36
защиты информации, в котором записывается состав используемых функций.
Организовать комплексную антивирусную защиту, которая заключается в:
– ежедневном антивирусном контроле всего имеющегося на предприятии
программного обеспечения;
– своевременном обновлении антивирусных баз на компьютерах
пользователей и серверах;
Контролировать целостность и сохранность баз данных:
– проверять возможность передачи данных, на основных и резервных ПК;
– в случае выхода из строя канала связи, технических или программных
средств, осуществлять оперативный ремонт или замену на резерв;
– создавать архивную копию базы данных, делая полную копию в конце
рабочего дня, а также инкрементальные часовые копии базы данных для
оперативного восстановления в случае сбоя или атаки на целостность.
Электронная почта на данный момент является незаменимой службой, для
которой предприятие должно любой ценой обеспечить надежную защиту
информации. Если прекратит работать почтовый сервер - остановится и работа
всего предприятия.
Последствия потери работоспособности в сочетании со вспышкой вируса,
распространяемого через электронную почту, может фактически парализовать
организацию. Многие организации осознают опасность, которую представляют
собой вирусы, распространяемые по электронной почте, но самой серьезной
угрозой является потеря репутации и ущерб, причиненный случайной отправкой
кем-либо из сотрудников инфицированного вирусом сообщения в адрес
партнеров или клиентов. Потеря репутации, как ничто другое, рискует оказаться
невосполнимой утратой [21].
Система электронной почты предприятия является одной из наиболее
значимых точек входа и выхода в рамках сети, через которую осуществляется
распространение вредоносного кода и утечки данных. Таким образом, от
решений для защиты электронной почты требуется способность
противодействовать различным угрозам, использующим электронную почту
предприятия для проникновения и распространения, включая:
− Отправка и получение вредоносного кода через вложения электронной
37
почты;
− Незапрашиваемая корреспонденция в форме спама;
− Фишинг;
− Утечка конфиденциальной информации через электронную почту
легитимных пользователей;
− DHA-атаки.
1.4. Выбор защитных мер
1.4.1. Выбор организационных мер
Организационные меры – это один из основополагающих классов мер
защиты информации, с которго начинается организация защиты информации.
Данные меры состоят в составлении внутренних нормативно-правовых актов,
при помощи которых регламентируются все бизнес-процессы, которые так или
иначе связаны с функционированием информационных систем,
обрабатывающих и хранящих конфиденциальные данные, использованим
различных устройств и ресурсов, а также взаимоотношение пользователей с
информациоными системами таким образом, чтобы был невозможен
несанкционированный доступ к информации, либо он был существенно
затруднен.
При выборе организационных мер каждая современная компания должна
с их помощью создать надежный механизм, который будет максимально
защищать информацию, тем самым предотвращая возможность
несанкционированно использовать конфиденциальные данные, используя
нетехнические воздействия, такие как нерадивость, небрежность пользователей
обрабатывающих информацию или злоумышленные действия. Это связано с
тем, что такие нетехничекие действия довольно сложно отследить при помощи
технических средств защиты, и очень сложно локализовать.
При анализе существующих на сегодняшний момент в организации АО
«СвязьСнаб» органиационных мер было выявлено, что в системе защиты
имеется большой пробел, заключающийся в отсутствии официальной политики
безопасности предприятия. На сегодняшний день компания располоагает некими
правилами безопасности, но они не имеют систематического и всеобъемлющего
38
характера.
Для обеспечения защиты информации в АО «СвязьСнаб» необходимо
разработать новую политику безопасности, которая будет полностью
соответствовать нынешним реалиям компании. Основная целью политики
безопасности – это обеспечение гарантии, что вся компьютерная техника и
другие информационные ресурсы компании АО «СвязьСнаб» будет
использоваться персоналом квалифицированно и эффективно, при этом с
союлюдением законодательства, политики предприятия и этом норм этики.
В политике безопасности должны содержатся правила и условия,
касающиеся всего персонала компании, который так или иначе связан с
компьютерными и телекоммуникационными ресурсами и службами АО
«СвязьСнаб». При этом если сотрудник нарушает политику безопсности, то на
него необходимо накладывать дисциплинарные взыскания, а в случае серьезных
нарущений может быть увольнение сотрудника, либо возбуждение уголовного
дела на него.
Разработанная политика безопасности должна пересматриваться один раз
в год и при необходимости изменяться.
