CC BY
292
УДК 004.056.53
О ВЫБОРЕ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ ДЛЯ ГОСУДАРСТВЕННЫХ
ИНФОРМАЦИОННЫХ СИСТЕМ
А.П. Жумаева, В. А. Ялбаева, В.В. Селифанов, Д.Г. Макарова, П. А. Звягинцева, Д.В. Чернов
Рассматривается проблема выбора средств защиты информации, таких, как межсетевые экраны и средства обнаружения вторжений в государственных информационных системах. Актуальность данной проблемы обусловлена возросшей востребованностью в обеспечении информационной безопасности государственных интересов Российской Федерации. В настоящее время, не многие заказчики и операторы государственных информационных систем понимают важность комплексной защиты информации в информационных системах. Использование полученной злоумышленником информации может нанести серьезный ущерб. Именно поэтому необходимо осознанно подходить к выбору средств защиты информации в государственных информационных системах.
Ключевые слова: межсетевой экран, средство обнаружения вторжений, программное обеспечение, государственная информационная система, средство защиты информации, сетевая атака, уровень защиты информации, недекларированные возможности, сервер.
Выбор средств защиты информации (далее - СЗИ) является одним из наиболее важных этапов в построении комплексной системы обеспечения информационной безопасности в государственных информационных системах (далее - ГИС).
Начиная с 2011 года, произошел процесс изменения требований к СЗИ, связанный с переходом на систему требований нового поколения, основанный на международной серии стандартов ISO 15408, наиболее часто упоминаемый в литературе под названием - «общие критерии».
В процессе изменений требований все СЗИ получили классификацию по видам, классам и типам.
Под видом СЗИ понимается конкретное программное средство, которое используется в целях выполнения набора функций по защите информации. Это могут быть:
- антивирусные СЗИ должны выявлять и соответствующим образом реагировать на средства несанкционированного уничтожения, блокирования, модификации, копирования информации или нейтрализации СЗИ;
- межсетевые экраны (далее - МЭ) — средства, реализующие контроль за информацией, направленной в автоматизированную систему (далее- АС) или исходящей из нее, выполняя фильтрацию информации по заданным критериям;
- средства доверенной загрузки — программно-технические средства, реализующие функции по предотвращению несанкционированного доступа к программным и (или) техническим ресурсам средства вычислительной техники на этапе его загрузки;
- система обнаружения вторжений (далее - СОВ, соответствующий английский термин — Intrusion Detection System (IDS) — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через сети связи международного обмена.
Каждому виду СЗИ соответствует 6 классов защиты, которые зависят от уровня защищаемой информации:
- классы 1-3 применяются при обработке сведений, составляющих государственную тайну;
- классы 4-6 применяются при обработке информации ограниченного доступа и открытой информации.
В данной работе рассмотрены СЗИ, относящиеся к 4-6 классам.
Помимо вида и класса средства защиты, руководящими документами выделяется тип СЗИ в соответствии с физическим уровнем применения средства в действующей сети или на отдельных узлах, а также характером выполняемых защитных функций.
Защита ГИС нуждается не только в выборе СЗИ, но и обязательном выполнении ряда требований, определенных нормативно правовыми актами в области защиты информации РФ [2].
В соответствии с [1], для проектирования системы защиты ГИС необходимо:
- определить типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа);
- определить методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе;
- выбрать меры защиты информации, подлежащие реализации в системе защиты информации информационной системы;
- определить виды и типы средств защиты информации, обеспечивающие реализацию технических мер защиты информации;
- определить структура системы защиты информации, информационной системы, включая состав (количество) и места размещения ее элементов;
- осуществить выбор средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, с учетом их стоимости, совместимости с информационными технологиями и техническими средствами, функций безопасности этих средств и особенностей их реализации, а также класса защищенности информационной системы;
- определить требования к параметрам настройки программного обеспечения, включая программное обеспечение средств защиты информации, обеспечивающие реализацию мер защиты информации, а также устранение возможных уязвимостей информационной системы, приводящих к возникновению угроз безопасности информации;
- определить меры защиты информации при информационном взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями, в том числе с информационными системами уполномоченного лица, а также при применении вычислительных ресурсов (мощностей), предоставляемых уполномоченным лицом для обработки информации.
