- Главная
- Без категории
- Методика анализа защищённости ИС. Методы и средства выявления угроз её ИБ. Лекция 6
Содержание
- 2. Вопросы: Методы качественной оценки систем информационной безопасности Методы количественной оценки систем информационной безопасности Методы и средства
- 3. 1. Методы качественной оценки систем информационной безопасности Типовая методика анализа защищённости ИС предприятия включает: изучение исходных
- 4. 1. Методы качественной оценки систем информационной безопасности Исходные данные В соответствии с требованиями Руководящих документов при
- 5. 1. Методы качественной оценки систем информационной безопасности Исходные данные перечень технических и программных средств в защищённом
- 6. 1. Методы качественной оценки систем информационной безопасности Исходные данные Для оценки текущего положения дел с обеспечением
- 7. 1. Методы качественной оценки систем информационной безопасности Анализ рисков начинается с формализации системы приоритетов организации в
- 8. 1. Методы качественной оценки систем информационной безопасности Существуют различные подходы к оценке рисков [12]. Выбор подхода
- 9. 1. Методы качественной оценки систем информационной безопасности Исходными данными являются результаты опроса сотрудников, базы данных со
- 10. 1. Методы качественной оценки систем информационной безопасности Изменение характера риска. Если не удаётся уклониться от риска
- 11. 1. Методы качественной оценки систем информационной безопасности Тестирование системы защиты проводится с целью проверки эффективности используемых
- 12. 1. Методы качественной оценки систем информационной безопасности Выводы о наличии уязвимостей делаются на основании анализа конфигурации
- 13. 1. Методы качественной оценки систем информационной безопасности При тестировании могут быть затронуты деликатные вопросы частной жизни
- 14. 2. Методы количественной оценки систем информационной безопасности В основе метода экспертных оценок информационной безопасности [8] лежит
- 15. 2. Методы количественной оценки систем информационной безопасности 2.1. Метод экспертных оценок Рис. 5.1. Иерархия кластеров
- 16. 2. Методы количественной оценки систем информационной безопасности Значимость элементов кластера определяется на основе матрицы парных сравнений
- 17. 2. Методы количественной оценки систем информационной безопасности При этом выбор разработчиком ПЗ конкретных элементов множеств {Tj},
- 18. 2. Методы количественной оценки систем информационной безопасности Риск исходного состояния ПЗ можно представить вектором с координатами
- 19. 2. Методы количественной оценки систем информационной безопасности Для исходного состояния ПЗ рассчитываются суммарный коэффициент значимости атак
- 20. 2. Методы количественной оценки систем информационной безопасности Стандарт ISO/IEC 15408 позволяет выбрать цели безопасности, нейтрализующие возможные
- 21. 2. Методы количественной оценки систем информационной безопасности Рассмотрим распределённую вычислительную сеть, имеющую следующую топологию (рис. 5.4).
- 22. 2. Методы количественной оценки систем информационной безопасности Пусть вторая локальная сеть состоит из FIREWALL – межсетевого
- 23. 2. Методы количественной оценки систем информационной безопасности Рис. 5.5. Информационные потоки В рамках этой модели не
- 24. 2. Методы количественной оценки систем информационной безопасности Для реализации функций управления доступом имеет смысл составить матрицу
- 25. 2. Методы количественной оценки систем информационной безопасности Аутентификация представляет собой проверку подлинности идентификаторов. Аутентификация гарантирует подлинность
- 26. 2. Методы количественной оценки систем информационной безопасности Систему аудита следует строить таким образом, чтобы при возникновении
- 27. 2. Методы количественной оценки систем информационной безопасности Возможность атаки соединения (например, активной атаки протокола TCP) возникает
- 28. 2. Методы количественной оценки систем информационной безопасности Построение алгоритма распределения функций безопасности 1. Защита от внешних
- 29. 2. Методы количественной оценки систем информационной безопасности Существует метод оценки защищённости, сущность которого состоит в построении
- 30. 2. Методы количественной оценки систем информационной безопасности Таким образом, получившийся граф позволяет проследить возможные пути продвижения
- 31. 2. Методы количественной оценки систем информационной безопасности Цель нарушителя – достичь объекта защиты, преодолев все необходимые
- 32. 2. Методы количественной оценки систем информационной безопасности В общем случае модель защищаемой системы следующая: Θ =
- 33. 2. Методы количественной оценки систем информационной безопасности Множество О = {Z, С}, где Z – «кольцо
- 34. 2. Методы количественной оценки систем информационной безопасности Множество S = {M, R}, где параметр R характеризует
- 35. 2. Методы количественной оценки систем информационной безопасности Для получения относительного оценочного параметра L = tвзл /
- 36. 2. Методы количественной оценки систем информационной безопасности Оперируя графом защищаемой системы для исследования защищённости конкретного объекта,
- 37. 2. Методы количественной оценки систем информационной безопасности при L Проведённое исследование позволяет строить два вида оценки:
- 38. 2. Методы количественной оценки систем информационной безопасности Исходными данными для проведения оценки и анализа служат результаты
- 39. 2. Методы количественной оценки систем информационной безопасности При определении актуальных угроз, экспертно-аналитическим методом определяются объекты защиты,
- 40. 3. Методы и средства анализа защищённости автоматизированной системы Целью аудита внешнего периметра корпоративной сети является оценка
- 41. 3. Методы и средства анализа защищённости автоматизированной системы Проверочные мероприятия включают в себя: Проверка на возможность
