Защита информации

На стадии программной реализации требований целостности неизбежно возникает вопрос, какой именно механизм использовать: ОЦ или триггеры. Однозначно ответить на этот вопрос нельзя. С одной стороны, триггеры, как было сказано выше, являются «тяжелыми» объектами: во время их работы СУБД накладывает блокировки на все обрабатываемые триггером таблицы. Если можно обойтись декларативным ОЦ, лучше воспользоваться именно им. С другой стороны, далеко не во всех случаях пригодны декларативные ОЦ, и возникает уже не просто возможность, а необходимость использования триггеров.

Триггеры целесообразно использовать в тех случаях, когда реализуемое требование целостности не является типовым, охватывает несколько таблиц и/или предусматривает автокоррекцию вносимой информации.

19. Методы и инструменты исследования уязвимостей СУБД. Методы и инструменты исследования уязвимостей СУБД.

1 Методы и средства верификации баз данных

1.1 Статический анализ БД

Статический анализ БД – это анализ структуры и статических характеристик каждого ее объекта плюс анализ взаимосвязей между этими объектами. При статическом анализе не изучается поведение системы и ее временные характеристики. К примеру, статический анализ программ проводится без их выполнения на компьютере: изучается только код, структура модулей, статические связи между модулями и т. п. Наиболее широко известным инструментом для проведения статического анализа БД является AllFusion Data Model Validator компании Computer Associates. Обнаруживает ошибки: 1.

Ошибки проектирования столбцов. 2. Ошибки проектирования индексов и ограничений. 3. Ошибки нормализации. 4. Ошибки связей.

1.2 Тестирование БД

Тестирование относится к методам динамической верификации. Цель тестирования

– изучить реальное поведение системы, используя конкретные входные значения. На основе результатов работы системы (выходных значений) делается вывод о том, правильно ли реализованы конкретные функции обработки информации.

Одной из составляющих тестирования БД является тестирование целостности. Все объекты-ограничения БД должны удовлетворять одному главному требованию: они должны реализовывать вполне определенные и значимые для конкретной предметной области правила логической согласованности данных. Правильные данные должны беспрепятственно сохраняться в БД, неправильные – либо автоматически корректироваться, либо отвергаться. На практике возможны ошибки в реализации

объектов-ограничений. Часть из них может оказаться просто не реализованной в БД, и тогда при заполнении таблиц будут появляться заведомо некорректные данные – например, отрицательные массы груза или ссылки по внешнему ключу на несуществующие записи. Наличие лишних и неправильно реализованных ограничений, напротив, способствует тому, что запись данных оказывается затрудненной или невозможной.

1.3 Тестирование производительности СУБД

Динамическая верификация позволяет проверять не только целостность БД, но и их производительность, а также производительность всей серверной части

информационной системы (включающей СУБД, базы данных, операционную систему, аппаратное обеспечение).

2 Активный аудит систем баз данных. Программа ISS Database Scanner

Программный инструмент Database Scanner компании Internet Security Systems

(ISS) является наиболее популярным на сегодняшний день средством проведения активного аудита СБД на базе Microsoft SQL Server, Oracle и Sybase Adaptive Server. ISS Database Scanner обеспечивает детальный анализ подсистем защиты от НСД, средств обеспечения целостности и доступности. Анализ безопасности выполняется дистанционно, поэтому не возникает проблем при проверке СУБД в территориально распределенных сетях. В процессе сканирования Database Scanner использует постоянно обновляемую базу уязвимостей. Также в ISS Database Scanner имеется встроенная база знаний, благодаря которой программа не только идентифицирует уязвимости, но и в ряде случаев дает рекомендации по их устранению.

Уязвимости, выявляемые программой Database Scanner, можно разбить на три категории: уязвимости системы авторизации, уязвимости парольной защиты и уязвимости системы контроля целостности.

