57
Таблица 2.3
Основные пути сохранения информационных ресурсов
1
ограничение физического доступа к объектам обработки и хранения
информации и реализацию режимных мер;
2
ограничение возможности перехвата информации вследствие
существования физических полей;
3
ограничение доступа к информационным ресурсам и другим элементам
системы обработки данных путем установления правил разграничения
доступа, криптографическое закрытие каналов передачи данных,
выявление и уничтожение "закладок";
4
создание твердых копий важных с точки зрения утраты массивов данных;
5
проведение профилактических и других мер от внедрения "вирусов".
При внедрении многоуровневой автоматизированной системы на объекте
была выбрана оборонительная стратегия. Она позволит снизить вероятность
наиболее опасных угроз, что собственно и нужно руководству организации.
Согласно выбранной стратегии будут выбраны программные и технические
средства, которые позволяют защитить систему от несанкционированного доступа
к объектам управления, от утечек и краж информации, а также непреднамеренного
разглашения информации по любым каналам связи.
Также с сотрудниками, непосредственно работающими с конфиденциальной
информацией, заключается типовой договор, в котором оговорены все аспекты
и особенности работы с конфиденциальной информацией.
Как правило, защита информационных ресурсов ЛВС определяется степень
защищенности сервера. Защита сервера осуществляется с помощью программных
средств, которые являются переходным звеном между ЛВС и внешней
магистралью, например Интернет. Однако, при выходе из строя ПС –
информационный канал не блокируется, что порождает возможность
информационной атаки.
При всех преимуществах использование вычислительных сетей порождает
новые риски, и пренебрежение защитой приводит к новым информационным
угрозам.
58
В общем случае к задаче создания СЗПД необходимо подходить с точки
зрения классической защиты информационной системы [2], обеспечивая решение
задач, сведенных в таблице 2.4.
Таблица 2.4
Задачи обеспечения защиты информации
1
аутентификация пользователей и разделение доступа;
2
подтверждение авторства электронного документа;
3
контроль целостности электронного документа;
4
конфиденциальность электронного документа;
5
обеспечение юридической значимости электронного документа.
Если раньше обеспечивалась защита непосредственно самих электронных
документов или информационных ресурсов, содержащих документы, то теперь
изменяются основной вектор атак и, соответственно, объект защиты [31]. Кроме
традиционных атак на информационные ресурсы все чаще их объектом становится
взаимодействие «человек - электронный документ», «человек - информационный
ресурс». Таким образом, защищать надо не столько сами документы, сколько
системы передачи, обработки и хранения электронных документов при доступе
пользователей к работе с электронными документами
Разработка СЗИ должна проводиться с учетом защиты от выявленных угроз
и возможных информационных рисков, для которых определяются способы
защиты, и на основе предложенного показателя оценки ее эффективности.
При этом учитываются требования, которые предъявляются к созданию таких
систем, а именно [26]:
организация защиты информации осуществляется с учетом
системного подхода, обеспечивающего оптимальное сочетание взаимосвязанных
методологических, организационных, программных, аппаратных и иных средств;
система должна развиваться непрерывно, так как способы реализации
угроз информации непрерывно совершенствуются. Управление ИБ - это
непрерывный процесс, заключающийся в обосновании и реализации наиболее
рациональных методов, способов и путей совершенствования систем ИБ,
59
непрерывном контроле, выявление ее «узких» и слабых мест, потенциальных
каналов утечки информации и новых способов несанкционированного доступа
(НСД);
система должна предусматривать разделение и минимизацию
полномочий по доступу к обрабатываемой информации и процедурам обработки;
система должна обеспечивать контроль и регистрацию попыток НСД,
содержать средства для точного установления идентичности каждого пользователя
и производить протоколирование действий;
обеспечивать надежность защиты информации и контроль
над функционированием системы защиты, т.е. использовать средства и методы
контроля работоспособности механизмов защиты.
Права доступа пользователей АСУ представлены в таблице 2.5
Таблица2.5
Разграничение прав пользователей.
Группы
пользователей
Данные по приборам
Данные клиентов
Доступ в
Internet
Операторы
Чтение/создание
Чтение
Нет
Начальник
смены
Чтение/создание/удаление
Чтение/создание
Нет
Сотрудники
компании
Чтение
Чтение
Ограничен
Системный
администратор
Чтение/создание/удаление
Чтение/создание/
удаление
Не
ограничен
Антивирусная системы защиты на ПЭВМ
В качестве антивирусной защиты в данном проекте выбрана систем
от ESET – ESET EndpointSecurity, представляющая собой комплексную защиту
от вирусов и вредоносных программ для рабочих станций и файловых серверов
небольших корпоративных сетей.
