Защита информации

Процесс проведения экспертизы, как правило, состоит из следующих основных этапов:

1. Подбор экспертов.

2. Проведение опроса.

3. Синтез экспертных  оценок.

Подбор экспертов осуществляется с учетом широты проблемы, достоверности  оценок, характеристик экспертов, а  также затрат ресурсов, необходимых  для проведения экспертизы. После завершения подбора экспертов производится опрос. Для проведения опроса могут использоваться следующие методы:

• дискуссия – наилучшим образом подходит для многостороннего критического анализа различных альтернатив;
• интервьюирование – целесообразно использовать для уточнения результатов, полученных другими методами опроса;
• мозговой штурм – предназначен для выработки новых вариантов решений, идей и т.п.;
• анкетирование – целесообразно применять для количественной или качественной оценки различных альтернативных вариантов по одному или нескольким критериям.

7. Формализация модели системы безопасности

Система защиты может быть представлена следующим многокортежным набором:

 

H = (D, S, П, M, С, G, A, P, U, V, O, F, B, R, T, N, L, Е, I, K), где:

 

D – множество типов (приоритетов) защищаемых данных;

S – множество оценок  стоимости данных;

П – множество оценок секретности данных;

M – множество источников  данных;

С – множество получателей  данных;

G – множество параметров  фильтрации на различных уровнях;

A – множество требований к сетевой аутентификации и аутентификации;

P – множество требований  по внедрению и ведению журналов  и учету;

U – множество объектов  защиты;

V – множество источников  угроз;

O – множество типов  угроз;

F – множество угроз;

B – множество вероятность проявления той или иной угрозы;

R – множество ожидаемого  ущерба при проявлении той  или иной угрозы;

T – множество аппаратных  средств системы защиты;

N – множество оценок  эффективности компонента разрабатываемой  системы защиты и набора правил фильтрации;

L – множество оценок  стоимости компонента разрабатываемой  системы и набора правил фильтрации;

Е – множество секретных  паролей;

I – множество имен  пользователей;

K – множество уровней  доступа.

Следует отметить, что  под аппаратными средствами системы защиты понимают компоненты разрабатываемой системы.

Каждому типу защищаемых данных d_i Î D, взаимооднозначно соответствует источник данных (пакет данных) m_b Î M (b = 1, 2, …, h) h - количество источников данных, и получатель данных (пакет данных) с_z  Î C (z = 1, 2, …, b), b - количество получателей данных, а также стоимость s_i Î S (i = 1, 2, …, r) и секретность p_ф   Î П (ф = 1, 2, …, q), r - количество типов данных, q - количество типов тайн.

Кроме того, каждому типу данных соответствует:

- множество параметров фильтрации на различных уровне {g_ji}, {g_ji} Ì G (j = 1, 2, …, w), w - количество параметров фильтрации данных i-го типа на различных уровнях;

- множество требований  к средствам сетевой аутентификации  и идентификации {a_ki}, {a_ki} Ì A (k = 1, 2, …, s), s - количество требований к средствам сетевой аутентификации для доступа к данным i-го типа;

- множество требований  по внедрению и ведению журналов  и учету {p_li}, {p_li} Ì P (l = 1, 2, …, y), y - множество требований по внедрению и ведению журналов и учету по доступу к данным i-го типа.

Объединение подмножеств {g_ji}, {a_ki}, {p_li} и {t_ni} для каждого i-го типа данных образуют объект защиты, соответствующий этому типу данных U = {ui} = {g_ji}  È {a_ki} È {p_li} È {t_ni}.

Каждому объекту защиты u_i Î U соответствует множество типов угроз {v_хi}, {v_хi} Ì V (x = 1, 2, …, t), t - количество источников угроз i-му объекту защиты.

 Каждому источнику  угроз v_хi соответствует множество типов угроз {o_lхi}, {o_lхi} Ì О (l = 1, 2, …, g), g - количество типов угроз, соответствующих источнику угроз vхi.

