42
сообщать о важных системных событиях, выполнять сканирование
используемых ресурсов, а также своевременно удалять нежелательные
программы.
Функция User account Control (UAC) клиентскую операционную
систему Windows 7 основана на организации уведомления пользователей о
несанкционированном получении доступа к ресурсам, установленным на
персональном компьютере.
Усилить безопасность позволяет и технология BitLocker, выполняющая
функции по шифрованию данных при получении доступа к программному
обеспечению, работающему под управлением операционная система
Windows 7. С помощью технологии BitLocker обеспечивается
автоматическое шифрование файлов сохраненных на жестком диске рабочей
станции [12, c.69].
В состав клиентской операционной системы Windows 7 также входит
инструмент, позволяющий выполнять резервное копирование и
восстановление данных в случае потери важных данных, вызванных сбоями
или ошибками системы. Все процессы по резервированию файлов и сетевых
папок в операционной системе автоматизированы за счет создания
расписания резервного копирования и восстановления данных.
Рассмотрим также механизмы безопасности в используемой ООО
«Текстильной фирмой «Купавна»» программе 1С: Планирование
производства. В состав этого продукта входят механизмы, позволяющие
контролировать работу модулей, распределять доступ для получения данных
к компонентам.
Среди особенностей обеспечения безопасности в программе 1С:
Планирование производства реализация механизма раздельного хранения и
шифрования базы данных. Он позволяет снизить угрозы получения
несанкционированного доступа к конфигурации системы, предотвратить
попытки атак из сети Интернет, когда выполняется обновление программы.
43
В случае возникновения ошибок при работе с файлами в системе
предусмотрены механизмы создания резервных копий, что создает
возможности оперативного восстановления необходимых данных.
На основании рассмотрения текущей системы безопасности
программного обеспечения, с использованием описанной в первой части
работы матричной методология выполним оценку угроз безопасности.
На первоначальном этапе выполним заполнение матрицы активов ООО
«Текстильной фирмы «Купавна»» и проведем экспертную оценку угроз
безопасности программному обеспечению (таблица 8).
Таблица 8 –Матрица активов ООО «Текстильной фирмы «Купавна»»
Шкала
0-нет воздействия
1-слабое воздействие
3-умеренное
воздействие
9-сильное
воздействие.
Активы
Активы и затраты
Конфиденциальная
информация
Репутация
Потерянный доход
Затраты
на восстановление
Информация
Аппаратные
средства
Программное
обеспечение
Обслуживание
Коммуникации
Операционная
система Windows
Server 2012R
9
9
9
9
9
9
9
9
9
9
Операционная
система Windows 7
9
9
9
9
9
9
9
9
9
9
Microsoft Office 2013
3
3
3
1
1
3
1
3
1
0
1С: Планирование
производства
9
9
9
3
3
9
3
9
9
1
Конструктор
Spotlight Pro 3.2
3
1
3
3
1
3
3
3
3
0
Конструктор Tree
Paint
1
1
1
1
1
3
1
3
1
0
На основании заполнения матрицы активов выполним оценку влияния
уязвимостей на каждый из выделенных активов с использованием формулы
(1) приведенной в первой части работы:
,90109
.
балловV
ОСсерв
,90109
.
балловV
ОСклиент
44
,194153 балловV
MSof
,64195413369
1
балловV
C
,232212137
.
балловV
Spotконст
.13767123
.
балловV
Ttrrконст
Таким образом, наибольшую ценность в активах программного
обеспечения для ООО «Текстильной фирмы «Купавна»» имеют серверная
операционная система Windows Server 2012R и операционная система
Windows 7. Не менее важным информационным активов является программа
1С: Планирование производства, она также требует усиленного режима
безопасности и своевременного предотвращения существующих угроз.
На следующем этапе составим матрицу угроз программного
обеспечения ООО «Текстильной фирмы «Купавна»» (таблица 9).
Таблица 9 –Матрица угроз ООО «Текстильной фирмы «Купавна»»
Шкала
0-нет воздействия
1-слабое воздействие
3-умеренное воздействие
9-сильное воздействие.
