Файл: Система защиты информации в банковских системах (Банковская сеть, модели внутренней и внешней угрозы).pdf

Полезной для оценки последствий действий нарушителя представляется классификация нарушителей безопасности. Для примера используем в качестве основания цель проникновения в информационную систему организации:

- исследователь (удовлетворение собственного любопытства, развитие профессиональных навыков, анализ разработок и т.д.);

- конкурент (промышленный шпионаж, дискредитация конкурента, получение новых конкурентных преимуществ и т.д.);

- шантажист (получение вознаграждения за необнародование полученной информации, приобретение нематериальных преимуществ (профессиональный рост, условия контракта, служебные преференции и т.д.));

- террорист (разрушение или применение полученной информации для экстремистских, политических, экономических или экологических целей);

- вредитель (слабо-мотивированное или немотивированное деструктивное воздействие на информационные ресурсы без ярко выраженной материальной или личностной заинтересованности).^[15]

Следует понимать, что при использовании моделей, как и любого другого инструментария, существуют определенные требования и ограничения, соблюдение которых обеспечивает эффективное решение задач анализа, синтеза и управления в системах информационной безопасности.

Перечислим и кратко охарактеризуем некоторые из них:

- моделями должны пользоваться квалифицированные специалисты - профессионалы в области защиты информации, которые могли бы в каждой конкретной ситуации выбрать наиболее эффективную модель и критически оценить степень адекватности получаемых решений;

- модели следует использовать не просто для получения конкретных значений показателей уязвимости, а для оценки поведения этих значений при варьировании значимых исходных параметров в возможных диапазонах их изменений. В этом плане модели определения значений показателей уязвимости могут служить весьма ценным инструментом при проведении деловых игр по защите информации;

- для оценки адекватности моделей, исходных данных и получаемых решений надо как можно шире привлекать квалифицированных и опытных экспертов.^[16]

2.2 Несанкционированный доступ – реальность угрозы безопасности.

На сегодняшний день наиболее распространены три способа воровства конфиденциальной информации. Во-первых, физический доступ к местам ее хранения и обработки. Здесь существует множество вариантов. Например, злоумышленники могут забраться в офис банка ночью и украсть жесткие диски со всеми базами данных. Возможен даже вооруженный налет, целью которого являются не деньги, а информация. Не исключена ситуация, когда сам сотрудник банка может вынести носитель информации за пределы территории.

Во-вторых, использование резервных копий. В большинстве банков системы резервирования важных данных основаны на стримерах. Они записывают создаваемые копии на магнитные ленты, которые потом хранятся в отдельном месте. Доступ к ним регламентируется гораздо более мягко. При их транспортировке и хранении относительно большое количество человек может снять с них копии. Риски, связанные с резервным копированием конфиденциальных данных, нельзя недооценивать. Например, большинство экспертов уверено, что появившиеся в продаже в 2005 году базы данных проводок Центрального Банка РФ были украдены именно благодаря снятым с магнитных лент копиям. В мировой практике известно немало подобных инцидентов. В частности, в сентябре прошлого года сотрудники компании Chase Card Services (подразделение JPMorgan Chase & Co.), поставщика кредитных карт, по ошибке выкинули пять магнитных лент с резервными копиями, содержащими информацию о 2,6 млн. владельцев кредитных счетов Circuit City^[17].

В-третьих, наиболее вероятный способ утечки конфиденциальной информации — несанкционированный доступ сотрудниками банка. При использовании для разделения прав только стандартных средств операционных систем у пользователей нередко существует возможность опосредованно (с помощью определенного ПО) целиком скопировать базы данных, с которыми они работают, и вынести их за пределы компании. Иногда сотрудники делают это без всякого злого умысла, просто чтобы поработать с информацией дома. Однако такие действия являются серьезнейшим нарушением политики безопасности и они могут стать (и становятся!) причиной огласки конфиденциальных данных.

Кроме того, в любом банке есть группа людей, обладающих в локальной сети повышенными привилегиями. Речь идет о системных администраторах. С одной стороны, это необходимо им для выполнения служебных обязанностей. Но, с другой стороны, у них появляется возможность получить доступ к любой информации и «замести следы».

