Принцип Невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах в том числе и нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ.
Принцип Минимизациии привилегий предписывает выделять пользователям и администраторам только те права доступа которые необходимы им для выполнения служебных обязанностей.
Принцип Разделения обязанностей предполагает такое распределение ролей и ответственности, при которой один человек не может нарушить критически важный для организации процесс. Это особенно важно для того чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора.
Принцип Разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными навыками и по возможности, несовместимыми между собой навыками (например умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем).
Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и, как последний рубеж, - протоколирование и аудит. Эшелонированная оборона способна по крайней мере задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий.
Очень важен принцип простоты и управляемости информационных систем вцелом и защитных средств в особенности. Только для простого защитного средства можно доказать формально или не формально его корректность или не корректность. Только в простой системе можно проверить согласованность конфигураций разных компонент и осуществить централизованное администрирование. В этой связи важно отметить интегрирующую роль веб сервиса скрывающего разнообразие обслуживающих объектов и представляющего единый наглядный интерфейс. Соответственно, если объект некоторого вида например таблицы баз данных доступны через веб, то необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудно управляемой.
Последний признак всеобщая поддержка мер безопасности носит не технический характер. Если пользователи или сисадмины считают ИБ чем то излишним или даже враждебным, режим безопасности сформировать заведомо не удастся. Следует с самого начала предусмотреть комплекс мер направленный на обеспечение лояльности персонала, на постоянное обучение- теоретическое и главное практическое.
Анализ рисков - важнейший этап выработки политики безопасности. При оценке рисков, которым подвержены Intranet-системы, нужно учитывать следующие обстоятельства:
• новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное - его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;
• новые (сетевые) сервисы и ассоциированные с ними угрозы.
Как правило, в Intranet-системах следует придерживаться принципа “все, что не разрешено, запрещено”, поскольку “лишний” сетевой сервис может предоставить канал проникновения в корпоративную систему. В принципе, ту же мысль выражает положение “все непонятное опасно”.
III.Архитектура системы программно-аппаратной защиты.
объекты угроз.
Классификация угроз по способу их осуществления:
необходима для формирования задач добавочной защиты информации
Угрозы явные:
1.Некорректность реализации механизма защиты
2.Некорректность(противоречивость) возможных настроек механизмов защиты
3.Неполнота покрытия каналов доступа к информации механизмами защиты
Скрытые:
1.нелагриментированные действия пользователя---->собственные программы пользователя
2. Ошибки закладки в ПО
Явные угрозы
В соответствии с данной классификацией угрозы компьютерной безопасности подразделяем на явные и скрытые. Под явными пониманием такие угрозы которые понятны и однозначно предсказуемы. Они не требуют для противодействия им каких либо дополнит сведений о статистике угроз и неочевидных предположений о возможных атаках злоумышленника.
Явные угрозы связаны с некорректной реализацией и настройкой системы защиты
Кратко прокомментируем классификацию явных угроз :
Некорректность реализации механизма защиты может быть проиллюстрирована невозможностью в Ос виндовс запретить доступ к системному диску «на запись», а так же невозможностью управлять доступом к не разделяемым системой и приложениями каталогам (например temp или корзина, мои документы и т.д). Это свою очередь не позволяет говорить о некорректности реализации механизма управления доступом к файловым объектам.
Если рассматривать винду от нт до 7 то можно отметить невозможность разграничить доступ к внешним устройствам(устройствам ввода) «на исполнение», что позволяет пользователям запускать любые программы с внешних носителей.
Неполнота покрытия каналов доступа может быть прокомментирована невозвожностью управления доступом к некоторым ресурсам защищаемого объекта, например, к виртуальному каналу связи. При этом ресурсы могут быть как локальными так сетевыми- в состава ЛВС.
Некорректность(противоречивость) возможных настроек механизмов защиты может рассматриваться в двух аспектах : собственно некорректность настроек и некорректность механизма(способа) задания настроек.
