноразовым паролям может быть как аппаратно, так и программно.
Технологии использования одноразовых паролей можно разделить на:
Использование генератора псевдослучайных чисел, единого для субъекта и системы;
Использование временных меток вместе с системой единого времени;
Использование базы случайных паролей, единой для субъекта и для системы.
Многофакторная аутентификация.
В последнее время всё чаще применяется так называемая расширенная, или многофакторная, аутентификация. Она построена на совместном использовании нескольких факторов аутентификации. Это значительно повышает защищённость системы. В качестве примера можно привести использование SIM-карт в мобильных телефонах. Субъект вставляет свою карту (устройство аутентификации) в телефон и при включении вводит свой PIN-код (пароль). Также, к примеру, в некоторых современных ноутбуках и смартфонах присутствует сканер отпечатка пальца. Таким образом, при входе в систему субъект должен пройти эту процедуру (биометрика), а потом ввести пароль. Выбирая для системы тот или иной фактор или способ аутентификации, необходимо, прежде всего, отталкиваться от требуемой степени защищенности, стоимости построения системы, обеспечения мобильности субъекта.
Биометрическая аутентификация.
Методы аутентификации, основанные на измерении биометрических параметров человека, обеспечивают почти 100 % идентификацию, решая проблемы утраты паролей и личных идентификаторов.
Наиболее используемые биометрические атрибуты и соответствующие системы:
Отпечатки пальцев;
Геометрия руки;
Радужная оболочка глаза;
Термический образ лица;
Ввод с клавиатуры;
В то же время биометрическая аутентификация имеет ряд недостатков:
Биометрический шаблон сравнивается не с результатом первоначальной обработки характеристик пользователя, а с тем, что пришло к месту сравнения. За время пути может много чего произойти.
База шаблонов может быть изменена злоумышленником.
Следует учитывать разницу между применением биометрии на контролируемой территории, под бдительным оком охраны, и в «полевых» условиях, когда, например, к устройству сканирования могут поднести муляж и т.п.
Некоторые биометрические данные человека меняются (как в результате старения, так и травм, ожогов, порезов, болезни, ампутации и т.д.), так что база шаблонов нуждается в постоянном сопровождении, а это создает определенные проблемы и для пользователей, и для администраторов.
Если у Вас крадут биометрические данные или их компрометируют, то это, как правило, на всю жизнь. Пароли, при всей их ненадежности, в крайнем случае можно сменить. Палец, глаз или голос сменить нельзя, по крайней мере быстро.
Биометрические характеристики являются уникальными идентификаторами, но их нельзя сохранить в секрете.
Процедура аутентификации используется при обмене информацией между компьютерами, при этом используются весьма сложные криптографические протоколы, обеспечивающие защиту линии связи от прослушивания или подмены одного из участников взаимодействия. А поскольку, как правило, аутентификация необходима обоим объектам, устанавливающим сетевое взаимодействие, то аутентификация может быть и взаимной.
Таким образом, можно выделить несколько семейств аутентификации:
Аутентификация пользователя на PC:
Шифрованное имя (login)
Password Authentication Protocol, PAP (связка логин-пароль)
Карта доступа (USB с сертификатом, SSO)
Аутентификация в сети -
Secure SNMP с использованием цифровой подписи
SAML (Security Assertion Markup Language)
Cookie сессии
Kerberos Tickets
Сертификаты X.509
В операционных системах семейства Windows NT 4 используется протокол NTLM (NT LAN Manager -- Диспетчер локальной сети NT). А в доменах Windows 2000/2003 применяется гораздо более совершенный протокол Kerberos.
С точки зрения построения эшелонированной защиты, аутентификация используется на всех уровнях защиты. Проверку подлинности должен проходить не только персонал (при входе на защищаемый объект, в особые помещения, при получении конфиденциальной информации на любых носителях, при входе в компьютерную систему, при использовании ПО и аппаратных средств), но и каждая отдельная рабочая станция, программа, носители информации, средства, подключаемые к рабочим станциям, серверам и т.д.
2.2.5 Межсетевые экраны
Межсетевой экран (МЭ) - это локальное (однокомпонентное) или функционально - распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС. МЭ обеспечивает защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС на основе заданных правил, проводя таким образом разграничение доступа субъектов из одной АС к объектам другой АС. Каждое правило запрещает или разрешает передачу информации определенного вида между субъектами и объектами. Как следствие, субъекты из одной АС получают доступ только к разрешенным информационным объектам из другой АС. Интерпретация набора правил выполняется последовательностью фильтров, которые разрешают или запрещают передачу данных (пакетов) на следующий фильтр или уровень протокола. Устанавливается пять классов защищенности МЭ.
Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации.
Самый низкий класс защищенности - пятый, применяемый для безопасного взаимодействия АС класса 1Д с внешней средой, четвертый - для 1Г, третий - 1В, второй - 1Б, самый высокий - первый, применяемый для безопасного взаимодействия АС класса 1А с внешней средой.
Требования, предъявляемые к МЭ, не исключают требований, предъявляемых к средствам вычислительной техники (СВТ) и АС в соответствии с руководящими документами ФСТЭК России “Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации” и “Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации”.