Данная система обеспечивает оптимальный уровень безопасности
компьютера и высокую производительность работы при минимальных системных
требованиях.[39]
Эффективное средство защиты файлового сервера ESET FileSecurity
Специализированное решение обеспечивает эффективную и надежную
защиту файловых серверов от всех типов вредоносных программ
для MicrosoftWindowsServer.[39]
60
Данное программное обеспечение призвано эффективно выявлять
и обезвреживать любые вредоносные программные объекты, которые попадают
в область действия данного комплекса. При этом EndpointSecurity, позволяет
выявлять ранее не известные виды вредоносного ПОна основе анализа действия
конкретной программы в момент запуска. Для этого существует режим
первоначального запуска.
Таблица 2.7
Антивирусная системы ESET EndpointSecurity
Компоненты антивирусной системы
ESET Endpoint Security,
ESET File Security для Microsoft Windows Server,
ESET File Security для Linux/BSD/Solaris,
ESET Mobile Security Business Edition,
ESET Remote Administrator
Защита от неизвестных угроз
детектирование угроз на основе облачного сервиса ESET Live Grid
распознавание ранее неизвестных угроз по принципу технологии
эвристического анализа ThreatSense®
поведенческий анализ потенциально опасного ПО
блокирование вредоносных ссылок в сети интернет
ограничение доступа пользователей к веб-сайтам по категориям
управление списками адресов
Защита от внешних вторжений и фильтрация трафика
настраиваемая система обнаружения внешних вторжений HIPS (Host-based
Intrusion Prevention System)
Проверка корпоративной почты
фильтрация почты и вложений на наличие вредоносного кода
поддержка большинства почтовых пациентов: Microsoft Outlook , Outlook
Express, Mozilla Thunderbird, Windows Mail, Windows Live Mail и другие потовые
клиенты, поддерживающие протокол РОР3 и POP3S, IMAP и IMAPS
Система защиты информации он НСД
SecretNetпредназначен для защиты конфиденциальной информации,
составляющей коммерческую, государственную тайну или относящейся
61
к персональным данным. Система SecretNet 7 дополняет стандартные механизмы
защиты операционных систем функциями защиты от НСД к информационным
ресурсам компьютеров.
В SecretNet 7 поддерживается применение электронных СИА на базе
идентификаторов iButton и USB-ключей eToken PRO, iKey2032,Rutoken v.1,
Rutoken S, Rutoken RF S.
Ключевые возможности СЗИ от НСД SecretNet представлены в таблице 2.8.
Таблица 2.8
Особенности СЗИ от НСД SecretNet
1
Аутентификация пользователей.
2
Разграничение доступа пользователей к информации и ресурсам
автоматизированной системы.
3
Доверенная информационная среда.
4
Контроль утечек и каналов распространения конфиденциальной
информации.
5
Контроль устройств компьютера и отчуждаемых носителей информации
на основе централизованных политик, исключающих утечки
конфиденциальной информации.
6
Централизованное управление системой защиты, оперативный
мониторинг, аудит безопасности.
7
Масштабируемая система защиты, возможность применения Secret Net
(сетевой вариант) в компании с большим количеством филиалов.[40]
Обладает сертификатами ФСТЭК России и может использоваться
в автоматизированных системах до класса 1Б включительно и для защиты
персональных данных в АСУПД до класса К1 включительно.[14]
Система контроля доступа SecretNet, в отличие от своих аналогов,
поддерживает усиленную аутентификацию пользователей, в том числе
и с использованием аппаратной поддержки. В качестве индивидуальных
идентификаторов могут быть использованы:
– iButton (серия DS199x)
– eToken PRO, eToken PRO Java (USB, смарт-карта)
– Rutoken
62
Рисунок 2.3 – Основные возможности SecretNet 7
SecretNet является сертифицированным средством защиты информации
от несанкционированного доступа и позволяет привести автоматизированные
системы в соответствие с требованиями регулирующих документов:
№98-ФЗ ("о коммерческой тайне")
№152-ФЗ ("о персональных данных")
№5485-1-ФЗ ("о государственной тайне")
2.2. Информационное обеспечение задачи
2.2.1. Информационная модель и её описание
Схема информационных потоков, которая включает в себя три уровня сбора
и хранения информации:
- нижний уровень (уровень сбора и обработки),
- средний уровень (уровень текущего хранения),
- верхний уровень (уровень архивного и КАСУ хранения).