- 42. 3. Методы и средства анализа защищённости автоматизированной системы При анализе конфигурации средств защиты внешнего периметра ЛВС
- 43. 3. Методы и средства анализа защищённости автоматизированной системы Целью анализа защищённости внутренней ИТ-инфраструктуры является выявление уязвимостей
- 44. 3. Методы и средства анализа защищённости автоматизированной системы Анализ защищённости внутренней ИТ-инфраструктуры организации предполагает проведение полного
- 45. 3. Методы и средства анализа защищённости автоматизированной системы Наличие и работоспособность средств контроля целостности Версии используемого
- 46. 3. Методы и средства анализа защищённости автоматизированной системы Для анализа защищённости ИС используется множество инструментальных средств,
- 47. 3. Методы и средства анализа защищённости автоматизированной системы Лучшими методами для предотвращения рисков сетевых атак на
- 49. Скачать презентацию
Слайд 2Вопросы:
Методы качественной оценки систем информационной безопасности
Методы количественной оценки систем информационной безопасности
Методы и средства
Вопросы:
Методы качественной оценки систем информационной безопасности
Методы количественной оценки систем информационной безопасности
Методы и средства
Литература
1. Щеглов А.Ю. Защита информации от несанкционированного доступа. – СПб.: Наука и техника. 2004. – 383 с
Слайд 31. Методы качественной оценки систем информационной безопасности
Типовая методика анализа защищённости ИС предприятия включает:
изучение
1. Методы качественной оценки систем информационной безопасности
Типовая методика анализа защищённости ИС предприятия включает:
изучение
оценку рисков, связанных с осуществлением угроз безопасности в отношении ресурсов предприятия;
анализ механизмов безопасности организационного уровня, политики безопасности организации и организационно-распорядительной документации по обеспечению режима ИБ и оценку их соответствия требованиям существующих нормативных документов, а также их адекватности существующим рискам;
ручной анализ конфигурационных файлов маршрутизаторов и прокси-серверов, почтовых и DNS-серверов;
сканирование внешних сетевых адресов локальной сети;
сканирование ресурсов локальной сети изнутри;
анализ конфигурации серверов и рабочих станций при помощи специализированных программных агентов.
Перечисленные технические методы предполагают применение как активного, так и пассивного тестирования системы защиты. Активное тестирование заключается в эмуляции действий потенциального злоумышленника; пассивное тестирование предполагает анализ конфигурации ОС и приложений по шаблонам с использованием списков проверки. Тестирование может производиться вручную или с использованием специализированных программных средств.
1.1. Оценка уровня информационной безопасности
Слайд 41. Методы качественной оценки систем информационной безопасности
Исходные данные
В соответствии с требованиями Руководящих документов
1. Методы качественной оценки систем информационной безопасности
Исходные данные
В соответствии с требованиями Руководящих документов
полное и точное наименование ОИ и его назначение. Характер обрабатываемой информации (научно-техническая, экономическая, производственная, финансовая, военная, политическая) и уровень её секретности, определённый в соответствии с тем или иным перечнем (государственным, отраслевым, ведомственным, предприятия);
организационная структура ОИ;
перечень помещений, состав комплекса технических средств, входящих в ОИ, в которых (на которых) обрабатывается указанная информация. Особенности и схема расположения ОИ с указанием границ контролируемой зоны;
структура программного обеспечения, используемого на аттестуемом ОИ и предназначенного для обработки защищаемой информации, используемые протоколы обмена информацией;
общая функциональная схема ОИ, включая схему источников питания и режимы обработки защищаемой информации;
наличие и характер взаимодействия с другими ОИ;
состав и структура системы ЗИ на аттестуемом ОИ;
1.1. Оценка уровня информационной безопасности
Слайд 51. Методы качественной оценки систем информационной безопасности
Исходные данные
перечень технических и программных средств в
1. Методы качественной оценки систем информационной безопасности
Исходные данные
перечень технических и программных средств в
сведения о разработчиках системы ЗИ, наличие у сторонних разработчиков лицензий на проведение подобных работ;
наличие на ОИ службы безопасности;
наличие и основные характеристики физической защиты объекта (помещений, где обрабатывается защищаемая информация и хранятся носители информации);
наличие проектной и эксплуатационной документации на ОИ и другие исходные данные по объекту, влияющие на ИБ.
1.1. Оценка уровня информационной безопасности
Слайд 61. Методы качественной оценки систем информационной безопасности
Исходные данные
Для оценки текущего положения дел с
1. Методы качественной оценки систем информационной безопасности
Исходные данные
Для оценки текущего положения дел с
нормативно-распорядительная документация по проведению регламентных работ и обеспечению политики безопасности, должностные инструкции, процедуры и планы предотвращения и реагирования на попытки НСД к информационным ресурсам, топология корпоративной сети, структура информационных ресурсов с указанием степени критичности или конфиденциальности каждого из них, размещение информационных ресурсов в ИС, организационная структура пользователей и обслуживающих подразделений, размещение линий передачи данных, схемы и характеристики систем электропитания и заземления объектов, используемые системы сетевого управления и мониторинга;
проектная документация – функциональные схемы, описание автоматизированных функций, описание основных технических решений;
эксплуатационная документация – руководства пользователей и администраторов, использующих программные и технические средства ЗИ.
