66
Инженерно-техническая защиты информации составляет комплекс
технических и организационных мер, которые позволяют обеспечить
информационную безопасность техническим средствами и позволяет решать
такие задачи, как:
• Не позволяет злоумышленники просто так проникнут к источникам
хранения данных с целью их уничтожить, изменить или похитить;
• Защищает носители информации от воздействия стихийных
бедствий – пожара, наводнения, землетрясения, а также уберегает от пагубных
воздействий при локализации возгораний;
• Предотвращает возможности утечки информации по открытым
каналам связи.
На сегодняшний день инженерно-техническая защиты информации очень
активно развивается благодаря исследованиям в различных областях науки и
техники: физики, теории систем, акустики, радиоэлектроники, радиоизмерений и
целого ряда других дисциплин. Круг вопросов, которыми занимается
инженерно-техническая защита, действительно очень широк и многообразен.
Это обусловлено наличием многочисленных источников хранения и передачи
данных, способами и средствами их добывания, а, следовательно, и защиты.
Чтобы обеспечить эффективную инженерно-техническую защиту, важно
определить:
• Что требуется защитить в организации, помещении, здании;
• Какие основные угрозы могут возникать для защищаемой
информации со стороны «хакеров» и их технических средств;
• Какие средства и способы целесообразнее применить в том или
ином случае, а также учитывая величину угрозы и размер затрат на ее
предотвращение;
• Каким образом лучше организовать техническую защиту
информации в компании.
Без вышеперечисленных знаний вся защиты данных будет сводиться к
форме «круговой обороны», если позволяют средства, или «латанию дыр» при
реальной ограниченности в материальных ресурсах.
67
В процессе организации защиты данных также важно учитывать и знать
некоторые психологические факторы, которые также влияют на принятие
решений руководителем или другими ответственными лицами. Это объясняется
тем, что сами меры по защите данных имеют превентивную направленность без
наличия достоверных данных о возможных угрозах применительно к каждой
конкретной организации. Кроме того, потери от скрытого хищения проявляются
не сразу, а спустя некоторое время, когда уже достаточно трудно выявить
причину и реализовать ответные меры. Такие факторы не способствуют
готовности руководства тратить большие средства на организацию защиты
данных. Тем не менее, мировой опыт показывает, что в среднем компании
выделяют от 10 до 20 процентов своего бюджета на организацию безопасности
информационных ресурсов. Т.к. значительная часть этих средств уходит на
покупку и ввод в эксплуатацию технических средств и оборудования, то сама
методология инженерно-технической защиты должна стараться обеспечивать
рациональный выбор средств защиты данных.
Одним из видов программно-аппаратных комплексов для предотвращения
потерь данных являются DLP-системы.
DLP-системы (Data Leak Prevention) - система предотвращения утечек
важной информации из информационной системы под влиянием внешних
факторов, а также программные или программно-аппаратные устройства или
комплексы для обеспечения защиты от таких утечек. Такие системы
формируются в результате анализа информационных потоков, пересекающих
границу защищаемой информационной системы.
Технически каналами, контролируемыми DLP-продуктом, могут
выступать: Электронная почта (трафик SMTP, POP3, IMAP4). Веб-ресурсы —
публичные почтовые сервисы, социальные сети, форумы, блоги, чаты и т. п.
(трафик по протоколам HTTP, HTTPS и FTP). Программы для обмена
мгновенными сообщениями и пиринговые клиенты (ICQ, Jabber, MSN, Skype,
многочисленные клиенты для P2P-сетей и т. п.). Сетевая печать (SMB Printing,
NCP Printing, LPD, IPP и т. д.). Внешние устройства, подключенные к рабочим
станциям или серверам (USB-диски, CD/DVD, локальные принтеры,
несанкционированные передатчики Wi-Fi, Bluetooth, IrDa, модемы и т. п.). IP-
68
телефония (протоколы SIP, SDP, H.323, T.38, MGCP, SKINNY и др.). DLP-
продукт должен обеспечивать возможности обнаружения случайного или
умышленного несанкционированного использования информации сотрудниками
компании посредством ее анализа, а не только перекрывать все каналы
полностью. Кроме того, важнейшим критерием причисления решения к классу
DLP, с нашей точки зрения, является наличие возможностей автоматического
или ручного анализа произошедших событий и контентного анализа
передаваемой информации (в режиме реального времени, или т. н. постанализ
архива накопленной информации). Важная функция современного DLP-решения
— возможность автоматического поиска несанкционированных копий и мест
хранения конфиденциальных данных на рабочих станциях и корпоративных
серверах. Такие возможности присутствуют в большинстве имеющихся на
рынке DLP-систем, но не являются для них обязательными.
Далее проведем сравнение отечественных DLP для выбора оптимальной.
Краеугольным камнем любого сравнения является набор критериев, по
которому оно производится. Их количество зависит от ряда факторов: степени
глубины исследования, а также степенью различий между системами, которую
мы хотим подчеркнуть. В то же время важно не только количество выбранных в
рамках сравнения критериев, но и развёрнутые ответы по каждому из них, так
как сравниваемые системы могут серьезно различаться даже на этом уровне.
