Границы Рекомендации и ссылки
Рекомендация ITU-T X.ncns-1 «Национальный центр безопасности сети связи общего пользования, базирующийся на протоколе IP для развивающихся стран» разработана для создания безопасной, стабильной и устойчивой национальной сетевой инфраструктуры на базе протокола IP. Данная инфраструктура должна разворачиваться с учетом возможных угроз (инцидентов безопасности) при снижении при соблюдении принципа необходимости \ достаточности. Настоящая Рекомендация определяет подходы при решении технических проблем в рамках Национального центра безопасности сети связи общего пользования и оптимизирует работы с учетом возможных угроз (инцидентов безопасности) при снижении при соблюдении принципа необходимости \ достаточности.
Определение внешних связей с операторами связи, CERTs и иными организациями, (технических протоколов) Национального центра безопасности сети связи общего пользования не входит в рамки данной Рекомендации.
Ссылки:
[ITU-T E.409] ITU-T Recommendation E.409 (2008-04),Incident organization and security incident handling: Guidelines for telecommunication organizations .
[ITU-T X.1051] ITU-T Recommendation X.1051 Information Security Management System -Requirements for Telecommunications (ISMS-T)
[ITU-T X.805] Recommendation ITU-T X.805 (2003), Security architecture for systems providing end-to-end communications.
[ITU-T X.842] Recommendation ITU-T X.842 (2000), Information technology – Security techniques – Guidelines for the use and management of trusted third party services.
[ITU-T X.843] Recommendation ITU-T X.843 (2000), Information technology – Security techniques – Specification of Trusted Third Party (TTP) services to support the application of digital signatures.
Определения и сокращения
ВН – воздействие нарушителя,
ИТТ – информационно-телекоммуникационные технологии,
ССОП – сеть связи общего пользования,
СОИБ – система обеспечения информационной безопасности,
SLA соглашение об уровне качества представляемой услуги
Информационная сфера среда для передачи информации (сообщений, данных, пакетов, сигналов управления и т.д) по различным каналам связи, входящим в ССОП.
Дестабилизирующее воздействие действие, источником которого является физический или технологический процесс внутреннего или внешнего по отношению к сети электросвязи характера, приводящее к выходу из строя элементов сети;
Деструктивное информационное воздействие – несанкционированное информационное воздействие на информацию в телекоммуникационной системе, приводящее к выходу ее из строя или к нарушению ее функционирования;
Информационная безопасность – это способность сети связи общего пользования обеспечивать неискаженную передачу информации и невозможность несанкционированного доступа к информации при эксплуатации, а так же при воздействии любых внешних факторов. Информационная безопасность обеспечивается выполнением требований технической эксплуатации средств связи, изложенных в технической документации; в необходимых случаях, применением методов защиты информации; выполнением требований по защите объектов связи от несанкционированного доступа и несанкционированного воздействия на средства связи; отбором и обучением эксплуатирующего персонала;
Источник угрозы субъект, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации;
Модель угроз и нарушителя сети электросвязи создаваемое с целью получения и(или) хранения информации описание знаковыми, табличными и графическими способами, свойств, характеристик и взаимосвязи угроз безопасности, уязвимостей, активов и действий нарушителя, влияющих на безопасность функционирования сети электросвязи;
Нарушитель безопасности (нарушитель) сети электросвязи физическое или юридическое лицо, преступная группа, процесс или событие, производящие преднамеренные или непреднамеренные воздействия на инфокоммуникационную структуру сети электросвязи, приводящие к нежелательным последствиям для интересов пользователей услугами связи, операторов связи и/или ОГУ;
Оператор связи – юридическое лицо или индивидуальный предприниматель, оказывающие услуги связи на основании соответствующей лицензии;
Организация связи – юридическое лицо, осуществляющее деятельность в области связи в качестве основного вида деятельности;
Ресурсы сетей электросвязи – это технологические возможности сетей электросвязи, входящих в состав единой сети электросвязи используемые для оказания услуг связи;
Сетевая безопасность – это способность сети сохранять направления и маршруты передачи информации, функционирование систем управления и систем обеспечивающих качественные показатели работы сети. Сетевая безопасность обеспечивается выполнением требований к системам управления по защите от несанкционированного доступа; требований к надежности систем управления; требований к защите баз данных;
Угроза безопасности сети электросвязи совокупность условий и факторов, создающих потенциальную или реально существующую опасность нанесения ущерба сети электросвязи или ее компонентам;
Устойчивость сети связи общего пользования – это способность сохранять целостность в условиях эксплуатации сети при отказе части ее элементов и возвращаться в исходное состояние (надежность сети связи), а так же в условиях воздействия внешних факторов природного и техногенного характера (живучесть сети связи).
Уязвимость сети электросвязи недостаток или слабое место в средстве связи, технологическом процессе (протоколе) обработки/передачи информации, мероприятиях и механизмах обеспечения безопасности сети электросвязи, ошибки обслуживающего сеть персонала, позволяющие нарушителю совершать действия, приводящие к успешной реализации угрозы безопасности;
Целостность сети связи общего пользования – это ее способность взаимодействия, входящих в ее состав сетей связи, при котором возможно установление соединения обмен информацией и (или) услугами между пользователями. Она обеспечивается выполнением требований по соответствию техническим нормам на показатели функционирования, изложенным в соответствующих нормативных документах, требованиям по совместимости протоколов взаимодействия на функциональном уровне и физическом уровне для всех видов оборудования сетей, включая пользовательское и единством системы измерений для всех сетей связи, определяемой правилами технической эксплуатации сетей;
Чрезвычайная ситуация (ЧС) это обстановка на определенной территории, сложившаяся в результате аварии, опасного природного явления, катастрофы, стихийного или иного бедствия, которые могут повлечь или повлекли за собой человеческие жертвы, ущерб здоровью людей или окружающей природной среде, значительные материальные потери и нарушение условий жизнедеятельности людей. Экстремальное событие это отклонение от нормы процессов или явлений. Авария это экстремальное событие техногенного характера, происшедшее по конструктивным, производственным, технологическим или эксплуатационным причинам, либо из-за случайных внешних воздействий, и заключающееся в повреждении, выходе из строя, разрушении технических устройств или сооружений.
