Здавалка
Главная | Обратная связь

Політика безпеки для INTERNET



 

В організація та установах має бути відповідь на низку питань, щоб можна належним чином врахувати можливі наслідки підключення до Internet в галузі безпеки:

- чи можуть гакери зруйнувати внутрішні системи ?

- чи може бути скомпрометована, змінена чи прочитана важлива інформація організації в разі її передачі по Internet ?

- чи можна завадити роботі організації ?

Мета політики безпеки для Internet – прийняти рішення про те, як організація має намір захищатися. ПІБ складається з двох частин – загальних принципів та конкретних правил роботи. Загальні принципи визначають підхід до безпеки в Internet, а правила – що дозволено, а що заборонено; вони можуть бути доповнені конкретними процедурами та різними посібниками. Систему Internet під час проектування не планувалися, як захищену мережу, тому її проблемами в поточній версії TCP/IP є:

- простота перехоплення даних і фальсифікації адрес машин у мережі – основна частина трафіку Internet – нешифровані дані. E-mail, паролі й файли можуть бути перехоплені шляхом застосування доступних програм;

- вразливість засобів TCP/IP: низка засобів TCP/IP не були спроектовані як такі, що можуть бути захищеними, а також скомпрометованими кваліфікованими зловмисниками; засоби, застосовувані для тестування, є особливо вразливими;

- відсутність політики: багато сайтів внаслідок незнання сконструйовані таким чином, що надають широкий доступ до себе з боку Internet, при цьому враховується можливість зловживання цим доступом; багато сайтів дозволяють роботу більшої кількості сервісів TCP/IP, ніж їм потрібно, і не намагаються обмежити доступ до інформації про свої комп’ютери, якою можуть скористатися зловмисники;

- складність конфігурування: засоби управління доступом хосту є складними; часто важко сконструювати і перевірити ефективність установлень. Засоби, неправильно сконфігуровані, можуть призвести до неавторизованого доступу.

 

Умовно політику безпеки можна поділити на три рівні: верхній, середній, нижній. До верхнього рівня належать рішення, які стосуються організації в цілому. Вони є загальними і, як правило, походять від керівництва організації. Приблизний список названих рішень може містити в собі такі елементи:

- формування чи перегляд комплексної програми забезпечення інформаційної безпеки, визначення відповідальних за просування програми;

- формування цілей, які ставить перед собою організація в галузі інформаційної безпеки, визначення загальних напрямків досягнення цих цілей;

- забезпечення бази для дотримання законів і правил;

- формулювання управлінських рішень з тих питань реалізації програми безпеки, які треба розглядати на рівні організації в цілому.

 

Цілі політики верхнього рівня організації в галузі інформаційної безпеки формулюються в термінах цілісності, доступності й конфіденційності.

Якщо організація є відповідальною за підтримання критично важливих баз даних, на першому плані може стояти зменшення випадків втрат, пошкоджень чи спотворення даних. Для організації, яка займається продажами, ймовірно, важливою є актуальність інформаційних послуг, які вона надає, ціни, а також її доступність максимальній кількості потенційних покупців. Режимна організація опікується передусім захистом від несанкціонованого доступу – конфіденційності. На верхньому рівні розміщені управління захисними ресурсами і координація їх застосування, виділення спеціального персоналу для захисту критично важливих систем, підтримка контактів з іншими організаціями, які забезпечують чи контролюють режим безпеки. ПІБ верхнього рівня має чітко окреслювати сферу свого впливу. Можливо, це будуть всі комп’ютерні системи організації або ще більше, якщо ПІБ регламентує певні аспекти застосування співробітниками домашніх комп’ютерів. Можливою є така ситуація, коли в сфері впливу перебуватимуть лише найважливіші системи. В ПІБ потрібно визначити обов’язки посадових осіб з вироблення програми безпеки та з її втілення в життя; в цьому розумінні ПІБ є основою підзвітності персоналу. На верхній рівень виносять мінімальну кількість питань, які визначають значну економію засобів, або коли іншим чином діяти неможливо.

