Файл: Федеральное государственное бюджетное образовательное учреждение высшего образования санктпетербургский.pdf
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 05.12.2023
Просмотров: 550
Скачиваний: 2
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
3.3.3. Подсистема администрирования «открытого» контура
Подсистема администрирования «открытого» контура предназначена для настройки прав разграничения доступа (далее – ПРД) субъектам
«открытого» контура к объектам управления. В «открытом» контуре должна быть реализована централизованная подсистема администрирования СЗИ
«открытого» контура, осуществляемая АИБ «открытого» контура с локальной консоли либо удаленно. Подсистема администрирования должна быть реализована на базе системы агентов для всех АРМ, которая позволит
AИБ «открытого» контура получать информацию в режиме реального времени и централизованно управлять политикой защиты. Подсистема администрирования должна обеспечивать:
– установку ПРД и их изменение;
– идентификацию и аутентификацию АИБ «открытого» контура при запросах доступа;
– возможность делегирования прав (т. е. присвоения пользователю ограниченных административных привилегий управления некоторым набором учетных записей);
– использование универсальных шаблонов настроек политики безопасности «открытого» контура;
– возможность моделирования существующей организационной иерархии и административной структуры «открытого» контура – пользователя «открытого» контура;
– возможность блокировки учетной записи пользователя «открытого» контура или ограничения времени ее работы;
– возможность доставки информации о нештатных ситуациях и ошибках, возникающих в процессе функционирования механизмов доступа, до АИБ «открытого» контура.
Примечание.
Для обеспечения должного уровня защиты информации при использовании технологии виртуализации в «открытом» контуре ИС дополнительные организационные и технические меры, применяемые для защиты среды виртуализации, должны обеспечивать в соответствии с требованиями ГОСТ Р 57580.1—2017:
– организацию идентификации, аутентификации, авторизации
(разграничения доступа) при осуществлении логического доступа к виртуальным машинам и серверным компонентам виртуализации;
– организацию и контроль информационного взаимодействия и изоляции виртуальных машин;
– организацию защиты образов виртуальных машин;
– регистрацию событий защиты информации, связанных с доступом к виртуальным машинам и серверным компонентам виртуализации.
Контрольные вопросы по гл. 3
1. Какие общие требования информационной безопасности предъявляются к построению защищенных сегментов «закрытого» и «открытого» контуров
ЛВС ИС?
2. Какие требования информационной безопасности предъявляются к подсистеме резервирования и восстановления информации в ИС?
3. Какие требования информационной безопасности предъявляются к подсистеме контроля эталонного состояния информации и рабочей среды в
ИС?
4. Какие требования информационной безопасности предъявляются к подсистеме управления безопасностью в ИС?
5. Какие требования информационной безопасности предъявляются к подсистеме защиты информации от НСД «закрытого» контура ИС?
6. Какие требования информационной безопасности предъявляются к подсистеме криптографической защиты информации «закрытого» контура?
7. Какие требования информационной безопасности предъявляются к подсистеме антивирусной защиты информации «закрытого» контура?
8. Какие требования информационной безопасности предъявляются к подсистеме контроля целостности «закрытого» контура?
9. Какие требования информационной безопасности предъявляются к подсистеме защиты межсетевого взаимодействия «закрытого» контура?
10. Какие требования информационной безопасности предъявляются к подсистеме администрирования «закрытого» контура?
11. Какие требования информационной безопасности предъявляются к подсистеме обнаружения и противодействия вторжений «закрытого» контура?
12. Какие требования информационной безопасности предъявляются к подсистеме аудита состоянии ИБ «закрытого» контура?
13. Какие требования информационной безопасности предъявляются к подсистеме защиты информации от НСД «открытого» контура?
14. Какие требования информационной безопасности предъявляются к подсистеме антивирусной защиты информации «открытого» контура?
15. Какие требования информационной безопасности предъявляются к подсистеме защиты межсетевого взаимодействия «открытого» контура?
16. Какие требования информационной безопасности предъявляются к средствам построения защищенных виртуальных сетей (VPN)?
17. Какие требования информационной безопасности предъявляются к подсистеме администрирования «открытого» контура?
18. Что должны обеспечивать организационно-технические меры, применяемые для защиты среды виртуализации «открытого» контура?
1 2 3 4 5 6 7 8 9 ... 16
Глава 4. Организационно-технические предложения по методам и
механизмам защиты ИС организации
Для построения СИБ ИС соответствующего класса защищенности, должны быть выбраны защитные меры и механизмы защиты, реализующие требования Политики
ИС и ведомственных документов организации, а также требований документов ФСТЭК
[11-13] и других регуляторов.