Руководству предприятия, либо подразделению отвественному за
соблюдение безопасности необходимо осуществлять периодические проверки
различных аспектов компьютерной системы, а так же электронную почту, для
гарантирования соблюдения данной политики.
Вся компьютерная и телекоммуникационная системы принадлежат АО
«СвязьСнаб», в связи с этим работники использующие данную технику должны
использовать ее только в рабочих целях, при этом не имеют права исспользовать
конфиденциальную информацию, к которой имеют доступ или создают в своих
целях, посылая или получая ее при помощи компьютерной техники
принадлежащей АО «СвязьСнаб».
Все сотрудники, которые являются пользователями персональных
компьютеров должны руководствоваться данными мерами предосторожности в
отношении всех ресурсов предприяия, таких как рабочая станция, хост-
компьютер, сервер, мобильный компьютер, программное обеспечение,
внутренняя и внешняя компьютерная сеть, интернет, коммерческие
39
интерактивные службы и системы электронной почты и т.п.[17]
Всем сотруникам компании, которые являются пользователями рабочих
станций необходимо соблюдать условия по программным лицензиям, которые
связаны с тем, чтобы не нарушать авторское право и законы, касающиеся
нарушения интеллектуальной собственности.
В политике компании необходимо наложить запрет всем пользователям
рассылкать по электронной почте или через другие средства электронной связи
неверные, навязчивые, непристойные, клеветнические, оскорбительные,
угрожающие или противозаконные материалы. При этом нельзя данные
материаы хранить на персональных компьютерах АО «СвязьСнаб» или
отображать на экране монитора. Все случаи получения подобного материала
должны быть переданы непосредственному руководителю пользователя.
Служба безопасности АО «СвязьСнаб» должна мониторить и проводить
дальнейший анализ по всем материалам, создаваемым с помощью персональных
компьютеров и информационных систем, особенно важно следить за
сообщениями и документами, которые передаются при помощи средств связи и
электронной почты.
Без разрешения системного администратора пользователь не имеет права
на установку на свои рабочие станции никакого программного обеспечения. Так
же пользователю запрещано удалять либо перенастраивать информационные
системы установленные системным администратором, в особенности
антивирусные программы и средства при помощи которых контролируется
деятельность сотрудника. В случае сбоя системы или подозрительной работе
програм пользователь обязан сообщать об этом системному администратору.
В таблице 12 представлена зависимость влияния угроз безопасности на
информационные системы, имеющиеся в исследуемой компании.
40
Таблица 12
Влияние угроз на информационные системы предприятия
Учитываемые угрозы
Влияние на информационные системы
отсутствует
частичное
существенное
Нарушение
аутентичности
Оборонительная
стратегия
Нарушение
конфиденциальности
Наступательная
стратегия
Нарушение
целостности
Упреждающая
стратегия
Анализируя таблицу, предложим к разработке следующие требования к
организационным мерам:
– Организационными мерами необходимо обеспечить
конфиденциальность информации при проведении совещаний, переговоров и
встрече с посторонними лицами.
– Необходимо подготовить инструкцию, регламентирующую правила
обращения с конфиденциальной информацией и назначить ответственных по
контролю за ее исполнением.
– Создать разграничение прав пользователей на доступ как к локальным,
так и к сетевым ресурсам, ежемесячная смена пароля на уровне системы.
– Назначить ответственных за организацию копирования и
администрирования базы данных. Каждый день делать полную копию базы
данных и каждый час делать дифференциальные копии базы данных.
1.4.2. Выбор инженерно-технических мер
Рассмотрев наиболее известные аппаратно-программные средства защиты
от НСД выберем наиболее подходящую для исследуемой компании. Проведем
сравнение систем безопасности по разным существенным критериям.
41
Таблица 13
Осуществление мониторинга и обеспечение защиты агентов
Дозор
-Джет
Falcongaze
GTB
InfoWatch
МФИ Софт
SearchInform
Symantec
Zecurion
Контролирование работоспособности
агента
Да
Да
Да
Да
Да
Да
Да
Да
Наличие защита от остановки службы
или удаления агента
Да
Да
Да
Да
Да
Да
Да
Да
Контроль за целостностью агента
Да
Да
Да
Да
Да
Да
Да
Да
Скрытность агента в операционной
системе
Да
Да
Да
Нет
Да
Да
Да
Да
Возможность работы агента, в случае
загрузки ОС в безопасном режиме
Да
Да
Да
Да
Нет
Да
Да
Да
Контролирование политик агента
Да
Да
Да
Да
Да
Да
Да
Да
Настройка реакции на событие
Да
Да
Да
Да
Да
Да
Да
Да
Как показывают данные таблицы 13, все основные задачи, связанные с
мониторингом и защитой агентов выполняются всеми анализируемыми
информационными системами. Имеются небольшие недостатки у ПО InfoWatch
и МФИ Софт, но их нельзя считать критичными. Но зато в МФИ Софт помимо
анализируемых параметров можно выделить возможность оповещать
администратора безопасности о наличии критических событий. В Symantec
помимо анализируемых параметров существует возможность отправлять отчеты
по критическим агентам.