При включении МЭ в АС определенного класса защищенности, класс защищенности совокупной АС, полученной из исходной путем добавления в нее МЭ, не должен понижаться.
Для АС класса 3Б, 2Б должны применяться МЭ не ниже 5 класса.
Для АС класса 3А, 2А в зависимости от важности обрабатываемой информации должны применяться МЭ следующих классов:
При обработке информации с грифом “секретно” - не ниже 3 класса;
При обработке информации с грифом “совершенно секретно” - не ниже 2 класса;
При обработке информации с грифом “особой важности” - не ниже 1 класса.
МЭ является стандартным элементом СЗИ НСД и является средством, контролирующим потоки информации, входя в подсистему управления доступом.
С точки зрения эшелонирования, МЭ может быть расположен как на периметре защищаемой системы, так и на отдельных её элементах, например, программные МЭ, устанавливаемые на рабочие станции и на серверы.
Демилитаризованная зона.
ДМЗ (демилитаризованная зона, DMZ) -- технология обеспечения защиты информационного периметра, при которой серверы, отвечающие на запросы из внешней сети, находятся в особом сегменте сети (который и называется ДМЗ) и ограничены в доступе к основным сегментам сети с помощью межсетевого экрана (файрвола), с целью минимизировать ущерб при взломе одного из общедоступных сервисов, находящихся в зоне.
В зависимости от требований к безопасности, ДМЗ может быть с одним, двумя или тремя файрволами.
Конфигурация с одним файрволом.
В этой схеме ДМЗ внутренняя сеть и внешняя сеть подключаются к разным портам маршрутизатора (выступающего в роли файрвола), контролирующего соединения между сетями. Подобная схема проста в реализации, требует всего лишь одного дополнительного порта. Однако в случае взлома (или ошибки конфигурирования) маршрутизатора сеть оказывается уязвима напрямую из внешней сети.
Конфигурация с двумя файрволами.
В конфигурации с двумя файрволами ДМЗ подключается к двум маршрутизаторам, один из которых ограничивает соединения из внешней сети в ДМЗ, а второй контролирует соединения из ДМЗ во внутреннюю сеть. Подобная схема позволяет минимизировать последствия взлома любого из файрволов или серверов, взаимодействующих с внешней сетью -- до тех пор, пока не будет взломан внутренний файрвол, злоумышленник не будет иметь произвольного доступа к внутренней сети.
Конфигурация с тремя файрволами.
Существует редкая конфигурация с тремя файрволами. В этой конфигурации первый из них принимает на себя запросы из внешней сети, второй контролирует сетевые подключения ДМЗ, а третий -- контролирует соединения внутренней сети. В подобной конфигурации, обычно, ДМЗ и внутренняя сеть скрываются за NAT (трансляцией сетевых адресов).
Одной из ключевых особенностей ДМЗ является не только фильтрация трафика на внутреннем файрволе, но и требование обязательной сильной криптографии при взаимодействии между активным оборудованием внутренней сети и ДМЗ. В частности, не должно быть ситуаций, в которых возможна обработка запроса от сервера в ДМЗ без авторизации. В случае, если ДМЗ используется для обеспечения защиты информации внутри периметра от утечки изнутри, аналогичные требования предъявляются для обработки запросов пользователей из внутренней сети.
С позиции формирования эшелонированной защиты, ДМЗ можно определить, как часть МЭ, однако ДМЗ требуется лишь тогда, когда некоторые данные должны находиться в общем пользовании (например, интернет-сайт). ДМЗ, как и МЭ, реализуется на границе защищаемой сети, при этом, если требуется, таких зон может быть несколько, каждая со своими политиками безопасности. Таким образом, первый эшелон здесь - защита при доступе к ДМЗ, а второй - защита внутренней сети. Благодаря этому, получение доступа к самой ДМЗ затруднено, но, даже при удачном стечении обстоятельств, нарушение работы внутренней сети практически невозможно.
VPN (англ. Virtual Private Network -- виртуальная частная сеть) -- обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим или неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений, передаваемых по логической сети сообщений).
В зависимости от применяемых протоколов и назначения, VPN может обеспечивать соединения трёх видов: узел-узел, узел-сеть и сеть-сеть.
Обычно VPN развёртывают на уровнях не выше сетевого, так как применение криптографии на этих уровнях позволяет использовать в неизменном виде транспортные протоколы (такие как TCP, UDP).
Пользователи Microsoft Windows обозначают термином VPN одну из реализаций виртуальной сети -- PPTP, причём используемую зачастую не для создания частных сетей.
Чаще всего для создания виртуальной сети используется инкапсуляция протокола PPP в какой-нибудь другой протокол -- IP (такой способ использует реализация PPTP -- Point-to-Point Tunneling Protocol) или Ethernet (PPPoE) (хотя, и они имеют различия). Технология VPN в последнее время используется не только для создания собственно частных сетей, но и некоторыми провайдерами «последней мили» на постсоветском пространстве для предоставления выхода в Интернет.