Чрезвычайное положение (ЧП) особый правовой режим деятельности ОГВ и управления, предприятий, учреждений и организаций, вводимый в стране или отдельных её районах для защиты от внешней или внутренней угрозы, поддержания общественного порядка. Режим ЧП предполагает ограничение прав и свобод граждан, юридических лиц, а также возложение на них дополнительных обязанностей.
Угрозы ССОП. Модель нарушителя ИБ ССОП. Причины появления уязвимостей в ССОП.
Процесс глобализации информационно-телекоммуникационных комплексов, внедрение на ССОП современных информационно-телекоммуникационных технологий (ИТТ), существенно обострили проблему зависимости качества процессов транспортирования информации, от возможных преднамеренных и непреднамеренных воздействий нарушителя (ВН) на передаваемые данные пользователя, информацию управления и аппаратно-программные средства, обеспечивающие эти процессы.
Увеличение объемов хранимой и передаваемой информации, территориальная распределенность сетей связи приводят к наращиванию потенциальных возможностей нарушителя по несанкционированному доступу к информационной сфере ССОП и воздействию на процессы ее функционирования.
Усложнение применяемых технологий и процессов функционирования ССОП приводит к тому, что аппаратно-программные средства, используемые в ССОП, объективно могут содержать ряд ошибок и недекларированных возможностей, которые могут быть использованы нарушителями.
Отсутствие в ССОП необходимых средств защиты в условиях информационного противоборства делает ССОП в целом уязвимыми от возможных враждебных акций, недобросовестной конкуренции операторов связи, а также криминальных и иных противоправных действий.
В связи с этим появились принципиально новые задачи, связанные с необходимостью:
защиты сетей (узлов сети и центра управления сетью) от несанкционированного доступа пользователей к предоставляемым сетью услугам связи;
защиты системы управления ССОП (узлов сети -node и центра управления сетью-NOC) в том числе подсистемы управления информационной безопасности от возможности несанкционированного доступа к процессам управления по различным каналам доступа, с обеспечением конфиденциальности и целостности информации управления (команд, донесений и информации маршрутизации), циркулирующей в различных каналах связи сети, в условиях возможных преднамеренных воздействий нарушителя;
обеспечения заданного (гарантируемого сетью) качества процесса передачи и приема информации (сообщений) пользователя (в том числе достоверности и своевременности доставки передаваемых через сеть информации (сообщений) пользователя) в условиях возможных преднамеренных воздействий нарушителя (ВН) на информационную сферу ССОП;
обеспечения своевременного обнаружения попытки блокирования нарушителем процесса передачи и приема информации (сообщений) пользователя с локализацией места ВН и ликвидацией в заданное время последствия ВН;
защиты информационной сферы ССОП от возможности активизации нарушителем вредоносных программ («закладок», «вирусов» и т.д.) с помощью специальных команд, посылаемых им по различным «легальным» и «нелегальным» каналам доступа (в том числе по каналам связи сети Интернет и другим сопрягаемыми с ССОП сетям связи).
обеспечения возможности создания в ССОП надежного пути (тракта) транспортирования информации (сообщений, данных) для определенной группы пользователей, в том числе в условиях преднамеренных ВН на информационную сферу ССОП.
Обеспечение транспортных функций ССОП в условиях возможных ВН на ее информационную сферу связано со специфическими проблемами, относящимися, в основном, к организации эффективного управления (на базе круглосуточного мониторинга состояния сетей связи) и взаимодействием отдельных аппаратно-программных средств связи ССОП, рассредоточенных на больших расстояниях друг от друга.
Транспортировка сообщений по каналам связи с помощью средств связи ССОП (маршрутизаторов, коммутаторов, центров коммутации пакетов и т.д.) связана с необходимостью обеспечения основных характеристик качества обслуживания ССОП:
надежности и своевременности доведения полученного от отправителя сообщения до получателя;
производительности;
устойчивости,
информационной безопасности.
Обеспечение гарантированных качественных характеристик процесса передачи данных в ССОП или качества обслуживания ССОП в условиях возможных ВН на информационную сферу ССОП и составляет основу проблемы обеспечения ИБ ССОП.
Решение проблемы обеспечения ИБ ССОП связано с необходимостью создания в ССОП системы обеспечения информационной безопасности (СМИБ - Information security management) и должно быть направлено на:
определение системы взглядов на обеспечение информационной безопасности ССОП в условиях интеграции информационных и телекоммуникационных технологий, а также различных типов сетей и услуг, предоставляемых пользователям на этих сетях.
формирование единой политики в области обеспечения ИБ при создании, развитии, модернизации и эксплуатации ССОП;
выработка подходов к обеспечению ИБ в условиях преднамеренных и непреднамеренных воздействий нарушителя;
выявление уязвимостей в ССОП и осуществление комплекса адекватных и экономически обоснованных мер по их снижению, предотвращению ВН и ликвидации последствий этого воздействия на информационную сферу ССОП;
координацию деятельности по обеспечению ИБ ССОП;
создание системы регулирования в области обеспечения ИБ ССОП (лицензирования, сертификации);
обоснование экономической целесообразности обеспечения ИБ;
нахождение баланса между безопасностью сети и безопасностью потребителей;
внедрение управления рисками и страхование ответственности операторов ССОП;
создание системы подготовки и переподготовки кадров в области обеспечения ИБ ССОП;
разработку, совершенствование и стандартизацию методов, способов, алгоритмов и отечественных средств (механизмов) обеспечения ИБ ССОП;
разработку механизмов страхования информационных рисков.