На нижнем уровне представляются данные физических устройств
ввода/вывода. Они включают в себя данные аналоговых сигналов и дискретных
сигналов, данные о вычислении и преобразовании.
63
Средний уровень представляет собой буферную базу данных, которая
является как приемником, запрашивающим данные от внешних систем,
так и их источником. Другими словами, онисполняет роль маршрутизатора
информационных потоков от систем автоматики и телемеханики к графическим
экранным формам АРМ-приложений. На этом уровне из полученных данных ПЛК
формирует пакетные потоки информации. Сигналы между контроллерами и между
контроллером верхнего уровня и АРМ оператора передаются по протоколу
Ethernet[17].
Параметры, передаваемые в локальную вычислительную сеть в формате
стандарта ОРС, включают в себя[4]:
- расход жидкости, м3/ч;
- уровень жидкости в резервуаре, см;
- давление в трубопроводе, МПа;
- температура воды,
0
С;
- герметичность технологического блока, положение концевого
выключателя, установленного на двери
- состояние задвижек
Объектом управления является ВЗУ, в частности, в соответствии с ТЗ
разработаем систему автоматизированного управления ПСМ и сепарационной
емкости. С помощью задвижек осуществляется переключение коллекторов
скважин на замер, а в сепарационной ёмкости - замер дебита жидкости,
регулирование расхода через массомер. Исполнительными устройствами являются
клапан магнитно-регулируемый, электропривод и гидропривод.
Модель архитектуры OSE/RM представлена на рисунке 2.4.
64
Рисунок 2.4 –Модель архитектуры OSE/RM
При разработке пользовательского интерфейса проекта АС следует описать
ее профиль. Профиль — набор стандартов, ориентированных на выполнение
конкретной задачи АС. Методологической основой для разработки профиля АС
выбрана модель OSE/RM (OpenSystemEnvironment/ReferenceModel),
определяющая концептуальный базис и систематический подход к классификации
интерфейсов и сервисов АС как открытой программно-технической системы[18].
Стандарты ОРС - это стандарты подключаемости компонентов АС.
С их помощью осуществляется взаимодействие используемых PLC и SCADA.
На рисунке 2.5 показана структура ОРС взаимодействий в АС.
65
ПЛК
OPC-Сервер
OPC-DA (Аналоговый )
Датчики
Исполнительны
е устройства
Источник
бесперебойного
питания
Устройство
сбора данных
ProfiBus/ RS-485
SNMP
OPC-DA (Цифровой)
ModBus
SNMP-драйвер
SCADA-сервер
SCADA-клиент
SCADA-клиент SCADA-клиент SCADA-клиент
Рисунок 2.5– Структура ОРС взаимодействий SCADA
Профиль инструментальных средств, встроенных вАС, должен отражать
решения по выбору методологии и технологии создания, сопровождения
и развития конкретной АС.
2.2.2. Характеристика нормативно-справочной, входной
и оперативной информации
Для того, чтобы оператору АРМ было удобно использовать систему,
в ней необходимо предусмотреть ряд справочников. Все они могут быть
дополнены и изменены в зависимости от необходимости и использоваться позднее
при заполнении информации о текущем состоянии системы автоматизации.
Характеристика нормативно-справочной информации приведена в таблице
2.9.
66
Таблица2.9
Характеристика нормативно-справочной информации
Название
справочника
Ответственный
за ведение
Средний
объем
справочника
в записях
Средняя
частота
актуализации
Средний
объем
актуализации
(в записях)
Типы
устройств
Инженер отдела
автоматизации и
150
Месяц
5
Отделы
20
Год
2
Поставщики
Инженер отдела
АСУ
100
Месяц
5
Функции ПО
20
Месяц
1
К нормативно-справочной информации в проектируемой системе можно
отнести следующие справочники:
справочник типов устройств;
справочник фирм поставщиков;
справочник отделов компании;
справочник функциональные возможности ПО.
Справочник фирм поставщиков содержит информацию о фирмах-
поставщиках, обслуживающих фирмах и ремонтных мастерских. Данный
справочник является необходимым для получения полной информации о фирме,
которая производит гарантийное или сервисное обслуживание средств
вычислительной техники на предприятии и программного обеспечения.
Таблица2.10
Данные справочника фирм
№
п/п
Наименование
Условное
обозначение
Тип
данных
Формат
1
Код поставщика
Kod_postav
Целое
3
2
Наименование
поставщика
Name
Teкcтoвый
50
3
Адрес предприятия
Address
Teкcтoвый
50
4
Телефоны
Phone
Текстовый
20
5
Контактное лицо
Contact
Teкcтoвый
50