Для обеспечения надежности функционирования технических средств желательно использование источников бесперебойного питания (ИБП/UPS) на сервере и на рабочих станциях, а также на повторителе, через который осуществляется мониторинг.
В холодном резерве целесообразно иметь:
ПК – для случая выхода из строя машины диспетчеров, поскольку она является критичной для выполнения бизнес-функции.
кабели/конекторы/разъемы и т.п.
винчестер для замены вышедшего из RAID-массива. (при использовании RAID-10 достаточно иметь один SCSI HDD, так как вероятность выхода из строя одновременно двух дублирующихся дисков очень мала).
Аудит информационной системы, можно осуществлять по средствам регистрационных журналов администратором безопасности.
Уничтожитель бумаги
Часто бывают случаи, когда бумажные листы содержат какие-либо конфиденциальные данные и в дальнейшем использование этой копии не требуется. Правильным является физическое уничтожение бумаг с невозможностью считывания информации с них.
Технология VLAN
В отдельный VLAN выделить порты коммутатора, образовав тем самым псевдосеть, организованную на базе существующей локальной сети, для работы с конфиденциальной информацией субъектов организации. Коммутаторы Catalyst 3100 поддерживают такую возможность.
Технология VPN
Для сохранности секретности передаваемых по сетям Интернет данных целесообразно использовать технологию VPN (Virtual Private Network), позволяющую конфигурировать виртуальную частную сеть. Виртуальная частная сеть – это сеть, состоящая не из физически проложенных кабелей и сетевого оборудования, а представляющая собой систему виртуальных туннелей в пространстве глобальной сети Интернет и функционирующая параллельно с аналогичными сетями других клиентов и сетью самого провайдера.
Прежде всего, частные виртуальные сети существенно дешевле других решений, особенно при использовании в междугородних компаниях. Используя VPN, не используются специальные кабельные линии, соединяющие локальные сети. В данном случае для создания каналов между локальными сетями используется Интернет, что стоит гораздо дешевле.
VPN предполагает комплексные решения в области защиты данных. Прежде всего, информация передается в зашифрованном виде. Для идентификации адресата и отправителя применяются специальные меры. И, наконец, проверяется, что данные не были изменены во время движения по публичным сетям по ошибке или злонамеренно.
Для подключения к Интернету используется коммутируемый доступ (Dial-up) – способ подключения к Интернету по телефонной линии общего пользования с применением модема. Для осуществления подключения требуется модем и соответствующее программное обеспечение. Поскольку опция «Secure SHell (SSH)» для МСЭ поддерживает данную технологию, нет необходимости покупки отдельного ПО на модем.
Операционная система
Как на сервере, так и на рабочих станциях необходимо при установке ОС опускать ненужные сервисы. При этом необходимо периодически проверять включенные сервисы с целью выявления изменений, которые могут произойти, например, при установке нового ПО или АО.
SQL Server 2000
Самый простой путь администрирования разрешений доступа групп пользователей, это создание глобальной группы домена, в которую входят все группы пользователей. После того, как созданы глобальные группы, можно предоставлять им доступ к SQL серверу.
Защита СУБД не ограничивается только внутренними защитными механизмами самой СУБД. Необходимо также защитить и операционную систему, под управлением которой работает СУБД.
К примеру, MS SQL Server не обеспечивает возможность блокировки учетной записи пользователя базы данных в случае серии неудачных попыток аутентификации. Это позволяет злоумышленнику осуществлять различные атаки на систему идентификации/аутентификации, например, пытаться подобрать имена пользователей, зарегистрированных в СУБД, и их пароли. Второй пример уязвимости - невозможность переименования учетной записи системного администратора базы данных (sa), что также позволяет осуществлять злоумышленнику попытки подбора пароля администратора СУБД.
Существует ряд уязвимостей в СУБД, которые могут привести не только к компрометации информации в базах данных, но и компрометации всей сети в целом. Эти уязвимости появляются вследствие расширения стандартных возможностей SQL-серверов. Например, использование расширенной хранимой процедуры (extended stored procedure) xp_cmdshell позволяет выполнять функции операционной системы из командной строки так, как будто удаленный пользователь СУБД работает за консолью сервера баз данных. При этом функции, вызываемые при помощи процедуры xp_cmdshell, выполняются с привилегиями той учетной записи, под управлением которой загружен SQL-Server.
Программы типа "троянский конь" могут быть легко созданы путем модификации системных хранимых процедур. Например, несанкционированный доступ к паролю пользователя может быть получен при его смене с помощью всего одной строчки кода. При изменении пароля, который обычно хранится в зашифрованном виде в таблице master.dbo.syslogins, указанный "троянский конь" позволит увидеть пароль пользователя в открытом виде, сохраненный в таблице spt_values.