Таким образом, система защиты банковской информации от несанкционированного доступа должна состоять как минимум из трех подсистем, каждая из которых обеспечивает защиту от своего вида угроз. Это подсистема защиты от физического доступа к данным, подсистема обеспечения безопасности резервных копий и подсистема защиты от инсайдеров. И желательно не пренебрегать ни одной из них, поскольку каждая угроза может стать причиной разглашения конфиденциальных данных.

2.3 Защита резервных копий

Регулярное резервирование всей хранящейся в банке информации — абсолютно необходимая мера. Она позволяет существенно снизить убытки в случае возникновения таких проблем, как порча данных вирусами, выход из строя аппаратного обеспечения и т.п. Но в то же время она усиливает риски, связанные с несанкционированным доступом. Практика показывает, что носители, на которые записываются резервные копии, должны храниться не в серверной комнате, а в другом помещении или даже здании. В противном случае при возникновении пожара или другого серьезного инцидента безвозвратно утерянными могут оказаться как сами данные, так и их архивы. Надежно защитить резервные копии от несанкционированного использования можно только с помощью криптографии. В этом случае, храня ключ шифрования у себя, офицер безопасности может спокойно передавать носители с архивами техническому персоналу^[18].

Основная сложность в организации криптографической защиты резервных копий заключается в необходимости разделения обязанностей по управлению архивированием данных. Настраивать и осуществлять сам процесс резервного копирования должен системный администратор или другой технический сотрудник. Управлять же шифрованием информации должен ответственный сотрудник — офицер безопасности. При этом необходимо понимать, что резервирование в подавляющем большинстве случаев осуществляется в автоматическом режиме. Решить эту проблему можно только путем «встраивания» системы криптографической защиты между системой управления резервным копированием и устройствами, которые осуществляют запись данных (стримеры, DVD-приводы и т.п.).

Таким образом, криптографические продукты для возможности их применения в банках должны также иметь возможность работы с различными устройствами, использующимися для записи резервных копий на носители информации: стримерами, CD- и DVD-приводами, съемными жесткими дисками и т.п.^[19]

На сегодня существуют три типа продуктов, призванных минимизировать риски, связанные с несанкционированным доступом к резервным копиям. К первому относятся специальные устройства. Такие аппаратные решения имеют множество преимуществ, в том числе и надежное шифрование информации, и высокая скорость работы. Однако они обладают тремя существенными недостатками, которые не позволяют использовать их в банках. Первый: очень высокая стоимость (десятки тысяч долларов). Второй: возможные проблемы c ввозом в Россию (нельзя забывать, что мы говорим о криптографических средствах). Третий минус заключается в невозможности подключить к ним внешние сертифицированные криптопровайдеры. Эти платы работают только с реализованными в них на аппаратном уровне алгоритмами шифрования.

Вторую группу систем защиты криптографической защиты резервных копий составляют модули, которые предлагают своим клиентам разработчики программного и аппаратного обеспечения для резервного копирования. Существуют они для всех наиболее известных в данной области продуктов: ArcServe, Veritas Backup Exec и др. Правда, и у них есть свои особенности. Самая главная — это работа только со «своим» ПО или накопителем. Между тем информационная система банка постоянно развивается. И возможна ситуация, когда замена или расширение системы резервного копирования может потребовать дополнительных затрат на модификацию системы защиты. Кроме того, в большинстве продуктов этой группы реализованы старые медленные алгоритмы шифрования (например, 3DES), нет средств управления ключами, отсутствует возможность подключения внешних криптопровайдеров.^[20]

Все это заставляет обратить самое пристальное внимание на системы криптографической защиты резервных копий из третьей группы. К ней относятся специально разработанные программные, программно-аппаратные и аппаратные продукты, не привязанные к конкретным системам архивирования данных. Они поддерживают широкий спектр устройств записи информации, что позволяет применять их во всем банке, включая и все его филиалы. Это обеспечивает единообразие используемых средств защиты и минимизацию эксплуатационных затрат.