Основными целями обеспечения ИБ ССОП является поддержка и сохранение в условиях ВН на информационную сферу ССОП следующих основных характеристик ИБ ССОП:
конфиденциальности информационной сферы ССОП, в т.ч. и конфиденциальности информации системы управления;
целостности информационной сферы ССОП;
доступности информационной сферы ССОП;
подотчетности информационной сферы ССОП.
Обеспечение ИБ ССОП должно достигаться комплексным использованием организационных, технических, аппаратно-программных и криптографических средств защиты информационной сферы ССОП, а также осуществлением непрерывного контроля за эффективностью реализованных мер по обеспечению ИБ ССОП.
Обеспечение ИБ ССОП предполагает создание препятствий для возможного несанкционированного вмешательства в процесс ее функционирования.
В этом смысле проблема обеспечения ИБ ССОП включает в себя не только задачу защиты информации от несанкционированного доступа, но и ряд других задач, связанных с обеспечением процессов функционирования ССОП, в частности, с обеспечением согласованного между оператором и пользователем ССОП качества обслуживания (SLA) в условиях ВН на информационную сферу ССОП.
Угрозы ИБ ССОП, как возможные опасности ухудшения качества обслуживания пользователей в ССОП вследствие воздействий нарушителя на информационную сферу ССОП, реализуются через уязвимости ССОП, возможно содержащиеся в информационной сфере сети. Любая успешная атака нарушителя, направленная на реализацию угрозы ИБ ССОП, непременно будет опираться на полученные нарушителем знания об особенностях построения и уязвимостях ССОП.
Причинами появления уязвимостей в ССОП могут быть:
нарушение технологии процесса передачи информации пользователя;
нарушение технологии системы управления ССОП;
внедрение в объекты ССОП компонентов, реализующих недекларированные функции;
внедрение в объекты ССОП программ, нарушающих их нормальное функционирование;
необеспеченность реализованными механизмами защиты ССОП заданных требований к процессу обеспечения ИБ ССОП, либо предъявление к механизмам защиты ССОП непродуманного набора требований, делающие ССОП незащищенной;
внесение нарушителем преднамеренных уязвимостей:
- при разработке алгоритмов и программ ССОП;
- при разработке защищенных процедур, протоколов и интерфейсов взаимодействия пользователей, операторов и администраторов с аппаратно-программным обеспечением ССОП;
- при реализации проектных решений по созданию СОИБ ССОП, делающих не эффективными реализованные в СОИБ ССОП механизмы защиты;
неадекватного реагирования подсистемы управления СОИБ ССОП на информационные воздействия нарушителя в процессе эксплуатации ССОП;
использование не сертифицированных в соответствии с требованиями безопасности отечественных и зарубежных информационных технологий, средств информатизации и связи, а также средств защиты информации и контроля их эффективности и т.д.
В соответствии с вышесказанным обеспечение информационной безопасности функционирования ССОП должно базироваться на анализе уязвимостей (а также анализе рисков), которые могут быть использованы нарушителем для преодоления системы защиты ССОП и, как следствие, приводящие к нанесению определенного ущерба пользователю, оператору связи, группе операторов или государству.
Нарушитель
В качестве нарушителя ИБ ССОП могут выступать физические лица и/или структуры, действия которых могут привести к ухудшению качества процессов функционирования ССОП. ВН на информационную сферу ССОП могут осуществляться на технологическом и эксплуатационном этапах жизненного цикла ССОП. На технологическом этапе нарушителями могут быть научные и инженерно-технические работники, участвующие в процессе проектирования, разработки, установки и настройки программно-аппаратного обеспечения ССОП. На эксплуатационном этапе нарушители могут быть «внешними» по отношению к ССОП или «внутренними», принадлежащими структуре ССОП.
Нарушитель на эксплуатационном этапе может осуществлять воздействие на следующие объекты ИБ ССОП: NCNS, центр управления сетью связи, узлы ССОП (в том числе коммутаторы, маршрутизаторы, шлюзы, цифровые автоматизированные телефонные станции и др.), каналы связи ССОП и сообщения (в том числе пакеты, кадры, ячейки и др.), содержащие информацию пользователей (о пользователях) или информацию управления.
ВН могут носить как преднамеренный, так и непреднамеренный характер.
ВН на объект ИБ могут осуществляться:
по внешним линиям связи;
по внутренним линиям связи;
с рабочих мест систем управления;
по недекларируемым каналам доступа.
При этом могут использоваться как штатные средства сетей связи, так и специальные средства.
Примечание: ВН на информационную сферу ССОП можно представить в виде воздействий, направленных на выявление уязвимостей ССОП, воздействий, направленных на активизацию (использование) имеющихся уязвимостей ССОП и воздействий, связанных с внесением уязвимостей в ССОП.
На технологическом этапе жизненного цикла ССОП внесение уязвимостей в информационную сферу ССОП возможно на следующих стадиях:
проектирования с осуществлением выбора алгоритмов и технологий хранения, обработки и передачи информации, затрудняющих или исключающих реализацию требований ИБ;
выбора средств защиты, не обеспечивающих требования ИБ ССОП.
На эксплуатационном этапе жизненного цикла ССОП нарушитель может внести уязвимости, связанные с:
ошибками настройки и использованием программно-аппаратного обеспечения;
ошибками разработки и реализации политики безопасности;
ошибками в реализации организационных методов защиты;
преднамеренным внедрением в компоненты аппаратно-программного обеспечения «люков», «закладок» и «вирусов» и др.
Выявление уязвимостей на технологическом и эксплуатационном этапах жизненного цикла ССОП осуществляется нарушителем путём сбора сведений, позволяющих ему осуществлять несанкционированные действия, направленные на ухудшение характеристик ИБ.