К уязвимостям системы авторизации относятся следующие: нарушение времени доступа к БД; несоответствующие полномочия пользователей и ролей; несоответствующие права владения и доступа к системным и пользовательским таблицам, хранимым процедурам и другим объектам БД; несоответствующие настройки удаленного доступа к СУБД и т. п.

Главными уязвимостями парольной защиты являются: отсутствие шифрования паролей; разрешенная гостевая учетная запись; нарушение срока действия пароля; пустые пароли; пароли,

совпадающие с именем пользователя; пароли, заданные по умолчанию; пароли, хранящиеся в открытом виде в файлах конфигурации и системном реестре и т. п.

К уязвимостям системы контроля целостности относятся: «троянские кони» в хранимых процедурах; неустановленные обновления СУБД; несоответствующие настройки сервисов СУБД; несоответствующие настройки системы регистрации событий; переполнение буфера; несоответствующие права доступа к файлам СУБД и т. п.

3 Мониторинг активности пользователей на уровне СУБД

В составе программного обеспечения современных СУБД имеются инструменты, позволяющие отслеживать и протоколировать действия пользователей. При необходимости администратор может узнать, какие учетные записи пользователей активны на данный момент, с какими объектами они работают и какие действия выполняют. Мониторинг основывается на наблюдении за событиями. В SQL Server 2005 события группируются в классы, а каждый класс относится к определенной категории событий. Важнейшей категорией событий является Security Audit, которая группирует события, связанные: с установкой и разрывом соединения клиентов с сервером СУБД; с реализацией доступа учетных записей к серверу и пользователей БД к объектам БД; с регистрацией и удалением учетных записей сервера (пользователей БД); с включением учетных записей (пользователей) в роли и исключением

субъектов доступа из ролей; с установкой привилегий доступа; с резервным копированием и восстановлением БД и журналов транзакций и т. п.

4 Мониторинг событий с помощью триггеров

4.1 DDL-триггеры в СУБД Microsoft SQL Server

Начиная с версии 2005 года в SQL Server может применяться новая разновидность триггеров – DDL-триггеры. Особенность DDL-триггеров состоит в том, что они

срабатывают в ответ на выполнение операторов языка определения данных (DDL) и охватывают всю группу операторов CREATE/ALTER/DROP, т. е. операторов создания,

модификации структуры и уничтожения различных объектов БД. Кроме того, DDLтриггеры могут срабатывать в ответ на выполнение операторов GRANT, DENY, REVOKE и UPDATE STATISTICS. DDL-триггеры могут запускаться только после выполнения активизирующих операторов, т. е. не могут иметь тип INSTEAD OF.

4.2 Триггеры входа

Триггер входа представляет собой процедуру, срабатывающую в ответ на событие

LOGON.

20. Цели и задачи обеспечения информационной безопасности на железнодорожном транспорте. Общая характеристика угроз и мер но обеспечению информационной безопасности ОАО «РЖД».

Цели и задачи обеспечения информационной безопасности на железнодорожном транспорте Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства. (Доктрина информационной безопасности РФ от 09.09.2000 г.)

Информационная безопасность информационных и телекоммуникационных систем (ИС, ТС) –

состояние защищенности информации и информационной инфраструктуры ИС и ТС, которое обеспечивает устойчивое функционирование систем в условиях действия дестабилизирующих факторов (угроз)

Система обеспечения ИБ (СОИБ) на железнодорожном транспорте:

Цели:

Поддержание требуемого уровня безопасности движения, грузовых и пассажирских перевозок железнодорожного транспорта в условиях динамичной информатизации отрасли

Минимизация или поддержание приемлемого уровня информационных рисков, экономического и других видов ущерба при нарушении безопасности информации

Предоставление информационных услуг, в том числе по защите информации

Защищаемая информация ОАО РЖД:

1.Интеллектуальная собственность;

2.Информация ограниченного доступа:

