1 Основные понятоя и особенносто программно-технического уровня информационной безопасносто [ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ] [Инстотут ИИБС, Кафедра ИСКТ] [Шумейко Е.В.]

2 Основные понятоя программно- технического уровня инф-ой безопасносто Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасносто. Напомним, что ущерб наносят в основном действия легальных пользователей, по отношению к которым процедурные регуляторы малоэффектовны. Главные враги - некомпетентность и неаккуратность при выполнении служебных обязанностей, и только программно-технические меры способны им протовостоять.

3 Основные понятоя программно- технического уровня инф-ой безопасносто Компьютеры помогли автоматозировать многие областо человеческой деятельносто. Вполне естественным представляется желание возложить на них и обеспечение собственной безопасносто. Даже физическую защиту все чаще поручают не охранникам, а интегрированным компьютерным системам, что позволяет одновременно отслеживать перемещения сотрудников и по организации, и по информационному пространству. Это вторая причина, объясняющая важность программно- технических мер.

4 Основные понятоя программно- технического уровня инф-ой безопасносто Следует, однако, учитывать, что быстрое развитое информационных технологий не только предоставляет обороняющимся новые возможносто, но и объектовно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно- технического уровня. Причин тому несколько: повышение быстродействия микросхем, развитое архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;

5 Основные понятоя программно- технического уровня инф-ой безопасносто развитое сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способностоканалов расширяют круг злоумышленников, имеющих техническую возможность организовывать атаки; появление новых информационных сервисов ведет и к образованию новых уязвимых мест как "внутри" сервисов, так и на их стыках;

6 Основные понятоя программно- технического уровня инф-ой безопасностоконкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что приводит к снижению качества тесторования и выпуску продуктов с дефектами защиты; навязываемая потребителям парадигма постоянного наращивания мощносто аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

7 Основные понятоя программно- технического уровня инф-ой безопасносто Перечисленные соображения лишний раз подчеркивают важность комплексного подхода к информационной безопасносто, а также необходимость гибкой позиции при выборе и сопровождении программно-технических регуляторов. Центральным для программно-технического уровня является понятое сервиса безопасносто.

8 Основные понятоя программно- технического уровня инф-ой безопасносто Следуя объектно-ориенторованному подходу, при рассмотрении информационной системы с единичным уровнем детализации мы увидим совокупность предоставляемых ею информационных сервисов. Назовем их основными. Чтобы они могли функционировать и обладали требуемыми свойствами, необходимо несколько уровней дополнительных (вспомогательных) сервисов - от СУБД и мониторов транзакций до ядра операционной системы и оборудования.

9 Основные понятоя программно- технического уровня инф-ой безопасносто К вспомогательным относятся сервисы безопасносто (мы уже сталкивались с ними при рассмотрении стандартов и спецификаций в областо ИБ); среди них нас в первую очередь будут интересовать универсальные, высокоуровневые, допускающие использование различными основными и вспомогательными сервисами. Далее мы рассмотрим следующие сервисы: идентофикация и аутентофикация; управление доступом; протоколирование и аудит; шифрование;

10 Основные понятоя программно- технического уровня инф-ой безопасностоконтроль целостносто; экранирование; анализ защищенносто; обеспечение отказоустойчивосто; обеспечение безопасного восстановления; туннелирование; управление. Будут описаны требования к сервисам безопасносто, их функциональность, возможные методы реализации и место в общей архитектуре.

11 Основные понятоя программно- технического уровня инф-ой безопасносто Если сопоставить приведенный перечень сервисов с классами функциональных требований "Общих критериев", то бросается в глаза их существенное несовпадение. Мы не будем рассматривать вопросы, связанные с приватностью, по следующей причине. На наш взгляд, сервис безопасносто, хотя бы часточно, должен находиться в распоряжении того, кого он защищает.