Следуя этому принципу, были отобраны более 200 критериев, сравнение по
которым призвано упростить для заказчика сравнение и выбор DLP-системы. К
некоторым из критериев были добавлены пояснения. Для удобства все
сравнительные критерии были разделены на следующие категории:
Общая информация
системные требования;
режимы работы;
режимы перехвата информации;
возможности интеграции;
мониторинг и защита агентов;
производительность и отказоустойчивость.
Контролируемые каналы:
69
электронная почта (протоколы SMTP, POP3, IMAP, MAPI, NNTP,
S/MIME); системы мгновенного обмена сообщений (протоколы OSCAR, MMP,
MSN, XMPP, YMSG, HTTPIM, Microsoft Lync, Skype);
протокол HTTP и его модификации;
протоколы FTP и P2P; туннелирующие протоколы (IP-in-IP, L2TP,
PPTP, PPoE и другие);
внешние устройства (USB, DVD/CD-ROM, COM, LPT, USB, IrDA,
FireWire, модемы, Bluetooth, принтеры, сетевые принтеры, камеры, сканеры и
т.д.);
мобильные устройства;
прочие протоколы;
Контроль действий корпоративных пользователей (Employee
Management);
Поиск конфиденциальной информации в сети предприятия
(eDiscovery); Возможные реакции на инцидент;
Аналитические возможности;
Хранение, ретроспективный анализ, отчётность;
Лицензирование.
Для сравнения были выбраны следующие DLP:
1. Дозор Джет 5.0.1
2. InfoWatch Traffic Monitor Enterprise 5.1
3. Falcongaze SecureTower 5.1
4. МФИ Софт Гарда Предприятие 2.1.4
5. SearchInform (Контур информационной безопасности)
6. Zecurion Zgate 4.0, Zlock 5.0, Zdiscovery 2.0
Сравнение DLP по основным показателям приведено в таблицах 1.12-1.14.
Таблица1.9
Мониторинг и защита агентов
Дозор
-Джет
Falconga
ze
InfoWatc
h
МФИ Софт
SearchInfor
m
Zecurio
n
Контроль
работы
Да
Да
Да
Да
Да
Да
70
агентов
Защита от
выключени
я и
удаления
Да
Да
Да
Да
Да
Да
Контроль
целостност
и агента
Да
Да
Да
Да
Да
Да
Маскировк
а агента в
системе
Да
Да
Нет
Да
Да
Да
Работа
агента при
загрузке
Windows в
безопасном
режиме
Да
Да
Да
Нет
Да
Да
Контроль
политик
агента
Да
Да
Да
Да
Да
Да
Возможнос
ть
настройки
реагирован
ия на
события
Да
Да
Да
Да,
оповещение
администрато
ра о
критических
событиях
Да
Да
Таблица 1.10
Поиск конфиденциальной информации в сети предприятия
Дозор-
Джет
Falcong
aze
InfoWatch
МФ
И
Соф
т
SearchInfo
rm
Zecurion
Сканирование
рабочих
станций
Да
Да
Нет
Да
Да
Сканирование
общих сетевых
хранилищ
Да
Да
Нет
Да
Да
Сканирование
хранилищ
Microsoft
SharePoint
Да
Нет
Да
Нет
Да
Создание
теневых копий
найденных
конф.
документов
Да
Нет
Да
Нет
Да
Да
71
Запуск заданий
вручную или
по расписанию
Вручную
, по
расписан
ию
Нет
Вручную,
по
расписани
ю
Нет
Вручную,
по
расписани
ю
Вручную
, по
расписан
ию
Удаление или
перемещение
конфиденциал
ьных данных в
карантин
Нет
Нет
Да
Автоматическо
е определение
первоначально
го владельца
данных на
основе
заданных
критериев
Нет
Нет
Да, но
только
при
ручном
поиске
Да
Определение
доступа к
файлу
Нет
Определен
ие
пользовате
ля
разместивш
его
документ,
пользовате
лей
имеющих
доступ к
этому
файлу, и
применени
е на основе
этих
данных
политик
Нет
Да, через
DeviceSni
ffer
Да
Специальные
политики для
зашифрованны
х файлов и
файлов,
защищённых
паролем
Да
Нет
Да
Да
Да
Да
Таблица1.11
Реакция на инциденты
Дозор-
Джет
Falcon
gaze
InfoW
atch
МФИ
Софт
SearchI
nform
Symantec
Zecurion
Запись в
Да
Да
Да
Да,
Да
Да
Да
72
журнал
запись
сеанса
по
заданн
ым
критер
иям
Сохранен
ие файлов
(теневое
копирован
ие)
Да
Да
Да
Да
Да
Да
Да, для
Zlock и
Zgate
Уведомле
ние
администр
атора
безопасно
сти
Да, по
электро
нной
почте
Да, по
электр
онной
почте
Да, по
электр
онной
почте
Да, по
электр
онной
почте
или
SMS
Да, по
электр
онной
почте
Да, по
электронн
ой почте
или
системе
регистрац
ия
событий
через
SMTP,
Syslog
сообщения
Да, по
электрон
ной
почте
или SMS
Блокировк
а
соединени
я
Да,
SMTP,
HTTP
Да,
SMTP,
HTTP,
SMTPs
,
HTTPs
Да,
SMTP,
HTTP(
S)
Нет
Да,
только
для
SMTP
Да, любой
протокол
распознан
ный
системой
Все
контроли
руемые
каналы
(около
150
штук)
Карантин
Да,
SMTP,
HTTP
Да,
SMTP,
HTTP,
SMTPs
,
HTTPs
Да,
SMTP,
HTTP(
S)
Нет
Да,
только
для
SMTP
Да, при
помощи