В
ыбор защитных мер, адекватных моделям угроз и нарушителей, должен проводится с учетом затрат на их реализацию и объема возможных потерь от реализации угроз. При этом должны применяться только те защитные меры, эффективность работы которых может быть проверена с учетом их на бизнес–
цели.
Ниже приводятся общие подходы по защите «закрытого» и «открытого» контуров ИС организации
[15-17]
4.1. Технические решения для защиты компьютерных ресурсов
серверов и АРМ
4.1.1. Общие организационно-технические решения по обеспечению
безопасности
В качестве приоритетной организационной меры по предотвращению потенциальных угроз со стороны группы администраторов необходимо сначала разделить полномочия по обеспечению доступа к управлению компонентов ИС и непосредственному управлению этими компонентами.
Кроме того, необходимо ограничить доступ к оборудованию путем оснащения помещений средствами демилитаризации доступа.
Для предотвращения несанкционированного дистанционного сетевого управления оборудованием необходимо использовать средства фильтрации сетевого трафика, позволяющие управлять оборудованием только из выделенного для этих целей АРМ, указанный AРМ должен быть оснащен средствами защиты от НСД, обеспечивая, в частности, невозможность изменения её сетевых настроек (например, СЗИ от НСД SecretNet)
Пользователи и администраторы всех компонентов ИС должны иметь в них уникальные идентификаторы. Использование чужих идентификаторов должно быть запрещено. Учетные записи администратора этих систем
(например, root в HP-UX, SYS в СУБД Oracle) должны использоваться только в том случае, если требуемая операция не может быть выполнена технически с использованием учетной записи индивидуального администратора этой системы.
При настройке инструментов регистрации событий на другой уровень детализации перехваченных событий в серверной ОС, сетевом оборудовании
ОС, ОС АРМ и СУБД должны быть выполнены следующие требования.
1. Полнота зарегистрированных событий должна быть достаточной, а не избыточной для доказательного анализа ситуации.
2. Данные аудита должны быть максимально независимыми от администратора контролируемой системы.
3. Необходимо обеспечить несанкционированное искажение журналов аудита, включая системных администраторов.
4. Мониторы безопасности должны использоваться для быстрого обнаружения возможных атак в режиме реального времени.
5. Журналы аудита должны храниться в сроки, определенные правилами компании.
Вне зависимости от типа операционной системы, подсистема аудита должна обеспечивать регистрацию:
1. Идентификационная информация, включая попытки пользователей ввести пароль.
2. Операции, отклоненные автоматизированными системами из-за отсутствия полномочий операторов.
3. Факт модификации конфигурационных файлов IE.
4. Тот факт, что администраторы изменили разрешения пользователей.
5. Система аудита отключена администраторами.
6. Факты IE начинаются и останавливаются.
4.1.2. Решения по ОС HP-UX для обеспечения корпоративной
безопасности
Для контроля за соблюдением принципов ИБ, описанных выше, для ОС
HP-UX должен быть выполнен следующий набор работ.
1. Включить и настроить аудит ОС HP-UX:
1.1. Установить ОС HP-UX в режим Trusted HP-UX для расширенной аутентификации пользователей. Trusted HP-UX предоставляет следующие дополнительные функции управления учетными записями пользователей и паролями:
– зашифровывать файл паролей (shadowed passwd file);
– ограничить время пользователя, количество попыток входа в систему, пароль и срок действия учетной записи;
– требовать пароль от пользователя при входе в систему в одномодовом режиме (single-mode);
– настроить автоматическое отключение долгосрочных неиспользуемых учетных записей.
Для этого требуется войти в консоль сервера под именем root и использовать утилиту sam для выполнения необходимых действий. Затем необходимо перегрузить ОС путем ввода shutdown –r now с консоли.
1.2. Обеспечить невозможность неконтролируемого администрирования системы аудита ОС администратором ОС, для чего:
– запретить пользователю root работу в нормальном режиме, так как действия пользователя root не регистрируются в ОС. Это можно сделать, разделив пароль входа для root, ограничив доступ к файлу пароля ОС. После установки ОС разделите пароль root на две части, одна из которых передается в административную группу ИС, а другая – в группу
безопасности. Первоначальное разделение паролей и их изменение осуществляется их совместным набором администратором ИС и AИБ в соответствии с принятой политикой защиты паролей;
– создать учетные записи AИБ и, в дополнение к пользователю root, создать администратора ОС. Разделите свои разрешения, чтобы запретить
АИБ настраивать ОС и администратору ОС доступ к журналам аудита.
