125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / Гончарова Основи захисту iнф. в - мер

-надання привілеїв, що пов’язані з роботою з системними програмними продуктами (наприклад операційною системою, системою керування базою даних і кожним додатком, категорії штату службовців, тощо);

-надання привілеїв користувачам з урахуванням необхідного часу знаходження в інформаційній системі для реалізації їхніх функцій;

-необхідність підтримки процесів авторизації, аудиту й запису наданих привілеїв після завершення процедури авторизації;

-заохочення розробки й використання стандартних системних програм для автоматизації та авторизації процедур надання привілеїв користувачам;

-необхідно розділяти призначені привілеї згідно з визначеною класифікацією з урахуванням розподілу між користувачами задач бізнесу.

Пароль є обов’язковим засобом підтвердження ідентифікатора користувача для доступу до інформаційної системи, її ресурсів або послуг що реалізуються в системі.

Процедура розподілу паролів підлягає процесу строгого контролю і управління та повинна включати:

-вимоги до користувачів з приводу підпису заяви, щодо збереження конфіденційності інформації про особисті паролі або інформації про паролі робочої групи;

-забезпечення підтримки власних паролів після позитивної ідентифікації користувача;

-забезпечення процедур безпечної видачі користувачам паролів згідно з визначеними функціями. Варто уникати використання незахищених (відкритий текст) повідомлень електронної пошти або повідомлень електронної пошти третьої сторони з метою запобігання механізмів несанкціонованого вилучення паролів. Користувачам необхідно підтверджувати одержання паролів.

Пароль – засіб забезпечення та підтвердження ідентифікатора користувача, установлює права доступу до засобів обробки інформації, інформаційних ресурсів або послуг інформаційної системи.

Паролі повинні зберігатись в автоматизованій системі тільки в захищеній формі. Інші технології для ідентифікації й аутентифікації користувача, такі як біометрія, перевірка відбитків пальців, перевірка підпису, використання маркерів апаратних засобів є додатковими та доступними заходами для підтвердження функцій користувача в інформаційній системі.

Управління мережевим доступом – процес реалізації захисту внутрішніх та зовнішніх інформаційних ресурсів мережі та її мережевих послуг.

Користувачі, що мають авторизований доступ до мереж і мережних послуг, повинні підтримувати режим безпеки мережевих послуг та забезпечувати:

291

-відповідні інтерфейси та інтерфейси безпеки між інформаційною мережею організації й мережами, що належать іншим організаціям, або загальнодоступними мережами;

-відповідні механізми аутентифікації, авторизації для користувачів й устаткування;

-управління процедурами безпечного доступу користувача до інформаційних ресурсів та послуг системи.

Політика безпеки управління мережевим доступом повинна охоплювати:

-інформаційні мережі й мережеві послуги, до яких дозволений доступ;

-процедури авторизації користувачів до визначених мереж і мережних послуг;

-засоби й процедури управління захистом доступу до мережевих підключень і послуг.

Мережеві повинні створюватися таким чином, щоб забезпечувати максимальні можливості для поділу ресурсів і гнучкості маршрутизації. Ці особливості можуть також забезпечити реалізацію неавторизованого доступу до комерційних додатків, або для неавторизованого використання інформаційних засобів обслуговування. Включення заходів управління, які обмежують маршрут між користувальницьким терміналом і мережними послугами, зменшують такі ризики.

Ціль визначення і підтримки маршруту полягає в тому, щоб запобігати вибору користувачами будь-яких інших безпечних маршрутів для реалізації авторизованого здійснення доступу до послуг системи.

Розгалужені інформаційно-комунікаційні мережі, що мають велику кількість зовнішніх зв’язків, створюють достатній потенціал для неавторизованого доступу до інформаційних ресурсів мережі та її послуг. Тому, доступ віддаленими користувачами варто розглядати, як предмет обов’язкової аутентифікації. Аутентифікація віддалених користувачів може бути досягнута при використанні криптографічних методів, маркерах апаратних засобів, фільтрації або організації протоколів виклику/відповіді. Виділені приватні лінії або мережеві засоби перевірки адреси користувача можуть також використовуватися для забезпечення процесу довіри джерелу підключень.

Процедури й засоби управління зворотним викликом, наприклад, використання модемів зі зворотним викликом, можуть забезпечувати захист від неавторизованих і небажаних підключень до засобів обробки інформації організації. Цей тип контролю підтверджує право на доступ користувачів, що намагаються встановити зв’язок з мережею організації з віддалених місць.

