Добавлен: 23.11.2023
Просмотров: 229
Скачиваний: 3
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
СОДЕРЖАНИЕ
1.1 Безопасность в организации
1.2 Человеческий фактор в обеспечении ИБ
Определение перечня внутренних угроз
определение перечня внешних угроз
1.3 Современные методы решения задач мониторинга
1.4 Постановка задачи. Общие принципы настройки механизмов защиты
ГЛАВА 2 Хранения и обработка данных автоматизированными системами и описание функций систем
2.1 Мониторинг привилегированных пользователей
2.3 Программное обеспечение Защита +
ГЛАВА 3. Экономическая эффективность информационной системы
3.2 Расчёт оборудования для совершенствования системы защиты информации
3.3 Анализ экономической целесообразности внедрения подсистемы «Защита +»
Эти методы называются технической охраной объектов защиты. Под объектами защиты понимаются как люди и материальные ценности, так и носители информации, локализованные в пространстве, К таким носителям относятся бумага, машинные носители, фото и кино пленка, продукция, материалы и т. д., то есть все, что имеет четкие размеры и вес.
Носители информации в виде электромагнитных и акустических полей, электрического тока не имеют четких границ, поэтому для их защиты применяется метод скрытия информации.
Скрытие информации предусматривает такие изменения структуры и энергии носителей, при которых злоумышленник не может непосредственно или с помощью технических средств выделить информацию с качеством, достаточным для использования ее в собственных интересах.
Различают информационное и энергетическое скрытие. Информационное скрытие достигается изменением или созданием ложного информационного портрета семантического сообщения, физического объекта или сигнала
Информационным портретом можно назвать совокупность элементов и связей между ними, отображающих смысл сообщения (речевого или данных), признаки объекта или сигнала. Элементами дискретного семантического сообщения, например, являются буквы, цифры или другие знаки, а связи между ними определяют их последовательность. Информационными портретами объектов наблюдения, сигналов и веществ являются их эталонные признаковые структуры.
Возможны следующие способы изменения информационного портрета:
-
удаление части элементов и связен, образующих информационный узел (наиболее информативную часть) портрета; -
изменение части элементов информационного портрета при сохранении -
неизменности связей между оставшимися элементами; -
удаление или изменение связей между элементами информационного портрета при сохранении их количества.
Другой метод информационного скрытия заключается в трансформации исходного информационного портрета в новый, соответствующий ложной семантической информации или ложной признаковой структуре, и "навязывании" нового портрета органу разведки или злоумышленнику. Такой метод защиты называется дезинформированием.
Принципиальное отличие информационного скрытия путем изменения информационного портрета от дезинформирования состоит в том, что первый метод направлен на затруднение обнаружения объекта с информацией среди других объектов (фона), а второй - на создании на этом фоне признаков ложного объекта.
Дезинформирование относится к числу наиболее эффективных способов защиты информации по следующим причинам:
-
создает у владельца защищаемой информации запас времени, обусловленный проверкой разведкой достоверности полученной информации; -
последствия принятых конкурентом на основе ложной информации решений могут быть для него худшими по сравнению с решениями, принимаемыми при отсутствии добываемой информации.
Однако этот метод защиты практически сложно реализовать. Основная проблема заключается в обеспечении достоверности ложного информационного портрета.
Эффективным методом скрытия информации является энергетическое скрытие. Оно заключается в применении способов и средств защиты информации, исключающих или затрудняющих выполнение энергетического условия разведывательного контакта.
Энергетическое скрытие достигается уменьшением отношения энергии (мощности) сигналов, т.е. носителей (электромагнитного или акустического полей и электрического тока) с информацией, и помех.
Уменьшение отношения сигнал/помеха возможно двумя методами:
- снижением мощности сигнала;
- увеличением мощности помехи на входе приемника.