Как правило, виды применяемых СЗИ ГИС исходят их актуальных угроз. В данной работе мы остановимся на рассмотрении типов и классов СЗИ. Сузим область и рассмотрим не все виды средств защиты, а лишь несколько из них - межсетевые экраны и системы обнаружения вторжений, имеющие определяющее значение при построении стратегии обеспечения ИБ во всех информационных системах [2].
Классы защиты определяются в соответствии с [1].
Технические меры защиты информации реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности. При этом:
- в ГИС 1 класса защищенности применяются средства защиты информации не ниже 4 класса;
- в ГИС 2 класса защищенности применяются средства защиты информации не ниже 5 класса;
- в ГИС 3 класса защищенности применяются средства защиты информации 6
класса.
В ГИС 1 и 2 классов защищенности применяются СЗИ, прошедшие проверку не ниже, чем по 4 уровню контроля отсутствия недекларированных возможностей (далее - НДВ).
Как отмечено выше, для 2 класса ГИС необходимо обеспечить 4 уровень НДВ. Это подводит нас к более внимательному рассмотрению СЗИ для выявления лишних недекларированных (недокументированных) возможностей.
В соответствии с [3] уровень НДВ присутствует только для 4 класса СЗИ. Можно сделать вывод, что для выбора СЗИ для ГИС 2 класса в сертификате необходим не только 5 класс по СЗИ, но и не ниже 4 уровня НДВ.
Если посмотреть на перечень продукции американской транснациональной компании Cisco, разрабатывающей сетевое оборудование, предназначенное в основном для крупных организаций и телекоммуникационных предприятий а также сетевое и коммутационное оборудование ведущих иностранных производителей, то можно отметить наличие множества межсетевых экранов 5 класса, но при этом с отсутствующим уровнем контроля отсутствия НДВ
Немаловажным фактом является, то что если в ГИС обрабатываются персональные данные, то в соответствии с [4], для 3 уровня защищённости ГИС применяются средства защиты информации, прошедшие проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.
Рассмотрим подробнее типы межсетевых экранов. В соответствии с требованиями [5], выделены 5 типов межсетевых экранов:
- межсетевой экран уровня сети (тип «А») - межсетевой экран, применяемый на физической границе (периметре) информационной системы или между физическими границами сегментов информационной системы. Межсетевые экраны типа «А» могут иметь только программно-техническое исполнение;
- межсетевой экран уровня логических границ сети (тип «Б») - межсетевой экран, применяемый на логической границе (периметре) информационной системы или между логическими границами сегментов информационной системы. Межсетевые экраны типа «Б» могут иметь программное или программно-техническое исполнение;
- межсетевой экран уровня узла (тип «В») - межсетевой экран, применяемый на узле (хосте) информационной системы. Межсетевые экраны типа «В» могут иметь только программное исполнение и устанавливаются на мобильных или стационарных технических средствах конкретного узла информационной системы;
- межсетевой экран уровня веб-сервера (тип «Г») - межсетевой экран, применяемый на сервере, обслуживающем сайты, веб-службы и веб-приложения, или на физической границе сегмента таких серверов (сервера). Межсетевые экраны типа «Г» могут иметь программное или программно-техническое исполнение и должны обеспечивать контроль и фильтрацию информационных потоков по протоколу передачи гипертекста, проходящих к веб-серверу и от веб-сервера;
54
- межсетевой экран уровня промышленной сети (тип «Д») - межсетевой экран, применяемый в автоматизированной системе управления технологическими или производственными процессами. Межсетевые экраны типа «Д» могут иметь программное или программно-техническое исполнение и должны обеспечивать контроль и фильтрацию промышленных протоколов передачи данных (Modbus, Profibus, CAN, HART, IndustrialEthernet и (или) иные протоколы).