Аутентифікація вузла може служити альтернативним засобом аутентифікації груп віддалених користувачів там, де вони приєднані до безпечного, розділеного комп’ютерного засобу.

292

Інформаційно-комунікаційні системи та мережі усе більше поширюються за традиційні границі організації, оскільки створюються ділові товариства, які використовують спільні інформаційні ресурси, засоби організації й обробки інформації зазначеної мережі та її послуг. Такі розширення інформаційних мереж збільшують ризик неавторизованого доступу до існуючих інформаційних систем та їх ресурсів. При таких обставинах необхідно введення засобів управління безпекою в межах безпосередньо самої мережі з метою розподілу груп інформаційних послуг, користувачів й інформаційних підсистем.

Один з методів управління безпекою інтегрованих інформаційних мереж полягає в тому, щоб розділяти їх на окремі логічні мережеві домени, наприклад, внутрішній мережевий домен організації й зовнішні мережеві домени, кожний з яких захищений певним периметром безпеки. Такий периметр може бути реалізований інсталяцією шлюзу безпеки між цими двома мережами, які повинні бути пов’язані, для управління доступом й інформаційним потоком між цими двома доменами. Цей шлюз варто конфігурувати для фільтрації трафіку між цими доменами і для блокування неавторизованого доступу відповідно до політики управління доступом організації. Приклад цього типу шлюзу – міжмережний екран (рис. 6.8).

Критерії для поділу мереж на домени варто засновувати на реалізації політики управління доступом і вимогах доступу, впливі продуктивності визначеної технології маршрутизації мереж або шлюзів.

Рис. 6.8. Організація шлюзу безпеки

Вимоги політики управління доступом для розподілених мереж вимагають включення заходів управління з метою обмеження приєднання неавторизованих користувачів. Такі заходи управління можуть бути реалізовані через мережеві шлюзи, які фільтрують трафік за допомогою визначених таблиць або правил. Необхідно, щоб застосовувані обмеження ґрунтувалися на організації політики безпеки й вимогах доступу до комерційних додатків, а також підтримувалися й обновлялися відповідним чином.

Приклади додатків, до яких варто застосувати обмеження:

-електронна пошта;

-однобічна передача файлу;

-передача файлу в обох напрямках;

293

-інтерактивний доступ;

-доступ до мережі, пов’язаний з датою.

Розподілені мережі, особливо ті, які знаходяться в межах границь організації, можуть вимагати включення засобів управління маршрутизацією з метою підтримки політики управління доступом до комерційних додатків при додаткових приєднаннях користувачів й інформаційних потоків Необхідно, щоб заходи управління маршрутизацією базувалися на позитивному джерелі й механізмах перевірки адрес призначення.

Сучасні інформаційно-комунікаційні системи та мережі державних або приватних організацій можуть надавати широкий спектр суспільних або приватних послуг. Мережеві послуги можуть мати унікальні або складні характеристики безпеки. Організаціям, що використовують мережеві послуги, необхідно забезпечувати впевненість у тому, що передбачається чіткий опис атрибутів безпеки всіх використовуваних послуг.

Безпека мережевих послуг – запобігання неавторизованому доступу до обчислювальної системи користувача, що встановлений з метою несанкціонованого використання або спотворення інформаційних ресурсів чи зазначених мережевих послуг.

На рівні операційної системи варто використовувати необхідні заходи безпеки для обмеження доступ до персональних інформаційних ресурсів. Необхідно, щоб ці засоби були здатні виконувати наступне:

-ідентифікацію й верифікацію ідентифікатора, і, якщо необхідно, термінала й місця розташування кожного авторизованого користувача;

-запис успішних і невдалих доступів до системи;

-забезпечення відповідними засобами для аутентифікації;

-обмеження часу приєднання користувачів (у разі потреби).

Інші методи управління доступом, такі як виклик-відповідь, можуть бути використані, якщо вони виправдані з погляду ризику бізнесу.

Автоматична ідентифікація термінала – метод реалізації процесу ініціювання сеансу авторизованих інформаційних послуг з певного місця або комп’ютерного термінала в межах визначеної інформаційної мережі.