Уязвимость
Угроза
Отказ в
обслуживании
Вредоносный
код
Ошибки
пользователя
Внутренние
атаки
Спам
Повреждение
Операционная система Windows
Server 2012R
3
9
9
3
9
3
9
Операционная система Windows 7
9
3
9
3
9
9
9
Microsoft Office 2013
3
9
3
9
3
3
9
1С: Планирование производства
9
3
9
3
3
9
3
Конструктор Spotlight Pro 3.2
1
3
9
3
3
9
3
Конструктор Tree Paint
1
3
3
3
3
9
9
На основании заполнения матрицы угроз выполним оценку влияния
угрозы на уязвимость по формуле (2) приведенной в первой части выпускной
квалификационной работы:
,40504590)3349(90
.
балловT
ОСсерв
,45905190235990
.
балловT
ОСклиент
45
,741433919 баллT
MSof
,7131432923
.
балловT
Spotконст
.4031432913
.
балловV
Ttrrконст
На основании выполненного анализа можно сказать, что клиентская
операционная система Windows 7 в большей степени повержена угрозам и
атакам из сети Интернет и создает необходимость усиления безопасности
данных, как и работающее под ее управлением программное обеспечение.
После определения относительного совокупного влияния угроз
программному обеспечению выполним разработку матрицы контроля
обеспечения защиты программному обеспечению ООО «Текстильной фирмы
«Купавна»» (таблица 10).
Таблица 10 –Матрица контроля угроз ООО «Текстильной фирмы
«Купавна»»
Шкала
0-нет воздействия
1-слабое воздействие
3-умеренное воздействие
9-сильное воздействие.
Средства контроля
Угроза
Отказ в
обслуживании
Вредоносный
код
Ошибки
пользователя
Внутренние
атаки
Спам
Физическое
повреждение
аппаратных
средств
Брандмауэр
3
9
9
1
3
3
9
Система обнаружения
вторжений
9
9
9
9
9
9
9
Обучение персонала
3
3
9
9
3
9
9
Политика безопасности
3
1
3
9
0
3
9
Конфигурация архитектуры
3
3
3
3
3
3
3
На основании полученной матрицы средств контроля можно сделать
выводы, что в настоящее время наибольшие угрозы создает слабая система
обнаружения вторжений, которая реализована только в серверной
операционной системе Windows Server 2012.
46
Выводы по главе 2
На основании выполненного анализа угроз программного обеспечения
ООО «Текстильной фирмы «Купавна»» можно сделать выводы:
- в настоящее время ООО «Текстильная фирма «Купавна»» относится к
одному из крупнейших производителей по выпуску шерстяных тканей в
России;
- к основным функциям ИТ-отдела ООО «Текстильной фирмы
«Купавна»» относятся поддержка работоспособности ИТ-инфраструктуры
предприятия с внедрением и развитием новых технологий и обеспечением
работы сетевого оборудования;
- в производственной деятельности ООО «Текстильной фирмы
«Купавна»» применяется программа Spotlight Pro 3.2, разработчиком которой
является компания Consistent Software. Эта программа представлена в виде
гибридного растрового векторного редактора, позволяющего одновременно
показывать на экране отсканированные растровые слои отдельных шаблонов
и векторные рабочие слои;
- в основе ИТ-инфраструктуры предприятия находится клиент-
серверная архитектура, которая отличается от других архитектур тем, что она
позволяет полностью поддерживать многопользовательскую работу и
гарантировать целостность данных;
- ИТ-инфраструктура ООО «Текстильной фирмы «Купавна»»
находится под управлением серверной операционной системы Windows
Server 2012R, а на рабочих станциях установлена операционная система
Windows 7 под управлением, которой работает офисный пакет Microsoft
Office 2013;
- существует необходимость усиления защиты клиентской
операционной системы Windows 7 и для этого предлагаем внедрить систему
обнаружения вторжений «Форпост».