До середнього рівня належать питання, які стосуються окремих аспектів інформаційної безпеки, але важливих для різних систем, що їх експлуатує організація. Приклади таких питань – відношення до передових, але недостатньо перевірених технологій: доступ до Internet (поєднання свободи отримання інформації із захистом від зовнішніх загроз), застосування домашніх комп’ютерів, застосування користувачами неофіційного програмного забезпечення та ін.

Політика безпеки нижнього рівня стосується конкретних сервісів. Вона має два аспекти – цілі і правила їх досягнення, які її іноді важко відокремити від питань реалізації. На відміну від двох верхніх рівнів, розглядувана ПІБ має бути значно докладнішою. Є багато питань, специфічних для окремих сервісів, які неможливо єдиним чином регламентувати в межах всієї організації. Водночас вони є такими важливими для забезпечення режиму безпеки, що рішення, які стосуються їх треба приймати на управлінському, а не технічному рівні. Формулюючи цілі, ПІБ нижнього рівня може виходити з міркувань цілісності, доступності та конфіденційності, але вона не має на них зупинятися, її цілі мають бути конкретнішими. З цілей виводяться правила безпеки, які описують, хто, що і на яких умовах може робити. Чим конкретнішими є правила, чим більш формально їх викладено, тим простіше підтримати їх виконання програмно-технічними заходами. Проте надто жорсткі правила можуть стати завадою в роботі користувачів; імовірно, їх доведеться часто переглядати. Керівництву слід знайти компроміс, за якого будь-що буде забезпечено прийнятний рівень безпеки, а працівники не будуть надмірно скованими.

Інформація, яка циркулює в рамках ІС, є критично важливою, а ІС дає змогу користувачам розділити програми й дані, що збільшує ризик. Тобто кожний з комп’ютерів, які входять до мережі, потребує надійнішого захисту. ПІБ має своєю основною метою – продемонструвати співробітникам важливість захисту мережного середовища, описати їх роль у забезпеченні безпеки, а також розподілити конкретні обов’язки із захисту інформації, що циркулює в мережі, як і самої мережі. Щодо безпеки в Internet організація, можливо, може вимагати уточнення, чи охоплює це питання всі з’єднання, через які здійснюється робота з Internet, напряму чи опосередковано, або через з’єднання Internet. Це допоможе визначати, чи враховуються інші аспекти роботи в Internet, які не мають стосунку до безпеки, такі, як персональне застосування з’єднань з Internet.

Метою організації є забезпечення цілісності, доступності та конфіденційності даних, а також їх повноти та актуальності. Окремими цілями є:

- забезпечення рівня безпеки, який відповідає нормативним документам;

- додержування економічної доцільності у виборі захисних заходів, витрати на захист не мають перевищувати можливі збитки від порушення інформаційної безпеки;

- забезпечення безпеки в кожній функціональній галузі локальної мережі;

- забезпечення підзвітності всіх дій користувачів з інформацією та ресурсами;

- надання користувачам достатньої інформації для свідомої підтримки режиму безпеки;

- напрацювання планів поновлення після аварій та інших критичних ситуацій для всіх функціональних галузей з метою забезпечення неперервності роботи мережі;

- забезпечення відповідності чинним законам та загальноорганізаційній політиці безпеки.

 

Стиль документів з політики безпеки, як і перелік цих документів, може бути істотно різним для різних організацій.

ПІБ потребує опису її застосування, тобто треба уточнити, де, як, коли, ким і до чого застосовується певна політика. До сфери дії політики належать всі апаратні, програмні та інформаційні ресурси, які входять до локальної мережі підприємства. ПІБ орієнтується також на користувачів, які працюють з мережею, в тому числі на субпідрядників та постачальників. Слід визначити, де, коли, як та щодо кого застосовується певна політика безпеки.

Головною метою застосовуваних управлінських заходів забезпечення інформаційної безпеки є формування програми робіт у галузі інформаційної безпеки, забезпечення її виконання, надання відповідних ресурсів для цього та контроль стану справ. застосування інформаційних систем пов’язано з певною сукупністю ризиків. Якщо ризик є невиправдано великим, то слід вжити засоби захисту. Періодичне переоцінювання ризиків потрібні для контролю ефективності діяльності в галузі безпеки та для врахування змін обставин.