Ідентифікатор у терміналі, або привласнений терміналу, може використовуватися, щоб показати, чи дозволено цьому конкретному терміналу ініціювати або одержувати певні вхідні повідомлення. Може бути необхідним застосовувати фізичний захист термінала, щоб підтримувати безпеку його ідентифікатора. Необхідно, щоб доступ до інформаційних послуг був досяжний через безпечний процес входу в систему. Процедуру реєстрації в комп’ютерній системі варто розробляти так, щоб звести до мінімуму можливість неавторизованого доступу. Тому необхідно, щоб процедура реєстрації розкривала мінімум інформації про систему, щоб уникати надання непотрібної допомоги неавторизованому користувачеві.

294

Процедура реєстрації повинна:

-не відображати ідентифікатори системи або додатків, поки процес реєстрації не буде успішно завершений;

-відображати загальне повідомлення, яке попереджає, що доступ до системи можуть одержати тільки авторизовані користувачі;

-не забезпечувати повідомлення-підказки протягом процедури реєстрації, які допомагали б неавторизованому користувачеві отримати доступ до ресурсів;

-підтверджувати інформацію реєстрації тільки по завершенні уведення всіх вхідних даних. Якщо виникає помилковий стан, система не повинна показувати, яка частина даних є правильною або неправильною;

-обмежувати число дозволених невдалих спроб реєстрації (рекомендується три) і розглядати: запис невдалих спроб; нав’язування тимчасової затримки перш, ніж будуть дозволені подальші спроби реєстрації або відхилення будь-яких подальших спроб без спеціальної авторизації; роз’єднання приєднань до каналу передачі даних;

-обмежувати максимальний і мінімальний час, дозволений для процедури реєстрації. Якщо воно перевищено, система повинна припинити реєстрацію;

-відображати наступну інформацію щодо завершення успішної реєстрації: дату й час попередньої успішної реєстрації; деталі будь-яких невдалих спроб реєстрації, починаючи з останньої успішної реєстрації.

Унікальний ідентифікатор (користувальницький ID) повинні мати всі користувачі інформаційно-комунікаційної мережі та її ресурсів (адміністратори, адміністратори безпеки, оператори, програмісти, адміністратори баз даних, персонал технічної підтримки тощо):

-з метою особистого використання, щодо реалізації авторизованого доступу до інформаційних ресурсів та встановлених послуг;

-з метою ідентифікації дій, що згодом могли бути простежені відповідальною особою.

Користувальницький ID не повинен давати ніякої ознаки рівня привілею користувача, наприклад, менеджер, контролер тощо.

При виняткових обставинах, де є ясна ділова вигода, може використатися розділений користувальницький ID для групи користувачів або для певної роботи. Для таких випадків схвалення процедур управління варто документувати. Додаткові заходи управління можуть знадобитися для підтримки звітності.

Існують різні аутентифікаційні процедури, які можуть використовуватися для доказу заявленої ідентичності користувача. Паролі

–дуже розповсюджений спосіб забезпечення ідентифікації й аутентифікації.

Пароль – один з головних засобів підтвердження повноваження користувача, що здійснює доступ до обслуговуючого комп’ютера.

295

Управління доступом до додатків – запобігання неавторизованому доступу до інформації та системного ПЗ, що поширюється або обробляється в інформаційних системах.

Варто використати засоби безпеки для обмеження доступу в межах системи та її додатків. Необхідно обмежувати логічний доступ до програмного забезпечення й інформації авторизованих користувачів.

Системні додатки повинні:

-управляти користувальницьким доступом до інформаційних і прикладних функцій системи відповідно до певної ділової політики управління доступом;

-забезпечувати захист від неавторизованого доступу до будь-якої утиліти та програмного забезпечення будь-якої операційної системи;

-не компрометували безпеку інших систем, з якими розділяються інформаційні ресурси;

-забезпечувати доступ до інформації тільки власникові, іншим призначеним авторизованим особам, або певним групам користувачів.

Користувачам прикладних систем, включаючи персонал підтримки, варто забезпечувати доступ до інформаційних і прикладних функцій системи відповідно до певної політики управління доступом, заснованої на вимогах окремих комерційних додатків і сумісної з організаційною політикою доступу до інформації.

