
- •Экзаменационные вопросы по курсу «Безопасность информационных систем»
- •Функционально-структурная организация информационных систем на архитектуре «клиент-сервер»
- •Функционально-структурная организация информационных систем на web-архитектуре
- •Структура построения политика информационной безопасности объекта защиты.
- •Описание объекта защиты. Определение основных приоритетов информационной безопасности.
- •Анализ рисков. Формирование перечня критичных ресурсов.
- •Определение основных приоритетов информационной безопасности в инфокоммуникационной системе
- •Модель нарушителя в инфокоммуникационной системе в закрытом контуре лвс
- •Модель нарушителя в инфокоммуникационной системе в открытом контуре лвс
- •Значимые угрозы в инфокоммуникационной системе в закрытом контуре лвс
- •Значимые угрозы в инфокоммуникационной системе в открытом контуре лвс
- •Общие требования построения защищенной инфокоммуникационной системе
- •3.1. Общие требования к подсистемам «закрытого» и «открытого» контуров ис
- •3.1.1. Общие требования к подсистеме резервирования и восстановления информации
- •3.1.4. Подсистема антивирусного контроля
- •Общие требования к подсистеме обеспечения безопасности сетевого взаимодействия
- •Требования к подсистеме аутентификации и управления доступом
- •Требования к подсистеме криптографической защиты информации
- •Требования к подсистеме антивирусной защиты
- •Требования к подсистеме резервирования и восстановления информации
- •Требования к подсистеме контроля эталонного состояния информации и рабочей среды
- •Требования к подсистеме управления безопасностью
- •Требования к средствам построения защищенных виртуальных сетей (vpn)
- •Технические решения по защите от нсд межсетевого взаимодействия и передаваемой информации
- •Протокол формирования защищенного туннеля на канальном уровне pptp (Point-to-PointTunnelingProtocol),
- •Протокол формирования защищенного туннеля на канальном уровне l2f (Layer-2 Forwarding)
- •Протокол формирования защищенного туннеля на канальном уровне l2tp (Layer-2 TunnelingProtocol)
- •Общее описание стека протоколов защиты межсетевого уровня iPsec (InternetProtocolSecurity).
- •Протокол обмена ключевой информацией ike (InternetKeyExchange)
- •Протокол аутентифицирующего заголовка (AuthenticationHeader, ан);
- •Протокол инкапсулирующей защиты содержимого (EncapsulatingSecurityPayload, esp).
- •Технические решения по защите от нсд компьютерных ресурсов на уровне серверов и рабочих станций лвс
- •4.1. Технические решения для защиты компьютерных ресурсов серверов и арм
- •4.1.2. Решения по ос hp-ux для обеспечения корпоративной безопасности
- •4.1.3. Организационно-технические решения для защиты субд Oracle
- •4.1.4. Организационно-технические решения для защиты сервера бд
- •4.1.5. Организационно-технические решения для защиты арм пользователей ис
- •Технические решения по реализации подсистемы аутентификации и идентификации
- •Построение системы управления информационной безопаснстью
Технические решения по защите от нсд компьютерных ресурсов на уровне серверов и рабочих станций лвс
4.1. Технические решения для защиты компьютерных ресурсов серверов и арм
4.1.1. Общие организационно-технические решения по обеспечению безопасности
В качестве приоритетной организационной меры по предотвращению потенциальных угроз со стороны группы администраторов необходимо сначала разделить полномочия по обеспечению доступа к управлению компонентов ИС и непосредственному управлению этими компонентами. Кроме того, необходимо ограничить доступ к оборудованию путем оснащения помещений средствами демилитаризации доступа.
Для предотвращения несанкционированного дистанционного сетевого управления оборудованием необходимо использовать средства фильтрации сетевого трафика, позволяющие управлять оборудованием только из выделенного для этих целей АРМ, указанный AРМ должен быть оснащен средствами защиты от НСД, обеспечивая, в частности, невозможность изменения её сетевых настроек (например, СЗИ от НСД SecretNet)
Пользователи и администраторы всех компонентов ИС должны иметь в них уникальные идентификаторы. Использование чужих идентификаторов должно быть запрещено. Учетные записи администратора этих систем (например, root в HP-UX, SYS в СУБД Oracle) должны использоваться только в том случае, если требуемая операция не может быть выполнена технически с использованием учетной записи индивидуального администратора этой системы.
При настройке инструментов регистрации событий на другой уровень детализации перехваченных событий в серверной ОС, сетевом оборудовании ОС, ОС АРМ и СУБД должны быть выполнены следующие требования.
1. Полнота зарегистрированных событий должна быть достаточной, а не избыточной для доказательного анализа ситуации.
2. Данные аудита должны быть максимально независимыми от администратора контролируемой системы.
3. Необходимо обеспечить несанкционированное искажение журналов аудита, включая системных администраторов.
4. Мониторы безопасности должны использоваться для быстрого обнаружения возможных атак в режиме реального времени.
5. Журналы аудита должны храниться в сроки, определенные правилами компании.
Вне зависимости от типа операционной системы, подсистема аудита должна обеспечивать регистрацию:
1. Идентификационная информация, включая попытки пользователей ввести пароль.
2. Операции, отклоненные автоматизированными системами из-за отсутствия полномочий операторов.
3. Факт модификации конфигурационных файлов IE.
4. Тот факт, что администраторы изменили разрешения пользователей.
5. Система аудита отключена администраторами.
6. Факты IE начинаются и останавливаются.
4.1.2. Решения по ос hp-ux для обеспечения корпоративной безопасности
Для контроля за соблюдением принципов ИБ, описанных выше, для ОС HP-UX должен быть выполнен следующий набор работ.