1.1. Оценка уровня информационной безопасности
Слайд 71. Методы качественной оценки систем информационной безопасности
Анализ рисков начинается с формализации системы приоритетов
1. Методы качественной оценки систем информационной безопасности
Анализ рисков начинается с формализации системы приоритетов
Кроме критериев, учитывающих финансовые потери, в коммерческих организациях могут присутствовать критерии, отражающие:
ущерб репутации организации;
неприятности, связанные с нарушением действующего законодательства;
ущерб для здоровья персонала;
ущерб, связанный с разглашением персональных данных отдельных лиц;
финансовые потери от разглашения информации;
финансовые потери, связанные с восстановлением ресурсов;
потери, связанные с невозможностью выполнения обязательств;
ущерб от дезорганизации деятельности.
В правительственных учреждениях могут добавляться критерии, отражающие такие области, как национальная безопасность и международные отношения.
Затем производится выбор подходящей технологии анализа рисков.
1.2. Оценка рисков
Слайд 81. Методы качественной оценки систем информационной безопасности
Существуют различные подходы к оценке рисков [12].
1. Методы качественной оценки систем информационной безопасности
Существуют различные подходы к оценке рисков [12].
Минимальным требованиям к режиму ИБ соответствует базовый уровень ИБ. Обычной областью использования этого уровня являются типовые проектные решения. Существует ряд стандартов и спецификаций, в которых рассматривается минимальный (типовой) набор наиболее вероятных угроз, таких как вирусы, сбои оборудования, НСД и т.д. Для нейтрализации этих угроз обязательно должны быть приняты контрмеры вне зависимости от вероятности их осуществления и уязвимости ресурсов.
Повышенные требования. В случаях, когда нарушения режима ИБ чреваты тяжёлыми последствиями, базовый уровень требований к режиму ИБ является недостаточным. Для того чтобы сформулировать дополнительные требования, необходимо:
определить ценность ресурсов;
к стандартному набору добавить список угроз, актуальных для исследуемой информационной системы;
оценить вероятность угроз;
определить уязвимость ресурсов.
1.2. Оценка рисков
Слайд 91. Методы качественной оценки систем информационной безопасности
Исходными данными являются результаты опроса сотрудников, базы
1. Методы качественной оценки систем информационной безопасности
Исходными данными являются результаты опроса сотрудников, базы
Для базового уровня ИБ документ будет содержать раздел: «Классы рисков, принимаемых во внимание при построении подсистемы ИБ».
Для повышенного уровня ИБ документ будет содержать разделы:
«Оценка ценности информационных ресурсов»;
«Возможные пути нарушения режима ИБ (модель угроз)»;
«Модель нарушителя по выбранным классам угроз»;
«Оценка параметров угроз и уязвимых мест ИС».
Выделяется четыре подхода к управлению рисками [12]:
Уменьшение риска. Многие риски могут быть существенно уменьшены путём использования весьма простых и дешёвых контрмер. Например, грамотное управление паролями снижает риск НСД.
Уклонение от риска. От некоторых классов рисков можно уклониться. Например, вынесение Web-сервера организации за пределы локальной сети позволяет избежать риска НСД в локальную сеть со стороны Web-клиентов.
1.2. Оценка рисков
Слайд 101. Методы качественной оценки систем информационной безопасности
Изменение характера риска. Если не удаётся уклониться
1. Методы качественной оценки систем информационной безопасности
Изменение характера риска. Если не удаётся уклониться
Принятие риска. Многие риски не могут быть уменьшены до пренебрежимо малой величины. На практике, после принятия стандартного набора контрмер, ряд рисков уменьшается, но остаётся все ещё значимым. Необходимо знать остаточную величину риска.
Исходными данными являются результаты опроса сотрудников, экспертные оценки возможности применения стандартных подходов к управлению рисками.
В результате выполнения этапа для принимаемых во внимание рисков должна быть предложена стратегия управления, излагаемая в документе «Управление рисками»:
выделение рисков, уровень которых недопустимо высок;
стратегия управления рисками;
выбор варианта контрмер.
1.2. Оценка рисков
Слайд 111. Методы качественной оценки систем информационной безопасности
Тестирование системы защиты проводится с целью проверки
1. Методы качественной оценки систем информационной безопасности
Тестирование системы защиты проводится с целью проверки
Тестирование по методу «чёрного ящика» предполагает отсутствие у тестирующей стороны каких-либо специальных знаний о конфигурации и внутренней структуре объекта испытаний. Против объекта испытаний реализуются все известные типы атак. Используемые методы тестирования эмулируют действия потенциальных злоумышленников, пытающихся взломать систему защиты.
Основным средством тестирования в данном случае являются сетевые сканеры, содержащие базу данных с описанием известных уязвимостей ОС, маршрутизаторов, сетевых служб и т.п., а также алгоритмов осуществления попыток вторжения.
Метод «белого ящика» предполагает составление программы тестирования на основании знаний о структуре и конфигурации объекта испытаний. В ходе тестирования проверяется наличие и работоспособность механизмов безопасности, соответствие состава и конфигурации системы защиты требованиям безопасности и существующим рискам.