При должном уровне реализации и использовании специального программного обеспечения сеть VPN может обеспечить высокий уровень шифрования передаваемой информации. При правильной настройке всех компонентов технология VPN обеспечивает анонимность в Сети.
Классифицировать VPN решения можно по нескольким основным параметрам:
По степени защищенности используемой среды:
Защищённые - наиболее распространённый вариант виртуальных частных сетей. С его помощью возможно создать надежную и защищенную сеть на основе ненадёжной сети, как правило, Интернета. Примером защищённых VPN являются: IPSec, OpenVPN и PPTP.
Доверительные - используются в случаях, когда передающую среду можно считать надёжной и необходимо решить лишь задачу создания виртуальной подсети в рамках большей сети. Проблемы безопасности становятся неактуальными. Примерами подобных VPN решений являются: Multi-protocol label switching (MPLS) и L2TP (Layer 2 Tunnelling Protocol).
По способу реализации:
В виде специального программно-аппаратного обеспечения - реализация VPN сети осуществляется при помощи специального комплекса программно-аппаратных средств. Такая реализация обеспечивает высокую производительность и, как правило, высокую степень защищённости.
В виде программного решения - используют персональный компьютер со специальным программным обеспечением, обеспечивающим функциональность VPN.
Интегрированное решение - функциональность VPN обеспечивает комплекс, решающий также задачи фильтрации сетевого трафика, организации сетевого экрана и обеспечения качества обслуживания.
По назначению:
Intranet VPN - используют для объединения в единую защищённую сеть нескольких распределённых филиалов одной организации, обменивающихся данными по открытым каналам связи.
Remote Access VPN - используют для создания защищённого канала между сегментом корпоративной сети (центральным офисом или филиалом) и одиночным пользователем, который, работая дома, подключается к корпоративным ресурсам с домашнего компьютера, корпоративного ноутбука, смартфона или интернет-киоскa.
Extranet VPN - используют для сетей, к которым подключаются «внешние» пользователи (например, заказчики или клиенты). Уровень доверия к ним намного ниже, чем к сотрудникам компании, поэтому требуется обеспечение специальных «рубежей» защиты, предотвращающих или ограничивающих доступ последних к особо ценной, конфиденциальной информации.
Internet VPN - используется для предоставления доступа к интернету провайдерами, обычно если по одному физическому каналу подключаются несколько пользователей. Протокол PPPoE стал стандартом в ADSL-подключениях.
L2TP был широко распространён в середине 2000-х годов в домовых сетях: в те времена внутрисетевой трафик не оплачивался, а внешний стоил дорого. Это давало возможность контролировать расходы: когда VPN-соединение выключено, пользователь ничего не платит. В настоящее время (2012) проводной интернет дешёвый или безлимитный, а на стороне пользователя зачастую есть маршрутизатор, на котором включать-выключать интернет не так удобно, как на компьютере. Поэтому L2TP-доступ отходит в прошлое.
Client/Server VPN - он обеспечивает защиту передаваемых данных между двумя узлами (не сетями) корпоративной сети. Особенность данного варианта в том, что VPN строится между узлами, находящимися, как правило, в одном сегменте сети, например, между рабочей станцией и сервером. Такая необходимость очень часто возникает в тех случаях, когда в одной физической сети необходимо создать несколько логических сетей. Например, когда надо разделить трафик между финансовым департаментом и отделом кадров, обращающихся к серверам, находящимся в одном физическом сегменте. Этот вариант похож на технологию VLAN, но вместо разделения трафика, используется его шифрование.
По типу протокола - существуют реализации виртуальных частных сетей под TCP/IP, IPX и AppleTalk. Но на сегодняшний день наблюдается тенденция к всеобщему переходу на протокол TCP/IP, и абсолютное большинство VPN решений поддерживает именно его. Адресация в нём чаще всего выбирается в соответствии со стандартом RFC5735, из диапазона Приватных сетей TCP/IP.
По уровню сетевого протокола - на основе сопоставления с уровнями эталонной сетевой модели ISO/OSI.
Эшелонированная защита на основе VPN должна включать два (или более) периметра защиты на оборудовании различных производителей. При этом методика использования «дыры» в линии обороны одного поставщика будет неприменима к решению другого. Такое двухэшелонное решение является обязательным технологическим требованием для многих корпоративных сетей, в частности, очень распространено в банковских сетях Швейцарии.
Рисунок 1. Сценарии взаимодействия защищенных периметров.
Рисунок 2. Обозначения, используемые на рисунке 1.
В рамках двухэшелонной архитектуры сетевой безопасности на основе продуктов компании Cisco и CSP VPN реализуются следующие базовые сценарии взаимодействия защищенных периметров (рисунок 1):
Доступ корпоративных пользователей в Интернет.
Защищенное взаимодействие внешних периметров.
Защищенный доступ удаленных пользователей к сети внешнего периметра.
Защищенный доступ удаленных пользователей к сети внутреннего периметра.
Защищенное взаимодействие внутренних периметров.
Создание внутренних защищенных контуров и защита приложений клиент-сервер.
Технические реализации базовых сценариев разнообразны и зависят от того:
что мы защищаем (каковы объекты защиты, как они аутентифицируются),
где расположены объекты зашиты (топология сети),
как мы хотим применить средства защиты (политика контроля доступа и структура IPsec-туннелей).