В первом случае идет речь о невозможности для механизма защиты задания корректных настроек как таковых, например, если для мандатного механизма управления доступом не реализован принцип задания настроек «все, что не разрешено, то запрещено»
во втором случае идет речь о настройке механизмов защиты в иерархической системе, где настройки может осуществлять как администратор безопасности, админ СУБД и приложений , Пользователь и т д. Например пользователь ОС может разделять ресурсы( делать доступными из сети), к которым ему разрешен доступ, администратор СУБД может осуществлять настройки встроенных в СУБД механизмов защиты, а пользователь самостоятельно может делегировать свою роль. В то же время очевидно что задача управления безопасностью должна решаться централизованно с доминирующей ролью администратора безопасности.
Скрыте угрозы.
Под скрытыми понимаем такие угорозы, которые не очевидны и требуют для противодействия им дополнит предположений о возможных атаках злоумышленника. Скрытые угрозы связаны с нерегламентированными действиями пользователя, прежде всего посредством запуска собственных программ, а также с использованием злоумышленником ошибок и закладок в системном и прикладном ПО.
При этом скрытая угроза может охарактеризована след двумя свойствами: характеристикой объекта угрозы(например, учетная запись пользователя),
а так же общей характеристикой атаки злоумышленника.(например, модификация учетной записи с применением собственно запущенной программы. Действий подобной программы множество, как известных, так и не известных).
С учетом сказанного можно сделать следующий вывод: любой механизм защиты должен проектироваться с учетом как явных так и скрытых(в том числе и неизвестных) угроз ИБ, так как только в этом случае можно говорить о возможности реализации механизмом защитных свойств.
Классификация объектов угроз
для обоснования структуры системы защиты необходимо рассмотреть классификацию объектов угроз.
К объектам могут быть отнесены:
1.информационные и иные ресурсы защищаемого объекта, включая локальные и сетевые (в составе ЛВС). К таковым могут быть отнесены собственно система (вход в систему), файловые объекты (локальные и разделяемые) и т.д.
2.программные средств защищаемого объекта
3. Настройки программного обеспечения
4. Аппаратные средства защищаемого объекта
1.1. Локальные ресурсы.
1.2. сетевые ресурсы.
2.1. Системное прикладное по
2.2по системы защиты
3.1 настройки системного и прикладного по(реестр ОС, файлы настроек ОС и приложений, настройки BIOS и.т.д)
3.2 настройки по системы защиты
4.1 оборудование защищаемого объекта(компьютера)
4.2 оборудование системы защиты
с учетом этой классификации к объектам могут быть отнесены:
1. Информационные и иные ресурсы защищаемого объекта включая локальные и сетевые к таковым могут быть отнесены собственно система (вход с систему), файловые объекты локально разделяет ые и т д
2. Программные средства защищаемого объекта включая программные средства Ос и приложений а так же ПО системы защиты. При этом должна быть обеспечена неизменность а при необходимости активность процессов, Драйвером динамических библиотек и т д
3. Настройки программного обеспечения включая настройки системного и прикладного ПО ( реестр Ос, файлы настроек ОС И Положений, настройки биос и тд) а так же настройки системы защиты.
4. Аппаратные средства защищаемого объекта включая собственно оборудование компьютера а так же оборудование системы защиты. При этом с целью Усиления защищенностии может использоваться дополнительное оборудование в частности плата для функционального расширения биос в части ввода пароля перед загрузкой системы с внешнего носителя.
2. Пункт. Функциональная модель системы защиты. Состав и назначение функциональных блоков.
Основные группы механизмов защиты. Функциональная модель .
Современными нормативными документами в области ЗИ в части защиты от несанкционированного доступа выделяется след группы механизмов защиты:
1. Механизмы авторизации пользователей
2. Механизмы управления доступа пользователей к ресурсам
3. Механизмы контроля целостности
4. Механизмы регистрации(аудита)
Функционально система защиты должна строится как иерархическая система -могут быть выделены основных уровней иерархии защиты. Выделение данных уровней и их реализация является необходимым(определяется формализованными требованиями) условием построения системы защиты.