2.1.Гос.тайна

2.2.Конфиденциальная информация

2.2.1.Коммерческая тайна

2.2.2.Персональные данные

2.2.3.Служебная тайна

3.Открытая информация (в части целостности и доступности)

Общая характеристика угроз и мер по обеспечению информационной безопасности ОАО «РЖД»

действия и ошибки персонала, сбои и отказы программного обеспечения, природные явления и катастрофы. Способы осуществления угроз: получение модификация и уничтожение информации при несанкционированном доступе; перехват информации, анализ трафика, несанкционированное декодирование дешифрирование данных; воздействие вредоносных программных средств,

преднамеренных помех, создание доверенных серверов, ложных объектов и маршрутов, ложных и имитирующих команд; блокирование доступности, создание информационных перегрузок в каналах, Dos и DDosатаки; нарушение физической целостности носителей и пригодности комплекса, разрушение компонентов ИС и ТС.

Методология: Основные методы

Управление доступом (идентификация, аутентификация, авторизация)

Криптографическая защита (шифрование, ЭЦП, ИОК, аутентификация)

Межсетевое экранирование

Туннелирование (VPN)

Антивирусная защита

Обнаружение вторжений

Мониторинг, аудит, анализ защищенности

Политика информационной безопасности дорожного уровня.

Она определяет основные виды деятельности, процедуры, документы по ИБ подразделений дорожного уровня и представляет собой общий регламент, направленный на обеспечение и поддержание ИБ подразделений дорожного уровня в соответствии с целями их функционирования, действующим законодательством Российской Федерации и нормативными документами регулирующих органов в области ИБ.

Цели политики информационной безопасности дорожного уровня.

обеспечение целостности и доступности информации, циркулирующей в подразделениях дорожного уровня (ПДУ)

защита от незаконного вмешательства в процесс функционирования ПДУ

предотвращение утечки конфиденциальной информации ПДУ

защита от несанкционированного доступа к сетевым и информационным ресурсам ПДУ

повышение дисциплинарного уровня сотрудников ПДУ при работе с внутренними информационными системами и ресурсами

Задачи обеспечения информационной безопасности

обеспечение своевременности и достоверности передачи информации

прогнозирование и выявление внутренних и внешних угроз информационной безопасности

защита от несанкционированного вмешательства в процесс функционирования автоматизированных и информационных систем

защита данных, хранимых и передаваемых по каналам связи, от несанкционированного ознакомления, модификации, фальсификации и уничтожения

защита программных средств от несанкционированной модификации и уничтожения

контроль целостности операционной среды исполнения прикладных программ (решения прикладных задач) и программных средств, их восстановление в случае нарушения

защита от утечки информации ограниченного распространения, хранимой, обрабатываемой и передаваемой по каналам связи

разграничение доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам

регистрация действий пользователей при работе с защищаемыми ресурсами и услугами сетей в системных журналах и периодический контроль корректности действий пользователей системы путем анализа этих журналов

физическая защита объектов, оборудования, производственных и служебных помещений

Основные объекты защиты

программно-технические комплексы информационно-вычислительных центров (ИВЦ)

программно-технологические комплексы и система управления сетью передачи данных

информационная и сетевая инфраструктура центров обработки данных на базе ИВЦ

объекты информационной инфраструктуры системы управления единой магистральной цифровой сетью связи

системы управления автоматических телефонных станций общетехнологической и оперативнотехнологической сетей

объекты автоматизированных систем управления и информационных систем, включающие отдельные АРМ и ЛВС, серверные сегменты автоматизированных и информационных систем, программно-технические комплексы баз данных

Основные элементы политики ИБ (мероприятия по обеспечению ИБ) дорожного уровня

Регламентация доступа в помещения АС ПДУ

Регламентация допуска сотрудников к использованию ресурсов АС

Регламентация процессов ведения баз данных и осуществления модификации информационных ресурсов

Регламентация процессов обслуживания и осуществления модификации аппаратных и программных ресурсов АС