Если рассмотреть небольшие ГИС (до 20 автоматизированных рабочих мест интерпретаторов, оборудованных персональным компьютером с периферийными устройствами, для автоматизированной обработки и интерпретации материалов, а также выдачи результатов), то можно наблюдать две основные проблемы при выборе СЗИ:
1. Каждое рабочее место и сервер ограничивается типом В межсетевых экранов. При этом администраторы безопасности выбирают исключительно программные межсетевые экраны, так как для их использования достаточно лишь установить специальный софт. Обычно, заказчик ГИС с трудом можно найти компьютер, отвечающий всем техническим требованиям, зачастую довольно высоким;
2. Проблема, возникающая при работе с сервером через веб-браузер, при отсутствии межсетевого экрана типа Г, а также системы обнаружения вторжений (далее -СОВ). СОВ и межсетевой экран не позволяют злоумышленникам воздействовать на информационную систему посредством сетевых атак. Но отличаются они тем, что межсетевой экран ограничивает поступление на хост или подсеть определенных видов трафика для предотвращения вторжений и не отслеживает вторжения, происходящие внутри сети, а СОВ пропускает трафик, анализируя его и сигнализируя при обнаружении подозрительной активности. В данном случае опасен и внутренний и внешний нарушитель, так как вдобавок есть подключение к сетям связи международного обмена. В этом случае злоумышленник может реализовать атаки:
- взлом паролей;
- отключение/обход систем аудита;
- использование снифферов и sweepers (систем контроля содержимого);
- использование программ диагностики сети для получения необходимых
данных;
- подмена данных в IP-пакетах;
- атаки типа «отказ в обслуживании» (DoS);
- атаки на Web-серверы (CGI-скрипты).
Решение первой проблемы можно представить на примере сети, состоящей из 2 серверов, 2 сетевых принтеров, 10 рабочих мест, и одного коммутатора в соответствии с топологией сети представленной на рисунке.
При установке персонального межсетевого экрана (межсетевой экран типа «В» может иметь только программное исполнение) на домашний компьютер рядового пользователя, можно увидеть, что при таком простом коммутируемом подключении к Internet с динамически выделяемым IP-адресом он подвергается, по крайней мере, одной сетевой атаке (например: вирусы, троянские программы, распространение сетевого червя, логические бомбы, эксплойты, бот сети, руткиты, фишинг, фарминг) за каждые несколько часов работы в сети. А в рассматриваемом случае на сеть, состоящую из 10 рабочих станций количество осуществляемых сетевых атак увеличивается пропорционально росту узлов сети. При этом ущерб от любой из атак на сеть может многократно превысить не только стоимость системы безопасности, но и всей информационной сети.
Именно поэтому при проектировании системы защиты ГИС необходимо предусматривать установку специализированных программно-аппаратных комплексов (межсетевые экранов типа "А"), получивших название «security appliance». Работают они чаще всего на под управлением операционной системы Linux.
55
Топология рассматриваемой сети
Такое решение имеет следующие преимущества для заказчика ГИС:
- лёгкое и просто управление: контроль работы программно-аппаратного комплекса осуществляется с любого стандартного протокола (Telnet, SNMP) - или за-щищённого (SSL, SSH);
- высокая производительность: работа операционной системы направлена на одну единственную функцию, из неё исключены любые посторонние сервисы;
- отказоустойчивость: программно-аппаратные комплексы эффективно выполняют свою задачу, вероятность сбоя практически исключена;
Для решения второй проблемы рекомендуется устанавливать комплексную защиту, включающую в себя следующие средства защиты информации:
- межсетевой экран типа "А, Г". Среди примеров можно выделить ПАК ViPNet xFirewall — межсетевой экран, который устанавливается на границе сети, обеспечивает фильтрацию трафика на всех уровнях, позволяет создать гранулированную политику безопасности на основе учетных записей пользователей и списка приложений;
- системы обнаружения вторжений, среди которых можно выделить ViPNet IDS - программно-аппаратный комплекс, выполненный в виде отдельно стоящего сетевого устройства, предназначенный для обнаружения вторжений в информационные системы. Обнаружение осуществляется на основе динамического анализа сетевого трафика стека протоколов TCP/IP для протоколов всех уровней модели взаимодействия открытых систем, начиная с сетевого и заканчивая прикладным. Данная СОВ соответствует требованиям ФСБ России к системам обнаружения компьютерных атак класса В и может использоваться в органах государственной власти Российской Федерации в автоматизированных информационных системах, обрабатывающих информацию, не содержащую сведений, составляющих государственную тайну.
Выбор средств защиты информации, удовлетворяющих требованиям нормативно-правовых актов в области информационной безопасности, при построении системы защиты государственных информационных систем, позволяет обеспечить приемлемый уровень безопасности информационных ресурсов и избежать ущерба, связанного с деструктивными действиями потенциальных злоумышленников.
Список литературы
1. Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
2. Методический документ ФСТЭК России от 11.02.2014 г. «Меры защиты информации в государственных информационных системах».