12 Основные понятоя программно- технического уровня инф-ой безопасносто В случае же с приватностью это не так: криточески важные компоненты сосредоточены не на клиентской, а на серверной стороне, так что приватность по существу оказывается свойством предлагаемой информационной услуги (в простейшем случае приватность достогается путем сохранения конфиденциальносто серверной регистрационной информации и защитой от перехвата данных, для чего достаточно перечисленных сервисов безопасносто).

13 Основные понятоя программно- технического уровня инф-ой безопасносто С другой стороны, наш перечень шире, чем в "Общих критериях", поскольку в него входят экранирование, анализ защищенносто и туннелирование. Это сервисы имеют важное значение сами по себе и, кроме того, могут комбинироваться с другими сервисами для получения таких необходимых защитных средств, как, например, виртуальные частные сето. Совокупность перечисленных выше сервисов безопасносто мы будем называть полным набором. Считается, что его, в принципе, достаточно для построения надежной защиты на программно-техническом уровне, правда, при соблюдении целого ряда дополнительных условий (отсутствие уязвимых мест, безопасное администрирование и т.д.).

14 Основные понятоя программно- технического уровня инф-ой безопасносто Для проведения классификации сервисов безопасносто и определения их места в общей архитектуре меры безопасносто можно разделить на следующие виды: превентовные, препятствующие нарушениям ИБ; меры обнаружения нарушений; локализующие, сужающие зону воздействия нарушений; меры по выявлению нарушителя; меры восстановления режима безопасносто.

15 Основные понятоя программно- технического уровня инф-ой безопасносто Большинство сервисов безопасносто попадает в число превентовных, и это, безусловно, правильно. Аудит и контроль целостносто способны помочь в обнаружении нарушений; актовный аудит, кроме того, позволяет запрограммировать реакцию на нарушение с целью локализации и/или прослеживания. Направленность сервисов отказоустойчивосто и безопасного восстановления очевидна. Наконец, управление играет инфраструктурную роль, обслуживая все аспекты ИС.

16 Особенносто современных инф-х систем, существенные с точки зрения без-то Информационная система топичной современной организации является весьма сложным образованием, построенным в многоуровневой архитектуре клиент/сервер, которое пользуется многочисленными внешними сервисами и, в свою очередь, предоставляет собственные сервисы вовне. Даже сравнительно небольшие магазины, обеспечивающие расчет с покупателями по пластоковым картам (и, конечно, имеющие внешний Web-сервер), зависят от своих информационных систем и, в частносто, от защищенносто всех компонентов систем и коммуникаций между ними.

17 Особенносто современных инф-х систем, существенные с точки зрения без-то С точки зрения безопасностонаиболее существенными представляются следующие аспекты современных ИС: корпоратовная сеть имеет несколько территориально разнесенных частей (поскольку организация располагается на нескольких производственных площадках), связи между которыми находятся в ведении внешнего поставщика сетевых услуг, выходя за пределы зоны, контролируемой организацией; корпоратовная сеть имеет одно или несколько подключений к Internet;

18 Особенносто современных инф-х систем, существенные с точки зрения без-тона каждой из производственных площадок могут находиться криточески важные серверы, в доступе к которым нуждаются сотрудники, работающие на других площадках, мобильные пользователи и, возможно, сотрудники других организаций; для доступа пользователей могут применяться не только компьютеры, но и потребительские устройства, использующие, в частносто, беспроводную связь; в течение одного сеанса работы пользователю приходится обращаться к нескольким информационным сервисам, опирающимся на разные аппаратно- программные платформы;

19 Особенносто современных инф-х систем, существенные с точки зрения без-ток доступносто информационных сервисов предъявляются жесткие требования, которые обычно выражаются в необходимостокруглосуточного функционирования с максимальным временем простоя порядка нескольких минут; информационная система представляет собой сеть с актовными агентами, то есть в процессе работы программные компоненты, такие как апплеты или сервлеты, передаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами; не все пользовательские системы контролируются сетевыми и/или системными администраторами организации;

20 Особенносто современных инф-х систем, существенные с точки зрения без-то программное обеспечение, особенно полученное по сето, не может считаться надежным, в нем могут быть ошибки, создающие проблемы в защите; конфигурация информационной системы постоянно изменяется на уровнях администратовных данных, программ и аппаратуры (меняется состав пользователей, их привилегии и версии программ, появляются новые сервисы, новая аппаратура и т.п.).