1. Включить и настроить аудит ОС HP-UX:
1.1. Установить ОС HP-UX в режим Trusted HP-UX для расширенной аутентификации пользователей. Trusted HP-UX предоставляет следующие дополнительные функции управления учетными записями пользователей и паролями:
– зашифровывать файл паролей (shadowed passwd file);
– ограничить время пользователя, количество попыток входа в систему, пароль и срок действия учетной записи;
– требовать пароль от пользователя при входе в систему в одномодовом режиме (single-mode);
– настроить автоматическое отключение долгосрочных неиспользуемых учетных записей.
Для этого требуется войти в консоль сервера под именем root и использовать утилиту sam для выполнения необходимых действий. Затем необходимо перегрузить ОС путем ввода shutdown –r now с консоли.
1.2. Обеспечить невозможность неконтролируемого администрирования системы аудита ОС администратором ОС, для чего:
– запретить пользователю root работу в нормальном режиме, так как действия пользователя root не регистрируются в ОС. Это можно сделать, разделив пароль входа для root, ограничив доступ к файлу пароля ОС. После установки ОС разделите пароль root на две части, одна из которых передается в административную группу ИС, а другая – в группу безопасности. Первоначальное разделение паролей и их изменение осуществляется их совместным набором администратором ИС и AИБ в соответствии с принятой политикой защиты паролей;
– создать учетные записи AИБ и, в дополнение к пользователю root, создать администратора ОС. Разделите свои разрешения, чтобы запретить АИБ настраивать ОС и администратору ОС доступ к журналам аудита. Обеспечить, чтобы администратор ОС и АИБ обладали необходимыми и достаточными полномочиями для выполнения своих функциональных обязанностей, запретив при этом АИБ вносить какие-либо изменения в настройки ОС, а администратору ОС – искажать журналы аудита для чего реализовать их перенос на сервер аудита безопасности в режиме реального времени;
– включить аудит всех команд, выполняемых администратором ОС HP-UX, а также аудит операций удаления/записи в файлы конфигурации системы HP-UX OC и СУБД Oracle.
– с помощью штатных средств HP-UX запретить администратору ОС управление журналами аудита ОС, а именно: запретить ему доступ к командам audsys, audusr, audevent audisp, audomon, а также запись в каталог аудита. Администратор безопасности не должен изменять настройки HP-UX при сохранении возможности управления аудитом (права на выполнение команд для чтения и записи в файлы аудита).
1.3. Обеспечить оперативный контроль за аудиторской информацией, для чего:
– настройте параметры syslogd и аудита таким образом, чтобы информация аудита дублировалась на сервере аудита безопасности;
– включите аудит всех команд, выполняемых администратором HPUX, а также операций удаления/записи в файлы конфигурации системных настроек, например, OC HP-UX и СУБД Oracle;
– поскольку система HP-UX не обеспечивает аудит пользователя root, используйте этот идентификатор только в том случае, если идентификатор администратора HP-UX не может быть использован.
1.4. Обеспечить оперативный анализ и периодическое архивирование аудиторской информации, а также порядок взаимодействия отделов по результатам анализа аудиторской информации.
Каталог для размещения файлов аудита необходимо поместить в отдельную файловую систему размером не менее 512 МБ, чтобы избежать переполнения диска в корневой файловой системе и отключения ОС. После этого ОС считается готовой к включению подсистемы аудита.
2. Оптимизировать набор сервисов и системного ПО на серверах, для чего:
2.1. Ограничьте набор услуг, загружаемых в ОС HP-UX, услугами, необходимыми для работы и администрирования ИС и систем резервного копирования. Также необходимо ограничить набор установленного системного ПО только программными пакетами, необходимыми для работы ИС, в частности, не устанавливать компиляторы. Чтобы минимизировать риск безопасности серверов HP-UX, необходимо ограничить набор сервисов HP-UX, загружаемых ОС, только необходимыми для работы (табл. 4.1).
Таблица 4.1.
Минимальный набор сервисов необходимых для работы ОС HP-UX
Номер сервиса |
Вид сервиса |
Название сервиса |
23 |
Tcp |
telnet |
53 |
Tcp |
Domain |
111 |
Tcp |
Sunrpc |
113 |
Tcp |
authentication |
135 |
Tcp/Udp |
Unknown |
177 |
Udp |
Unknown |
382 |
Tcp |
Pvserver |
512 |
Udp |
Syslog |
515 |
Tcp |
Printer |
543 |
Tcp |
Klogin |
544 |
Tcp |
Kshell |
806 |
Udp |
Unknown |
808 |
Tcp |
Unknown |
812 |
Tcp |
Unknown |
816 |
Tcp/Udp |
Unknown |
821 |
Tcp |
Unknown |
824 |
Tcp |
Unknown |
825 |
Tcp |
Unknown |
826 |
Udp |
Unknown |
827 |
Udp |
Unknown |
891 |
Udp |
Unknown |
1023 |
Udp |
Unknown |
2049 |
Udp |
nfs |
6112 |
Tcp |
Dtsps |
3. Обеспечить контроль целостности программных компонент и конфигурационных файлов ОС, а именно:
– файлов системных настроек (каталог /etc);
– всех исполняемых файлов и библиотек ОС;
– ядра операционной системы;
– файлов драйверов устройств (каталог /dev).
4. Обеспечить своевременное получение обновлений ОС (patches) от поставщиков ОС. О недостатках безопасности ОС HP-UX АИБ следует сообщать администратору ОС.
5. Обеспечить своевременное установления обновлений ОС.
6. Обеспечить периодическое тестирование ОС с помощью сканеров безопасности (например, ISS System Scanner).