Обеспечение и контроль физической целостности (неизменности конфигурации) аппаратных ресурсов АС

Кадровая работа (подбор и подготовка персонала, обучение пользователей)

Определение ответственности за нарушения установленного порядка использования АС

Организационная структура и правовое обеспечение ИБ ОАО «РЖД»

Организационная структура: 1президент, 2правительство РФ, 3совет безопасности, 4межведомственная комиссия, 5ФСТЭК, ФСБ, МВД, 6Головные НИО и ВУЗы, 7Координационные советы и структурные подразделения при администрации субъектов РФ, Региональные центры ИБ, территориальные ФСТЭК, ФСБ, 8Подразделения и системы по ИБЗИ корпораций, предприятий, организаций. Правовая база РФ: 1 Конституция РФ; 2 Указы президента РФ, Доктрина ИБ; Законы; Кодексы; Постановления Правит-ва РФ; Положения, стандарты, РД корпорации. Организационная структура обеспечения информационной безопасности ОАО «РЖД». Президент ОАО «РЖД»-> Вице-президент ОАО «РЖД» -> Комитет по ИБ ->1.Департамент безоп-ти ОАО «РЖД»;2.Департамент информатизации и корпоративных процессов управления ОАО «РЖД»;3.Департаменты и управления ОАО «РЖД» ->1.Подразделения ЗИ региональных центров безоп-ти;2.Подразделения организующие работу по ЗИ филиалов ОАО «РЖД»;3.Подразделения ИБ ГВЦ и ИВЦ. 1Правовые и методические документы ОАО «РЖД»:

«Концепция повышения безопасности движения на основе применения на железных дорогах многофункциональных комплексных систем регулирования движения поездов», утв. Президентом ОАО «РЖД» от 12 мая 2006 г. № 618 -«Перечень информации, составляющей коммерческую тайну ОАО «РЖД» (приложение №1)»,

«Инструкция о порядке обращения с информацией, составляющей коммерческую тайну, в ОАО «РЖД» (приложение №2)», утв. приказом Президента ОАО «РЖД» «О порядке обращения с информацией, составляющей коммерческую тайну, в ОАО «РЖД»» №240 от 27.12.2004г.- «Примерный перечень категорий информации и программных продуктов непроизводственного характера, не подлежащих записи, хранению и распространению в информационных системах и телекоммуникационных сетях ОАО «РЖД», утв. распоряжением Вице-президента ОАО «РЖД» № ВК-8985 от 27.09.2004 г. -Руководящий документ ОАО «РЖД» по обеспечению информационной безопасности беспроводного радиодоступа, 2007 г.

21.Система обеспечения информационной безопасности (СОИБ) ОАО «РЖД». Назначение и архитектура системы обеспечения информационной безопасности ОАО «РЖД»

Система обеспечения информационной безопасности (СОИБ) на железнодорожном транспорте

цели:

Поддержание требуемого уровня безопасности движения, грузовых и пассажирских перевозок железнодорожного транспорта в условиях динамичной информатизации отрасли

Минимизация или поддержание приемлемого уровня информационных рисков, экономического и других видов ущерба при нарушении безопасности информации

Обеспечение руководства и сотрудников компании, ее клиентов (пользователей информационных систем) – грузоотправителей, грузополучателей, пассажиров – полной, достоверной и своевременной информацией

Предоставление информационных услуг, в том числе по защите информации, не относящейся к категории «государственная тайна»

I этап – создание СОИБ (1996 – 2003 г.г.)

Формирование организационной структуры ОИБ и ЗИ; разработка концепций обеспечения ИБ ЕМЦСС, СПД, защиты информационных ресурсов; разработка профилей защиты и политик ИБ, внедрение СЗИ и создание подсистем обеспечения ИБ ЕМЦСС, СПД, ЕК АСУФР, АСУ «Экспресс», АС «ЭТРАН»; создание СОИБ ОАО «РЖД»

II этап–создание и развитие СУИБ (2004 – 2012 г.г.)