47
ГЛАВА 3. РАЗРАБОТКА РЕКОМЕНДАЦИЙ ПО
ВНЕДРЕНИЮ СИСТЕМЫ ОБНАРУЖЕНИЯ ВТОРЖЕНИЙ
«ФОРПОСТ» В ООО «ТЕКСТИЛЬНАЯ ФИРМА
«КУПАВНА»»
3.1. Разработка технического задания на внедрение системы
обнаружения вторжений «Форпост»
Для внедрения системы обнаружения вторжений «Форпост» выполним
разработку технического задания, в котором отобразим требования и
основные параметры системы предотвращения угроз программному
обеспечению.
1. Полное и краткое наименование системы обнаружения вторжений:
Система обнаружения вторжений «Форпост» (СОВ «Форпост»).
2. Назначение СОВ «Форпост»: позволяет автоматически выявлять
компьютерные атаки на программное обеспечение [40].
3. Функции СОВ «Форпост»:
- обнаружить компьютерные атаки, направленные программное
обеспечение, установленное на сервере и рабочих станциях;
- предотвратить развитие сетевых вирусов, за счет блокировки их
источников через механизм отправки данных по протоколам RS-232;
- оповещать администратора компьютерной сети об обнаруженных
атаках за счет вывода сообщения в консоли администратора;
- контролировать целостность ресурсов и программного обеспечения,
за счет механизма отслеживания работы пользователей с программным
обеспечением;
- вести журналы сообщений, включающие служебную информацию,
сформированную компонентами системы обнаружения атак, а так же
журналы работы сетевого оборудования по протоколу SNMP SYSLOG;
48
- осуществлять удаленное управление сетевым оборудованием, с
использованием средств криптографической защиты;
- интегрировать с внешними системами, за счет передачи сообщений,
зафиксированных компьютерных атак и журналов по протоколу SYSLOG;
- генерировать отчеты, на основе содержимого журналов для
обнаружения атак.
4. Принципы работы СОВ «Форпост». В состав СОВ «Форпост» входит
специальные шаблоны сигнатур, в которых хранятся сведения об
современных вирусных атаках и угрозах.
В случае обнаружения сигнатур, в СОВ «Форпост» регистрируется
факт обнаружения атаки, производится оповещение администратора о
безопасности и предоставляется ему возможность блокировки источника
атаки, с использованием определенного коммуникационного оборудования.
Для обнаружения угроз в состав СОВ «Форпост» входят датчики
контроля целостности, которые позволяют отслеживать действия нарушителя
в отношении контролируемых ресурсов. В системе обнаружения атак СОВ
«Форпост» реализованы методы реагирования на атаки, такие как:
- идентификация компьютерной атаки на основании информации об
уязвимостях компьютерной сети;
- оповещение администратора безопасности об обнаруженных атаках,
за счет вывода сообщения в консоль администрирования;
- регистрация атак в журнале модулей датчиков;
- блокировка источника угрозы информационной безопасности за счет
отправки информации на сетевое оборудование по протоколам RS-232,
TELNET.
5. Управление сетевым оборудованием в СОВ «Форпост»
осуществляется через локальный интерфейс RS-232 или по протоколу
TELNET. Система обнаружения атак СОВ «Форпост» позволяет реализовать
функции выборочного контроля ресурсов, проверять целостность
49
собственных ресурсов, в том числе конфигурируемых файлов, а также
каталога реестров.
Для управления СОВ «Форпост» входит консоль администратора, в
которой реализованы механизмы удаленного управления. Для того, чтобы
скрыть средства обнаружения атак СОВ «Форпост» в контролируемом
программном обеспечении выделяется отдельный сегмент, в котором
устанавливаются датчики контроля целостности или отдельные компоненты.
К дополнительным мерам относятся средства, позволяющие выполнять
идентификацию и аутентификацию пользователей, предусматривать
наложение ограничений на работу пользователей с программным
обеспечением.
В состав СОВ «Форпост» входят служебные журналы, в которых
регистрируются сведения о выявленных компьютерных атаках и случаях
нарушения целостности, сообщения на подключение и отключение
компонентов, а также блокировки и разблокировки источника атак.