В составе функциональной системы защиты полученной на основе анализа формализованных требований к системе защиты
Пользователь-->2.уровень авторизации пользователя при доступе к ресурсам системы-->3. Уровень управления доступом пользователя к ресурсам системы-->4. Уровень контроля целостности --> --> 5.1.РЕсурс 1 .... 5.2 .рЕсурс М
функциональная Модель системы добавочной защиты
1 пользователь --> 2.уровень авторизации пользователя при доступе к сИстеме--> 3.уровень управился доступом( разгареничейная прав доступа) пользователя к ресурсам системы--> 3.1.1 уровень контроля мониторинга активности ПО системы защитыф. 3.1.2 кровь контроля мониторинга галилеи оборудования контроля защиты 4.уровень контроля ( мониторинга) корректно сти выполнения функции защиты и контроля целостности --> -->5. ресУрс 1. .... РЕсурс М
сравнив эти две функциональные модели мы видим что с целью решения сформулированных задач добавочной защиты в модель защиты включены:
уровень контроля(мониторинга) ПО системы защиты
уровень контроля(мониторинга)наличия оборудования системы защиты
кроме того принципиально изменены функции уровня контроля целостности - данный уровень здесь функционально предназначен для контроля(мониторинга) корректности выполнения функций защиты и контроля целостности.
Рассмотрим назначение уровней защиты в этой функциональной модели:
Задачи решаемые на различных уровнях реализуются с учетом сформированных для них требований.
При этом каждый уровень защиты будем рассматривать как функциональный блок в представленной схеме.
1. Уровень авторизации пользователя при доступе к ресурсам системы. К пользователям в рамках уровневой модели защиты могут быть отнесены как пользователи приложений, решающие с использованием данного средства соответствующие производственные задачи, так и администратор безопасности, являющийся пользователем системы защиты.
Уровень авторизации пользователя обеспечивает проверку учетных параметров пользователя при доступе в систему и к системе защиты. Так же этим уровнем решается ряд вспомогательных задач, например, запуск процесса ( приложения) после авторизации ответственного лица.
Уровень управления доступом ( разграничения прав доступа)пользователя к ресурсам. Этот уровень реализует разграничительную схему доступа пользователей к ресурсам защищаемого объекта, а так же политику администрирования системы защиты в рамках выполнения политики информационной безопасности. Под системой защиты здесь понимаем соответствующие механизмы встроенные в Ос , СУБД, приложения а так же добавочные механизмы защиты.
Для решения задач управления доступом к ресурсам на этом уровне выделяются локальные и сетевые ресурсы. К локальным ресурсам требующим разграничения доступа пользователей относятся:
файловые объекты ( логические диски , каталоги, файлы),
устройства со сменными носителями(в частности дисковод и CD-ROM диски)
отчуждаемые физические носители(дискеты и CD-ROM диски) информации
коммуникационыне порты, локальные принтеры,
процессы( исполняемые файлы), в том числе процессы ОС, системы защиты и приложений- в части их модификации и запуска
Файлы настроек системы зашиты,
файлы настроек приложений,
при использовании СУБД- таблицы данных и таблицы Настроек.
К сетевым ресурсам (в составе ЛВС), требующим разграничения доступа
пользователей, относятся:
* разделяемые сетевые ресурсы (по протоколу NetBios для сети
к которым относятся разделяемые файловые объекты, устройства со сменными носителями (виртуальные каналы связи сети Microsoft);
» сетевые ресурсы, например, по протоколу TCP/IP протоколы), виртуальные каналы связи сети TCP/IP;
« сетевые принтеры; сетевые службы и приложения (в том числе приложения информационных систем, например, СУБД), в части их модификации и запуска; файлы настроек сетевых служб и приложений и т.д.
Разграничительная политика рассматривается как в виде разграничения доступа к ресурсам, так и в виде функций, реализующих разрешенный доступ (например, чтение, запись, исполнение и др). Решение задач разграничения доступа пользователей к ресурсам предполагает и реализацию процедур возврата коллективно используемого ресурса в исходное состояние для его предоставления другому пользователю (например, очистка
оперативной и внешней памяти).
На этом уровне также решается задача распределения функций администрирования безопасностью системы между пользователями, системным (сетевым) администратором, администраторами СУБД и приложений, администратором безопасности. При этом решается задача централизации схемы администрирования безопасности, в рамках которой изменение настроек безопасности
на различных уровнях иерархии системы должно осуществляться только при непосредственном контроле со стороны администратора безопасности.