Непосредственная активизация (использование) выявленных уязвимостей осуществляется нарушителем на этапе эксплуатации путем:
Использования специального оборудования во внешних или внутренних каналах связи ССОП и осуществления с его помощью:
нарушения целостности передаваемых сообщений, содержащих информацию управления или информацию пользователей;
нарушения конфиденциальности информации управления и параметров передачи информации пользователей;
формирования команд активизации и использования функций «закладок» и «вирусов», внедрённых в информационную сферу;
формирования информационного воздействия с целью получения аутентификационных параметров, обеспечивающих доступ к информационной сфере объектов и сетей связи;
несанкционированной модификации программного обеспечения объектов и сетей связи и нарушения их работоспособности.
Установки специального оборудования в каналы сетей связи для использования информационных «люков» или не декларированных возможностей.
Использования оконечного оборудования пользователей ССОП для получения НСД к информационной сфере объектов и сетей связи.
Использования радиоканалов для активизации «закладок» и «вирусов».
Использования рабочих мест обслуживающего персонала.
Модель угроз и нарушителя предназначена для определения исходных данных, используемых при оценки риска, определения рентабельных и практических действий по управлению риском для уравновешивания расхода ресурсов с необходимой степенью защиты и гарантии, что израсходованные ресурсы коррелированы с потенциальной потерей и ценностью защищенных активов.
Этапы оценки риска:
1. проведение классификации ресурсов системы управления (определение ресурсов, требующих защиты), на предмет идентификации уязвимостей и возможности их использования угрозами информационной безопасности;
2. определение уязвимостей в рассматриваемых компонентах и ресурсах сети электросвязи;
3. определение перечня основных угроз с коэффициентами вероятности их возникновения;
4. анализ воздействий на систему управления нарушителя, анализ существующих мер безопасности и вычисление вероятностных характеристик;
5. определение дополнительных защитных мер, обеспечивающих безопасность функционирования системы управления;
Документирование результатов оценки риска.
Процесс оценки риска
Структура модели угроз
Источники угроз и порождаемые ими угрозы имеют общую классификационную структуру в соответствии с которой угрозы и их происхождение может быть классифицировано:
а) по природе возникновения на классы: объективные (естественные) и субъективные (искусственные);
б) по источнику возникновения на подклассы: внешние и внутренние.
Классификация угроз безопасности
В интересах единого представления исходных данных описание и конкретизация угроз безопасности в системе управления осуществляется по следующим составляющим:
номер;
наименование;
категория нарушителя;
средства реализации;
используемые уязвимости;
совершаемые действия;
частота реализации.
Перечень типовых угроз информационной безопасности системы управления ССОП .Номер – порядковый номер угрозы.
Наименование – название угрозы, позволяющее её идентифицировать.
Категория нарушителя – нарушитель идентифицируется по следующим параметрам:
категория;
положение по отношению к системе управления;
уровень знаний;
уровень возможностей;
время действия.
а) Категория – тип нарушителя.
При построении модели нарушителя рассматриваются следующие категории нарушителя:
форс-мажорные обстоятельства;
нарушитель (из внешних сетей, например, Интернет);
пользователь услугами связи;
конкурент (экономический, политический);
разработчик (сети, СМИБ, средств связи);
сотрудник технической поддержки;
администратор.
б) Положение по отношению к системе управления – принадлежность нарушителя к системе управления.
Параметр может иметь 2 значения:
внутренний;
внешний.
Внешний – пользователь услугами связи, или любой другой субъект, не являющийся сотрудником организации связи, имеющий возможность осуществить деструктивное воздействие на ресурсы системы управления.
Внутренний – сотрудник организации связи, осуществляющий обслуживание системы связи и способный осуществить деструктивное воздействие на ее ресурсы.
в) Уровень знаний – степень осведомленности нарушителя о программном обеспечении, оборудовании, средствах и мерах защиты, используемых системе управления и его квалификация. Под квалификацией понимается возможность эффективного использования знаний о системе управления и инструментария (доступных программно-аппаратных средств).
Параметр может иметь 3 значения:
высокий;
средний;
низкий.
Высокий – уровень знаний и квалификации, при котором злоумышленник осведомлен о программном обеспечении, оборудовании, средствах и мерах защиты, используемых в системе управления, а также имеет доступ к эксплуатационной документации и способен эффективно использовать доступные средства в своих целях.
Средний – уровень знаний и квалификации, при котором злоумышленник осведомлен об основном программном обеспечении, оборудовании и некоторых средствах и мерах защиты, используемых в системе управления, а также имеет доступ к ограниченному перечню эксплуатационной документации и способен эффективно использовать доступные средства в своих целях.
Низкий – уровень знаний и квалификации, при котором злоумышленник может быть осведомлен о типах программного обеспечения и оборудования, используемых в системе управления и полученных из открытых источников и не имеет доступа к эксплуатационной документации и может эффективно использовать доступные средства в своих целях.
г) Уровень возможностей – оценка способности злоумышленника вмешиваться в штатное функционирование системы управления.
Параметр может иметь 3 значения:
максимальные;
средние;
минимальные.
Максимальный – уровень возможностей, при котором злоумышленник имеет полномочия и средства для осуществления действий, которые могут привести к нарушению функционирования всей системы управления.
Средний – уровень возможностей, при котором злоумышленник имеет полномочия и средства для осуществления действий, которые могут привести к нарушению функционирования участка системы управления.
Минимальный – уровень возможностей, при котором злоумышленник не имеет полномочий и средств для осуществления действий, которые могут привести к нарушению функционирования системы управления.
д) Время действия – временной интервал, в течение которого злоумышленник может осуществлять деструктивное воздействие на систему управления.
Параметр может иметь 2 значения:
постоянно;
фрагментарно.
Потенциал – совокупная, качественная характеристика возможностей злоумышленника по реализации угроз.