2.2.7 Система обнаружения вторжений
Система обнаружения вторжений (СОВ) -- программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Интернет. Соответствующий английский термин -- Intrusion Detection System (IDS). Системы обнаружения вторжений обеспечивают дополнительный уровень защиты компьютерных систем.
Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которая может нарушить безопасность компьютерной системы. К такой активности относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (компьютерных вирусов, троянов и червей)
Обычно архитектура СОВ включает:
Сенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы
Подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров
Хранилище, обеспечивающее накопление первичных событий и результатов анализа
Консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты
Существует несколько способов классификации СОВ в зависимости от типа и расположения сенсоров, а также методов, используемых подсистемой анализа для выявления подозрительной активности. Во многих простых СОВ все компоненты реализованы в виде одного модуля или устройства.
При помощи классификации СОВ по месту расположения сенсоров можно определить и эшелонированную СОВ, расположенную на уровнях сети (сетевая СОВ), сервера (протокольные СОВ) и хоста (узловая СОВ). Согласно этой же классификации, гибридные СОВ можно сразу отнести к эшелонированным СОВ, так как они соответствуют основным требованиям эшелонирования.
В сетевой СОВ, сенсоры расположены на важных для наблюдения точках сети, часто в демилитаризованной зоне, или на границе сети. Сенсор перехватывает весь сетевой трафик и анализирует содержимое каждого пакета на наличие вредоносных компонентов. Протокольные СОВ используются для отслеживания трафика, нарушающего правила определенных протоколов либо синтаксис языка (например, SQL). В хостовых СОВ сенсор обычно является программным агентом, который ведет наблюдение за активностью хоста, на который установлен. Также существуют гибридные версии перечисленных видов СОВ.
Сетевая СОВ (Network-based IDS, NIDS) отслеживает вторжения, проверяя сетевой трафик и ведет наблюдение за несколькими хостами. Сетевая система обнаружения вторжений получает доступ к сетевому трафику, подключаясь к хабу или свитчу, настроенному на зеркалирование портов, либо сетевое TAP устройство. Примером сетевой СОВ является Snort.
Основанное на протоколе СОВ (Protocol-based IDS, PIDS) представляет собой систему (либо агента), которая отслеживает и анализирует коммуникационные протоколы со связанными системами или пользователями. Для веб-сервера подобная СОВ обычно ведет наблюдение за HTTP и HTTPS протоколами. При использовании HTTPS СОВ должна располагаться на таком интерфейсе, чтобы просматривать HTTPS пакеты еще до их шифрования и отправки в сеть.
Основанная на прикладных протоколах СОВ (Application Protocol-based IDS, APIDS) -- это система (или агент), которая ведет наблюдение и анализ данных, передаваемых с использованием специфичных для определенных приложений протоколов. Например, на веб-сервере с SQL базой данных СОВ будет отслеживать содержимое SQL команд, передаваемых на сервер.
Узловая СОВ (Host-based IDS, HIDS) -- система (или агент), расположенная на хосте, отслеживающая вторжения, используя анализ системных вызовов, логов приложений, модификаций файлов (исполняемых, файлов паролей, системных баз данных), состояния хоста и прочих источников. Примером является OSSEC.
Гибридная СОВ совмещает два и более подходов к разработке СОВ. Данные от агентов на хостах комбинируются с сетевой информацией для создания наиболее полного представления о безопасности сети. В качестве примера гибридной СОВ можно привести Prelude.
Хотя и СОВ, и межсетевой экран относятся к средствам контроля потоков информации, межсетевой экран отличается тем, что ограничивает поступление на хост или подсеть определенных видов трафика для предотвращения вторжений и не отслеживает вторжения, происходящие внутри сети. СОВ, напротив, пропускает трафик, анализируя его и сигнализируя при обнаружении подозрительной активности. Обнаружение нарушения безопасности проводится обычно с использованием эвристических правил и анализа сигнатур известных компьютерных атак.
3. ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ
В ходе выполнения работы был изучен основной принцип построения эшелонированной СЗИ - «эшелонированность». Это значит, что множество независимых составляющих СЗИ должны быть установлены не в одном месте, а «эшелонированно» - распредёленно по разным уровням (эшелонам) защищаемой системы. Благодаря этому достигается состояние «перезащищенности» системы, при котором слабые стороны одной составляющей прикрываются другими составляющими.
Также были изучены сами независимые средства, используемые при формировании эшелонированной СЗИ в компьютерных системах «офисного» типа:
Антивирусные программы;
Протоколирование и аудит;
Физическая защита;
Аутентификация и парольная защита;
Межсетевые экраны;
Демилитаризованная зона;
Система обнаружения вторжений.
Для каждой составляющей было рассмотрено, на каких уровнях необходима её установка, а также были предъявлены требования, согласно документам ФСТЭК России.
