Основные аспекты создания системы защиты периметра корпоративной информационной системы Текст научной статьи по специальности «Компьютерные и информационные науки»

ОСНОВНЫЕ АСПЕКТЫ СОЗДАНИЯ СИСТЕМЫ ЗАЩИТЫ ПЕРИМЕТРА КОРПОРАТИВНОЙ ИНФОРМАЦИОННОЙ

СИСТЕМЫ

Н.В.Ермаков, К.В.Строганов Научные руководители - д.т.н., профессор Ю.А. Гатчин, д.т.н., профессор А.Г. Коробейников

Цель статьи - осветить основные аспекты, необходимые для создания системы безопасного взаимодействия корпоративной информационной системы предприятия с единой вычислительной сетью передачи данных и с глобальной сетью Интернет.

Введение

В процессе взаимодействия корпоративной информационной системы (далее КИС) предприятия с единой вычислительной сетью передачи данных (далее ЕВСПД) объективно существует возможность:

1. несанкционированного доступа внешних и внутренних пользователей к информационным ресурсам КИС и внутренних пользователей к внешней сети;

2. получения информации о структуре локальной вычислительной сети и ее компонентов внешними пользователями;

3. атак, нарушающих или создающих предпосылки к нарушению требований по безопасности информации КИС.

Исходя из этого, должен быть, создан комплекс средств защиты периметра корпоративной информационной системы (далее - КСЗП КИС) предприятия. Разработка КСЗП КИС должна проводиться на основании документов, регламентирующих информационную безопасность всей распределенной сети передачи данных в целом и корпоративной информационной системы предприятия, в частности.

Цели обеспечения безопасности информации в КИС предприятия

Основной целью обеспечения защиты информации в КИС являются нейтрализация потенциальных угроз информационной безопасности и предотвращение нанесения ущерба в экономической сфере, внутриполитической, международных сферах, а также в области науки и техники в результате возможной утечки информации, несанкционированного или непреднамеренного воздействия на нее и/или на информационные системы. Для формирования грамотного технического решения, необходимо провести комплексный анализ всех факторов влияющих на информационную безопасность предприятия. Основной целью работ по анализу угроз является идентификация существующих уязвимостей информационной системы, идентификация угроз нарушения информационной безопасности и оценка результатов их потенциального воздействия, как на обследуемую информационную систему организации, так и на деятельность организации в целом. Анализ проводится для оценки угроз нарушения информационной безопасности и разработки рекомендаций по устранению выявленных уязвимостей в КИС предприятия.

Анализ угроз дает возможность:

• идентифицировать критичные ресурсы информационной системы;

• адекватно оценить существующие угрозы;

• сформировать перечень наиболее опасных уязвимых мест, угроз и потенциальных злоумышленников;

• выработать адекватные требования по защите информации;

• получить определенный уровень гарантий, основанный на объективном экспертном заключении.

В ходе анализа осуществляется:

1. классификация информационных ресурсов;

2. составление модели источника угроз (в том числе модели потенциального нарушителя);

3. идентификация и оценка угроз нарушения информационной безопасности;

4. анализ уязвимостей;

5. разработка рекомендаций по устранению выявленных уязвимостей.

Классификация информационных ресурсов

Проведенный анализ КИС предприятия позволит выделить объекты (физические, информационные) и субъекты защиты информации и их характеристики. Результаты анализа могут быть представлены в виде табл. 1-3.

Структурный компонент Тип объекта защиты Наименование объектов защиты Функции объекта защиты Расположение

КИС предприятия 1.АРМ 1.1. АРМ КИС

2. Серверы 2.1. Серверное оборудование

3. Коммуникационное оборудование Концентраторы/ коммутаторы

3.1. Маршрутизаторы

3.2. Модемы

3.3. Кабельные каналы и трассы

3.4. Сетевые розетки

Таблица 1. Физические объекты защиты

Класс информационного объекта защиты Наименование информационного объекта защиты Принадлежность физическому объекту защиты Носитель информации

Данные, выдаваемые в канал связи 1.1. Документы (в том числе электронные письма)

1.2.Запросы БД

1.3. Отчеты БД

Таблица 2. Информационные объекты защиты

Уровень возможностей нарушителя Субъекты информационной безопасности Режим работы Объект защиты

Первый уровень - возможность запуска программ из фиксированного набора, реализующих заранее предусмотренные функции по обработке информации Пользователь АРМ, пользователь сети

Второй уровень - возможность создания и запуска собственных программ с новыми функциями по обработке информации Прикладной программист разработчик программного обеспечения

Таблица 3. Возможная модель нарушителя

Уровень возможностей нарушителя Субъекты информационной безопасности Режим работы Объект защиты

Третий уровень - возможность получения управления функционированием системы, а также воздействия на базовое программное обеспечение, состав и конфигурацию оборудования Системный программист, администратор сервера (ЛВС), администратор информационной системы (базы данных), разработчик

Четвертый уровень - возможность проектирования, установки и ремонта средств электронно-вычислительной техники, вплоть до включения в их состав собственных технических и программных средств с новыми функциями по обработке информации Администратор информационной системы, администратор сервера (ЛВС), администратор безопасности информации, разработчик системы, разработчик средств защиты информации, обслуживающий персонал

Таблица 3 (продолжение). Возможная модель нарушителя

Решения по структуре КСЗП КИС предприятия

Для защиты информации КИС предприятия можно руководствоваться стратегией защиты информации на основе анализа модели нарушителя.