Параметр может иметь 3 значения:
высокий;
средний;
низкий.
Обеспечение информационной безопасности ССОП при сопряжении сетей связи
Процесс глобализации информационного пространства, связанный, в том числе и с взаимодействием сетей связи, наряду с расширением номенклатуры и качества предоставляемых пользователям услуг связи, неразрывно связан с проблемой обеспечения качества процессов функционирования ССОП, с защитой ее от несанкционированного доступа и воздействий нарушителя на систему управления ССОП, т.е. обеспечении ИБ ССОП.
Для обеспечения информационной безопасности ССОП при сопряжении с другими сетями связи необходимо обеспечить и проверить соответствие других сетей связи базовому уровню информационной безопасности.
В рамках формирования, обеспечения функционирования и регулирования сетей связи общего пользования повышается степень интеграции операторов связи и интенсивность их взаимодействия. Все большую роль в этом процессе играет взаимодействие на уровне информационных систем, обеспечивающих автоматизацию деятельности операторов связи и соответственно роль ИБ возрастает. Формирование единого координатора (управление уровнем ИБ) для ССОП позволит обеспечить реализацию такого принципа ИБ, как непрерывность защиты, что в итоге снизит совокупные расходы операторов на обеспечение ИБ.
Рекомендуется при включении сети оператора связи в ССОП, провести оценку уровня безопасности сети, т.к. включение в ССОП заведомо «слабой» с точки зрения безопасности\устойчивости сети оператора снизит общий национальный уровень защищенности ССОП.
Для подобной оценки следует использовать набор требований рекомендации X.Sup2: ITU-T X.800-X.849 series – Supplement on security baseline for network operators. Это позволит сформировать единый базовый стандарт обеспечения безопасности оператора связи и повысит уровень защищенности как ССОП в целом, так и NCNS.
Требования к политикам оператора должны описывать наличие зафиксированной (утвержденной) в соответствии с внутренними процедурами политика безопасности, основанная на лучших практиках оценки и управления рисками, отвечающая требованиям деловой деятельности и соответствующая национальному законодательству. При этом данный документ публикуется и доводится до сведения персонала оператора связи и соответствующих внешних участников (клиентов, взаимодействующих операторов, других заинтересованных лиц).
Требования к взаимодействию должны описывать порядок идентификации собственных клиентов и других операторов, с которыми осуществляется непосредственное взаимодействие на физическом и канальном уровнях. При межсетевом взаимодействии необходимо создать у оператора круглосуточную службу реагирования на инциденты безопасности или подключать аутсорсинговую службу реагирования на инциденты.
Оператор, который работает с NCNS должен иметь зафиксированную в соответствии с внутренними процедурами политику безопасности, основанную на лучших практиках оценки и управления рисками (Х.1051), отвечающая требованиям деловой деятельности и соответствующая национальному законодательству. Политика безопасности публикуется и доводится до сведения персонала оператора связи и соответствующих внешних участников (клиентов, взаимодействующих операторов, других заинтересованных лиц). Оператору в политике безопасности рекомендуется выделить раздел о разграничении ответственности между персоналом оператора, между оператором и его партнерами, между оператором и клиентами. Обязанности, касающиеся информационной безопасности, включаются в должностные инструкции (перечни служебных обязанностей) персонала оператора связи.
Для доступа к управляющим функциям коммуникационного оборудования необходимо применять персональные учётные записи. На коммуникационном оборудовании запрещается неавторизованный доступ или доступ с паролем по умолчанию (принятым производителем оборудования или программного обеспечения) к управляющим портам, консольным портам, управляющим или административным учетным записям любого коммуникационного оборудования и/или программного обеспечения.
Оператору предлагается разработать инструкцию по установке обновлений используемого коммуникационного программного обеспечения и/или программного обеспечения коммуникационного оборудования.
В точках взаимодействующих сетей на коммуникационном оборудовании устанавливаются антиспуффинговые фильтры, предотвращающие передачу пакетов с адресами, не принадлежащими подключаемым сетям, с широковещательными адресами, а также с обратными, зарезервированными и некорректными адресами.
Оператор связи, являющийся владельцем публичных серверов, предоставляющих услуги информационных сервисов, использует на этих серверах антивирусное программное обеспечение с регулярным обновлением сигнатур.
Должно быть предусмотрено деактивирование сообщений, зараженных вредоносным кодом, их выделение и опциональное удаление.
Оператор должен фильтровать спам внутри собственной сети.
На каждом находящемся у оператора сервере электронной почты (кроме специальных) должна быть предусмотрена возможность ограничения числа исходящих сообщений от одного отправителя в единицу времени для предотвращения рассылки спама. При превышении порога исходящих сообщений в единицу времени должна быть предусмотрена опция задержки дальнейшей отправки сообщений данным отправителем до специального подтверждения администратором сервера.
В целях эффективной защиты от распределенных атак типа «отказ в обслуживании» оператор использует автоматизированную систему (специальные средства) обнаружения статистических аномалий трафика.
Журналы регистрации событий, имеющих отношение к информационной безопасности, хранятся в течение сроков исковой давности для обеспечения расследований инцидентов, предусмотренных национальным законодательством.
Действия персонала оператора на коммуникационном оборудовании рекомендуется журналировать.
Оператор должен фильтровать нежелательный входящий трафик по запросу клиента с использованием штатных средств имеющегося оборудования
У оператора должна быть возможность идентифицировать собственных клиентов и других операторов, с которыми он осуществляет непосредственное взаимодействие на физическом и канальном уровнях. У каждого оператора рекомендуется создать круглосуточную службу реагирования на инциденты безопасности или используется аутсорсинговая служба реагирования на инциденты. У службы реагирования оператора должна быть возможность приема обращения по телефону и/или электронной почте от авторизованных в соответствии с политикой оператора и/или договором на предоставление услуг связи представителей клиентов данного оператора или взаимодействующих с ним операторов. У оператора должна быть разработана процедура уведомления пользователей об обнаруженных уязвимостях используемого оборудования (программного обеспечения) и/или нарушениях системы безопасности, которые могут иметь последствия для пользователей.