СПИСОК ИСПОЛЬЗОВАННЫХ ИНФОРМАЦИОННЫХ ИСТОЧНИКОВ
Руководящий документ ФСТЭК России «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации.» от 30 марта 1992 г.;
Руководящий документ ФСТЭК России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» от 30 марта 1992 г.;
Руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» от 25 июля 1997 г.;
Размещено на Allbest.ru
Подобные документы
Пути несанкционированного доступа, классификация способов и средств защиты информации. Анализ методов защиты информации в ЛВС. Идентификация и аутентификация, протоколирование и аудит, управление доступом. Понятия безопасности компьютерных систем.
дипломная работа , добавлен 19.04.2011
Проблема выбора между необходимым уровнем защиты и эффективностью работы в сети. Механизмы обеспечения защиты информации в сетях: криптография, электронная подпись, аутентификация, защита сетей. Требования к современным средствам защиты информации.
курсовая работа , добавлен 12.01.2008
Требования к защите информации. Классификация автоматизированной системы. Факторы, влияющие на требуемый уровень защиты информации. Физическая защита данных. Установка источников бесперебойного питания. Идентификация и аутентификация, управление доступом.
курсовая работа , добавлен 29.11.2014
Способы и средства защиты информации от несанкционированного доступа. Особенности защиты информации в компьютерных сетях. Криптографическая защита и электронная цифровая подпись. Методы защиты информации от компьютерных вирусов и от хакерских атак.
реферат , добавлен 23.10.2011
Обзор технологий защиты информации в компьютерных сетях: криптография, электронная подпись, аутентификация, защита сетей. Организация защиты информации на клиентской машине с помощью системы Avast. Конфигурация и настройка системы Avast на компьютере.
курсовая работа , добавлен 11.05.2014
Понятие компьютерной преступности. Основные понятия защиты информации и информационной безопасности. Классификация возможных угроз информации. Предпосылки появления угроз. Способы и методы защиты информационных ресурсов. Типы антивирусных программ.
курсовая работа , добавлен 28.05.2013
Программно-аппаратные средства защиты компьютера от несанкционированного доступа. Электронный замок "Соболь". Система защиты информации SecretNet. Дактилоскопические устройства защиты информации. Управление открытыми ключами, удостоверяющие центры.
курсовая работа , добавлен 23.08.2016
Характеристики объектов защиты и требования к ним. Выявление каналов утечки и требования по защите. Средства защиты и их размещение. Альтернативная система защиты информации комплексным экранированием. Экранированные сооружения, помещения, камеры.
курсовая работа , добавлен 16.04.2012
Технические средства защиты информации. Основные угрозы безопасности компьютерной системы. Средства защиты от несанкционированного доступа. Системы предотвращения утечек конфиденциальной информации. Инструментальные средства анализа систем защиты.
презентация , добавлен 18.11.2014
Анализ информации как объекта защиты и изучение требований к защищенности информации. Исследование инженерно-технических мер защиты и разработка системы управления объектом защиты информации. Реализация защиты объекта средствами программы Packet Tracer.
Эрик Байрс для InTech
Любой метод обеспечения информационной безопасности сам по себе недостаточен
- Постоянно возникают новые угрозы информационной безопасности
- Надежда на единое решение по информационной безопасности оборачивается большой уязвимостью
- Эшелонированная оборона повышает защищенность
Последние два года тревожные звонки в отрасли промышленной автоматизации звучат практически непрерывно. Впервые она стала целью изощренных кибератак, проводимых с помощью таких инструментов как Stuxnet, Night Dragon и Duqu.
Самой опасной угрозой после эпохи Stuxnet стало зловредное ПО известное как Shamoon. Как и в случаях со Stuxnet, Duqu и Flame, оно было нацелено на организации на Ближнем Востоке, такие как Saudi Aramco (Саудовская Аравия), RasGas (Катар), а также другие нефтегазовые концерны региона. Однако это было что-то новое - поскольку новое зловредное ПО не нарушало ход технологических процессов, подобно Stuxnet, и не похищало информацию, подобно Flame или Duqu.
Вместо этого, оно удалило и переписало заново информацию на десятках тысяч жестких дисков (было затронуто от 30 000 до 55 000 рабочих станций, да-да, эти числа верны!) по всей компании Saudi Aramco (и, можно только предполагать, сколько еще в других компаниях). Судя по всему, атака была осуществлена неким обозленным сотрудником, действовавшим изнутри корпоративного файрвола.
Shamoon и другие учат нас одному и тому же - надежда на одно единственное решение для защиты (такое как файрвол) означает, что вся система оказывается зависима от одной единственной уязвимой точки. Рано или поздно, вне зависимости от того, насколько хорошо это единственное защитное решение, либо предприимчивые недоброжелатели, либо очередное орудие Законов Мерфи прорвут защиту. И вся система окажется открытой для атак. Намного более эффективной стратегией защиты является т.н. «эшелонированная оборона» (англ.: defense in depth)
Возвращаемся к основам
Эшелонированная оборона не является чем-то уникальным для ИТ- или SCADA-систем. В сущности, она даже не уникальна для информационной безопасности. Это военная стратегия, известная со времен Древнего Рима. Поищите в сети Интернет и вы найдете следующее определение (Википедия):
Эшелонированная оборона это военная стратегия; ее целью является не столько предотвращение продвижения неприятеля, сколько его замедление. При этом защищающаяся сторона, медленно уступая территорию, выигрывает время, а также, наносит дополнительный ущерб атакующей стороне. Вместо того, чтобы стараться нанести атакующей стороне поражение с помощью единого и сильного защитного рубежа, эшелонированная оборона ослабляет наступательный порыв по мере его распространения на все большей территории.