21 Особенносто современных инф-х систем, существенные с точки зрения без-то Следует учитывать еще по крайней мере два момента. Во- первых, для каждого сервиса основные грани ИБ (доступность, целостность, конфиденциальность) трактуются по-своему. Целостность с точки зрения системы управления базами данных и с точки зрения почтового сервера - вещи принципиально разные. Бессмысленно говорить о безопасносто локальной или иной сето вообще, если сеть включает в себя разнородные компоненты. Следует анализировать защищенность сервисов, функционирующих в сето.

22 Особенносто современных инф-х систем, существенные с точки зрения без-то Для разных сервисов и защиту строят по-разному. Во- вторых, основная угроза информационной безопасносто организаций по-прежнему исходит не от внешних злоумышленников, а от собственных сотрудников. В силу изложенных причин далее будут рассматриваться распределенные, разнородные, многосервисные, эволюционирующие системы. Соответственно, нас будут интересовать решения, ориенторованные на подобные конфигурации.

23 Архитектурная безопасность Сервисы безопасносто, какими бы мощными они ни были, сами по себе не могут гаранторовать надежность программно-технического уровня защиты. Только проверенная архитектура способна сделать эффектовным объединение сервисов, обеспечить управляемость информационной системы, ее способность развиваться и протовостоять новым угрозам при сохранении таких свойств, как высокая производительность, простота и удобство использования.

24 Архитектурная безопасность Теореточеской основой решения проблемы архитектурной безопасносто является следующее фундаментальное утверждение, которое мы уже приводили, рассматривая интерпретацию "Оранжевой книги" для сетевых конфигураций.

25 Архитектурная безопасность "Пусть каждый субъект (то есть процесс, действующий от имени какого-либо пользователя) заключен внутри одного компонента и может осуществлять непосредственный доступ к объектам только в пределах этого компонента. Далее пусть каждый компонент содержит свой монитор обращений, отслеживающий все локальные попытки доступа, и все мониторы проводят в жизнь согласованную политоку безопасносто. Пусть, наконец, коммуникационные каналы, связывающие компоненты, сохраняют конфиденциальность и целостность передаваемой информации. Тогда совокупность всех мониторов образует единый монитор обращений для всей сетевой конфигурации."

26 Архитектурная безопасность Обратом внимание на три принципа, содержащиеся в приведенном утверждении: необходимость выработки и проведения в жизнь единой политоки безопасносто; необходимость обеспечения конфиденциальносто и целостносто при сетевых взаимодействиях; необходимость формирования составных сервисов по содержательному принципу, чтобы каждый полученный таким образом компонент обладал полным набором защитных средств и с внешней точки зрения представлял собой единое целое (не должно быть информационных потоков, идущих к незащищенным сервисам).

27 Архитектурная безопасность Если какой-либо (составной) сервис не обладает полным набором защитных средств (состав полного набора описан выше), необходимо привлечение дополнительных сервисов, которые мы будем называть экранирующими. Экранирующие сервисы устанавливаются на путях доступа к недостаточно защищенным элементам; в принципе, один такой сервис может экранировать (защищать) сколь угодно большое число элементов.

28 Архитектурная безопасность С практоческой точки зрения наиболее важными являются следующие принципы архитектурной безопасносто: непрерывность защиты в пространстве и времени, невозможность миновать защитные средства; следование признанным стандартам, использование апробированных решений; организация ИС с небольшим числом сущностей на каждом уровне; усиление самого слабого звена; невозможность перехода в небезопасное состояние;

29 Архитектурная безопасность минимизация привилегий; разделение обязанностей; эшелонированность обороны; разнообразие защитных средств; простота и управляемость информационной системы. Поясним смысл перечисленных принципов.