Структура
Классификацией средств системы управления NCNS, составляющих ее инфраструктуру, с точки зрения обеспечения безопасности функционирования системы управления и с учетом возможного воздействия нарушителя безопасности, является место размещения средств системы управления. Условно размещение оборудования разделяется на 4 зоны:
безопасная зона;
безопасная, но уязвимая зона;
небезопасная, но контролируемая оператором связи зона;
небезопасная зона.
Пример размещения зон безопасности приведен на рисунке
Зоны безопасности сети оператора
Безопасная (зеленая) зона. Элементы, в которой они никогда непосредственно не связаны с оборудованием не предназначенным для управления ССОП. Общие особенности элементов сети в этой зоне - то, что они расположены в помещениях обеспечивающих функционирование системы управления и находятся под полным контролем оператора данной системы (обеспечивается их физическая безопасность), и они связаны только с элементами в "безопасной" зоне и с элементами в “безопасной, но уязвимой” зоне.
Безопасная, но уязвимая (желтая) зона. Оборудование расположено в пределах зоны оператора системы управления, но может находиться под его контролем или под контролем оператора сети передачи данных. Оно связано с элементами и в зоне, которая “безопасна”, и с элементами в “не безопасной” зоне, которая определяет то, почему они "уязвимы". Их главная функция безопасности состоит в том, что они должны защитить (предохранить) сетевые элементы в “безопасной” зоне от атак на безопасность, порожденных в “не безопасной” зоне.
Не безопасная, но контролируемая оператором связи (оранжевая) зона. Оборудование расположено вне зоны оператора системы управления и может находиться под его контролем или под контролем оператора сети передачи данных. Оно связано только с элементами в зоне, которая “безопасна, но уязвима” и с элементами в “не безопасной” зоне.
Не безопасная (красная) зона. С точки зрения оператора системы управления зона, которая включает все элементы оператора сети передачи данных или возможно равнозначные сети или зоны других операторов связи за пределами своей собственной “безопасной” зоны.
В зависимости от размещения оборудования в той или иной зоне вероятность реализации угроз отличается. Если оборудование находится вне контролируемой зоны, это значительно увеличивает возможности злоумышленников по реализации угроз. При невозможности размещения оборудования в контролируемой зоне необходимо принимать меры по обеспечению ИБ в рамках системы обеспечения информационной безопасности.
Технические средства связи уязвимы по многим параметрам, однако только некоторые из них могут использоваться нарушителем, из-за ограниченности его возможностей или из-за превышения его усилий и риска обнаружения над достигнутыми результатами.
Обоснование необходимости создания NCNS. Основные цели и задачи обеспечения ИБ ССОП.
Основные предпосылки создания NCNS:
возрастает количество инцидентов (в том числе и инцидентов безопасности – E.409) на ССОП. При этом не ведется единая база инцидентов и не проводится их системный анализ. Одним из следствий такой ситуации является отсутствие базы лучших практик по профилактике, обработке и устранению последствий инцидентов;
возрастает роль ССОП для государства и общества, как в обычное время, так и в режиме чрезвычайного положения и в условиях чрезвычайной ситуации (далее - катастрофы и кризисы);
отсутствует методика сбора, обработки и мониторинга инцидентов безопасности, приводящих к проблемам в управлении сетей операторов связи (в том числе и ISP), в том числе деградации сети связи общего пользования;
возрастают возможности организованных преступных сообществ по деструктивному воздействию на деятельность операторов связи, в частности на системы управления и ССОП в целом;
отсутствует действующий и постоянно обновляемый свод правил и стандартов по обеспечению информационной безопасности операторов связи и ССОП в целом;
отсутствует вертикаль управления ИБ в случаях массированной информационной атаки (агрессии) на ССОП при кризисных ситуациях и в условиях катастроф.
отсутствует единый подход по обеспечению информационной безопасности ССОП в целом, в частности операторы связи строят свои СОИБ, на сети Интернет создаются CIRT\CERT в том числе национальные, ситуационные центры и т.д.);
Основными задачами NCNS в области связи по обеспечению ИБ ССОП являются:
Подготовка предложений по формированию единой политики в области телекоммуникаций с учетом требований ИБ.
Разработка и проведение единой научно-технической политики в области обеспечения ИБ ССОП, включающей:
разработку программ, методологии и технологий создания системы обеспечения ИБ ССОП;
разработку требований по ИБ ССОП и политики ИБ ССОП;
разработку критериев и методов оценки эффективности систем и средств ИБ ССОП;
разработку критериев и методов оценки состояния ИБ ССОП;
установление ответственности должностных лиц федеральных органов государственной власти, операторов связи за соблюдение требований ИБ;
обучение, повышение квалификации и аттестация специалистов в области обеспечения ИБ ССОП.
совершенствование системы разделения полномочий между NCNS в области связи и операторами связи при обеспечении мониторинга ИБ ССОП;
координация деятельности в области формирования, и развития СОИБ, в т.ч. и выделение организационных структур во всех звеньях управления;
создание системы мониторинга состояния ИБ ССОП;
определение политики обеспечения безопасности субъектов ССОП;
определение политики по отношению к закупкам и использованию импортной и отечественной техники (в т.ч. и средств защиты) и программной продукции.
Разработка механизмов противодействия экстремистской деятельности на ССОП.
Проведение политики развития отечественного производства средств связи и средств обеспечения ИБ сетей и систем связи.
Развитие правового и нормативно-технического обеспечения ИБ ССОП.
Организация надзора (контроля) за выполнением требований ИБ ССОП.