1.3. Тестирование систем информационной безопасности
Слайд 121. Методы качественной оценки систем информационной безопасности
Выводы о наличии уязвимостей делаются на основании
1. Методы качественной оценки систем информационной безопасности
Выводы о наличии уязвимостей делаются на основании
Тест на проникновение. Тестирование системы защиты – это метод выявления недостатков безопасности с точки зрения постороннего человека (взломщика). Он позволяет протестировать схему действий, которая раскрывает и предотвращает внутренние и внешние попытки проникновения и сообщает о них. Используя этот метод, можно обнаружить даже те недостатки защиты, которые не были учтены в самом начале, при разработке политики безопасности. Тест должен разрешить два основных вопроса:
все ли пункты политики безопасности достигают своих целей и используются так, как это было задумано;
существует ли что-либо, не отражённое в политике безопасности, что может быть использовано для осуществления целей злоумышленника?
Все попытки должны контролироваться обеими сторонами – как «взломщиком», так и «клиентом». Это поможет протестировать систему гораздо эффективнее. Необходимо также свести к минимуму количество людей, знающих о проведении эксперимента.
1.3. Тестирование систем информационной безопасности
Слайд 131. Методы качественной оценки систем информационной безопасности
При тестировании могут быть затронуты деликатные вопросы
1. Методы качественной оценки систем информационной безопасности
При тестировании могут быть затронуты деликатные вопросы
Профессионалам в области безопасности при проведении теста необходимо иметь такое же положение, как и у потенциального злоумышленника: в их распоряжении должны быть время, терпение и максимальное количество технических средств, которые могут быть использованы взломщиком. Более того, проверяющим следует расценить это как вызов своему профессионализму, а значит, проявить столько же рвения, сколько и взломщик, иначе тесты могут не достичь необходимого результата.
Осведомлённость играет ведущую роль в защите предприятия от проникновения в информационные системы. Осведомлённость является ключевым моментом и вследствие того, что это предварительная, предупреждающая мера, нацеленная на усвоение самими служащими основных принципов и необходимых правил защиты. Разумеется, этот аспект требует обучения и тестирования сотрудников.
1.3. Тестирование систем информационной безопасности
Слайд 142. Методы количественной оценки систем информационной безопасности
В основе метода экспертных оценок информационной безопасности
2. Методы количественной оценки систем информационной безопасности
В основе метода экспертных оценок информационной безопасности
Формально описать вероятности отдельных угроз, атак, эффективности отдельных политик безопасности очень сложно. В связи с этим, для получения количественной оценки риска используются экспертные оценки, основанные на использовании кластера исходов (рис. 5.1), представляющего собой дерево иерархий с вершинами Z1, ... Zj,... Zn. Каждая из вершин кластера исходов соответствует элементу множества значений анализируемого показателя {Tj}, {Vj}, { SPj}, {RAj}.
2.1. Метод экспертных оценок
Слайд 152. Методы количественной оценки систем информационной безопасности
2.1. Метод экспертных оценок
Рис. 5.1. Иерархия кластеров
2. Методы количественной оценки систем информационной безопасности
2.1. Метод экспертных оценок
Рис. 5.1. Иерархия кластеров
Слайд 162. Методы количественной оценки систем информационной безопасности
Значимость элементов кластера определяется на основе матрицы
2. Методы количественной оценки систем информационной безопасности
Значимость элементов кластера определяется на основе матрицы
Каждый путь в дереве иерархий соответствует элементу множества значений отдельных показателей {Tj}, { SPj}, {RAj}и для этого пути можно определить коэффициент значимости Кj, как произведение значений векторов приоритетов кластеров исходов, соответствующих этому пути:
2.1. Метод экспертных оценок
Kj = Х1j ∙ X2j ∙ … ∙ Xgj,
(5.1)
Слайд 172. Методы количественной оценки систем информационной безопасности
При этом выбор разработчиком ПЗ конкретных элементов
2. Методы количественной оценки систем информационной безопасности
При этом выбор разработчиком ПЗ конкретных элементов
Условиями, способствующими риску, являются:
недостаток имеющейся у разработчика информации (список уязвимостей не полон, часть угроз не идентифицирована, политики безопасности в силу экономических, юридических особенностей могут быть выполнены лишь частично);
недостаток времени и имеющихся ресурсов. Специфика разрабатываемого ПЗ зачастую требует введения новых целей и разработки для них специальных функциональных требований безопасности. А это всегда связано с дополнительными и не малыми временными, ресурсными и стоимостными затратами.
2.1. Метод экспертных оценок
Слайд 182. Методы количественной оценки систем информационной безопасности
Риск исходного состояния ПЗ можно представить вектором
2. Методы количественной оценки систем информационной безопасности
Риск исходного состояния ПЗ можно представить вектором
2.1. Метод экспертных оценок
В данном случае R определяет верхнюю границу риска, которая априорно существует до определения целей безопасности.
При выборе целей безопасности, исходя из уязвимостей, угроз, политик безопасности и предположений, разработчику ПЗ рекомендуется использовать таблицы соответствия: «Детальная политика безопасности – Цели безопасности» и таблицу соответствия «Угрозы – Атаки – Цели безопасности» из профилирующей базы знаний «CC Profiling Knowledge Base».
На рис. 5.2 показана последовательность формирование целей безопасности для вариантов ПЗ, исходя из существующих уязвимостей, угроз, атак.