Воздействие помех приводит к изменению информационных параметров носителей: амплитуды, частоты, фазы. Если носителем информации является амплитудно-модулированная электромагнитная волна, а в среде распространения канала присутствует помеха в виде электромагнитной волны, имеющая одинаковую с носителем частоту, но случайную амплитуду и фазу, то происходит интерференция этих волн.
В результате этого значения информационного параметра (амплитуды суммарного сигнала) случайным образом изменяются и информация искажается. Чем меньше отношение мощностей, а следовательно, амплитуд, сигнала и помехи, тем значительнее значения амплитуды суммарного сигнала будут отличаться от исходных (устанавливаемых при модуляции) и тем больше будет искажаться информация.
Атмосферные и промышленные помехи, которые постоянно присутствуют в среде распространения носителя информации, оказывают наибольшее влияние на амплитуду сигнала, в меньшей степени - на его частоту. Но ЧМ-сигналы имеют более широкий спектр частот. Поэтому в функциональных каналах, допускающих передачу более широкополосных сигналов, например, в УКВ диапазоне, передачу информации осуществляют, как правило ЧМ сигналами как более помехоустойчивыми, а в узкополосных ДВ, СВ и КВ диапазонах - АМ сигналами.
В общем случае качество принимаемой информации ухудшается с уменьшением отношения сигнал/помеха. Характер зависимости качества принимаемой информации от отношения сигнал/помеха отличается для
различных видов информации (аналоговой, дискретной), носителей и помех, способов записи на носитель (вида модуляции), параметров средств приема и обработки сигналов.
Наиболее жесткие требования к качеству информации предъявляются при передаче данных (межмашинном обмене): вероятность ошибки знака по плановым задачам, задачам статистического и бухгалтерского учета оценивается порядка - 10-5-10-6, но денежным данным 10-8-10-9. Для сравнения, в телефонных каналах хорошая слоговая разборчивость речи обеспечивается при 60-80%, т.е. требования к качеству принимаемой информации существенно менее жесткие.
Это различие обусловлено избыточностью речи, которая позволяет при пропуске отдельных звуков и даже слогов восстанавливать речевое сообщение. Вероятность ошибки знака 10-5 достигается при его передаче двоичным АМ сигналом и отношении мощности сигнала к мощности флуктуационного шума на входе приемника приблизительно 20, при передаче ЧМ сигналом - около 10.
Для обеспечения разборчивости речи порядка 85% превышение амплитуды сигнала над шумом должно составлять около 10 дБ, для получения удовлетворительного качества факсимильного изображения - приблизительно 35 дБ, качественного телевизионного изображения - более 40 дБ.
В общем случае при уменьшении отношения сигнал/помеха до единицы и менее качество информации настолько ухудшается, что она не может практически использоваться. Доля конкретных видов информации и модуляции сигнала существуют граничные значения отношения сигнал/помеха, ниже которых обеспечивается энергетическое скрытие информации.
Так как разведывательный приемник в принципе может быть приближен к границам контролируемой зоны организации, то значения отношения сигнал/помеха измеряются, прежде всего, на границе этой зоны. Обеспечение на границе зоны значений отношения сигнал/помеха ниже минимально допустимой величины гарантирует безопасность защищаемой информации от утечки за пределами контролируемой зоны.
В компании существуют правила доступа привилегированных пользователей к критической информации. К таким пользователям относятся администраторы баз данных, разработчики программного обеспечения, сотрудники служб HelpDesk и другие сотрудники, должностные обязанности которых предусматривают неограниченный доступ к критической информации, хранящейся в базах данных компании.
Администраторы баз данных, кроме полного доступа к информации, также имеют доступ к структурам баз данных, в том числе к добавлению/удалению критических таблиц (DDL-команды) и управлению доступами к базам данных (DCL-команды). Для работы привилегированные пользователи, как правило, используют несколько учетных записей СУБД, это еще больше усложняет процесс контроля их действий.