Создание и развитие системы управления информационными рисками и страхования ответственности.
Обеспечение информационной безопасности информационных, и идентификационных, расчетных систем с использованием интеллектуальных карт
Участие в работе международных организаций электросвязи по вопросам обеспечения ИБ сетей и систем связи.
Совершенствование существующей системы добровольного лицензирования деятельности операторов связи с учетом требований ИБ ССОП.
Совершенствование существующей системы сертификации и аттестации ССОП, систем и средств связи в соответствии с требованиями ИБ ССОП.
Создание и обеспечение функционирования ведомственной системы мониторинга и предупреждения информационных атак на критически важные сегменты информационно - телекоммуникационной инфраструктуры ССОП.
Обеспечение поддержки в проведении научно-исследовательских и опытно-конструкторских работ по тематике ИБ ССОП.
Организация и проведение работ в области стандартизации с учетом рекомендаций и стандартов международных организаций электросвязи по обеспечению ИБ сетей и систем связи.
Создание центрального органа СМИБ ССОП (NCNS).
Принципы функционирования NCNS.
Примечание: Принципы функционирования:
- целостность,
- доступность,
-управляемость.
Конфиденциальность – не является базовым принципом и поддерживается конечными абонентами.
Внутренняя структура функционирования NCNS.
В разделе описываются два различных архитектурных решения для проектирования и формирования NCNS
В основе первого решения лежит архитектура и методика организации и сопровождения системы поддержки операционной деятельности NCNS во взаимодействии с центрами управления сетей связи, включая технологические и выделенные сети связи, имеющие присоединение к ССОП;
Основу второго решения составляет концепция сбора данных состояния сетей связи, получаемых в режиме реального времени от инженерных систем мониторинга и управления сетевыми элементами, с последующим ситуационным анализом и интерпретацией собранных данных для регламентированного принятия решений уполномоченными лицами в условиях кризиса и катастрофы .
Предлагается включить в состав организационно-технической схемы NCNS оба решения и обеспечить разработку и реализацию интерфейса взаимодействия аппаратно-программных комплексов обоих решений на платформе интеграции услуг.
Решения первого типа традиционно применяются в проектах построения распределенных систем, в том числе, не имеющих строгой структурной иерархии, для целей поддержки операций, использующих множество разнородных функциональных подсистем, объединенных в непрерывные цепочки операций для обеспечения сквозных процессов предоставления услуг. Характерной особенностью подобных решений является динамическая маршрутизация сообщений и данных между функциональными подсистемами и применение системы обмена сообщениями в точках подключения к интеграционной шине. Программно-аппаратный комплекс для первого варианта решения включает распределенную базу данных, поддерживающую реестр сетей и средств связи, услуг связи, процессов, правил и регламентов предоставления услуг, пользователей услуг связи. Каждая услуга представляется как комбинация нескольких элементов типа: доступ, транспорт, окончания. Каждый элемент представляет собой программный модуль (метод), включающий ссылку на определенный элемент систем сетевого управления для взаимодействия с конкретным оборудованием или комплексом оборудования. Взаимодействие модулей между собой и передача сообщений между элементами услуг осуществляется под контролем модуля-супервизора, отвечающего за предоставление услуги заказчику.
По первому варианту предлагается строить NCNS как распределенную систему межоператорского взаимодействия ССОП. В качестве главного процесса, требующего поддержки со стороны NCNS, предлагается рассматривать процесс прохождения, обработки и исполнения заявок приоритетных пользователей на предоставление сетей и средств связи и приоритетное обслуживание. Регистрации состояний сетей связи ССОП, анализ данных состояния сетей связи и формирование управляющих директив для изменения конфигурации сетей и средств связи в целях обеспечения комплексной услуги с задействованием ресурсов нескольких сетей связи, эти три ключевых процесса функционирования NCNS могут быть реализованы с помощью аппаратно-программного комплекса и методик, заложенных в основу второго решения.
Решения первого типа строятся преимущественно на основе регламентов и правил, используют информацию о состоянии сетей и средств связи ССОП в точках присоединения. Такой подход и методика наилучшим образом отвечают задачам приоритетного обслуживания в условиях кризисов, которые имеют протяженность во времени и характеризуются изменениями состояния объектов управления в условиях кризиса, в процессе ликвидации кризиса и на этапе восстановления нормального функционирования. Разработка регламентов управления в условиях кризиса основана, в том числе на точной и подробной классификации кризиса, позволяющей сформировать детальные спецификации процессов обслуживания приоритетных пользователей в условиях кризиса с использованием процедур динамического распределения запросов на предоставление ресурсов задействованных сетей связи в зависимости от масштабов кризиса и доступности ресурсов конкретных сетей связи.
Для второго архитектурного решения предложена организационно-техническая схема, характерная для систем статической конфигурации, состоящих из процедур принятия решений, используемых в центрах управления информационной безопасностью в условиях жесткой командно-административной системы. Жесткая директивная система управления наилучшим образом удовлетворяет условиям решения задач оперативного управления ССОП во время катастрофы. Системы второго типа состоят из программно-технических комплексов сбора данных состояния сетей, платформ медиации, преобразующих данные к формату, предусмотренному процедурами принятия решений, а также автоматизированных рабочих мест администраторов безопасности (АРМ) для лиц принимающих решения. В части объединения двух описанных архитектурных решений на интеграционной платформе предлагается использовать готовые инженерно-конструкторские и организационные решения для создания новых центров управления ИБ в составе NCNS и наполнять программные модули системы поддержки принятия решений конкретными описаниями процессов управления сетями связи.
Роль интеграционных технологий в современных системных решениях особенно ярко выявляется в ситуациях организации взаимодействия разнородных сетей и платформ для обеспечения сквозных операционных процессов предоставления синдицированных услуг. В связи с этим предлагается в рамках системного проекта поставить задачу формирования специализированной распределенной интеграционной платформы, для обеспечения двух процессов: создания NCNS и ее функционирования.