Эшелонированная оборона на примере банковской отрасли
Если вам нужно обеспечить безопасность системы управления, вышеупомянутое определение, к сожалению, не сильно поможет. Давайте посмотрим на то, как обеспечивается безопасность в банках, и выясним, можно ли из их опыта взять для себя что-то полезное.
Никогда не задавали себе вопрос: почему типичный банк намного более безопасен, чем жилой дом или магазин? Это не из-за стальных дверей или вооруженной охраны. Сами по себе они конечно помогают, однако их ценность во многом нивелируется тем фактом, что грабители банков также намного лучше вооружены и настроены более решительно, по сравнению, скажем, с типичными грабителями.
Банк использует многочисленные меры безопасности для того, чтобы достичь ее максимального уровня. Например, в типичном банке есть стальные двери, пуленепробиваемые окна, охрана, сейфы размером с комнату, охранные сигнализации, камеры видеонаблюдения, кассиры, прошедшие соответствующее обучение. И наиболее важным является даже не то, что в банке много мер безопасности, а то, что каждая из них создана для борьбы с определенным видом угроз.
Например, банковские двери - эффективные, но простые устройства безопасности. Они или открыты, или закрыты. Они или предоставляют или предотвращают доступ клиентов, по принципу: все или ничего - вне зависимости от того, как посетитель выглядит или ведет себя.
На один уровень выше находится охрана. Охранники осуществляют контроль для «очистки» потока посетителей. Они гарантируют, что в банк войдут посетители с объективной необходимостью находится в нем, и которые будут вести себя в рамках общепринятых норм. Каждый посетитель оценивается по ряду критериев: носит или не носит он маску, подозрительно ли его поведение и т.д.
На следующем уровне - кассиры, пароли и т.д., которые не позволяют уже допущенным в банк клиентам получить доступ к чужим счетам. Кассиров не заботит, должен или не должен быть данный клиент в банке. Они определяют, имеет ли он право доступа к конкретному счету.
Уровни: много и разные
Банковская аналогия указывает на три важных аспекта «эшелонированной обороны»:
- Многочисленные уровни защиты. Нельзя полагаться только на единственный инструмент защиты, как бы хорош он ни был.
- Дифференцированные уровни защиты. Убедитесь в том, что каждый уровень защиты отличается от других. Это гарантирует, что даже если злоумышленник пройдет первый уровень, его способ не станет «волшебным ключом» к остальным уровням защиты.
- Адаптированность к конкретным контексту и угрозам. Каждый из уровней защиты должен быть разработан так, чтобы соответствовать определенному контексту и угрозе.
Последний момент, возможно, наименее очевиден, но, наиболее важен. Возвращаясь к примеру с банком: обратите внимание - там не просто расставляют дополнительную охрану на каждом уровне. В банковской отрасли понимают: угрозы могут быть очень разными - от отчаявшегося наркомана, размахивающего пистолетом, до изощренного мошенника. Поэтому в банках каждый уровень защиты адаптирован к конкретным угрозам.
Адаптация к угрозе
Каким образом все это касается проблемы безопасности на производстве? Как и банк, ИТ- и SCADA-системы могут быть подвержены различным угрозам безопасности: от разозленных сотрудников до зловредного ПО, DoS-атак и хищения информации. Необходимо учитывать все эти угрозы и защищаться от всех.
К примеру, пограничный файрвол можно сравнить с охранником. Сетевые сообщения, использующие определенные протоколы, либо пропускаются, либо не пропускаются в сеть управления. Идеальный вариант для защиты от таких атак, как обычные «черви» или неспециализированные DoS-атаки.
Более совершенные файрволы, предназначенные для работы со SCADA-системами, анализируют трафик, даже если он не принадлежит к основным сетевым протоколам. Это позволяет осуществлять защиту на основе поведения и контекста систем, использующих эти протоколы в системе управления. Например, если операторская рабочая станция неожиданно начинает попытки запрограммировать ПЛК, скорее всего, это действует червь вроде Stuxnet или обозленный сотрудник. Такие атаки должны немедленно предотвращаться и подниматься тревога, для предотвращения серьезного риска системе.
Наконец, серверы и контроллеры, с надлежащими настройками безопасности, могут действовать аналогично хорошо вышколенному кассиру. После успешного подсоединения пользователя к серверу или контроллеру, приложение безопасности гарантирует, что пользователь получает доступ только к тем приложениям и данным, для которых он авторизован. Попытки получить доступ к другим сервисам и данным должны блокироваться и регистрироваться.