Політика інформаційної безпеки має містити загальний опис заборонених дій. Порушення політики безпеки може піддати локальну мережу та інформацію, яка в ній циркулює, неприпустимому ризику. Випадки порушення з боку персоналу повинні бути розглянуті керівництвом, щоб ужити адміністративних заходів.

Для ПІБ в Internet потрібен опис з певним ступенем деталізації діяльності, вказанням неприйнятних порушень та наслідків такої поведінки. Адміністративні покарання для співробітників повинні бути узгоджені з відповідними посадовими особами та відділами. Доцільно поставити конкретне завдання перед відділом організації з нагляду за дотриманням ПІБ.

У Web-серверах об’єктами доступу виступають універсальні локатори ресурсів (URL – Uniform (Universal) Resource Locator). За цими локаторами можуть критися різні сутності – HTML – файли, CGI – процедури та ін. Як правило, суб’єкти доступу ідентифікуються за IP – адресами та/або іменами комп’ютерів та галузей управління. Окрім того, можна застосувати парольну аутентифікацію користувачів або складніші схеми, які базуються на криптографічних технологіях. У більшості Web-серверів права розмежовуються з точністю до каталогів (директорій) із застосуванням довільного управління доступом. Можуть надаватися права на читання HTML – файлів, виконання CGI – процедур та ін. Для раннього виявлення намагання нелегального проникнення в Web-сервер важливим є регулярний аналіз реєстраційної інформації.

Захищаючи систему, на якій функціонує Web-сервер, треба дотримуватися універсальних рекомендацій, основною з яких є максимальне спрощення. Всі непотрібні сервіси, файли та пристрої видалити. Кількість користувачів, які мають прямий доступ до серверу, треба звести до мінімуму, а їхні привілеї впорядкувати відповідно до службових обов’язків. Інший загальний принцип полягає в тому, щоб мінімізувати обсяг інформації про сервер, яку можуть отримати користувачі. Багато серверів у разі звертання за іменем каталогу та відсутності файлу index.HTML в ньому видають HTML – варіант оголошення каталогу. В цьому оголошенні можуть міститися імена файлів з вихідними текстами CGI – процедур чи з іншою конфіденційною інформацією. Ці можливості доцільно відключати, оскільки зайва інформація, особливо для зловмисника, примножує проблеми власника серверу.

Методи, які застосовуються у відкритих мережах для перевірювання істинності об’єктів (аутентифікації), мають бути стійкими до пасивного і активного прослуховування мережі. Їх сутність така: суб’єкт демонструє знання секретного ключа, під час цьому ключ або взагалі не передається мережею, або передається в зашифрованому вигляді. Суб’єкт демонструє володіння програмним чи апаратним засобом генерації одноразових паролів або засобом, який працює в режимі «запит – відповідь». Тобто перехоплення і наступне відтворення одноразового паролю чи відповіді нічого не дає зловмиснику. Суб’єкт демонструє дійсність свого місцезнаходження, при цьому використовують систему навігаційних супутників.

Важливим завданням є захист потоків корпоративних даних, які передаються по відкритих каналах та мережах, які можна надійно захистити лише одним способом – криптографією. Так звані виділені лінії не мають особливих переваг над лініями загального користування з точки зору інформаційної безпеки. Вони хоча б частково містяться в неконтрольованій зона, де їх можна пошкодити або вчинити щодо них несанкціоноване підключення. Єдиною реальною перевагою є гарантована пропускна здатність виділених ліній, а не якась підвищена захищеність. Щоправда сучасні оптичні волоконні канали здатні задовольнити багатьох абонентів. Тому ця перевага не завжди є реальною. Природно покласти на міжсітьовий екран завдання шифрування та дешифрування корпоративного трафіку на шляху до зовнішньої мережі, та з неї. Щоб таке шифрування/дешифрування стало можливим, має відбутися початковий розподіл ключів. Сучасні криптографічні технології пропонують для цього низку методів. Після того, як міжсітьові екрани здійснили криптографічне закриття корпоративних потоків даних, територіальна розсіяність сегментів мережі виявляється лише в різній швидкості обміну з різними сегментами. Інакше вся мережа виглядає як єдине ціле, а абоненти не повинні залучати додаткові захисні засоби.

 

 







©2015 arhivinfo.ru Все права принадлежат авторам размещенных материалов.