Основными классами угроз информационным ресурсам КИС предприятия являются нарушение целостности, доступности и конфиденциальности информации, обрабатываемой и хранящейся на серверах различных сегментов ЛВС, входящих в КИС предприятия. На втором месте находятся угрозы АРМам КИС предприятия, на которых обрабатывается конфиденциальная и критическая информация. Для серверов и АРМ КИС предприятия эти угрозы исходят, в основном, от внутренних пользователей сегментов КИС, а также со стороны сети ЕВСПД, необходимой для информационного взаимодействия между географически распределенными филиалами.

Для защиты от указанных выше основных и прочих угроз необходимо:

1. для управления КСЗП КИС предприятия использовать АРМ администратора безопасности, который предполагается расположить в ЛВС предприятия;

2. организовать физическое разделение ЛВС, выделив сегмент демилитаризованной зоны;

3. в КИС предприятия организовать защиту информации, для чего:

• обеспечивать фильтрацию входящего/исходящего трафика в соответствии с разработанными политиками доступа;

• выполнять трансляцию сетевых адресов для сокрытия внутренней структуры КИС;

• уведомлять администратора безопасности о попытках несанкционированных действий и других подозрительных событиях;

• регистрировать события с задаваемым уровнем детализации;

• выявлять атаки на информационные ресурсы КИС;

• уведомлять об атаке путем выдачи сообщения администратору безопасности;

• регистрировать события о выявленных атаках в базе данных;

• предотвращать атаки путем блокировки, завершения сессии с атакующим узлом и управления настройками межсетевого экрана;

• обеспечивать авторизованный защищенный доступ к средствам межсетевого экранирования, обнаружения и предотвращения вторжений.

Для выполнения вышеперечисленного необходимо на границе между КИС и ЕВСПД установить межсетевые экраны с глубокой инспекцией пакетов для разграничения доступа в/из КИС предприятия и контроля информационного обмена путем дополнительной аутентификации пользователей

Для реализации структуры КСЗП КИС предприятия в виде конкретных технических решений можно произвести ее декомпозицию на подсистемы. Выделим в КСЗП КИС предприятия следующие подсистемы:

1. подсистема межсетевого экранирования;

2. подсистема обнаружения и предотвращения вторжений;

3. подсистема управления защитой периметра КИС;

Опишем в отдельности каждую подсистему и уточним выполняемые ими функции.

Подсистема межсетевого экранирования

Подсистема межсетевого экранирования предназначена для защиты информации объектов КИС предприятия от несанкционированного удаленного доступа, сокрытия информации о структуре ЛВС и ее компонентов от внешних пользователей, разграничения доступа из КИС во внешнюю сеть и из внешней сети в КИС. Подсистема должна выполнять следующие функции:

• фильтрация входящего/исходящего трафика в соответствии с разработанными политиками доступа;

• идентификация и аутентификация пользователей на основе имени пользователя и его учетной записи;

• трансляция сетевых адресов для сокрытия внутренней структуры КИС;

• уведомление администратора безопасности о попытках несанкционированных действий и других подозрительных событиях;

• регистрация событий с задаваемым уровнем детализации;

• организация демилитаризованной зоны;

• резервирование с возможностью восстановления.

Подсистема обнаружения и предотвращения вторжений

Подсистема обнаружения и предотвращения вторжений предназначена для обнаружения и предотвращения атак, нарушающих или создающих предпосылки к нарушению требований по безопасности информации в КИС. Средствами подсистемы обнаружения и предотвращения вторжений должны быть реализованы следующие функции:

• выявление атак на информационные ресурсы КИС;

• уведомление об атаке путем выдачи сообщения администратору безопасности;

• регистрация событий об выявленных атаках в базе данных;

• предотвращение атак путем блокировки работы атакующего, завершения сессии с атакующим узлом и управления настройками межсетевого экрана.

Подсистема управления защитой периметра КИС

Подсистема управления защитой периметра КИС предприятия предназначена для управления программными и техническими компонентами подсистем КСЗП, установленными в рамках данного проекта. Средства подсистемы должны обеспечивать возможность управления средствами, входящими в состав КСЗП. Подсистема управления защитой периметра должна реализовывать следующие функции:

• авторизованный защищенный доступ к средствам межсетевого экранирования, обнаружения и предотвращения вторжений;

• настройка политик безопасности для подсистем межсетевого экранирования, обнаружения и предотвращения вторжений;

• сбор статистики;

• генерация отчетов;

• управление средствами межсетевого экранирования и обнаружения и предотвращения вторжений.

Заключение

В результате проведенной декомпозиции по подсистемам выделяется перечень функций, которые должны обеспечиваться техническими решениями, применяемыми в КСЗП КИС предприятия. Выбор технических решений по выявленным подсистемам остается за рамками данной статьи, так как требует углубленного рассмотрения соответствия предлагаемых на рынке программно-аппаратных средств защиты требованиям к конкретной подсистеме.

Литература

1. Концепция защиты СВТ и АС от НСД к информации. 1998 г.

2. Защита от несанкционированного доступа к информации. Термины и определения. 1998.

3. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. 1998.

4. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации. 1998.

5. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. 1998.