Подсистема обеспечения информационной безопасности
В предыдущей главе были рассмотрены возможные угрозы и уязвимости для нашего технологического процесса. Исходя из этих соображений, мы разработаем для нашей системы подсистему обеспечения информационной безопасности.
Умная атс с фильтрацией
Так как общение с оператором магазина осуществляется по телефону, необходимо защищать телефонную линию.
Защищает от отказа в обслуживании, в случае большого количества звонков злоумышленников, с целью остановить работу магазина. Организация дозвона осуществляется в виде живой очереди. При поступлении звонка проверяется номер звонившего, и очереди выстраиваются в две линии, отдельно для тех, кто в белом списке, отдельно для тех, кто не в черном списке и не в белом. Звонки из черного списка немедленно сбрасываются.
Функция ИБ: Защита от DDoS-атак по телефонной линии.
Банк-эквайер
Предполагается, что на стороне банка-эквайера обеспечивается безопасная передача данных из POS-терминала филиала магазина.
Функция ИБ: Защита передаваемых данных о платежах.
База данных
Служит для хранения информации о клиентах, номеров телефонов, идентификаторов и прочих данных, необходимых для предоставления услуг.
Функция ИБ: Защита от хищения конфиденциальной информации. Логирование всех операций.
Web-сервер
Это автоматизированная система, к которой подключены рабочие станции операторов, позволяющая обрабатывать всю переданную клиентом информацию о заказах. Здесь происходит работа с БД, передача данных на информирующий сервер, подготовка оповещающих сообщений для клиента об изменении статуса заказа.
Функция ИБ: Проверка факторов аутентификации.
Шлюз сотового оператора и атс телефонной линии общего пользования.
Функция ИБ: Обеспечивают передачу телефонных номеров для средств автоматического определения номера, для взаимной аутентификации + АОН.
Внутренняя вычислительная сеть филиалов магазина
Рабочие станции операторов имеют доступ только во внутреннюю сеть, передача данных на шлюзы сотовых операторов односторонние, база данных не имеет доступа к интернету.
Основные компоненты обеспечения безопасности ЛВС магазина:
Защита рабочих станций от вредоносного ПО антивирусным ПО с персональным межсетевым экраном;
Защита БД правильной настройкой, антивирусным ПО;
Защита всех сервера антивирусным ПО и межсетевыми экранами, правильная конфигурация сети, не допускающая НСД в данную сеть;
Обеспечение записи истории всех действий операторов;
Все ПО для обеспечения деятельности операторов должно быть проверено на недокументированные возможности;
В филиалах магазина установлены маршрутизаторы фирмы Cisco 2621 с установленной операционной системой Cisco IOS, которая включает в себя механизмы IPS.
DMZ
В DMZ находятся Web-сервер, сервер СУБД, mail-сервер и DNS-сервер. При взаимодействии DMZ и филиалов магазина осуществляется контроль передаваемой информации с помощью межсетевого экрана.
На рисунке 7 представлена технологическая схема подсистемы обеспечения ИБ.
Рисунок 7 – Технологическая схема с учетом подсистемы обеспечения ИБ
Синими стрелками обозначены незащищенные каналы связи, красными стрелками обозначены защищенные каналы. Разноцветным треугольником обозначены устройства, оборудованные системой защиты информации.