Слайд 192. Методы количественной оценки систем информационной безопасности
Для исходного состояния ПЗ рассчитываются суммарный коэффициент
2. Методы количественной оценки систем информационной безопасности
Для исходного состояния ПЗ рассчитываются суммарный коэффициент
2.1. Метод экспертных оценок
,
(5.3)
Слайд 202. Методы количественной оценки систем информационной безопасности
Стандарт ISO/IEC 15408 позволяет выбрать цели безопасности,
2. Методы количественной оценки систем информационной безопасности
Стандарт ISO/IEC 15408 позволяет выбрать цели безопасности,
2.1. Метод экспертных оценок
,
Риск потерь активов для ПЗ, соответствующего выбранным целям безопасности можно оценить согласно соотношению:
Слайд 212. Методы количественной оценки систем информационной безопасности
Рассмотрим распределённую вычислительную сеть, имеющую следующую топологию
2. Методы количественной оценки систем информационной безопасности
Рассмотрим распределённую вычислительную сеть, имеющую следующую топологию
Эта вычислительная сеть включает в себя две доверенных между собой локальных сети, связанных через Интернет. Первая локальная сеть включает в себя: FIREWALL – межсетевой фильтр, DOM1 – сервер (контроллер домена), SMTP1 – почтовый сервер и состоит из двух сегментов. К первому сегменту относятся ПК PC11,...,PC1n, а во второй сегмент входят рабочие станции PC21,...,PC2m.
2.2. Метод информационных потоков
,
Слайд 222. Методы количественной оценки систем информационной безопасности
Пусть вторая локальная сеть состоит из FIREWALL
2. Методы количественной оценки систем информационной безопасности
Пусть вторая локальная сеть состоит из FIREWALL
Определим информационный поток (коммуникационный трафик) как передачу информации через сеть. Рассмотрим набор всевозможных информационных потоков рассматриваемой распределённой вычислительной сети.
Преобразуем вычислительную сеть рис. 5.4 к рис. 5.5, который иллюстрирует возможные варианты соединений (сетевых трафиков) между отправителем Xj и получателем Yj
Для любых информационных потоков (ИП) между отправителем Xj и получателем Yj возможны следующие варианты:
ИП, который пересекает защищённую Сеть 1 (j = 1);
ИП, который выходит из защищённой Сети 1 и не входит в Сеть 2 (j = 2);
ИП, который выходит из общей сети (Интернет) и входит в Сеть 1 (j = 3);
ИП между доверенными Сетями 1 и 2 (j = 4);
ИП, который не затрагивает ни одну из доверенных Сетей (j = 5);
ИП внутри защищённой Сети (j = 6).
2.2. Метод информационных потоков
,
Слайд 232. Методы количественной оценки систем информационной безопасности
Рис. 5.5. Информационные потоки
В рамках этой модели
2. Методы количественной оценки систем информационной безопасности
Рис. 5.5. Информационные потоки
В рамках этой модели
Под проектированием АБ будем понимать указанные средства, реализующие соответствующую функцию (функции) защиты с необходимым набором параметров, их размещение в вычислительной сети и связь друг с другом.
2.2. Метод информационных потоков
,
Слайд 242. Методы количественной оценки систем информационной безопасности
Для реализации функций управления доступом имеет смысл
2. Методы количественной оценки систем информационной безопасности
Для реализации функций управления доступом имеет смысл
Для дальнейшей формализации задач проектирования АБ рассмотрим типовой набор функций защиты, реализуемых в распределённых вычислительных системах. В настоящее время применяются следующие виды функций защиты: идентификация, аутентификация, аудит, контроль целостности, прокси-технология, шифрование информации.
В процессе идентификации устанавливается взаимно однозначное соответствие между множеством сущностей системы и множеством идентификаторов. Идентификация позволяет различать сущности системы при контроле доступа, аудите и т.д.
2.2. Метод информационных потоков
,
Слайд 252. Методы количественной оценки систем информационной безопасности
Аутентификация представляет собой проверку подлинности идентификаторов. Аутентификация
2. Методы количественной оценки систем информационной безопасности
Аутентификация представляет собой проверку подлинности идентификаторов. Аутентификация
Если для какого-нибудь коммуникационного трафика вычисление функции аутентификации опустить, то становятся возможными некоторые атаки, типа подделки адреса. Более того, при запросе доступа источником, имеющим неопознанный идентификатор, механизмы управления доступом могут выдавать некорректный результат. Всё то же самое относится и к выходному трафику. Вот почему эта функция является необходимой компонентой управления сетевым доступом.
Функция аудита позволяет вести непрерывный упорядоченный журнал важных системных событий: какое событие считать важным, определяется действующей политикой безопасности. Способ записи должен быть согласован, так чтобы информацией могли воспользоваться такие системы, как утилиты оповещения, средства анализа контрольного журнала, средства обнаружения команд.
2.2. Метод информационных потоков
,
Слайд 262. Методы количественной оценки систем информационной безопасности
Систему аудита следует строить таким образом, чтобы
2. Методы количественной оценки систем информационной безопасности
Систему аудита следует строить таким образом, чтобы
Аудит не подразумевает хранения избыточной информации, кроме той, которая необходима для поддержания единообразия. Однако для обеспечения отказоустойчивости, в частности, в неблагоприятных ситуациях, когда часть контрольной информации умышленно уничтожена, имеет смысл хранить в нескольких местах избыточную информацию: избыточность позволяет проводить перекрёстный контроль правильности информации.
