22
действия. Теперь гораздо удобнее воспользоваться услугами профессионала.
Удобной почвой для вторжения может послужить информация выкладываемая
сотрудниками в социальные сети [2]. Так, всем полюбившиеся WI-FI
технологии, вследствие специально, созданных перегрузок, приведут к взлому
устройства, подмене авторизованного устройства, доступу через взломанное
авторизованное устройство [5]. Широко применяются всевозможные сетевые
атаки, с применением комбинированных воздействий на жертву, таких как [32]:
снифферринг – для перехвата и анализа пакетов, с целью вытащить
ценную информацию;
IP-спуфинг – выдача себя за авторизованного пользователя;
создание ситуаций приводящих к отказу в обслуживании, вследствие
перегрузки узлов запросами [49]. Содействовать этому могут «боты»,
посылающие запросы с заражённых компьютеров [30];
парольные атаки;
сетевая разведка и многое другое.
Не всегда можно точно определить что это, «белый трафик» либо
результат атаки, однако, резко увеличенное количество пакетов обмена при
простое, либо в ночное время, может косвенно указывать на попытку взлома
[34].
Помимо атак извне, часто на помощь могут приходить ранее попавшие
на рабочие станции программы, именуемые компьютерными вирусами [41].
Семейство вирусов очень разнообразно, и они могут быть запрограммированы
на различные действия. Вирусы могут быть единичными, или набором
«безобидных» файлов, которые в купе могут работать как один слаженный
организм. На сегодняшний день их функционал настолько обширен, что уже
стало трудно точно сказать, к какому типу больше принадлежит тот или иной
вирус. Вот наиболее известные виды вирусов:
23
вандал – самый старый вид. Может маскироваться под известную
программу. Его цель уничтожить полезную информацию [35];
троян – разновидность «вандала» но дополнительно может собирать и
отправлять «хозяину» нужную ему информацию [48];
вымогатель – самый беспринципный вредоносный код. Может быть очень
опасен тем, что способен находить важную информацию, шифровать её, а
потом требовать выкуп за расшифровку. Самое печальное то, что после
оплаты не все данные удаётся вернуть [39];
шпион – его задача собирать и отправлять данные хозяину, поступающие
с видеокарты, микрофона, клавиатуры, принтера, любой другой
программы [46];. Его ещё называют «кейлогер» [31];
руткит – при заражении, на компьютере может быть несколько разных
срабатываний. Часто бывает, что антивирус не все компоненты может
нейтрализовать, оставшиеся, успевают замаскироваться, и годами
скрытно выполнять действия от имени своей жертвы. Например
совершать взломы сайтов, похищать деньги со счетов, заражать другие
компьютеры в сети [37].
Для поддержания требуемого уровня безопасности, в организациях,
проводят мероприятия соответствия требованиям по защите информации,
которые заключаются в:
поведении оценки соответствия по информационной безопасности,
определении уровня соответствия применяемому к объекту, и
соблюдению его должному уровню;
лицензировании в сфере информационной безопасности. Такой вид
мероприятий используется когда, требуется проверить, может ли (имеет
ли возможность) исполнительное юридическое лицо заниматься, и
предлагать услуги в сфере информационной безопасности;
24
сертификации на соответствие требованиям по условиям
информационной безопасности. Данное мероприятие проводится органом,
имеющим полномочия сертификации, и выполняет функцию
подтверждающей стороны на соответствие объектов безопасности
информации, установленными техническими регламентами, стандартами
или условиями договоров;
специальном исследовании, которое проводится на предмет каналов
утечки данных и оценки соответствия защиты информации, требованиям
нормативных правовых актов (документов) в области безопасности
информации;
специальной проверке, направленной на выявление и изъятия
закладочных устройств;
аудиторской проверке, цель которой определить степень выполнения в
организации установленных требований по обеспечению
информационной безопасности;
мониторинге безопасности информации. Метод заключаеися в
наблюдении за процессом обеспечения безопасности информации в
информационной системе с целью установить его соответствие
требованиям безопасности информации;
экспертизе документа по защите информации. Процесс включает
рассмотрение документа по защите информации физическим или
юридическим лицом, имеющим право на проведение работ в данной
области, с целью подготовить соответствующее экспертное заключение;
анализе информационного риска. При этом периодически используют
информацию для выявления угроз информационной безопасности,
уязвимости информационной системы и количественной оценки
вероятностей реализации угроз с использованием уязвимости и
25
последствий реализации угроз для информации и информационной
системы, предназначенной для обработки этой информации;
оценке информационного риска, где производится общий процесс анализа
информационного риска и его оценки.
При проведении мероприятий по выявлению эффективности защиты
информации, оценке, анализе, мониторинге. Для определения эффективности
показателей, используют термины эффективности, такие как:
эффективность защиты информации выражается в пороге соответствия
результатов защиты информации к цели защиты информации;
требование по защите информации. Перечень действий, установленное
правило или норма, которая должна быть выполнена при организации и
осуществлении защиты информации, или допустимое значение
показателя эффективности защиты информации;
показатель эффективности защиты информации, это показатель оценки
эффективности защиты информации;
норма эффективности защиты информации, есть значение показателя
эффективности защиты информации, установленное нормативными и
правовыми документами.