Необхідно розглядати застосування таких засобів управління для підтримки вимог обмеження доступу:

-забезпечення інтерфейсу для управління доступом до прикладних функцій системи;

-обмеження знання користувачами інформаційних або прикладних функцій системи, до яких вони неавторизовані здійснювати доступ, з відповідним редагуванням користувальницької документації;

-управління правами доступу користувачів, наприклад, зчитуванням, записом, видаленням і виконанням;

-забезпечення даних виводу з функціонування прикладних систем, що обробляють чутливу інформацію, тільки інформацією, що зазначена протоколами безпеки та відсилається тільки авторизованим терміналам і місцям.

Моніторинг доступу й використання системи – процес виявлення відхилень від реалізації політики безпеки управління доступом до інформаційних ресурсів та мережних послуг з метою фіксації неавторизованих дій.

Проводити моніторинг інформаційної системи необхідно для виявлення відхилень від процесу реалізації політики безпеки управління доступом та запису контрольованих подій з метою забезпечення доказів у випадках інцидентів, що стосуються безпеки інформаційної мережі та її ресурсів. Моніторинг системи дозволяє перевіряти ефективність прийнятих заходів управління безпекою й підтверджує відповідність моделі безпеки системи зазначеній політиці доступу.

296

Варто створювати журнали аудиту для запису подій, пов’язаних з безпекою інформаційних ресурсів та мережних послуг, і зберігати записи протягом погодженого періоду, з метою надання допомоги в майбутніх розслідуваннях та реалізації процесу моніторингу управління доступом.

Записи аудиту повинні включати (рис. 6.9.):

-користувальницькі ID;

-дату й час входу й виходу з системи;

-ідентифікатор термінала або місце розташування, якщо можливо;

-запис успішних і відхилених спроб доступу до системи;

-запис успішних і відхилених даних й інших спроб доступу до ресурсів.

Рис. 6.9. Аудит інформаційної системи

Необхідно встановлювати процедури для моніторингу використання засобів обробки інформації. Такі процедури необхідні для забезпечення впевненості в тому, що користувачі виконують тільки ті дії, на які вони були явно авторизовані. Рівень моніторингу, необхідного для окремих засобів, варто визначати за допомогою оцінки ризику.

Напрями моніторингу інформаційної системи включають (рис.

6.10):

Авторизований доступ містить:

-користувальницький ID;

-дату й час головних подій;

-типи подій;

-файли, до яких був здійснений доступ;

-використовувані програми/утиліти. Усі привілейовані дії, такі як:

-використання облікового запису супервізора;

-запуск й зупинка системи;

-приєднання/від’єднання пристрою введення/виводу. Спроби неавторизованого доступу:

-невдалі спроби;

297

-порушення політики доступу й повідомлення мережних шлюзів і міжмережевих екранів;

-попередження від власних систем виявлення вторгнення.

-попередження або відмови системи:

-консольні (термінальні) попередження або повідомлення;

-виключення, записані в системні журнали реєстрації;

-попереджувальні сигнали, пов’язані з керуванням мережею.

Варто регулярно розглядати результат дій по моніторингу системи. Необхідно, щоб частота огляду залежала від передбачуваних ризиків.

Фактори ризику, які необхідно розглядати, включають:

-критичність процесів додатків;

-цінність, чутливість або критичність пов’язаної інформації;

-минулий досвід проникнення в систему й неправильне використання системи;

-ступінь взаємозв’язку систем (особливо загальнодоступних мереж).

Рис. 6.10. Напрями моніторингу інформаційної системи

Перегляд журналу реєстрацій має на увазі фіксацію та подальше розуміння причин й сутності появи загроз, з якими зіштовхується система, і способу їхнього виникнення. Журнал реєстрацій також повинен містити приклади подій, які могли б зажадати подальшого дослідження у випадку інцидентів, що стосуються безпеки мереж.

Системні журнали реєстрації часто містять великий обсяг інформації, більша частина якої є далекою від процесу моніторингу безпеки. Щоб допомогти ідентифікувати значні події з метою проведення моніторингу безпеки, необхідно розглядати автоматичне копіювання відповідних типів повідомлень у другий журнал, а також використання підходящих системних утиліт або інструментів аудита, щоб підготувати файл опитування.

298

Безпека прикладних систем – запобігання втраті, модифікації або неправильному використанню користувальницьких даних у прикладних системах.

Відповідні засоби управління й журнали аудиту, які відображають діяльність системи щодо поширення інформації та її обробки, повинні бути внесенні в роботу прикладної системи, включаючи додатки написані користувачем. Додатки повинні включати підтвердження вхідних даних, а також даних внутрішньої обробки й вихідних даних.