Функция целостности защищает коммуникационный трафик от незамеченных или несанкционированных изменений, таких как добавление, замена или удаление. Она не предотвращает эти нарушения, а лишь обнаруживает и помечает их. Известно множество средств, позволяющих обнаруживать изменение данных, от схем проверки контрольной суммы (циклический контроль избыточности (CRC)) до криптографически защищённых цифровых подписей.
2.2. Метод информационных потоков
,
Слайд 272. Методы количественной оценки систем информационной безопасности
Возможность атаки соединения (например, активной атаки протокола
2. Методы количественной оценки систем информационной безопасности
Возможность атаки соединения (например, активной атаки протокола
Прокси-технология заключается в подмене IP-адреса участника информационного потока и применяется для скрытия реальной топологии сети, например, количества машин в защищённой сети и т. д.
Шифрование применяется для защиты от несанкционированного доступа к конфиденциальной информации при передаче её через общую сеть между двумя доверенными сетями.
2.2. Метод информационных потоков
,
Слайд 282. Методы количественной оценки систем информационной безопасности
Построение алгоритма распределения функций безопасности
1. Защита от внешних
2. Методы количественной оценки систем информационной безопасности
Построение алгоритма распределения функций безопасности
1. Защита от внешних
2. Защита от внутренних атак. Установка межсетевого экрана, к сожалению, не обеспечивает защиту ЛВС от внутренних атак. Для внутренней защиты локальной сети на сервере, который является контроллером домена (PDC), необходимо реализовать следующие функции защиты – идентификацию, аутентификация, аудит и контроль целостности информации. Аутентификация должна использоваться со средствами шифрования. Авторизация прав пользователей на доступ к ресурсам выполняется в зависимости от имени пользователя, группы, принадлежности к домену... исходя из политики безопасности.
2.2. Метод информационных потоков
,
Слайд 292. Методы количественной оценки систем информационной безопасности
Существует метод оценки защищённости, сущность которого состоит
2. Методы количественной оценки систем информационной безопасности
Существует метод оценки защищённости, сущность которого состоит
В общем случае объект исследования представляется в виде графа (рис. 5.6), вершинами которого являются так называемые «модули защиты» и защищаемые объекты, а связи - это возможные пути продвижения нарушителя. Под «модулем защиты» понимают некоторый конечный результат разложения системы защиты, который можно представить в виде элемента задержки.
2.3. Графовый метод
,
Рис. 5.6. Представление упрощённой модели в виде графа
Слайд 302. Методы количественной оценки систем информационной безопасности
Таким образом, получившийся граф позволяет проследить возможные
2. Методы количественной оценки систем информационной безопасности
Таким образом, получившийся граф позволяет проследить возможные
Вершина графа, характеризующая «модуль защиты», обладает временем задержки, имеет выходы (ребра графа). Вероятности всех выходящих из одной вершины рёбер подчиняются формуле полной вероятности:
2.3. Графовый метод
,
Особенности вершины графа, характеризующей объект защиты, даны в табл. 5.1. Вероятность входа в вершину равна 1. Выход из вершины является точкой выхода из графа. Время задержки в вершине равно 0.
Таблица 5.1
Слайд 312. Методы количественной оценки систем информационной безопасности
Цель нарушителя – достичь объекта защиты, преодолев
2. Методы количественной оценки систем информационной безопасности
Цель нарушителя – достичь объекта защиты, преодолев
tp < tвзл (5.7)
Результат исследования должен отображать степень защиты объекта, а оценка может быть представлена как выдача статистического параметра (tвзл – время взлома), характеризующего защищённость системы/объекта в системе; выдача относительного оценочного параметра, характеризующего степень защищённости.
Относительный оценочный параметр L = tвзл / tp отображает достаточность системы защиты при его сопоставлении с выражением (5.7).
2.3. Графовый метод
,
Слайд 322. Методы количественной оценки систем информационной безопасности
В общем случае модель защищаемой системы следующая:
Θ
2. Методы количественной оценки систем информационной безопасности
В общем случае модель защищаемой системы следующая:
Θ
где S – множество модулей защиты; O – множество объектов защиты; In – множество «точек входа» в модель.
Величина S = {M, R}, где параметр R характеризует наличие в модуле защиты средств обнаружения нарушителя, а также интервал времени от момента начала доступа к модулю защиты до выдачи информации о попытке НСД (R = tНСД); случайный процесс M = {f(t), Р, A}, здесь f(t) – функция плотности вероятности времени взлома для модуля защиты; P – распределение вероятности переходов из данной вершины, Pi = {Pij , Pij ≠ 0}, A – матрица логических условий; A = Ai,j(t) – функция, описывающая
возможность перемещения нарушителя по происшествии какого-либо события в системе независимо от f(t).
2.3. Графовый метод
,
Слайд 332. Методы количественной оценки систем информационной безопасности
Множество О = {Z, С}, где Z
2. Методы количественной оценки систем информационной безопасности
Множество О = {Z, С}, где Z
Рассмотрим стоимость объекта защиты С. В общем случае это функция времени С = f(t). Параметр введён для определения взаимной ценности объектов, а также оправданности затрат на построение системы защиты.
Исследование подобной модели (5.8) аналитическими методами затруднено, поэтому приведём некоторые упрощения:
Величину f(t) заменим на tср (среднее время взлома модуля защиты). Получаем, что модули защиты характеризуются средним временем задержки tср. Под величиной tср также можно понимать среднее время, необходимое для взлома модуля защиты.
Исключим матрицу логических условий A.
