96
Рисунок 2.3 Пример категории базы контентной фильтрации в АПК "Гарда
Предприятие"
После формирования базы контентной фильтрации можно перейти к
заполнению базы сотрудников. В систему необходимо внести информацию о
структуре организации и сотрудниках - сделать это можно как вручную, так и путем
синхронизации с LDAP-сервером. Дополнительно для сотрудников можно задать
так называемые признаки. Это может быть адрес электронной почты, логин в
домене, IP-адрес, VoIP-телефон или даже ключевое слово и фраза.
Для каждого подразделения в целом и пользователя отдельно можно задать
права доступа к контролируемой информации. Речь идет об указании допустимых,
с точки зрения безопасности, уровней передачи данных по той или иной тематике.
Например, для сотрудников HR-отдела вполне естественно регулярное посещение
сайтов по поиску работы и получение и отправка файлов с резюме. Но те же действия
для бухгалтеров являются поводом серьезно задуматься. Наличие же уровней у
критериев позволяет точнее настроить права. К примеру, всем бухгалтерам можно
разрешить передачу договоров (и настроить соответствующий критерий на уровень
97
3). Но отправить налоговый отчет имеет право только главный бухгалтер (уровень
5).
У АПК "Гарда Предприятие" есть одно важное отличие от многих других
DLP-решений. Дело в том, что администратор системы может отказаться от
тотальной записи всего трафика, и сохранять в архиве не все, а только
удовлетворяющие определенным условиям данные. Условия эти задаются в так
называемых сеансах наблюдения. У такого подхода есть серьезное преимущество -
минимизация ресурсов, необходимых для хранения больших объемов базы данных
и быстрое уведомление об инцидентах по заранее построенным критериям
наблюдения.
Рисунок 2.4 Пример параметров сотрудника в АПК "Гарда Предприятие"
Таким образом, непосредственная работа с АПК "Гарда Предприятие"
начинается с настройки сеансов – своего рода контейнеров, в которые помещается
информация, обнаруженная на основе заданных критериев анализа. При
необходимости, можно настроить сеансы таким образом, что будет перехватываться
вся информация или только определенные инциденты, что может заметно
уменьшить размер базы сохраняемых данных. Какой вариант выбрать? Это
администратор безопасности решает самостоятельно, исходя из конкретных условий
98
и поставленной задачи. Для выбора того или иного варианта достаточно просто
поставить или снять «галочку» в настройках, поэтому при необходимости режим
контроля можно быстро поменять.
Работа с сеансами осуществляется на одноименной вкладке "Центра
управления". Для удобства их можно группировать - например, собирать вместе по
анализируемым каналам передачи информации, подразделениям, сотрудникам и пр.
Сами сеансы создаются достаточно просто. Вначале вносится основная информация
– наименование и описание. Пренебрегать этими полями не стоит, поскольку со
временем количество сеансов может оказаться очень большим.
Также при необходимости можно заполнить поле emails. Если внести в него
один или несколько адресов электронной почты, то система будет автоматические
отправлять на них уведомления о появлении информации, перехваченной в рамках
данного сеанса. Это весьма актуально в тех случаях, когда сеанс настраивается
именно на инциденты, то есть на факты явного нарушения корпоративных политик.
После ввода основной информации задаются параметры сбора информации.
В первую очередь перечисляются типы перехватываемых данных. Это могут быть
объекты и/или потоки. Под объектами понимают контроль протокола HTTP
(отдельно GET, POST и других методов), почты, IM, передачи файлов, звонков по
VoIP, использования социальных сетей и пр. Под потоками – декодируемые,
зашифрованные и неизвестные потоки трафика. Для каждого контролируемого
объекта или потока можно устанавливать способ мониторинга – полный или
статистический. В первом случае в архиве сохраняется непосредственно
информация, удовлетворяющая условиям, а во втором – только сам факт ее
передачи.
99
Рисунок 2.5 Основные свойства и перечень типов данных сеанса
наблюдения в АПК "Гарда Предприятие"
Следующий шаг – ввод критериев анализа. Под критериями понимаются
условия, при выполнении которых данные из общего потока сохраняются в архив. В
системе предусмотрено 12 типов условий, начиная с простейших (IP- и MAC-адрес,
адрес электронной почты и пр.) и заканчивая такими, как соответствие сотруднику,
ключевой фразе (с учетом морфологии), категории документов. При этом
администратору доступны такие логические операции, как проверка равенства,
отрицание, логические "И" и "ИЛИ". Пример можно увидеть на иллюстрации. В
данном сеансе собираются все, что касается поиска работы для всех сотрудников,
кроме работников отдела кадров. В завершении можно задать права доступа к
создаваемому сеансу. Пользователям можно разрешать и запрещать просматривать,
экспортировать и удалять информацию, редактировать свойства сеанса, ставить
пометки и пр.