Каждому типу угроз o_lхi соответствует множество угроз {f_elхi}, {f_elхi} Ì F (e = 1, 2, …, e), e - количество угроз, соответствующих типу угроз olхi.

Каждой угрозе b_elхi взаимооднозначно соответствует вероятность ее проявления b_elхi, b_elхi Î B и ожидаемый ущерб r _elхi Î R.

Каждой угрозе b_elхi соответствует множество аппаратных средств (компонентов разрабатываемой системы) защиты данных {t_delхi}, {t_delхi} Ì T (d = 1, 2, …, c),  c - количество аппаратных средств (компонентов разрабатываемой системы) защиты данных i-го типа.

Каждому средству защиты данных t_delхi взаимооднозначно соответствует эффективность n, n _delхi Î N и стоимость l, l_delхi Î L.

Здесь необходимо отметить следующее:

• в качестве множества объектов защиты данных (U) будет выступать совокупность программных и аппаратных средств (межсетевой экран);
• в качестве множества аппаратных средств (компонентов разрабатываемой системы) защиты данных (T) будет выступать или одна из трех категорий разрабатываемой системы защиты или их сочетания.

Так как под множеством объектов защиты понимается совокупность:

• программных (что в свою очередь  состоит из: множества параметров фильтрации на различных уровнях G, множество требований к сетевой аутентификации A, множество требований по внедрению и ведению журналов и учету P);
• аппаратных средств (что в свою очередь и составляет множество аппаратных средств);

Поэтому множество объектов защиты U не только объединение подмножеств {g_ji}, {a_ki}, {p_li} и {t_ni} для каждого i-го типа данных, но и подмножество аппаратных средств, т.е. U = {u_i} = ({g_ji} È {a_ki} È {p_li} È {t_ni}) È {t_delхi}.

Определение приведенных  выше соответствий производится экспертами и специалистами, осуществляющими разработку системы безопасности СОИ АСУП для конкретной вычислительной сети, которая подлежит защите.

4. Распределенная система защиты информации

1. Модульная система защиты

Решаемые задачи могут  быть распределены между отдельными модулями, что в значительной степени  упрощает отслеживание работы системы  защиты. Эта модульность заключается в том, что все модули, решающие однотипные задачи объединены. При этом модули, решающие задачи, не перекликающиеся с задачами других модулей, являются функционально-независимыми, и поэтому их устанавливают на отдельных или устройствах, или реализовывать отдельными программными комплексами. При этом можно выделить следующие модули:

- База данных защиты (security database) – база данных, хранящая  информацию о правах доступа.  Сама база данных защиты хранится на отдельном сервере БД. Основу БДЗ составляет матрица доступа или ее представления. Каждый элемент этой матрицы представляет собой кортеж, определяющий права доступа (для всех возможных видов доступа) каждого субъекта к каждому объекту или другому субъекту.

- Сервер аутентификации  и идентификации (LDAP-сервер) является единым источником непротиворечивой информации о параметрах безопасности пользователей. К таким параметрам могут быть отнесены: во-первых идентификационные характеристики (полное имя пользователя), во-вторых - аутентификационные характеристики (пароль), в-третьих временные параметры, такие как время и дни, в которые разрешен доступ пользователю.

- модуль управления  как отдельными МЭ, так и отдельными  модулями системы безопасности. Предназначен для централизованного  управления различными политиками безопасности из единого места. В это модуле можно распределять сразу несколько различных политик безопасности.

- модуль регистрации  событий и генерации отчетов,  состоит из двух компонентов: Reporting Server - предназначен для сбора  данных от отдельных МЭ, их объединения, и генерации отчетов на основе имеющихся правил; Reporting Client - предназначен для задания правил для Reporting Server и отображения отчетов.

- модуль фильтрации  анализирует поступающие к нему пакеты данных и если какой-либо объект не соответствует критериям, содержащимся в БДЗ, то модуль либо блокирует его дальнейшее продвижение, либо выполняет соответствующие преобразования, например, обезвреживание обнаруженных компьютерных вирусов.