В таблице 15 представлены результаты контроля пользователей, которые
работают с информационными системами, а также пользуются ресурсами,
которые находятся в сети компании.
42
Таблица 14
Контроль пользователей
Дозор
-Джет
Falcongaze
GTB
InfoWatch
МФИ Софт
SearchInform
Symantec
Zecurion
Настройка периодических
снимков экрана монитора
Да
Да
Нет
Да
Да
Да
Да
Да
Возможность просматривать
рабочий стола пользователя в
реальном времени
Нет
Нет
Нет
Нет
Нет
Да
Нет
Нет
Прослушивание или запись
звука через микрофон либо
гарнитуру. Подключенную к
ПК
Нет
Нет
Нет
Нет
Нет
Да
Нет
Нет
Ведение протокола по времени
использования различных
программ
Нет
Да
Да
Нет
Да
Да
Нет
Нет
Ведение протокола по времени
нахождения на определенных
вкладках веб-браузера
Нет
Нет
Нет
Нет
Да
Нет
Нет
Нет
Возможность контролировать и
мониторить запуск программ
Да
Нет
Да
Да
Да
Да
Да
Нет
Возможность записи всех
набираемых сообщений на
клавиатуре ПК
Нет
Да
Да
Нет
Да
Да
Нет
Нет
Анализ таблицы 14 показал, что задачи которые связаны с контролем
пользователей полноценно не может решить ни одна из исследуемых
программных средств защиты от НСД. В качестве наиболее успешных можно
выделить продукты МФИ Софт и SearchInform, которые могут непрерывно
производить запись звука, либо в случае запуска определенного приложения.
Данные системы имеют настраиваемые профили, такие как работа "в офисе" или
"вне офиса". Как показал анализ, данные задачи будут в ближайшее время
решены и у остальных исследуемых программ, многие из которых уже
запускают данный функционал в этом году. Symantec позволяет решать данные
задачи в случае установки дополнительных агентов, таких как Symantec Endpoint
Protection, Critical System Protection и т.п.
43
В таблице 15 представлены результаты анализа по возможности поиска
конфиденциальной информации в корпоративной сети компании.
Таблица 15
Поиск конфиденциальной информации в сети компании
Дозор
-Джет
Falcongaze
GTB
InfoWatch
МФИ Софт
SearchInform
Symantec
Zecurion
Возможность сканирования ПК
Да
Нет
Да
Да
Нет
Да
Да
Да
Возможность сканирования общих
сетевых ресурсов
Да
Нет
Да
Да
Нет
Да
Да
Да
Возможность сканирования хранилищ
Microsoft SharePoint
Да
Нет
Да
Да
Нет
Нет
Да
Да
Возможность создания теневой копии
конфиденциального документа
Да
Нет
Да
Да
Нет
Да
Да
Да
Возможность запуска задания в
определенное время
Да
Нет
Да
Да
Нет
Да
Да
Да
Возможность удаления
подозрительных файлов или
перемещение их карантин
Нет
Нет
Да
Нет
Нет
Нет
Да
Да
Возможность автоматически
определять владельца файла на основе
заданных параметров
Нет
Нет
Да
Нет
Нет
Да
Да
Да
Определение доступа к файлу
Нет
Нет
Да
Да
Нет
Да
Да
Да
Возможность задавания специальных
политик для зашифрованного или
защищенного паролем файла
Да
Нет
Да
Да
Да
Да
Да
Да
Анализ таблицы 15 показал, что представленные задачи успешно
решаются тремя системами – GTB, Symantec, Zecurion. Хуже всех в данном
плане показали себя системы Falcongaze и МФИ Софт, но как показал анализ в
планах разработчиков в ближайший год дополнить свои продукты
возможностями в данной области. Кроме того можно выделить продукт
InfoWatch, который имеет возможность при определении доступа к файлу
вычислять пользователя, который данный документ разместил, а так же всех
пользователей которые к данному файлу имеют доступ.