Разработка и совершенствование корпоративной нормативной базы в области ИБ и ЗИ, методического аппарата и системы оценки защищенности (СОЗ), проведение мероприятий по защите персональных данных, разработка корпоративного стандарта по СУИБ и типовой политики ИБ дорожного уровня

III этап – развитие СУИБ, обеспечение кибербезопасности (с 2013 г.)

СОИБ ОАО «РЖД» представляет собой сложную организационно-техническую систему, предназначенную для обеспечения защиты информации и информационной инфраструктуры от воздействий, которые могут нанести неприемлемый ущерб ОАО «РЖД» за счет утраты конфиденциальности, целостности и доступности информации Задачи:

защита информации, не относящейся к категории «государственная тайна»

внедрение и эксплуатация технических подсистем, комплексов и средств обеспечения информационной безопасности

обеспечение доступности соответствующих категорий информации для пользователей

недопущение непроизводственного и непроизводительного использования ресурсов

Аудит и управление информационной безопасностью ОАО «РЖД»

Защищаемые информационные активы

Корпоративная политика информатизации

22. Методология, процессы и подходы к оценке риска информационной безопасности.

Критерии оценивания рисков ИБ

Критерии оценивания рисков ИБ учитывают:

стратегическую ценность обработки бизнес-информации

критичность затрагиваемых информационных активов

правовые и регулирующие требования и договорные обязательства

операционную важность и важность для бизнеса доступности, конфиденциальности и целостности информации

ожидания восприятия причастных сторон, а также негативные последствия для "неосязаемого капитала" и репутации

Критерии влияния

Критерии влияния отражают неблагоприятное изменение уровня достигнутых бизнес-целей и учитывают:

уровень классификации информационного актива, на который оказывается влияние

нарушения информационной безопасности (например, утрата конфиденциальности, целостности и доступности)

ухудшенные операции (внутренние или третьих сторон)

потеря ценности бизнеса и финансовой ценности

нарушение планов и конечных сроков

ущерб для репутации

нарушение законодательных, регулирующих или договорных требований

Критерии принятия риска ИБ

Критерии принятия риска могут включать многие пороговые значения, с желаемым целевым уровнем риска, но при условии, что при определенных обстоятельствах высшее руководство будет принимать риски, находящиеся выше указанного уровня;

Содержание процесса «Оценка риска»

1.Анализ риска:

а) идентификация рисков б) установление значения (измерение) рисков

2. Оценивание риска Идентификация риска - процесс нахождения, составления перечня и описания элементов риска

Измерение риска - процесс присвоения значений вероятности и последствий риска

Этапы идентификации рисков

1.Определение активов

2.Определение угроз и их источников

3.Определение существующих мер и средств защиты и контроля

4.Выявление уязвимостей

5.Определение последствий

Методология измерения риска может быть качественной или количественной, или их комбинацией, в зависимости от обстоятельств.

Общая оценка риска:

Характеристики системы

Идентификация угроз

Идентификация уязвимостей

Анализ контроля

Определение вероятностей

Анализ влияния

Определение риска

Рекомендации по контролю

Результирующая документация

Методики и программные продукты для оценки рисков

1)Lifecycle Security – это обобщенная схема построения комплексной защиты компьютерной сети предприятия. Выполнение описываемого в ней набора процедур позволяет системно решать задачи,

связанные с защитой информации, и дает возможность оценить эффект от затраченных средств и ресурсов.

Состав:

1)Политики безопасности, стандарты, процедуры и метрики

2)Анализ рисков

3)Стратегический план построения системы защиты

4)Выбор и внедрение решений

5)Обучение персонала

6)Мониторинг защиты

7)Разработка методов реагирования в случае инцидентов и восстановление

2)Методика управления рисками Microsoft

Управление рисками, предлагаемое корпорацией Microsoft, рассматривается как одна из составляющих общей программы управления, предназначенной для руководства компаний и позволяющей контролировать ведение бизнеса и принимать обоснованные решения .