Обеспечить, чтобы администратор ОС и АИБ обладали необходимыми и достаточными полномочиями для выполнения своих функциональных обязанностей, запретив при этом АИБ вносить какие-либо изменения в настройки ОС, а администратору ОС – искажать журналы аудита для чего реализовать их перенос на сервер аудита безопасности в режиме реального времени;
– включить аудит всех команд, выполняемых администратором ОС HP-
UX, а также аудит операций удаления/записи в файлы конфигурации системы HP-UX OC и СУБД Oracle.
– с помощью штатных средств HP-UX запретить администратору ОС управление журналами аудита ОС, а именно: запретить ему доступ к командам audsys, audusr, audevent audisp, audomon, а также запись в каталог аудита. Администратор безопасности не должен изменять настройки HP-UX при сохранении возможности управления аудитом (права на выполнение команд для чтения и записи в файлы аудита).
1.3. Обеспечить оперативный контроль за аудиторской информацией, для чего:
– настройте параметры syslogd и аудита таким образом, чтобы информация аудита дублировалась на сервере аудита безопасности;
– включите аудит всех команд, выполняемых администратором HPUX, а также операций удаления/записи в файлы конфигурации системных настроек, например, OC HP-UX и СУБД Oracle;
– поскольку система HP-UX не обеспечивает аудит пользователя root, используйте этот идентификатор только в том случае, если идентификатор администратора HP-UX не может быть использован.
1.4. Обеспечить оперативный анализ и периодическое архивирование аудиторской информации, а также порядок взаимодействия отделов по результатам анализа аудиторской информации.
Каталог для размещения файлов аудита необходимо поместить в отдельную файловую систему размером не менее 512 МБ, чтобы избежать переполнения диска в корневой файловой системе и отключения ОС. После этого ОС считается готовой к включению подсистемы аудита.
2. Оптимизировать набор сервисов и системного ПО на серверах, для чего:
2.1. Ограничьте набор услуг, загружаемых в ОС HP-UX, услугами, необходимыми для работы и администрирования ИС и систем резервного копирования. Также необходимо ограничить набор установленного системного ПО только программными пакетами, необходимыми для работы
ИС, в частности, не устанавливать компиляторы. Чтобы минимизировать
– создать учетные записи AИБ и, в дополнение к пользователю root, создать администратора ОС. Разделите свои разрешения, чтобы запретить
АИБ настраивать ОС и администратору ОС доступ к журналам аудита.
Обеспечить, чтобы администратор ОС и АИБ обладали необходимыми и достаточными полномочиями для выполнения своих функциональных обязанностей, запретив при этом АИБ вносить какие-либо изменения в настройки ОС, а администратору ОС – искажать журналы аудита для чего реализовать их перенос на сервер аудита безопасности в режиме реального времени;
– включить аудит всех команд, выполняемых администратором ОС HP-
UX, а также аудит операций удаления/записи в файлы конфигурации системы HP-UX OC и СУБД Oracle.
– с помощью штатных средств HP-UX запретить администратору ОС управление журналами аудита ОС, а именно: запретить ему доступ к командам audsys, audusr, audevent audisp, audomon, а также запись в каталог аудита. Администратор безопасности не должен изменять настройки HP-UX при сохранении возможности управления аудитом (права на выполнение команд для чтения и записи в файлы аудита).
1.3. Обеспечить оперативный контроль за аудиторской информацией, для чего:
– настройте параметры syslogd и аудита таким образом, чтобы информация аудита дублировалась на сервере аудита безопасности;
– включите аудит всех команд, выполняемых администратором HPUX, а также операций удаления/записи в файлы конфигурации системных настроек, например, OC HP-UX и СУБД Oracle;
– поскольку система HP-UX не обеспечивает аудит пользователя root, используйте этот идентификатор только в том случае, если идентификатор администратора HP-UX не может быть использован.
1.4. Обеспечить оперативный анализ и периодическое архивирование аудиторской информации, а также порядок взаимодействия отделов по результатам анализа аудиторской информации.
Каталог для размещения файлов аудита необходимо поместить в отдельную файловую систему размером не менее 512 МБ, чтобы избежать переполнения диска в корневой файловой системе и отключения ОС. После этого ОС считается готовой к включению подсистемы аудита.
2. Оптимизировать набор сервисов и системного ПО на серверах, для чего:
2.1. Ограничьте набор услуг, загружаемых в ОС HP-UX, услугами, необходимыми для работы и администрирования ИС и систем резервного копирования. Также необходимо ограничить набор установленного системного ПО только программными пакетами, необходимыми для работы
ИС, в частности, не устанавливать компиляторы. Чтобы минимизировать