Далее исследуем продукты на то как реагируют они в случае
возникновения различных инцидентов (таблица 16).
44
Таблица 16
Реакция на инциденты
Дозор
-Джет
Falcongaze
GTB
InfoWatch
МФИ Софт
SearchInform
Symantec
Zecurion
Сохранение всех действий в
специальном журнале
Да
Да
Да
Да
Да
Да
Да
Да
Сохранение файлов в виде теневого
копирования
Да
Да
Да
Да
Да
Да
Да
Да
Рассылка уведомлений
администратору безопасности
Да
Да
Да
Да
Да
Да
Да
Да
Автоматическая блокировка
соединений
Да
Да
Да
Да
Нет
Да
Да
Да
Помещение в карантин
Да
Да
Да
Да
Нет
Да
Да
Да
Автоматическое изменение
сообщений
Да
Нет
Нет
Нет
Нет
Нет
Да
Да
Использование внешних программ
или подключение скриптов
Да
Нет
Нет
Да
Да
Нет
Да
Да
Задание условий для того чтобы
активировать определенные
сценарии (триггеры)
Да
Нет
Да
Да
Нет
Нет
Да
Да
Фильтровать мусорный трафик
Да
Да
Да
Да
Да
Да
Нет
Да
Как показал анализ таблицы 16 лучше всех с данными задачами
справились продукты Дозор-Джет и Zecurion, а худшие показатели наблюдаются
у систем Falcongaze, МФИ Софт и SearchInform.. При исследовании фильтрации
мусорного трафика в ИС Дозор-Джет можно отметить возможность
использования алгоритмов минимизации трафика, который сохраняется в базе
данных. Для ИС Falcongaze можно отметить возможность фильтровать
инциденты по IP-адресу либо по диапазону IP-адресов, по сетевому порту, по
MAC-адресу сетевой карты, по логину, по протоколу, по размеру передаваемого
файла, по электронному письму и т.п. У информационных систем GTB, МФИ
Софт, SearchInform и Zecurion имеется возможность поддерживать исключения
информации по различным критериям, таким как доменное имя, IP-адрес,
почтовый ящик, хост, группе в Active Directory и т.п. В ИС InfoWatch имеется
45
возможность фильтровать мусорный веб-трафик, применяя при этом технологии
анализа по доменному имени, фильтруя служебные сообщения в таких
приложениях как MS Exchange, мобильных приложениях, синхронизируя ИС с
различными почтовыми службами.
Далее рассмотрим в таблице 17, какие аналитические возможности
присутствуют у исследуемых систем.
Таблица 17
Аналитические возможности
Дозор
-
Джет
Falcongaze
GTB
InfoWatch
МФИ Софт
SearchInfor
m
Symantec
Zecurion
Возможность поиска по
составным выражениям
Да
Да
Да
Да
Да
Да
Да
Да
Возможность поиска по
регулярным выражениям
Да
Да
Да
Да
Нет
Да
Да
Да
Наличие алгоритма с
автоматическим обучением и
настройкой лингвистического
анализатора
Да
Нет
Нет
Да
Да
Нет
Да
Да
Применение байесовского
алгоритма
Да
Нет
Нет
Да
Нет
Нет
Нет
Да
Возможность извлекать из файла
определенный текст
Да
Да
Да
Да
Да
105
Да
Да
Возможность контроля движения
выгрузок из различных СУБД
Да
Да
Да
Да
Да
SQL
Да
Да
Возможность контроля движений
заполненных форм
Да
Нет
Да
Да
Да
Нет
Нет
Да
Возможность контроля движений
документов, имеющих печати или
подписи руководителей
Да
Нет
Да
Да
Нет
Нет
Нет
Да
Возможность контролировать
движение отсканированного
документа
Да
Нет
Да
Да
Нет
Нет
Нет
Да
Возможность контролировать
передвижение определенного
документа
Да
Нет
Да
Да
Да
Да
Да
Да
Наличие модуля подключения
ЭЦП (юридически значимый
электронный документ)
Да
Нет
Да
Нет
Нет
Нет
Нет
Да
Возможность лингвистического
анализа при помощи поиска по
строенному словарю
Да
Да
Да
Да
Да
Да
Нет
Да