Будем считать, что ценность объекта защиты во много раз преобладает над стоимостью организации системы его защиты:
Θ = { S, Z, In }, (5.9)
где S – множество модулей защиты; Z – вырожденный объект защиты, характеризующийся кольцом защиты; In – множество «точек входа» в модель.
2.3. Графовый метод
,
Слайд 342. Методы количественной оценки систем информационной безопасности
Множество S = {M, R}, где параметр
2. Методы количественной оценки систем информационной безопасности
Множество S = {M, R}, где параметр
2.3. Графовый метод
,
Входными параметрами такой модели (5.9) будут:
взаимные связи модулей защиты с временными параметрами, как характеристика модуля защиты S;
наличие средств обнаружения «взлома» R для каждого модуля защиты;
время tr, необходимое для проведения мероприятий по его пресечению.
Выходным параметром можно считать значение оценочного параметра L.
Слайд 352. Методы количественной оценки систем информационной безопасности
Для получения относительного оценочного параметра L =
2. Методы количественной оценки систем информационной безопасности
Для получения относительного оценочного параметра L =
tp = tНСД + tr, (5.11)
где tНСД отсчитывается с момента входа нарушителя в систему (в «точку входа») до выдачи информации о попытке НСД и является тоже величиной составной:
tНСД = t0j + tНСД j , (5.12)
где t0j – время с момента входа нарушителя в систему (в «точку входа») до попадания в вершину с наличием средств обнаружения нарушителя; tНСД j – интервал времени от момента начала доступа к j-му модулю защиты до выдачи информации о попытке НСД.
Получаем формулу для вычисления относительного оценочного параметра
L = tвзл / (t0j + tНСД j + tr). (5.13)
2.3. Графовый метод
,
Слайд 362. Методы количественной оценки систем информационной безопасности
Оперируя графом защищаемой системы для исследования защищённости
2. Методы количественной оценки систем информационной безопасности
Оперируя графом защищаемой системы для исследования защищённости
2.3. Графовый метод
,
где m – длина пути l, измеренная в «пройдённых вершинах».
Анализируя значения L, можно делать следующие выводы:
при L > 1 объект защищён адекватно;
при очень больших значениях L появляется возможность упрощения системы защиты с целью экономии средств на её организацию. Также любой модуль защиты на практике вносит некоторые неудобства в работу защищаемой системы, и его удаление улучшает её основные характеристики (быстродействие, мобильность и т.д.);
Слайд 372. Методы количественной оценки систем информационной безопасности
при L<1 – степень защиты объекта недостаточна,
2. Методы количественной оценки систем информационной безопасности
при L<1 – степень защиты объекта недостаточна,
Проведённое исследование позволяет строить два вида оценки:
оценка защищённости конкретного объекта в вычислительной системе;
оценка защищённости всей системы, т.е. совокупность защищённостей каждого объекта в системе (иными словами, оценка защищённости всей системы может характеризоваться наихудшей оценкой защищённости объекта в вычислительной системе).
Таким образом, представленный метод позволяет учитывать взаимные связи между компонентами системы защиты независимо от их практического исполнения.
2.3. Графовый метод
,
Слайд 382. Методы количественной оценки систем информационной безопасности
Исходными данными для проведения оценки и анализа
2. Методы количественной оценки систем информационной безопасности
Исходными данными для проведения оценки и анализа
Благодаря такому подходу возможно:
установить приоритеты целей безопасности для субъекта отношений;
определить перечень актуальных источников угроз;
определить перечень актуальных уязвимостей;
оценить взаимосвязь угроз, источников угроз и уязвимостей;
определить перечень возможных атак на объект;
описать возможные последствия реализации угроз.
Результаты проведения оценки и анализа могут быть использованы при выборе адекватных оптимальных методов парирования угрозам, а также при аудите реального состояния информационной безопасности объекта для целей его страхования.
2.4. Метод весовых коэффициентов
,
Слайд 392. Методы количественной оценки систем информационной безопасности
При определении актуальных угроз, экспертно-аналитическим методом определяются
2. Методы количественной оценки систем информационной безопасности
При определении актуальных угроз, экспертно-аналитическим методом определяются
На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей, из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент опасности этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определённых ранее.
2.4. Метод весовых коэффициентов
,
Слайд 403. Методы и средства анализа защищённости автоматизированной системы
Целью аудита внешнего периметра корпоративной сети
3. Методы и средства анализа защищённости автоматизированной системы
Целью аудита внешнего периметра корпоративной сети
Анализ производится путём эмуляции действий потенциального злоумышленника по проникновению в корпоративную сеть (Penetration test) с целью нарушения её функционирования, внедрения вредоносного ПО, кражи конфиденциальной информации и выполнения других деструктивных действий. Производится также анализ конфигурации средств защиты периметра сети.
При выполнении проверок используется богатый арсенал современных инструментальных средств сетевого сканирования, специализированные средства анализа веб сайтов и сетевых приложений, программы, реализующие конкретные методы взлома (exploits), средства подбора паролей, а также ручные проверки. Используемые источники информации, включающие в себя SANS Top20, CVE, CERT, BugTraq, Microsoft Bulletins, CIS Security Benchmarks и др., позволяют гарантировать надёжную идентификацию всех известных уязвимостей.