Дані, які були введені правильно, можуть бути спотворені внаслідок помилок, пов’язаних з обробкою, або навмисних несанкціонованих дій. Проведення та підтвердження проведення процедур перевірок необхідно включати в процес стандартного функціонування системи з метою виявлення й локалізації перекручувань та несанкціонованого відтворення даних. Необхідно, щоб структура додатків також забезпечувала реалізацію мінімуму ризику появи відмов в системі, що можуть призвести до втрати цілісності системи та безпосередньо до втрати інформації.

Безпека прикладних систем повинна включати:

-використання й розміщення в програмному забезпеченні системи функцій додавання й видалення, з метою виявлення та запобігання змінам

уданих;

-процедури для запобігання впровадженню програмного забезпечення із спотвореними командами, або виконання процедур обробки даних системи після їх ушкодження на етапах попередньої обробки;

-використання коригувальних програм з метою відновлення інформаційного потоку даних після відмов системи, а також з метою забезпечення подальшої правильної обробки даних.

Аутентифікація повідомлень – метод, що використовується для виявлення неавторизованих змін або спотворень змісту переданого інформаційного повідомлення.

Аутентифікація повідомлень може бути реалізована в апаратних засобах або програмному забезпеченні, що підтримують фізичний пристрій аутентифікації повідомлень або програмний алгоритм.

Аутентифікацію повідомлення необхідно розглядати для додатків, де є вимога безпеки щодо захисту цілісності змісту повідомлення, наприклад: електронні передачі фондів, специфікацій, контрактів, пропозицій і т.п., або інші подібні електронні обміни даних.

Аутентифікація повідомлень може включати:

-перевірки вірогідності вихідних даних та отримання підтвердження на їх прийняття;

-одержання та узгодження контрольних підрахунків на всіх етапах обробки даних системи;

-забезпечення достатньої кількості інформації щодо визначення достовірності, закінченості, точності і класифікації інформації, що представлена користувачу або наступній системі для подальшої обробки;

299

-процедури відповідей системи на зазначені тести з метою підтвердження вихідних даних та їх виходу;

-визначення обов’язків усього персоналу, залученого в процесі виводу даних.

Управління криптографічними заходами – процес захисту конфіденційності, доступності і цілісності інформації, а також встановлених мережних послуг на базі криптографічних методів та алгоритмів з метою запобігання несанкціонованому втручанню або змінам.

Криптографічні системи й методи використовуються для захисту інформаційних ресурсів та мережних послуг, що піддаються ризику у разі, якщо інші заходи і методи захисту не є адекватними.

Ухвалення рішення щодо ефективності впровадження криптографічних методів та засобів у конкретну систему, варто розглядати, як частину більш широкого процесу визначення загальної оцінки ризиків всієї інформаційної системи. Необхідно виконувати оцінку ризику для визначення та забезпечення відповідного рівня захисту інформаційних ресурсів та послуг системи. Ця оцінка повинна бути адекватною для визначення того, чи є криптографічний засіб ефективний, який тип управління варто застосовувати, для якої мети і яких бізнеспроцесів.

Організація повинна розробляти власну політику використання криптографічних методів і засобів для захисту її інформації та послуг. Політика використання криптографічних методів і засобів впроваджується

зметою досягнення максимуму соціального чи фінансового зросту підприємства й зведення до мінімуму ризиків.

Політика використання криптографічних методів і засобів повинна містити такі напрями:

1. Єдиний підхід до використання криптографічних методів і засобів захисту інформаційних ресурсів та послуг у всій організації, включаючи загальні принципи.

2. Єдиний підхід до управління ключами, включаючи методи, що мають справу з відновленням зашифрованої інформації у випадку втрати, компрометації або ушкодження ключів.

3. Ролі, обов’язки та відповідальність за: 3.1. реалізацію політики; 3.2. реалізацію процесу управління ключами;

3.4. визначення відповідного рівня криптографічного захисту;

3.5.визначення відповідної оцінки ефективності використання впровадженого рівня криптографічного захисту;

3.6.єдині стандарти та норми криптографічного захисту, прийняті для ефективної реалізації у всій організації (які рішення використовуються і для яких бізнес-процесів).

При реалізації криптографічної політики організації необхідно враховувати стандарти, нормативні документи, правила й національні обмеження, які могли б застосовуватися при використанні

300