100
Рисунок 2.6 Критерии отбора информации сеанса наблюдения в АПК "Гарда
Предприятие"
Рисунок 2.7 Права доступа к сеансу наблюдения в АПК "Гарда
Предприятие"
При проведении служебного расследования просмотр данных, собранных в
рамках сеансов наблюдения, осуществляется непосредственно в них. Для этого в
101
свойствах сеанса есть целый ряд вкладок, которые позволяют просматривать сами
данные отдельно по разным типам объектов (в том числе, можно прослушивать
записи разговоров). При этом администратору безопасности доступны такие
инструменты, как сортировка и фильтрация по всем полям, поиск по содержимому,
установка пометок, перенос в папки (средство для хранения и общей работы с
собранной информацией) и экспорт. Помимо этого, можно осуществлять поиск по
базе, а также строить и просматривать статистические отчеты.
Схема программного обеспечения с учетом элементов системы защиты
информации приведена на рисунке 2.8.
Сервер БД
СУБД
MS SQL
Server 2012
MS Windows
Server 2008
MS Windows
Server 2008
Файловый
сервер
Сервер
приложений
MS exchange
server 2008
MS Windows
Server 2008
MS Windows
Storage Serve r
2008
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
АРМ пользователя других отделов
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Бухгалтерия 8.0
Отдел продаж
ИТ-отдел
Абонентский отдел
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
АЛТИУС CRM –
Управление контактами
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Документообор
от 8
АРМ пользователя других отделов
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Документообор
от 8
Отдел проектирования
Юридический отдел
Делопроизводство
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Зарплата и
управление
персоналом 8
АРМ пользователя других отделов
Mozilla Firefox
MS Office 2010
Microsoft System
Center 2012 Endpoint
Protection
MS Windows 8
1С:Документообор
от 8
Строительный отдел
Отдел кадров
Сервер 1C
1C
MS Windows
Server 2008
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP , HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP , HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP , HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP, HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
TCP/IP , HTTP/HTTPS,
FTP, POP3/SMTP/
IMAP
System Center 2012 R2 Configuration Manager
"Гарда
Предприятие"
Монитор рабочего
места
Анализатор
База данных
Центр
управления
Сервер
управления
рабочими
местами
Монитор рабочего
места
Монитор рабочего
места
Монитор рабо чего
места
Монитор рабо чего
места
Монитор рабо чего
места
Монитор рабо чего места
Монитор рабо чего места
Рисунок 2.8 Схема программного обеспечения с учетом элементов системы
защиты информации
Схема аппаратного обеспечения с учетом элементов внедрения DLP
приведена на рисунке 2.9.
102
Серверная комната
20 U
2 U Патч панель
1 U ИБП Schneider Electric Smart-UPS
3 U
Файл-сервер Fujitsu PRIMERGY
RX200 S7
3 U
Сервер БД Fujitsu PRIMERGY
RX200 S7
3 U Маршрутизатор Netgear GSM7252S
Internet
Рабочая станция Dell
Brother HL-L2340DWR
Отдел проектирования
Рабочая станция Dell
Brother HL-L2340DWR
Отдел продаж
Рабочая станция Dell
Brother HL-L2340DWR
Отдел кадров
Рабочая станция Dell
Brother HL-L2340DWR
Юридический отдел
Рабочая станция Dell
Brother HL-L2340DWR
ИТ-отдел
Рабочая станция Dell
Brother HL-L2340DWR
Строительный отдел
Рабочая станция Dell
Brother HL-L2340DWR
Делопроизводство
Рабочая станция Dell
Brother HL-L2340DWR
Абонентский отдел
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
NETGEAR GS728TP
SB-100EUS
3 U
Сервер управления
рабочими местами
Рисунок 2.9 Схема аппаратного обеспечения с учетом элементов защиты
Таким образом, для развертывания системы защиты необходима закупка
одного сервера – для развертывания системы DLP, а также рабочей станции для
администратора системы защиты информации.