Как в примере со стальными дверями, охранниками и кассирами, файрвол периметра, обеспечивающий защиту границы, файрвол ИТ- и SCADA-систем, обеспечивающий внутреннюю безопасность, а также сервер, обеспечивающий безопасность на уровне приложений, формируют эффективную команду. Например, файрвол может блокировать миллионы зловредных сообщений, направленных в систему управления в рамках DoS-атаки. В то же время, глубокая инспекция пакетов (англ.: Deep Packet Inspection или DPI) и проверка авторизации пользователей не позволят червю или пользователю внутри файрвола вносить изменения, которые могут подвергнуть риску имущество или жизни.
Обеспечиваем надежную безопасность на производстве
Зависимость от единственного решения обеспечения информационной безопасности, такого как файрвол периметра, означает, что ваша защита может быть прорвана одним ударом. Необходимо разрабатывать и внедрять системы эшелонированной защиты, в которых сеть, устройства управления, различные системы защищены - защищены все. Именно это позволит обеспечить информационную безопасность должного уровня на производстве.
Эрик Байрс (Eric Byres) ([email protected]), технический директор и вице-президент по производству Tofino Security (часть группы Hirschmann, бренд Belden), является признанным отраслевым экспертом в области информационной безопасности промышленных систем. Он возглавляет рабочую группу по технологиям безопасности в ISA99, а также, рабочую группу по анализу информационных угроз в ISA99. Вклад Эрика в развитие отрасли промышленной автоматизации, выдающиеся достижения в науке и технике, получили признание Международного Общества Автоматизации (International Society of Automation, ISA), присвоившего ему звание «Почетного члена ISA».
Принцип эшелонированной обороны получает все более широкое распространение среди специалистов по безопасности. Однако, его практическая реализация часто неверна. Стратегия обороны не должна ограничиваться лишь нагромождением многочисленных контрольных проверок и технологий защиты. Сущность эшелонированной обороны - в продуманном расположении средств защиты. Для успешной организации эшелонированной обороны необходимо провести хороший анализ угрозы, в ходе которого необходимо определить:
- ресурсы и значение этих ресурсов;
- опасности, которым подвергаются ресурсы, и вероятность каждой угрозы;
- векторы угрозы, которые могут быть использованы для атаки на предприятие.
Концепция эшелонированной обороны существует тысячи лет, поэтому я приведу часто используемый пример средневекового замка, чтобы показать, что свойственно, и что несвойственно эшелонированной обороне. Для ясности изложения, упростим задачу и рассмотрим только один из векторов угрозы, против которого необходимо защитить замок: прямая атака через главные ворота. Замок располагает многочисленными средствами защиты против этого вектора угрозы. Если оборона правильно организована, взломщикам придется преодолеть каждый рубеж, прежде чем им удастся по-настоящему угрожать людским, военным, политическим или материальным ресурсам замка.
Во-первых, нападающие должны уклониться от града стрел на подходе к замку. Затем, если подвесной мост поднят, нападающие должны преодолеть ров и проникнуть в ворота, закрытые поднятым мостом. После этого нападающие должны пройти по узкому проходу, образованному стенами и попытаться пройти сквозь внутренние ворота под ударами защитников замка.
Этот сценарий - хороший пример многоуровневой обороны, организованной против одного вектора угрозы. Однако, простое наличие средств защиты не означает, что предприятие располагает действительно эшелонированной обороной против конкретных угроз. Например, еще один вектор угрозы против замка - подрыв стен. От этой опасности защищает ров, но как быть, если осаждающим удастся осушить его? Оборону замка вряд ли можно назвать эшелонированной, если нет дополнительных средств, например, глубоко уходящего в землю фундамента или готового запаса кипящей смолы, которую можно в любой момень вылить на противника со стен.
В мире ИТ не существует единого непреодолимого средства защиты, и ни одна стратегия информационной безопасности не будет полной без эшелонированной стратегии. Непросто реализовать эту стратегию в корпорации, которой необходимо защитить свои информационные ресурсы. Преимущество замков заключалось в наличии единственной точки входа, а в производственных сетях компаний существует множество входов (в частности, соединения с поставщиками, провайдерами услуг и потребителями), что делает оборону более пористой. Кроме того, в настоящее время число векторов угроз гораздо больше, чем несколько лет назад. В начале 1990-х безопасность сети сводилась, в сущности, к защите от атак на уровне пакетов, а брандмауэры были маршрутизаторами с дополнительными возможностями. Сегодня угрозы для внутренних ресурсов исходят от переполнений буфера, SQL-подмен, вредных Web-страниц, почтовых сообщений с активным контентом, беспроводных соединений, поддельных URL и многих других типов атаки.
В столь динамичной, сложной среде взломщик может обойти любое препятствие при наличии благоприятных обстоятельств. Рассмотрим, например, антивирусные программы. Новый вектор атаки может обойти классические проверки, также как программы IM обходят проверки со стороны антивирусных утилит. К сети предприятия может быть подключен единственный компьютер без обязательной антивирусной программы. Важное обновление вирусных сигнатур может выйти с опозданием или не будет применено в филиале. Антивирусный механизм может пропустить вирус, или произойдет сбой антивирусной программы из-за некорректного исправления. Все эти события случаются в действительности.