К дополнительным характеристикам управления СОВ «Форпост»
относятся:
- механизма фильтрации при работе с журналами;
- русскоязычный интерфейс администрирования;
- поддержка работы серверной операционной системой Windows Server
2012;
- возможность анализа атак и угроз по протоколам TCP/IP;
- поддержка интеграции с сетевым оборудованием;
- возможность резервирования ключевых компонентов.
Система обнаружения атак СОВ «Форпост» основана на
многомодульной архитектуре. Каждый из модулей устанавливается на сервер
с обеспечением требований показателям производительности и
отказоустойчивости.
50
6. Характеристика основных компонентов СОВ «Форпост» приведена в
таблице 11.
Таблица 11 – Характеристика основных компонентов СОВ «Форпост»
Название компонента
Описание
Информационный
фонд
База данных под управлением СУБД SQL Server. Она
включает в свой состав централизованное хранилище
событий системы и шаблонов датчиков
Компонент Agent BT
Позволяет обеспечить криптографическую защиту при
организации обмена данными с информационным фондом и
другими компонентами средства обнаружения атак
Координационный
центр
Выполняет функции связи модулей системы и организует
передачу между ними с контролем работоспособности
Консоль
администратора
Включает графический пользовательский интерфейс для
управления и мониторинга состояния работы системы
обнаружения атак
Модуль интеграции с
сетевым
оборудованием
Поддерживает работу с сетевым оборудованием по
протоколу RS-232, позволяет блокировать источники угроз,
получать системные сообщения сетевого оборудования и
отсылать сообщения об атаках в журнал системы
обнаружения атак
Модуль почтовых
сообщений
Для передачи по электронной почте информации об
обнаруженных атаках и угрозах
Агент работы и
управления датчиками
Выступает связующим звеном между датчиками
целостности и средствам обнаружения атак
Сетевые датчики
Выполняют функции по анализу поступающего трафика и
выявление в нем атак, с использованием сигнатурного
метода
Датчики контроля
целостности
Выполняют контроль целостности данных, на основании
использования собственных ресурсов
7. Системные требования для работы с системой обнаружения атак
СОВ «Форпост».
- серверная операционная система Windows Server 2012;
- клиентская операционная система Windows 7;
- для работы информационного фонда, сетевого датчика и
координационного центра, использовать серверную операционную систему
Windows Server 2012.
51
Необходимо учитывать, что применение клиентской операционной
системы Windows 7 снижает производительность и возможна только при
соблюдении лицензионных соглашений.
8. Выбор версии СОВ «Форпост» необходимо выполнить по
техническим данным, приведенным в таблице 12.
Таблица 12 – Выбор версии СОВ «Форпост»
Параметр
ПАК «Форпост
2000»
ПАК «Форпост
2400»
ПАК «Форпост
2405»
Сетевой интерфейс
для съема трафика
«SPAN»
2xSFP+10 Гбит/с
2 медных 10 Гбит/с
2xSFP+10 Гбит/с
Производительность
сетевого датчика
До 2 Гбит/с в
режиме Full
Duplex и до 1
Гбит/с в режиме
Half Duplex
До 4 Гбит/с в
режиме Full Duplex
и до 2 Гбит/с в
режиме Half Duplex
До 7 Гбит/с в
режиме Full
Duplex и до 3.5
Гбит/с в режиме
Half Duplex
Процессор
2x Intel Xeon (2x4
ядра)
2x Intel Xeon (2x8
ядер)
2х Intel Xeon
(2х12 ядер)
ОЗУ, Гбайт
32
32
32
На основании выполненного сравнительного анализа версий СОВ
«Форпост» предлагаем выбрать ПАК «Форпост 2405», который имеет
высокие технические характеристики.
9. Требования к аппаратному обеспечению на персональном
компьютере и на сервере должен быть установлен:
- процессор, имеющий частоту не менее 1,6 ГГц;
- оперативная память объемом не менее 2 Гбайт;
- свободное дисковое пространства не менее 20 Гбайт;
- сетевой интерфейс, обеспечивающий скорость передачи данных не
менее 100 Мбит/с.
На сервере дополнительно должен быть установлен сетевой интерфейс
для захвата трафика, позволяющий обеспечить скорость не менее 100 Мбит/с
и выполнен в серверном исполнении.