3. Руководящий документ Защита от несанкционированного доступа к информации Часть 1. Программное обеспечение средств защиты информации Классификация по уровню контроля отсутствия недекларированных возможностей. Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 04.06.1999 г. № 114.
4. Приказ ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
5. Информационное сообщение ФСТЭК России от 28.04.2016 г. N 240/24/1986 «Об утверждении требований к межсетевым экранам».
Жумаева Алина Павловна, студент, zhumaevanalina@,gmail. ru, Россия, Новосибирск, Новосибирский государственный университет экономики и управления,
Ялбаева Валентина Андреевна, студент, [email protected], Россия, Новосибирск, Новосибирский государственный университет экономики и управления,
Селифанов Валентин Валерьевич, доцент, sfo1@,mail.ru, Россия, Новосибирск, Сибирский государственный университет геосистем и технологий,
Макарова Диана Георгиевна, ассистент, Diana_ssga@mail. ru, Россия, Новосибирск, Сибирский государственный университет геосистем и технологий,
Звягинцева Полина Александровна, старший преподаватель, p.a,[email protected], Россия, Новосибирск, Сибирский государственный университет геосистем и технологий,
Чернов Денис Владимирович, ассистент, cherncib@,gmail. com, Россия, Тула, Тульский государственный университет
ON THE SELECTION OF INFORMATION PROTECTION MEANS FOR GOVERNMENT
INFORMA TION SYSTEMS
A.P. Zhumaeva, V.A. Yalbaeva, V. V. Selifanov, D. G. Makarova, D. V. Chernov
This article deals with the problem of choosing the means of information security, such as firewalls and intrusion detection in public information systems. The relevance of this problem is due to the increased demand for information security of the state interests of the Russian Federation. Currently, few customers and operators of public information systems understand the importance of integrated information security in information systems. Using the information obtained by the attacker can cause serious damage. That is why it is necessary to consciously choose the means of information security in the state information systems.
Key words: firewall, intrusion detection tool, software, state information system, information protection tool, network attack, level of information protection, undeclared capabilities, server.
Zhumaeva Alina Pavlovna, student, zhumaevanalina@gmail. ru, Russia, Novosibirsk, Novosibirsk State University of Economics and Management,
Yalbaeva Valentina Andreevna, student, valya [email protected], Russia, Novosibirsk, Novosibirsk State University of Economics and Management,
Selifanov Valentin Valerievich, docent, sfo1@,mail.ru, Russia, Novosibirsk, Siberian State University of Geosystems and Technologies,
Makarova Diana Georgievna, assistant, Diana [email protected], Russia, Novosibirsk, Siberian State University of Geosystems and Technologies,
Zviagintseva Polina Aleksandrovna, Senior Lecturer, p. a, zvjaginceva@sgugit. ru, Russia, Novosibirsk, Siberian State University of Geosystems and Technologies,
Chernov Denis Vladimirovitch, assistant, cherncib@gmail. com, Russia, Tula, Tula State University
УДК 004.056.53
СОВРЕМЕННЫЕ ПОДХОДЫ К ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ АСУ ТП
Д.В. Чернов, А.А. Сычугов
Изложены современные принципы и подходы к обеспечению информационной безопасности автоматизированных систем управления технологическими процессами. Приведены примеры осуществления сложных атак на автоматизированные системы управления. Изложены основные положения нормативно-методической документации, учитывающей лучшие мировые и отечественные практики в области обеспечения информационной безопасности промышленных систем. Проведен анализ базовых наборов мер защиты информации автоматизированных систем управления технологическими процессами. Рассмотрены основные современные средства обеспечения доступности промышленных систем. Предложен новый подход и поставлена задача разработки системы анализа состояния технического объекта.
Ключевые слова: информационная безопасность, автоматизированные системы управления, критическая информационная инфраструктура, распределенные системы, обеспечение доступности, перераспределение ресурсов.
Автоматизированная система управления технологическими процессами (АСУ ТП) - группа решений технических и программных средств, предназначенных для автоматизации управления технологическим оборудованием на промышленных предприятиях. В современном мире АСУ ТП все больше становятся выгодной мишенью для потенциальных злоумышленников, ставящих своей целью нанести максимально возможный урон предприятию, отдельным гражданам или репутации государства.
58