103
3 Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчета экономической
эффективности
Одним из методов оценки качества защиты информации является
определение соответствия техническому заданию на создание системы защиты
реализованных функций и задач, эксплуатационных характеристик и требований.
Другой способ, используемый в отечественной и зарубежной практике - это
анализ функциональной надежности системы, которая также характеризует
качественный уровень системы Информационной безопасности (СИБ).
Количественный уровень защиты автоматизированных информационных
систем (АИС) характеризуется двумя основными группами показателей -
относительными и абсолютными. Рассмотрим более подробно данные показатели.
Абсолютная количественная оценка защиты информации в АИС может
характеризовать издержки, выраженные в денежном выражении, ча¬стоту
неблагоприятных событий или другие показатели, которые являются значимыми в
части обеспечения защиты информации.
Рассматривая потери АИС, необходимо отметить, что они могут быть
техническими, организационными, технологическими, экономическими, причем
они вытекают друг из друга и потери одного уровня влекут за собой потери
следующих уровней.
Потери АИС - это потеря свойств информации, вычислительных,
информационных ресурсов АИС, финансовых и прочих активов, а также потеря
доверия между партнерами вследствие реализации угроз.
При разработке СИБ разработчик должен оценивать потери, которые понесет
АИС в результате реализации той или иной угрозы. Исходя из таких оценок, он
должен ответить на поставленные выше вопросы.
В то же время, при разработке эффективной СИБ, должна учитываться
величина выигрыша нарушителя, и сделать так, чтобы данная величина
минимизировалась.
При исследовании возможных потерь АИС вследствие реализации угроз,
требуется изучать множество ресурсов АИС и потенциальных угроз и по отношению
к каждому ресурсу найти решения, связанные со следующими обстоятельствами:
104
- определение круга заинтересованных лиц в использовании активов АИС.
- определение целей нарушителя.
- установление размеров выгоды полученной нарушителем вследствие
реализации одной или комплекса угроз.
- оценка размеров затрат, которые нарушитель готов понести для достижения
поставленной цели.
При оценке эффективности СИБ необходимо рассматривать свойства
информации и ресурсы АИС, которые подлежат защите с точки зрения собственника
информации, так как только собственник может определить что нужно защищать и
дать стоимостную оценку тому или иному свойству и/или ресурсу.
Расчет абсолютных количественных показателей неразрывно связан с
понятиями риска и затрат на уменьшение риска.
3.2 Расчет показателей экономической эффективности
Определим значения частоты возможного появления угрозы, а также значение
возможного ущерба от ее реализации и общую сумму потерь для основных угроз
(таблица 3.1).
Таблица 3.1
Значения потерь при реализации основных угроз
Угроза 1
Угроза 2
Угроза 3
Угроза 4
Угроза 5
Итогово
е
значение
потерь,
тыс. руб
S
i
V
i
R
i
S
i
V
i
R
i
S
i
V
i
R
i
S
i
V
i
R
i
S
i
V
i
R
i
Догово
ры с
партнёр
ами и
клиента
ми
3
4
1000
3
5
10000
4
5
100000
3
6
100000
3
5
10000
22
1
Внутре
нняя
финанс
овая
докуме
нтация
6
2
10000
2
3
10
4
5
100000
2
7
100000
2
6
10000
22
0,01
105
Персон
альные
данные
сотрудн
иков
2
6
10000
2
6
10000
3
5
10000
3
6
100000
2
7
100000
23
0
Сведен
ия о
примен
яемых
средств
ах
обеспеч
ения ИБ
2
6
10000
2
7
100000
2
7
100000
2
6
10000
2
6
10000
23
0
Сведен
ия о
ценовой
политик
е
2
6
10000
7
2
100000
2
6
10000
2
5
1000
7
2
100000
22
1
Сведен
ия о
заключа
емых
договор
ах
2
7
100000
2
7
100000
4
2
100
2
6
10000
2
6
10000
22
0,1
Входящ
ая и
исходя
щая
корресп
онденц
ия
2
7
100000
3
5
10000
2
7
100000
7
2
100000
2
6
10000
32
0
Планы
и
стратег
ия
развити
я
6
2
10000
3
5
10000
2
7
100000
6
2
10000
2
7
100000
23
0
Планир
ование
развити
я и
открыт
ия
филиал
ов
2
7
100000
3
5
10000
2
7
100000
7
2
100000
2
6
10000
32
0