интеграци
и с
Symantec
Messaging
Gateway
Да
Автоизме
нение
сообщени
й
Да
(модуль
реконст
рукции
сообще
ний)
Нет
Нет
Нет
Да
Да
Возможно
сть
использов
ания
Да
Да
Да,
любой
SQL-
клиент
Нет
Да
Да
73
внешних
программ/
скриптов
для
работ
ы с
базами
данны
х
Возможно
сть
задания
условий
для
активизац
ии
определен
ных
сценариев
(триггеры)
Да
Нет
Да
Нет
Нет
Да, любая
настраивае
мая
последова
тельность
действий
Да
На основе сравнения DLP выбираем «Контур информационной
безопасности СёрчИнформ».
DLP-система «Контур информационной безопасности СёрчИнформ»
(КИБ) — решение, которое защитит бизнес в несколько шагов:
Возьмет под контроль информационные потоки.
Исследует содержимое всех переписок и отправлений.
Оповестит о нарушениях политик безопасности.
Поможет провести расследование и предупредить утечку.
Система работает на двух уровнях: контролирует данные, которые уходят
в Интернет и следит за тем, что происходит на компьютерах работников. Это
позволяет «КИБ СёрчИнформ» защищать компанию 24 часа в сутки как внутри
офиса, так и в случаях, когда сотрудники отправляются в командировки или
работают из дома.
«Контур информационной безопасности СёрчИнформ» контролирует:
Email-переписку.
Голосовые и текстовые сообщения, а также переданные файлы
(Skype, Viber, ICQ и др.).
Информацию, отправленную на облачные сервисы или принятую с
них (Cloud).
74
Посты на форумах и комментарии в блогах.
Внешние устройства (флешки, жесткие, CD- и DVD-диски).
Документы, отправленные на печать.
Система в режиме реального времени анализирует все
информационные потоки и сообщает об инцидентах. КИБ хранит всю
перехваченную информацию и позволяет восстановить детали, если возникает
необходимость расследования.
«Контур информационной безопасности СёрчИнформ» решает
следующие задачи:
Защищает от убытков, связанных с утечками информации.
Разоблачает мошеннические схемы и саботаж.
Стимулирует соблюдение трудовой дисциплины и рабочего
регламента.
Помогает повысить продуктивность служащих.
Выявляет связи между сотрудниками и внешним миром, помогает
проводить расследования.
Позволяет управлять лояльностью коллектива и выявлять негатив.
Контролирует расход ресурсов организации.
Выполняет требования регуляторов.
Упрощает процесс инвентаризации оборудования и мониторинга
ПО.
75
II Проектная часть
2.1. Комплекс организационных мер обеспечения информационной
безопасности и защиты информации предприятия
2.1.1. Отечественная и международная нормативно-правовая основа
создания системы обеспечения информационной безопасности и защиты
информации предприятия
Основным источником права в области обеспечения информационной
безопасности Российской Федерации является Конституция Российской
Федерации.
Согласно Конституции Российской Федерации:
каждый имеет право на неприкосновенность частной жизни,
личную и семейную тайну, на тайну переписки, телефонных переговоров,
почтовых, телеграфных и иных сообщений (статья 23);
сбор, хранение, использование и распространение информации о
частной жизни лица без его согласия не допускаются (статья 24);
каждый имеет право свободно искать, получать, передавать,
производить и распространять информацию любым законным способом,
перечень сведений, составляющих государственную тайну, определяется
федеральным законом (статья 29);
каждый имеет право на достоверную информацию о состоянии
окружающей среды (статья 42).
В то же время, согласно статье 55 Конституции Российской Федерации
права и свободы человека и гражданина могут быть ограничены федеральным
законом, если это необходимо в целях защиты основ конституционного строя,
нравственности, здоровья, прав и законных интересов других лиц, обеспечения
обороны страны и безопасности государства.
Одним из основных способов обеспечения информационной безопасности
Российской Федерации является защита информации.
Система нормативных правовых актов Российской Федерации в области
защиты информации включает в себя законы, подзаконные акты (указы и
распоряжения Президента Российской Федерации и постановления и