Стратегия исчерпывающей эшелонированной обороны
В современных условиях важнее, чем когда-либо в прошлом, применить несколько средств против каждой угрозы. На примере антивирусной программы можно рассмотреть, как использовать комбинированные приемы для формирования исчерпывающей эшелонированной обороны против вирусов и других вредных программ.
Начальный уровень представлен антивирусной программой, направленной против самых распространенных векторов (или входов) угрозы, к которым относятся электронная почта, Web и IM. Антивирусную технологию следует установить на шлюзовых серверах SMTP, которые обрабатывают входящий почтовый поток, и развернуть антивирусное программное обеспечение на брандмауэрах и входных устройствах, которые перехватывают данные, пересылаемые при перемещениях по Web и загрузке файлов. Средства безопасности IM менее зрелые, чем решения для электронной почты и Web. Кроме того, проблема усложняется из-за широкого распространения IM-служб и способности IM-клиентов обходить защитные меры шлюзов. Тем не менее, существуют решения, с помощью которых можно направить внутренние и внешние IM-сообщения через единый канал с антивирусным фильтром и другими функциями безопасности.
Но электронная почта, Web и IM - не единственные векторы распространения вредных программ. Например, ими могут быть сменные носители, в частности, гибкие диски, компакт диски, устройства USB и флэш-памяти. Пользователь может принести ноутбук в Internet-кафе, подключиться к Wi-Fi-сети, подвергнуться нападению, а затем вернуться с компьютером в офис и установить соединение с сетью предприятия, обойдя периметрическую защиту. Это лишь немногие из возможных путей распространения опасных программ. Невозможно блокировать все маршруты проникновения с помощью специализированных средств. В конечном итоге, в каждой организации появляются защищенные векторы и открытые векторы без превентивных мер.
Что происходит, если вредная программа обходит периметрическую защиту через незащищенный вектор, или специализированное средство безопасности оказывается неэффективным? Дальнейшее развитие событий зависит от наличия эшелонированной обороны. В средние века главной заботой защитников замка была круговая оборона от атаки по окружающей местности. Оборонительные укрепления начинались на дальних подходах к замку, и становились все более мощными по мере приближения к центру замка. Наиболее защищенной была главная башня, которая представляла собой замок в замке. Если изобразить оборонительные рубежи в виде концентрических кругов вокруг защищаемого объекта, то становится очевидной причина выбора данного подхода. Чем дальше от объекта, тем больше длина окружности и тем больше ресурсов требуется для организации круговой обороны.
Различные методы защиты от вирусов, рассмотренные выше, обеспечивают широту, но не глубину обороны. Например, зараженный файл проходит проверку не более, чем одним из антивирусных инструментом, в зависимости от вектора, из которого появился файл. Несмотря на важность ширины, нельзя надеяться блокировать любую опасность на физическом или логическом периметре сети. Поэтому блокируются самые простые или часто используемые векторы заражения, а затем формируется более глубокое кольцо обороны.
Второй уровень обороны может представлять собой комбинацию средств обнаружения, лечения и дополнительной профилактики. Пример средств обнаружения - сканирование файлов в процессе приема. Во многих антивирусных продуктах файлы проверяются прежде, чем их смогут открыть приложения. Антивирусное решение, которое отправляет в карантин или восстанавливает файлы, одновременно выполняет и функцию лечения. Если сканирование файлов в процессе приема приводит к заметному падению быстродействия пользовательских систем или процессоров, то можно регулярно сканировать тома серверов и рабочих станций, и другие хранилища файлов в периоды малой рабочей нагрузки.
Разнообразные другие средства обнаружения могут быть как сложными, так и простыми, но эффективными. К сложным относятся системы обнаружения и предотвращения несанкционированного доступа, которые контролируют трафик в сетях, отыскивая вирусы и "червей". Однако, в этих дорогостоящих системах используется база данных известных атак, которая нуждается в постоянном обновлении. Кроме того, при анализе пакетов существует проблема потерянных пакетов и некорректного восстановления потоков данных. Среди простых решений - организация папок-приманок, в которых содержатся легко доступные для модификации файлы. Затем специальные процессы обнаруживают изменения в файлах. Файлы представляют собой лишь наживку, и любая попытка изменить их может рассматриваться как свидетельство деятельности вредной программы.
Можно реализовать другой уровень превентивного контроля, разместив брандмауэры на хост-машинах, максимально ужесточив порядок изменения файлов и исключив или ограничив доступ к разделяемым папкам. В результате всех этих мер вирусам и "червям" труднее обнаруживать еще незараженные файлы и системы.
Оценка надежности защиты
Эшелонированная оборона - эффективный способ борьбы с многовекторными постоянно меняющимися опасностями в современной информационной среде. Защита должна быть не только широкой, но и глубокой. Не следует ограничиваться лишь физической зоной обороны, рассматривая только физическую сеть и границы систем. В отличие от архитектора замка, которому требовалось защитить единственную точку входа, администратору ИТ приходится иметь дело со множеством точек в виде отдельных компьютеров, приложений, хранилищ данных и процессов. Оборона будет действительно эшелонированной, если для каждого ресурса существует более одного средства защиты от конкретной угрозы.