- модуль диспетчера  доступа, который должен выполнять следующие функции: проверять права доступа каждого субъекта к любому объекту на основании информации, содержащейся в базе данных защиты (правил разграничения доступа); при необходимости регистрировать факт доступа и его параметры в системном журнале.

2. Расширение функций системы защиты информации

Полнота и правильность управления требуют, возможности анализа и использования следующих элементов:

- информации о соединениях  – учет по адресам клиента  и сервера, номерам портов, идентификаторам  и аутентификаторам пользователей, времени сеансов, времени соединений, количеству переданных/принятых данных, действиям администратора и пользователей.

- истории соединений  – информации, полученной от предыдущих  соединений. Например, исходящая команда  PORT сессии FTP должна быть сохранена для того, чтобы в дальнейшем можно было проверить входящее соединение FTP data.

- состояния уровня  приложения – информации о  состоянии, полученной из других  приложений. Например, аутентифицированному  до настоящего момента пользователю можно предоставить доступ через брандмауэр только для авторизованных видов сервиса.

- проверки временных  параметров – затрата времени  на анализ одного пакета; продолжительности  времени, в течение которого  с данного IP-адреса не поступало  информации.

- анализа состояния  параметров разграничения доступа  – информация о результатах  проверки прав доступа. Например, пользователю изменен уровень  доступа по той или иной  причине к определенному объекту  сети, следовательно следует ли  пакет передавать на проверку агенту фильтрации, или его следует уничтожить.

- агрегирующих элементов  – вычислений разнообразных выражений,  основанных на всех вышеперечисленных  факторах.

Системы анализа аудита позволяют произвести анализ статистики и предоставляют администраторам подробные отчеты. За счет использования специальных протоколов посредники могут выполнить удаленное оповещение об определенных событиях в режиме реального времени.

Поэтому целесообразно  будет ввести дополнительный блок в  систему защиты – агент анализа аудита (рис. 4.1.). Задача которого будет заключаться в следующем: на основании информации, полученной из журнала регистрации событий и модуля управления вести журнал аудита. Данные из этого журнал будет предоставляться системному администратору по запросу или по мере необходимости (то есть периодически, через определенные интервалы времени). Обязательной должна быть реакция на обнаружение попыток выполнения несанкционированных действий заключающаяся в уведомлении администратора, т.е. выдача предупредительных сигналов.

В настоящее время  все чаще различные предприятия  создают филиалы, которые находятся  на значительном удалении от основного. В таких случаях сложно создать  единую систему защиты, поэтому чаще каждый филиал обладает своей системой безопасности. В этом случае может возникнуть сложность с отслеживанием атак на компьютеры предприятия, а следовательно и с их анализом (например атаки могут выполнять на разные филиалы, а следовательно и по разным IP-адресам, но с одной машины и с одного IP-адреса). Поэтому в данном случае будет целесообразней создать мощную систему анализа аудита, которая и будет собирать всю необходимую информацию от отдельных систем безопасности, а также анализировать ее, и на ее основе создавать соответствующие записи в журнале администратора и выдавать сигналы, соответствующие той или иной ситуации.

 

 

Рис. 4.1. Частный случай взаимодействия агентов, где агент анализа аудита позволяет произвести анализ статистики и предоставляют администратора подробные отчеты.

 

Так как для поддержания безопасности обмена данными, как между локальными сетями, так и при удаленном доступе к локальной сети, активно используется криптографическая защита потоков данных. Для этого система безопасности должна иметь в своем составе блок шифрации-дашифрации. Поэтому в разрабатываемой системе безопасности предусмотрим агента шифрации-дашифрации (рис. 4.2.).

Своевременное выявление  компьютерных вирусов жизненно важно  для объектов локальной сети. Механизмы  проверки содержимого потоков данных, входящие в состав системе защиты, предоставляют интегрированное решение для борьбы с вирусами, предлагая использование специальных антивирусных приложений. Данные приложения могут быть установлены как непосредственно в СЗИ, так и на отдельном компьютере, специально предназначенном для их выполнения.