Все меры безопасности, вне зависимости от природы имеют одну общую
цель — обеспечить сдерживание исполнителя от не разрешённых ему действий,
с функцией облегчения доказательной базы, в случае нарушения, им
оговоренных, правил.
Дополнительно, все действия по поддержанию информационной
безопасности можно условно разделить по направленности на:
внешнюю информационную безопасность;
внутреннюю информационную безопасность.
Внешняя информационная безопасность, связана с профилактикой
защиты информационной системы извне. Например, защита от удаленных атак
26
злоумышленников, несанкционированное получение информации по
различным каналам связи, или повышение устойчивости от природных
катаклизмов.
Внутренняя информационная безопасность направлена на то, что
происходит внутри организации, связана с правильной работой персонала,
мониторинг внутренней сети, оборудования, рабочих станций, ведения
журналов событий системы.
По данному разделу можно сделать следующие выводы. Изложена
структура информационной безопасности, её основные цели. Раскрыт смысл
терминов, циркулирующих в её рамках, разобраны составляющие структуры, на
способы, замыслы, объекты угрозы, технику и эффективность, описаны
возможные мероприятия связанные с вопросами безопасности, которые
используются на объектах безопасности.
1.3 Реализованная практика, опыт мероприятий и программных средств
обеспечения информационной безопасности в устройствах обработки
данных
В данном разделе будут показаны применяемые практические методы,
мероприятия, а также программные средства, используемые в различных
организациях для поддержания требуемого уровня безопасности в
информационной среде, изложена структура и компоненты типовой
организации информационной безопасности.
Рассматривая вопрос предметно, выделяя в нем нужные направления,
можно сказать, что разрабатываемый нами вопрос не охватывает организацию в
целом. Он касается в основном делопроизводственной части, условий работы
оператора обработки данных, его кабинета, и автоматизированного рабочего
места. Не значительно, затронем сетевые коммуникационные структуры.
Ещё десять, двадцать лет назад, процесс обработки информации был
иным, подходы к поддержанию безопасности тоже отличались от современных,
но были, за счёт трудности репликации данных более надежны. Любые
27
действия были явными, и процент пресечения правонарушений был выше.
Однако технологии в сфере телекоммуникаций сильно повлияли на развитие
делопроизводства и общества. Скорость обработки данных возросла, что
привело к изменениям, которое коснулось муниципальных структур,
экономической, банковской сферы, и образа жизни людей в целом.
Для России это был переломный момент. По причине отсутствия
единого стандарта, и нужных на то время регулирующих документов, были
заложены проблемы в виде отсутствия единой точки зрения на
информационную политику внедрения технологий. Это привело к тому, что
каждому обособленному подразделению, давалась возможность иметь свою
точку зрения на внедрение технологий.
На уровне регулирующих документов делопроизводства не отменялось
ведение регистрации дел на бумажных носителях, однако почти все эти
документы необходимо было дублировать в электронном виде. Такой подход
привёл к дублированию, и повышенным трудозатратам. Даже сейчас, в наше
время, в муниципальных организациях есть бумажные журналы регистрации
входящей документации приходящей по защищённым каналам связи. Однако,
программное обеспечение позволяет вести свой электронный журнал, а система,
в случае сбоя имеет функцию повторного запроса писем от отправителя с
сохранением даты первой отправки. В наше время, до сих пор, многие
работники распечатывают поручение на бумажный носитель, чтобы передать
конечному исполняющему, когда это можно сделать средствами внутренней
сетевой почты, не тратя бумагу, тонер, не амортизируя копировальную технику.
В итоге, помимо отнимания у себя времени на пустую работу, сотрудники
организации создают дополнительную угрозу для информационной
безопасности, ведь помимо электронного документооборота, нужно вести и
бумажный.
Определим возможные объекты обработки информации. Это могут быть:
28
сервера, устройства обработки данных действующие на базе
операционных систем семейства Microsoft, Apple, Linux. К ним
подключаются клиенты, для ведения там своей деятельности,
непосредственно в отведенных для них рабочих местах, либо программы,
действующие на сервере самостоятельно занимаются сбором и
обработкой данных поступающих от клиентов;
обособленные стационарные рабочие (desktop-ы) станции, действующие
на базе операционных систем семейства Microsoft, Apple, Linux, Dos;
мобильные, переносные устройства, ноутбуки, netbook-и, TabletPC,
работающие на базе операционных систем семейства Microsoft, Apple,
Linux, Dos;
тонкие клиенты (thin client), разновидность рабочих станций, имеющих
минимальные ресурсы, работающие на базе сильно облегченных
операционных систем семейства Microsoft, Apple, Linux. Их задача в том,
чтобы иметь возможность подключиться к серверу обработки данных
через встроенный клиент RPP, RDC, ARD,VNC, удаленного сеанса [8];
мобильные устройства, такие как планшеты, смартфоны, работающие на
базе операционной системы андроид, Apple. Этот вид устройств обладает
сильно ограниченным функционалом. Часто такие устройства используют
в качестве клиентов оператора данных. Они способны взаимодействовать
с системами обработки данных через веб формы, однако, не редки случаи
написания под них специальных программ, которые, функционально,
являются теми же веб формами, но сильно измененными. При
дополнительном оборудовании, мобильное устройство можно повысить
до тонкого клиента.