Унифицированный подход к интеграции систем обеспечения сквозных процессов предоставления услуг связи на стадии создания и на стадии эксплуатации позволит добиться непрерывности жизненного цикла NCNS и обеспечит решение, устойчивое к появлению новых центров управления, управляющих технологий и систем.
Бизнес-процессы обмена информацией (событиями) NCNS.
Обмен информацией (события) NCNS с внешними организациями является основным методом выявления возникающих на ССОП проблем и их оперативное решение.
Объекты взаимодействия
Объектами информационного взаимодействия NCNS являются:
центры управления безопасностью операторов связи;
другие NCNS;
организации федеральных регуляторов в области безопасности и связи;
центры реагирования на инциденты безопасности (CERT, CSIRT, CIRT и т.д.);
организации заинтересованные в повышении устойчивости сетей связи (вендоры, общественные организации и т.д.).
Типы инцидентов
Инциденты рекомендуется разделять на типы с точки зрения их характера. Например типами инцидентов могут быть:
компьютерная безопасность и Интернет;
безопасность телекоммуникационных систем;
обеспечение непрерывного функционирования и восстановления в случае аварий и сбоев;
противодействие мошенничеству;
атаки на сети сигнализации;
СПАМ (включая SMS, MMS и IP-телефонию);
атаки на сетевую инфраструктуру;
и т.д.
hacking of exchange protocols
Механизмы взаимодействия
Для обеспечения информационного NCNS с внешними объектами может быть использован весь спектр механизмов обмена информацией о событиях, в частности рассмотрим механизмы взаимодействия для следующих объектов:
центры управления безопасностью операторами (протоколы взаимодействия поддерживаемые системами управления операторов и автоматизированными системами управления инцидентами);
другие NCNS (использование нового протокола обмена отвечающего требованиям взаимодействия NCNS);
организации регуляторов в области безопасности и связи (в соответствии с законодательством);
центры реагирования на инциденты безопасности (CERT, CSIRT, CIRT и т.д.). Для данного типа объектов взаимодействия может быть использованы механизмы обмена информацией объеденные в рекомендациях ITU серии X.1500-X.1519: Overview of cybersecurity;
организации заинтересованные в повышении устойчивости сетей связи (вендоры, общественные организации и т.д.) По договоренности с данными организациями.
Управление инцидентами
Управление инцидентами, включая инциденты безопасности следует организовывать на основе рекомендации ITU-T E.409.
Основными видами инцидентов ИБ можно рассматривать:
отказ в обслуживании;
несанкционированный доступ или несанкционированное использование информационных систем и ресурсов;
раскрытие пользовательских идентификаторов и паролей;
несанкционированная установка программного обеспечения;
проникновение вируса в локальную вычислительную сеть;
кража или утеря оборудования;
случайное или преднамеренное разрушение оборудования;
несанкционированное удаление данных на жестких дисках или мобильных носителях информации;
нарушение правил обеспечения ИБ при использовании информационных систем;
несанкционированное отключение средств защиты;
искажение web-сайтов;
пожары, прорывы трубопровода;
системный сбой;
и т.д.
Основными подпроцессами процесса управления инцидентами являются:
Выявление инцидента ИБ. (Инциденты ИБ выявляются в массе событий ИБ. Источниками событий ИБ могут быть как люди, так и автоматизированные системы. Для выявление инцидентов ИБ должны быть разработаны критерии);
Регистрация инцидента ИБ. (Выявленные инциденты должны быть зарегистрированы и категорированы для дальнейшей обработки. Для категорирования инцидентов должны быть разработаны критерии отнесения инцидентов к категориям);
Устранение последствий и причин инцидента ИБ. (Необходимо предпринять оперативные действия по устранению негативных последствий инцидентов).
Расследование инцидента ИБ. (Для предотвращения инцидентов в будущем необходимо выявлять причины возникновения инцидентов ИБ (проблемы)).
Изучение инцидентов и реализация действий, предупреждающих повторное возникновение инцидента. (Должно проводится изучение инцидентов за прошлые периоды, а также необходимо планировать и реализовывать мероприятия предупреждающие повторное возникновение инцидента).
Каждому из NCNS рекомендуется вести собственную электронную базу данных («базу знаний») об угрозах и методах защиты (с учетом национальных нормативных актов в части защиты конфиденциальной информации). Предлагаемая архитектура данной базы – «клиент-серверная».
Для описания процесса управления инцидентами используется классическая модель непрерывного улучшения процессов, получившая название от цикла Шухарта-Деминга - модель PDCA (Планируй, Plan - Выполняй, Do - Проверяй, Check - Действуй, Act).
Процессы должны быть регламентированы, документированы (в рамках разработки процедур управления инцидентами ИБ), постоянно оцениваться и совершенствоваться.
Средства автоматизации
В качестве примера технологических и технических инструментов, обеспечивающих автоматизацию сбора и мониторинга событий ИБ и управления инцидентами ИБ, является программно-аппаратный комплекс сбора и анализа событий, поддерживающий продукты OSS/BSS уровня и интегрируемый с телекоммуникационным оборудованием ССОП. С использованием данного средства осуществляется сбор и хранение данных о событиях безопасности. Все собранные события классифицируются по характеру и источнику, а также категоризируются с точки зрения критичности. Таким образом, администраторы и заинтересованные лица получают уведомления только о критичных событиях в рамках своей зоны ответственности и имеют возможность с использованием консоли управления получить данные о текущих событиях и событиях за весь период мониторинга уже прошлых событиях безопасности. Кроме того, для различных источников событий производится корреляция событий, что повышает эффективность выделения наиболее приоритетных событий и выявления инцидентов по совокупности событий из различных источников.
Приложение 1. Услуги NCNS для операторов связи.