Правда, стоит отметить, что, несмотря на все их преимущества, на рынке представлено совсем немного продуктов из третьей группы. Это объясняется, скорее всего, отсутствием большого спроса на системы криптографической защиты резервных копий. Как только руководство банков и прочих крупных организаций осознает реальность рисков, связанных с архивированием коммерческой информации, число игроков на этом рынке вырастет

Заключение

В заключении данной курсовой работы были сделаны следующие выводы:

В первой главе были рассмотрены теоретические аспекты угроз безопасности информации в банковских системах. Было дано определение защиты информации, также была проанализирована классификация угроз их виды. Рассмотрены принципы построения угроз. Все это дает полную картину о необходимости и целесообразности осуществления защиты информации.

Во второй главе была проанализирована методология защиты информации в банках Российской Федерации.

Цели защиты информации следующие:

1) предотвращение утечки конфиденциальной информации.

2) потеря денежных средств.

Все эти цели направлены на обеспечение сохранения капитала, посредством сохранения информации. Это нужно для того, чтобы обеспечить высокий уровень статуса того или иного банка.

Сегодня на рынке есть продукты, с помощью которых любой банк может организовать надежную систему защиты информации от несанкционированного доступа и нецелевого использования. Правда, при их выборе нужно быть очень осмотрительным. В идеале этим должны заниматься собственные специалисты соответствующего уровня. Допускается использование услуг посторонних компаний. Однако в этом случае возможна ситуация, когда банку будет искусно навязано не адекватное программное обеспечение, а то, которое выгодно фирме-поставщику. Кроме того, отечественный рынок консалтинга в области информационной безопасности находится в зачаточном состоянии.

Между тем сделать правильный выбор совсем несложно. Достаточно вооружиться перечисленными критериями и внимательно изучить рынок систем безопасности. В идеальном случае система информационной безопасности банка должна быть единой. То есть все подсистемы должны интегрироваться в существующую информационную систему и, желательно, иметь общее управление. В противном случае неминуемы повышенные трудозатраты на администрирование защиты и увеличение рисков из-за ошибок в управлении. Поэтому для построения подсистем защиты лучше выбирать продукты, выпущенные одним разработчиком. Сегодня в России есть компании, которые создают все необходимое для защиты банковской информации от несанкционированного доступа.

Библиография

1. Секреты и ложь. Безопасность данных в цифровом мире / Б. Шнайер. - СПб: Питер, 2003. - 368.: ил. - (Серия «Классика computer science»).
2. Защита программного обеспечения: Пер. с англ./ Д. Гроувер, Р. Сатер, Дж. Фипс и др.; Под редакцией Д. Гроувера. - М.: Мир, 1992. - 286 с.
3. Домашев А.В., Грунтович М.М., Попов В.О., Правиков Д.И., Щербаков А.Ю. Программирование алгоритмов защиты информации. Учебное пособие. М.: «Нолидж», 2000. - 288 с.
4. Правиков Д.И. Ключевые дискеты. Разработка элементов систем защиты от несанкционированного копирования. - М.: Радио и связь, 1995. - 128 с.
5. Щербаков А. Защита от копирования. - М.: Издательство «Эдэль», 1992. - 80 с.
6. Вирусная энциклопедия // www.viruslist.com/viruslist.html.
7. Касперский Е. Компьютерные вирусы в MS DOS. - М.: Издательство «ЭДЭЛЬ», 1992. - 176 с.
8. Зегжда Д.П., Мешков А.В., Семьянов П.В., Шведов В.В. Как противостоять вирусной атаке. -СПб.: BHV - Санкт-Петербург, 1995. - 320 с.
9. Фролов А.В., Фролов Г.В. Осторожно: компьютерные вирусы. - М.: «ДИАЛОГ-МИФИ», 1996. - 256 с.
10. Касперски К. Техника и философия хакерских атак. - М.: Солон - Р, 1999. - 272 с.
11. Касперски К. Техника сетевых атак: В 2 т. - М.: СОЛОН-Р, 2001. - Т. 1. - 396 с.; Т. 2. - 401 с.
12. Касперски К. Образ мышления дизассемблер IDA. В 2 т. - М.: СОЛОН-Р, 2002. - Т. 1. - 423 с.
13. Коул, Эрик. Руководство по защите от хакеров. : Пер. с англ. - М. Издательский дом «Вильямс», 2002. - 640 с.
14. Ховард М., Лебланк Д. Защищенный код / пер. с англ. - М.: Издательско-торговый дом «Русская редакция», 2003. - 704 с.
15. The Ultimate Copy Protection System. // www.laserlock.com/main.html