Для ведения рабочей деятельности на средствах обработки информации, с
соблюдением условий информационной безопасности, нужно понимать,
какие виды опасности могут воздействовать на объект и какие меры для
29
снижения опасности допустимо применять.
Объект обработки информации, вследствие умышленных, не
умышленных действий, и природных явлений, может быть подвергнут попытке
утечки, изменения, подмены, уничтожения данных на различных уровнях
взаимодействия, а иногда и повреждения оборудования:
визуальном, когда интересующую информацию можно запечатлеть с
монитора;
речевом, при передаче информации третьим лицам в разговоре;
сетевом, когда к объекту можно подключиться при помощи сетевого
соединения, и при помощи запросов, скопировать нужную информацию
на свою машину;
прямого копирования данных на съемный накопитель;
прямого копирования данных на удалённый сервер. Например отправку
по электронной почте, или сетевую папку;
распечатка на принтер с рабочего окружения пользователя, и перенос
информации на бумажном носителе;
подбор паролей, ключей доступа к рабочему окружению пользователя;
взлом беспроводной, либо подключение к проводной локальной сети
сканирование открытых ресурсов, сбор и анализ трафика;
заражение систем вредоносным кодом, установка тайного слежения за
действиями оператора, перехват команд мыши и клавиатуры, с целью
получения контроля над рабочим пространством;
блокировка доступа к данным или рабочему окружению;
иные методы воздействия, например повреждение физических
компонентов, отключение электроэнергии.
Для достижения условий стабильной информационной безопасности,
соблюдают меры:
территориального контроля;
30
сетевого контроля;
антивирусного контроля;
ограничение доступа к рабочей среде АРМ;
регулирующей документации;
предупреждению естественных угроз;
по плановому обслуживанию техники;
по резервированию данных;
по выполнению мероприятий, направленных на повышение
сознательности сотрудников.
Территориальный контроль — это мера, направленная на то, чтобы
ограничить количество людей, имеющих доступ к месту обработки информации,
то есть, необходимо создать такие условия, чтобы к рабочему месту оператора
могли физически подойти только те люди, которые работают за этой машиной.
Так как машина, за которой трудится оператор, находится в кабинете,
целесообразно, чтобы в этот кабинет попадали только те сотрудники, которые
закреплены за этим кабинетом. Это, в случае инцидента, позволит сузить круг
подозреваемых лиц, и сократит процент возможного хищения информации.
Инструментом для этого, может служить замок, либо запираемая на ключ дверь.
В последнее время, для быстрого проникновения в рабочую зону, допустимо
использовать электронные кодовые замки, которые могут быть оснащены
дополнительно биометрическими датчиками [12], беспроводными
считывателями и иными средствами, дополнительно подтверждающие
идентификацию (рисунок 3).
Наряду с этой мерой, с целью повышения сознательности сотрудников,
допустимо использовать камеры видеонаблюдения. Этот инструмент позволит
снизить риски, и поможет разобраться в случившемся инциденте.
Сетевой контроль. В каждой организации, имеющей в штате более трёх
стационарных единиц вычислительной техники, имеется локальная сеть, и
31
сетевое окружение. В каждой из АРМ, по умолчанию есть как минимум два
инструмента настройки сетевого трафика. Это позволяет настроить сеть таким
образом, чтобы каждый из участников, и к каждому из участников имели
возможность обращаться только те, кому это разрешено трудовыми
отношениями. Это позволяет регулировать потоки данных в сети и сократить
возможность удаленного взлома. Также, можно подобным образом производить
настройку программируемых концентраторов, роутеров. Создавать белые, и
черные списки доступа, разграничивать доступ к ресурсам, менять пропускную
способность доступа в интернет.
Рисунок 3 - Варианты кодового дверного замка с биометрическим
слева, с бесконтактным справа, считывателем
Антивирусный контроль. Отдельная сторона информационной
безопасности, это вредоносный код. Работники организаций могут случайно
пренебречь элементарными мерами безопасности и с переносным накопителем,
установленным на рабочем месте заразить не только свой компьютер, но и всех,
кто находится в локальной сети. Поэтому важно иметь на рабочих станциях
средства антивирусной защиты. Следить за актуальностью лицензии, и
обновлением сигнатур, регулярно запускать полную проверку, при нахождении
вредоносного кода искать источники заражения и исключать в дальнейшем