30 Архитектурная безопасность Если у злоумышленника или недовольного пользователя появится возможность миновать защитные средства, он, разумеется, так и сделает. Определенные выше экранирующие сервисы должны исключить подобную возможность. Следование признанным стандартам и использование апробированных решений повышает надежность ИС и уменьшает вероятность попадания в тупиковую ситуацию, когда обеспечение безопасносто потребует непомерно больших затрат и принципиальных модификаций.

31 Архитектурная безопасность Иерархическая организация ИС с небольшим числом сущностей на каждом уровне необходима по технологическим соображениям. При нарушении данного принципа система станет неуправляемой и, следовательно, обеспечить ее безопасность будет невозможно. Надежность любой обороны определяется самым слабым звеном. Злоумышленник не будет бороться протов силы, он предпочтет легкую победу над слабостью. (Часто самым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасносто приобретает нетехнический характер.)

32 Архитектурная безопасность Принцип невозможносто перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Образно говоря, если в крепосто механизм подъемного моста ломается, мост оставляют поднятым, препятствуя проходу неприятеля.

33 Архитектурная безопасность Применительно к программно-техническому уровню принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей. Этот принцип позволяет уменьшить ущерб от случайных или умышленных некорректных действий пользователей и администраторов.

34 Архитектурная безопасность Принцип разделения обязанностей предполагает такое распределение ролей и ответственносто, чтобы один человек не мог нарушить криточески важный для организации процесс или создать брешь в защите по заказу злоумышленников. В частносто, соблюдение данного принципа особенно важно, чтобы предотвратоть злонамеренные или неквалифицированные действия системного администратора.

35 Архитектурная безопасность Принцип эшелонированносто обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентофикацией и аутентофикацией - управление доступом и, как последний рубеж, - протоколирование и аудит. Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а благодаря наличию такого рубежа, как протоколирование и аудит, его действия не останутся незамеченными.

36 Архитектурная безопасность Принцип разнообразия защитных средств предполагает создание различных по своему характеру оборонительных рубежей, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможносто, несовместомыми между собой навыками.

37 Архитектурная безопасность Очень важен принцип простоты и управляемосто информационной системы в целом и защитных средств в особенносто. Только для простого защитного средства можно формально или неформально доказать его корректность. Только в простой и управляемой системе можно проверить согласованность конфигурации различных компонентов и осуществлять централизованное администрирование.

38 Архитектурная безопасность В этой связи важно отметоть интегрирующую роль Web- сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (например, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в протовном случае система будет сложной и плохо управляемой.

39 Архитектурная безопасность Для обеспечения высокой доступносто (непрерывносто функционирования) необходимо соблюдать следующие принципы архитектурной безопасносто: внесение в конфигурацию той или иной формы избыточносто (резервное оборудование, запасные каналы связи и т.п.); наличие средств обнаружения нештатных ситуаций; наличие средств реконфигурирования для восстановления, изоляции и/или замены компонентов, отказавших или подвергшихся атаке на доступность;

40 Архитектурная безопасность рассредоточенность сетевого управления, отсутствие единой точки отказа; выделение подсетей и изоляция групп пользователей друг от друга. Данная мера, являющаяся обобщением разделения процессов на уровне операционной системы, ограничивает зону поражения при возможных нарушениях информационной безопасносто.

41 Архитектурная безопасность Еще один важный архитектурный принцип - минимизация объема защитных средств, выносимых на клиентские системы. Причин тому несколько: для доступа в корпоратовную сеть могут использоваться потребительские устройства с ограниченной функциональностью; конфигурацию клиентских систем трудно или невозможно контролировать. К необходимому минимуму следует отнесто реализацию сервисов безопасностона сетевом и транспортном уровнях и поддержку механизмов аутентофикации, устойчивых к сетевым угрозам.