2.1) Оценка эффективности программы

2.2) Оценка рисков

2.3) Поддержка принятия решений

2.4) Реализация контроля

3) CRAMM

В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетающий количественные и качественные методы анализа.

1.Анализируется все, что касается идентификации и определения ценности ресурсов системы

2.Рассматривается все, что относится к идентификации и оценке уровней угроз для групп ресурсов и их уязвимостей

3.Оценивается уровень угроз по 5-балльной шкале

4.Оценивается уровень уязвимости по 3-балльной шкале

5.Рассчитываются уровни рисков по шкале от 1 до 7 на основе зависимости стоимости ресурса от оценки частоты возникновения угрозы в течение года (уровня угрозы) и оценку вероятности успеха реализации угрозы (уровня уязвимости)

6.Угрозы и уязвимости объединяются в матрице оценки риска

4)Методика «Facilitated Risk Analysis Process (FRAP)» предлагает обеспечение информационной безопасности ИС рассматривать в рамках процесса управления рисками. Во FRAP более подробно раскрываются пути получения данных о системе и ее уязвимостях.

4.1) Определение защищаемых активов производится с использованием опросных листов, изучения документации на систему, использования инструментов автоматизированного анализа (сканирования) сетей.

4.2) Идентификация угроз:

4.3) Угрозе сопоставляют вероятность возникновения и оценивают ущерб. Исходя из полученных значений, оценивается уровень угрозы по матрице рисков 4.4) Определение контрмер, позволяющих устранить риск или свести его до приемлемого уровня

5)RiskWatch ориентирована на точную количественную оценку соотношения потерь от угроз безопасности и затрат на создание системы защиты.

Методика анализа рисков RiskWatch состоит из этапов:

1.определение предмета исследования - тип организации, состав исследуемой системы, базовые требования в области безопасности

2.ввод данных, описывающих конкретные характеристики системы, вручную или импортироваться из отчетов

3.количественная оценка риска - рассчитывается профиль рисков и выбираются меры обеспечения безопасности. Дополнительно рассматриваются сценарии "что если:", которые позволяют описать аналогичные ситуации при условии внедрения средств защиты. Сравнивая ожидаемые потери при условии внедрения защитных мер и без них можно оценить эффект от таких мероприятий. RiskWatch включает в себя базы с оценками LAFE и SAFE, а также с обобщенным описанием различных типов средств защиты

4.генерация отчетов

23.Корпоративная система антивирусной защиты.

Системы антивирусной защиты. Основные принципы

Комплексная антивирусная защита

Централизованное управление и аудит

Проверка на наличие вирусов

Автоматическое обновление антивирусного ПО

Дополнительные методы защиты от вирусов

Общие требования к системе антивирусной защиты

обнаружение вирусных программ и выполнение предопределенных действий

обнаружение деструктивного кода типа «троянский конь», враждебных апплетов ActiveX, Java и выполнение предопределенных действий

быстрое отреагирование на уровне архитектуры на появление новых видов вирусоподобных программ

должный уровень технической поддержки и сопровождения

исчерпывающий список защищаемых точек возможного проникновения вирусов

централизованное управление

централизованное уведомление о вирусной активности в сети

оптимальное соотношение производительности системы и защищенности от вирусов

удаленный мониторинг состояния компонентов антивирусной защиты

автоматическое распространение и обновление компонентов антивирусного программного обеспечения

Требования к отдельным объектам системы антивирусной защиты

Рабочая станция

•антивирусный сканер

•антивирусный монитор

•антивирусный фильтр электронной почты

•перехватчик скрипт-вирусов

Файловый сервер

•антивирусный сканер

•антивирусный монитор

Сервер электронной почты

• антивирусный фильтр электронной почты, интегрируемый в почтовый сервер