Матрица доступа - таблица, отображающая правила разграничения доступа всех пользователей информационной системы (см. Табл. 4.4.1)
| Субъекты ↓ | Объекты → | Права/ группы | Данные по объектам/ устройствам/ потребителям | Схемы | Регистрационный журнал |
| Генеральный директор | Нет доступа | Чтение | Чтение | Нет доступа | |
| Администратор системы | Создание ролей прав доступа | Нет доступа | Нет доступа | Чтение Удаление | |
| Администратор безопасности | Раздача ролей прав доступа | Чтение | Чтение | Чтение | |
| Начальник ОДС | Нет доступа | Создание | Создание | Нет доступа | |
| Группа диспетчеров | Нет доступа | Создание | Создание | Нет доступа | |
Листы доступа на коммутаторе
Очень важно, чтобы функционирующие коммутаторы были правильно сконфигурированы и настроены. Поскольку используемые коммутаторы возможно объединить в кластер, это во многом обеспечивает надежность бесперебойной работы пользователей в сети. При этом необходимо осуществлять постоянный мониторинг сети на предмет так называемых MAC-штормов, в результате которых коммутатор какое-то время будет работать как повторитель, а, следовательно, можно произвести прослушивание (sniffer) трафика.
Также необходимо вести и анализировать регистрационный журнал коммутатора, или по возможности активировать на всех портах, к которым подключены одиночные хосты, режима ограничения количества MAC-адресов с целью устранения возможности переполнения списка MAC-адресов.
Использование доверенных соединений обеспечивает гарантированность соединения “точка-точка” через Интернет.
Иногда для эффективного обеспечения информационной безопасности специалистам организации приходится использовать некоторые средства, которые обычно используются злоумышленниками для взлома информационных систем. Хотя бытует мнение, что большая часть случаев использования таких средств все же относится к попыткам несанкционированного использования информационных ресурсов. В отношении этого класса ПО провести четкую грань между полезным и опасным, поощряемым и запрещенным очень и очень сложно. Интерес для сотрудников службы безопасности представляют:
1. Инструмент определения подключенного к телефонному каналу модема (war-dialer).
2. Сканер портов.
3. Взломщик паролей.
4. Перехватчик сетевых пакетов.
Все выше перечисленные средства, такие как Сканеры уязвимости, МСЭ с поддержкой VPN-соединений, Система обнаружения атак в сети, технология VLAN на коммутаторах и RAID-массивы, требуются не только для обеспечения безопасности создаваемой системы, но и для поддержания всего комплекса мероприятий защиты конфиденциальной информации уже внедренного на предприятии.
В смету затрат, будем включать те технические средства, которые следует внедрить в ООО «КРГ» для надежного и безопасного функционирования создаваемой системы (см. Табл. 4.4.2 ).
Основной принцип определения требуемого уровня защиты формулируется следующим образом: «Сумма затрат (Сз) на обеспечение защиты не должна превосходить суммы ущерба (Су) от атаки, которую данная защита должна предотвратить», то есть Сз<Су.
Для рассмотренных примеров по простоям или потере информации, следует:
1. случай 90285 руб. < 110 000 руб.
2. случай 90285 руб. < 500 000 руб.
Можно сделать вывод об экономической целесообразности внедрения описанных средств защиты.
Таблица 4.4.2
| Название | Назначение | Примерная Стоимость (руб |
| На сервере: | ||
| RAID-массив level10 (8 HDD SCSI) 36Gb SCSI HDD Hitachi IC35L036UCDY10) | Поддержка сохранности и надежности информации Резерв HDD | 6150 руб. (215$) |
| Сканер безопасности (Database Scanner) | Приложение помогает оценить потенциальную опасность атаки, путем обнаружения уязвимых мест в системах безопасности популярных баз данных. | 3000 руб. |
| На клиенте: | ||
| UPS PowerMan BackPro 600 VA | Поддержка работоспособности рабочих станций и возможность правильного завершения работы Защита при перегрузке. Защита от короткого замыкания. | 2500 руб. |
| Рабочая станция (Pentium-3, 1000, 256, монитор, мышь, клавиатура, CD-ROM) | Поддержка работоспособности (достаточно 1 ПК, поскольку вероятность одновременного отказа двух машин мала. При этом для выполнения бизнес-функции рабочая станция диспетчеров имеет наибольшую важность. | 20000 руб. |
| В ЛВС: | ||
| МСЭ (опция «Secure SHell (SSH)», с поддержкой VPN-соединений) на маршрутизатор | Secure Shell (SSH) - безопасная альтернатива программам telnet и rlogin (деактивировав последние). | 30135 руб. (1050$) |
| СОА в сети (+ ПК, Celeron, монитор VGA) | Осуществляют активности, происходящей в сети, и при обнаружении подозрительного потока предпринимать действия по его предотвращению и информированию уполномоченных субъектов. | 4000 руб. (+15000 руб.) |
| Сканер безопасности (“NetSonar2.0”) | Инструментальное средство начального уровня, способное обнаруживать многие хакерские атаки и выявлять причины отказов в обслуживании. | 14500 руб. (495$) |
| Работы по установке сторонними организациями | 10000 руб. | |
| ИТОГО: | 90285 руб. | |
5. Методы информационной безопасности. Классификация угроз. Способы защиты