3.1. Анализ защищённости внешнего периметра корпоративной сети
,
Слайд 413. Методы и средства анализа защищённости автоматизированной системы
Проверочные мероприятия включают в себя:
Проверка на
3. Методы и средства анализа защищённости автоматизированной системы
Проверочные мероприятия включают в себя:
Проверка на
Обследование доступных из Интернет сетевых сервисов (в том числе электронной почты, сервисов мгновенных сообщений, p2p и др.)
Проверка межсетевых экранов на наличие уязвимостей
Обследование Web и Почтового серверов
В случае обнаружения уязвимостей, предоставляются документальные свидетельства возможности компрометации, искажения, уничтожения критичной информации в предоставленных для исследования Интернет-ресурсах.
Сканирование включает более 1000 тестов для ОС UNIX, Windows и активного сетевого оборудования. Некоторые тесты называются «сбор информации» и проводятся для того, чтобы показать, что постороннее лицо может узнать об исследуемом компьютере. Остальные тесты проверяют уязвимость систем, путем сканирования на наличие известных «дыр». Каждый компьютер сканируется на наличие открытых портов и запущенных сервисов. Сканирование не наносит вреда, так как «разрушительные» действия не предпринимаются. Риск минимизируется, избегается перегрузка сети или превышение максимума пропускной способности.
3.1. Анализ защищённости внешнего периметра корпоративной сети
,
Слайд 423. Методы и средства анализа защищённости автоматизированной системы
При анализе конфигурации средств защиты внешнего
3. Методы и средства анализа защищённости автоматизированной системы
При анализе конфигурации средств защиты внешнего
настройка правил разграничения доступа (правил фильрации сетевых пакетов) на МЭ и маршрутизаторах
используемые схемы и настройка параметров аутентификации
настройка параметров системы регистрации событий
использование механизмов, обеспечивающих сокрытие топологии защищаемой сети, включающих в себя трансляцию сетевых адресов (NAT), маскарадинг и использование системы split DNS
настройка механизмов оповещения об атаках и реагирования
наличие и работоспособность средств контроля целостности
версии используемого ПО и наличие установленных пакетов программных коррекций
Отчёт по результатам работы содержит общую оценку уровня защищённости корпоративной сети от внешних сетевых атак, подробное описание обнаруженных уязвимостей по каждому IP-адресу, а также рекомендации по ликвидации уязвимостей и совершенствованию защиты.
3.1. Анализ защищённости внешнего периметра корпоративной сети
,
Слайд 433. Методы и средства анализа защищённости автоматизированной системы
Целью анализа защищённости внутренней ИТ-инфраструктуры является
3. Методы и средства анализа защищённости автоматизированной системы
Целью анализа защищённости внутренней ИТ-инфраструктуры является
Анализ защищённости внутренних сетевых хостов, в отличие от анализа защищённости внешнего сетевого периметра, включает в себя помимо внешних, также и внутренние проверки хостов и установленных на них приложений.
Внутренние проверки включают в себя анализ конфигурации операционных систем и приложений по спискам проверки на соответствие техническим стандартам и рекомендациям производителей, аудит паролей и прочие проверки, определяемые спецификой конкретных систем.
3.2. Анализ защищённости внутренней ИТ-инфраструктуры
,
Слайд 443. Методы и средства анализа защищённости автоматизированной системы
Анализ защищённости внутренней ИТ-инфраструктуры организации предполагает
3. Методы и средства анализа защищённости автоматизированной системы
Анализ защищённости внутренней ИТ-инфраструктуры организации предполагает
Анализ конфигурационных файлов маршрутизаторов, МЭ, почтовых серверов, DNS серверов и других критичных элементов сетевой инфраструктуры
Анализ конфигурации серверов и рабочих станций ЛВС при помощи специализированных программных средств и списков проверки
Сканирование хостов, входящих в состав ЛВС
При анализе конфигурации средств защиты внешнего периметра ЛВС и управления межсетевыми взаимодействиями особое внимание обращается на следующие аспекты, определяемые их конфигурацией:
Настройка правил разграничения доступа (правил фильтрации сетевых пакетов) на МЭ и маршрутизаторах
Используемые схемы и настройка параметров аутентификации
Настройка параметров системы регистрации событий
Использование механизмов, обеспечивающих сокрытие топологии защищаемой сети, включающих в себя трансляцию сетевых адресов (NAT), «маскарадинг» и использование системы split DNS
Настройка механизмов оповещения об атаках и реагирования
3.2. Анализ защищённости внутренней ИТ-инфраструктуры
,
Слайд 453. Методы и средства анализа защищённости автоматизированной системы
Наличие и работоспособность средств контроля целостности
Версии
3. Методы и средства анализа защищённости автоматизированной системы
Наличие и работоспособность средств контроля целостности
Версии
Перечисленные методы исследования предполагают использование как активного, так и пассивного тестирования системы защиты, реализуемых при помощи богатого арсенала средств анализа защищённости, включающего в себя: сетевые сканеры, анализаторы параметров защиты, взломщики паролей и специализированные программные агенты.
3.2. Анализ защищённости внутренней ИТ-инфраструктуры
,
Слайд 463. Методы и средства анализа защищённости автоматизированной системы
Для анализа защищённости ИС используется множество
3. Методы и средства анализа защищённости автоматизированной системы
Для анализа защищённости ИС используется множество
Сетевые сканеры безопасности: Nessus, OpenVAS, XSpider, Lumension Security Vulnerability Scanner, