51
Внешним пользователям соответствующих информационных систем
присваиваются ключи для усиленной аутентификации, которые записываются
на персональный идентификатор.
2.2.3. Подсистема регистрации событий безопасности
Определение событий безопасности, подлежащих регистрации, и сроков
их хранения осуществляется с помощью механизмов средства защиты
информации от несанкционированного доступа Secret Net 7 в соответствии с
«Средство защиты информации Secret Net 7. Руководство администратора.
Аудит».
Определение состава и содержания информации о событиях
безопасности, подлежащих регистрации осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «Средство защиты информации Secret Net 7.
Руководство администратора. Аудит».
Сбор, запись и хранение информации о событиях безопасности в
течении установленного времени хранения осуществляется с помощью
механизмов средства защиты информации от несанкционированного доступа
Secret Net 7 в соответствии с «Средство защиты информации Secret Net 7.
Руководство администратора. Аудит».
Оператором должен осуществляться мониторинг (просмотр, анализ)
результатов регистрации событий безопасности и реагирование на них.
Мониторинг (просмотр и анализ) записей регистрации (аудита) должен
проводиться для всех событий, подлежащих регистрации, и с
периодичностью, установленной оператором, и обеспечивающей
своевременное выявление признаков инцидентов безопасности в
информационной системе.
В случае выявление признаков инцидентов безопасности в
информационной системе осуществляется планирование и проведение
мероприятий по реагированию на выявленные инциденты безопасности.
52
Правила и процедуры мониторинга результатов регистрации событий
безопасности и реагирования на них регламентируются в организационно-
распорядительных документах оператора по защите информации.
Генерирование временных меток и (или) синхронизация системного
времени в информационной системе осуществляется с помощью механизмов
средства защиты информации от несанкционированного доступа Secret Net 7
в соответствии с «Средство защиты информации Secret Net 7. Руководство
администратора. Аудит».
Защита информации о событиях безопасности осуществляется с
помощью механизмов средства защиты информации от
несанкционированного доступа Secret Net 7 в соответствии с «Средство
защиты информации Secret Net 7. Руководство администратора. Управление.
Основные механизмы защиты».
2.2.4. Подсистема обнаружения вторжений
Обнаружение вторжений осуществляется с помощью механизмов
средства защиты информации от сетевых вторжений, вредоносных программ
и спама ESET NOD32 Secure Enterprise 5 в соответствии с «ESET NOD32
Security. Руководство пользователя».
Обновление базы решающих правил осуществляется с помощью
механизмов средства защиты информации от сетевых вторжений,
вредоносных программ и спама ESET NOD32 Secure Enterprise 5 в
соответствии с «ESET NOD32 Security. Руководство пользователя».
2.2.5. Подсистема защиты технических средств
В сети Клиники обеспечивается контролируемая зона, в пределах
которой постоянно размещаются стационарные технические средства,
обрабатывающие информацию, и средства защиты информации, а также
средства обеспечения функционирования.
53
В Клинике обеспечивается контроль и управление физическим доступом
к техническим средствам, средствам защиты информации, средствам
обеспечения функционирования, а также в помещения и сооружения, в
которых они установлены, исключающие несанкционированный физический
доступ к средствам обработки информации, средствам защиты информации и
средствам обеспечения функционирования информационной системы и
помещения и сооружения, в которых они установлены.
Оператором должно осуществляться размещение устройств вывода
(отображения) информации, исключающее ее несанкционированный
просмотр.
В качестве устройств вывода (отображения) информации в
информационной системе следует рассматривать экраны мониторов
автоматизированных рабочих мест пользователей, мониторы консолей
управления технических средств (серверов, телекоммуникационного
оборудования и иных технических средств), видеопанели, видеостены и
другие средства визуального отображения защищаемой информации,
печатающие устройства (принтеры, плоттеры и иные устройства),
аудиоустройства, многофункциональные устройства.
Размещение устройств вывода (отображения, печати) информации
должно исключать возможность несанкционированного просмотра
выводимой информации, как из-за пределов контролируемой зоны, так и в
пределах контролируемой зоны. Не следует размещать устройства вывода
(отображения, печати) информации напротив оконных проемов, входных
дверей, технологических отверстий, в коридорах, холлах и иных местах,
доступных для несанкционированного просмотра.
2.2.6. Подсистема защиты информационной системы, ее средств, систем
связи и передачи данных
В информационных системах должно быть обеспечено разделение
функциональных возможностей по управлению (администрированию)
54
информационной системой, управлению (администрированию) системой
защиты информации (функций безопасности) и функциональных
возможностей пользователей по обработке информации.
Функциональные возможности по управлению (администрированию)
информационной системой и управлению (администрированию) системой
защиты информации включают функции по управлению базами данных,
прикладным программным обеспечением, телекоммуникационным
оборудованием, рабочими станциями, серверами, средствами защиты
информации и иные функции, требующие высоких привилегий.
Разделение в информационной системе функций по управлению
(администрированию) информационной системой, управлению
(администрированию) системой защиты информации, функций по обработке
информации и иных функций информационной системы осуществляется с
помощью механизмов средства защиты информации от
несанкционированного доступа Secret Net 7 в соответствии с «средство
защиты информации от несанкционированного доступа Secret Net 7.
Руководство администратора. Управление. Основные механизмы защиты».
Обеспечение защиты информации от раскрытия, модификации и
навязывания (ввода ложной информации) при подготовке к передаче по
каналам связи, имеющим выход за пределы контролируемой зоны, в том числе
беспроводным каналам связи осуществляется с помощью механизмов
средства защиты информации от несанкционированного доступа Secret Net 7
в соответствии с «средство защиты информации от несанкционированного
доступа Secret Net 7. Руководство администратора. Управление. Основные
механизмы защиты».
Обеспечение защиты информации от раскрытия, модификации и
навязывания (ввода ложной информации) при ее передаче по каналам связи,
имеющим выход за пределы контролируемой зоны, в том числе беспроводным
каналам связи осуществляется с помощью механизмов криптографического
55
шлюза ПАК ViPNet Coordinator HW 1000/100 в соответствии с «ПАК ViPNet
Coordinator HW. Руководство администратора».
Запрет несанкционированной удаленной активации видеокамер,
микрофонов и иных периферийных устройств, которые могут активироваться
удаленно, и оповещение пользователей об активации таких устройств
осуществляется с помощью механизмов средства защиты информации от
сетевых вторжений, вредоносных программ и спама ESET NOD32 Secure
Enterprise 5 в соответствии с «ESET NOD32 Security. Руководство
пользователя».
В Клинике передача видеоинформации осуществляется с помощью
программы Skype. Основным применением программы Skype является
проведение видеоконференций с детской поликлиникой и здравпунктами, а
также участие в видеоконференциях, проводимых органами власти и
управления старшего уровня.
Защита видео-трафика в сети Клиники обеспечивается
организационными методами для чего в Клинике создается соответствующий
регламент. В регламенте необходимо указать следующие меры по защите
данных: лицо, ответственное за использование программы, список лиц,
имеющих право использовать данную программу, утвержденный порядок
использования программы.
Обеспечение подлинности сетевых соединений (сеансов
взаимодействия), в том числе для защиты от подмены сетевых устройств и
сервисов осуществляется с помощью механизмов криптографического шлюза
ПАК ViPNet Coordinator HW 1000/100 в соответствии с «ПАК ViPNet
Coordinator HW. Руководство администратора».
Исключение возможности отрицания пользователем факта отправки
информации другому пользователю осуществляется с помощью механизмов
средства защиты информации от несанкционированного доступа Secret Net 7
в соответствии с «средства защиты информации от несанкционированного
доступа Secret Net 7. Аудит».
56
Исключение возможности отрицания пользователем факта получения
информации от другого пользователя осуществляется с помощью механизмов
средства защиты информации от несанкционированного доступа Secret Net 7
в соответствии с «средства защиты информации от несанкционированного
доступа Secret Net 7. Аудит». А также с помощью прикладных программных
средств информационных систем Министерства труда и занятости населения
Оренбургской области.
Сегментирование АСЗИ и создание многоуровневой (эшелонированной)
системы защиты информации в Клинике нет необходимости, так как все
информационные системы, согласно актов, классификации одного класса К2,
и согласно актов определения уровня защищенности одного уровня
защищенности УЗ-3.
В информационных системах Клиники беспроводные соединения не
применяются.
В Клинике согласно Модели угроз в списке актуальных угроз
отсутствуют угрозы безопасности информации, направленных на отказ в
обслуживании информационных систем.
Защита периметра ИС от сетевых вторжений, вредоносных программ и
спама ESET NOD32 Secure Enterprise 5 осуществляется в соответствии с
«ESET NOD32 Security. Руководство пользователя», а также с помощью
механизмов криптографического шлюза ПАК ViPNet Coordinator HW
1000/100 в соответствии с «ПАК ViPNet Coordinator HW. Руководство
администратора».
Прекращение сетевых соединений по их завершении или по истечении
заданного оператором временного интервала неактивности сетевого
соединения осуществляется с помощью механизмов средства защиты
информации от сетевых вторжений, вредоносных программ и спама ESET
NOD32 Secure Enterprise 5 в соответствии с «ESET NOD32 Security.
Руководство пользователя», а также осуществляется с помощью механизмов
57
криптографического шлюза ПАК ViPNet Coordinator HW 1000/100 в
соответствии с «ПАК ViPNet Coordinator HW. Руководство администратора».
2.2.7. Подсистема криптографической защиты информации
Подтверждение авторства и целостности информации при её
информационном обмене с применением электронной подписи (ЭП)
осуществляется с помощью средства криптографической защиты ViPNet
Client 3.2 в соответствии с «ViPNet Client 3.2 Руководство администратора».
Шифрование и имитозащита передаваемой через открытые сети
информации осуществляется с помощью средства криптографической защиты
ViPNet Client 3.2 в соответствии с «ViPNet Client 3.2 Руководство
администратора», а также с помощью механизмов криптографического шлюза
ПАК ViPNet Coordinator HW 1000/100 в соответствии с «ПАК ViPNet
Coordinator HW. Руководство администратора».
Исключение доступа к передаваемой информации в любых каналах
связи осуществляется с помощью средства криптографической защиты ViPNet
Client 3.2 в соответствии с «ViPNet Client 3.2 Руководство администратора», а
также с помощью механизмов криптографического шлюза ПАК ViPNet
Coordinator HW 1000/100 в соответствии с «ПАК ViPNet Coordinator HW.
Руководство администратора».
ВЫВОДЫ
Дана общая характеристика объекта проектирования – ООО «Клиника
промышленной медицины».
Описана АИС объекта проектирования и выполнен анализ
информационных подсистем организации.
Выполнен анализ существующей маршрутизации в организации.
58
Произведен анализ комплекса технических средств объекта
проектирования.
Выполнен анализ топологии соединения коммутаторов основного
сегмента АИС Клиники.
Проанализированы физический и канальный уровень основного
сегмента ЛВС.
Выполнен анализ фрагмента принципиальной схемы сети и определены
технические характеристики.
Обосновано применение технологии VPN посредствам аппаратных
межсетевых экранов, имеющих в числе своих функций, функцию
маршрутизации для повышения безопасности объекта.
Обоснована схема включения узлов VipNet в режиме межсетевого
экрана.
Получена структурная схема включения межсетевого экрана.
Произведен выбор средств защиты информации и их комплектность.
Разработана подсистема идентификации и аутентификации субъектов
доступа и объектов доступа.
Выбрана подсистема регистрации событий безопасности посредствам
Secret Net 7.
Выбрана подсистема обнаружения вторжений на основе механизмов
средства защиты информации от сетевых вторжений, вредоносных программ
и спама ESET NOD32 Secure Enterprise 5.
Определена подсистема защиты технических средств организации.
Выбрана подсистема защиты информационной системы, ее средств,
систем связи и передачи данных.
Определена подсистема криптографической защиты информации с
применением электронной подписи с помощью средства криптографической
защиты ViPNet Client 3.2.
59
3. Взаимодействие АС с другими системами и оценка
технических характеристик защищенной сети
3.1. Взаимодействие АС с другими системами
Для передачи информации в АСЗИ по каналам коммуникаций
используются протоколы SMTP, POP3, IMAP4, HTTP, HTTPS, FTP.
Протоколы SMTP, POP3 и IMAP4 интегрируют в себе функции верхних
уровней модели OSI и используют в качестве средства доставки сообщений
транспортный протокол TCP. За серверами каждого протокола закреплены
стандартные номера TCP-портов:
− SMTP-сервер – 25;
− POP3-сервер – 110;
− IMAP-сервер – 143.
В сети Клиники области передаются файлы форматов doc, xls, txt, xml.
Передача информационных сообщений по основному каналу
основывается на протоколах электронной почты, приложений,
администрирования и мониторинга (таблица 4) [34].
Таблица 4 – Протоколы взаимосвязей в СКС
Приложения
Протоколы
Удаленные ИС и учетные системы:
терминальный доступ
RDP
Удаленные ИС и учетные системы:
web-клиент
HTTP
АРМ удаленных систем(GUI-
клиенты)
протоколы используемые Oracle, MS-
SQL, Cache и др.
Почта, офисные приложения
протоколы используемые в Exchange,
а также SMTP,IMAP,HTTP и т.п.
Обмен данными PACS
DICOM, XML
Обмен данными через файлы, СУБД,
web-сервисы
CIFS,HTTP протоколы используемые
Oracle, MS-SQL, Cache и т.п.
Служебный и управляющий трафик
Netbios, DNS, SNMP, ICMP, LDAP и
др. прикладного уровня
60
Для технологического контроля возможно использование протоколов
вычислительных сетей, обеспечивающих заданную скорость и надежность
передачи информации в соответствии с требованиями канала связи.
Передача электронных документов осуществляется с использованием
электронной подписи (ЭП) и шифрования по ГОСТ Р 34.10-2001, ГОСТ 34.11-
94. При передаче документов в пределах периметра сети здания допускается
передача электронных документов без ЭП [29].
3.2. Оценка технических характеристик защищенной сети
В соответствии с рисунком 11 весь сетевой трафик подлежит
обязательному шифрованию. Таким образом, весь трафик будет проходить
через ПАК HW1000 G2, а это значит, что необходимо определить будет ли
достаточно пропускной способности устройства для обслуживания
пользователей сети Клиники.
Таблица 5 - Параметры абонентской нагрузки для каждого класса услуг
Услуга
Максима
льная
скорость
Кбит/с
Длительн
ость
сеанса
связи (с)
Количеств
о вызовов
в час
Пачечность
Входная
нагрузка
Эрл
VoIP
95,2
150
3
1
0,125
Видеонаблюде
ние
1024
3600
1
1
1
Internet
1024
60
10
8
0,167
База данных
512
15
20
5
0,083
Файловый
обмен
2048
30
3
10
0,025
Видеонаблюде
ние (банкомат)
384
3600
1
1
1
Математический аппарат теории массового обслуживания позволяет
получить значения зависимости времени передачи пакетов от скорости работы
сети. В этом случае, подключение к реальным каналам не требуется.