Существующие в компании политики доступа, как правило, носят только формальный характер, а механизмы мониторинга на данный момент не являются эффективными. В тоже время, для соответствия требованиям таких стандартов как PCI-DSS, 152-ФЗ необходимо отслеживать все действия привилегированных пользователей.
Мониторинг привилегированных пользователей в компании обеспечит:
конфиденциальность информации – только авторизованные пользователи будут иметь доступ к критическим данным и использовать его только в рамках своих служебных обязанностейцелостность данных – все изменения структур баз данных и критических параметров (разрешения, права доступа и пр.) не будут выходить за рамки установленных правил
Мониторинг привилегированных пользователей также играет важную роль в защите от внешних атак, так как очень часто цель атаки – получение привилегированных прав доступа. Например, злоумышленник из удаленного расположения получил доступ к критической информации. Для выявления несанкционированного доступа необходимо проанализировать о нем дополнительную информацию – расположение. Штатные средства СУБД не позволяют сделать это.
Многозвенные распределенные корпоративные приложения, такие как Oracle, SAP хранят наиболее важную критическую информацию компании (финансовые данные, данные о клиентах, сотрудниках и пр.).
Обеспечить эффективную защиту таких приложений затруднительно из-за большого числа способов доступа – «толстые» клиенты, VPN-доступ, WEB-доступ. Дополнительные трудности в защите создает многозвенная архитектура, при использовании которой скрываются имена конечных пользователей бизнес-приложений, так как все соединения производятся через «пул соединений» («connectionpool»).
При таком способе доступа все данные из баз данных получаются посредством нескольких учетных записей для бизнес-приложения. Как следствие, очень сложно сопоставить транзакции в базе данных с определенными именами сотрудников (пользователями бизнес-приложений).
Основная цель мониторинга бизнес-приложений – выявление аномальных действий, производимых в базе данных через корпоративные приложения.
Отслеживая все связи между бизнес-приложениями и базой данных на сетевом уровне и уровне операционных систем, нужно обеспечить гарантированное определение имен пользователей бизнес-приложений (ID). Полученные данные должны быть использованы для составления отчетов, формирования данных для аудита, оповещений, корреляции данных.
Основные факты:
-
сопоставление конечных пользователей бизнес-приложений с конкретными запросами к базам данных -
детализированная отчетность по всем действиям пользователей бизнес-приложений, включая отчеты по личным данным пользователей (например, роли и местоположения) -
срабатывание правил политик безопасности и оповещений в режиме реального времени при наступлении заданных событий (например, в случае попытки просмотра таблицы с критической информацией)
Предотвращение внедрения вредоносного SQL-кода.
Предотвращение атак должно производиться с помощью правил политик безопасности, контроль которых производится в реальном времени:
Политики доступа, позволяющие выявлять аномальные действия на основе сравнения с установленным «базовым» состоянием. Например, SQL атака обычно состоит из команд, направленных на получение доступа к базе данных, при этом используемые SQL-команды нетипичны для бизнес-приложений и бизнес-процессов компании.
Политики исключительных ситуаций, основанные на пороговых значениях (например, предельное число неудачных входов в базу данных или SQL ошибок). Анализ SQL ошибок может показать, что злоумышленник пытается найти имена таблиц с критическими данными, используя команды с необходимыми параметрами (например, “Credit_Card_Num” или “CC_Num"). При этом в случае перебора имен существующих таблиц, SQL ошибка не будет сформирована. Нужно выявлять такие события.
Политики исключительных ситуаций, основанные на специфических SQL ошибках (например, «ORA-00903:Invalidtablename» или «ORA-00942: Tableorviewdoesnotexist»). Анализ таких ошибок позволит выявить и пресечь атаки злоумышленников.
Политики выгрузки информации, обеспечивающие анализ всех выгружаемых данных. Могут отслеживаться как все выгрузки критических данных (например, все запросы номеров кредитных карт), так и анализ количества выгружаемых данных (например, разовая выгрузка большого объема данных).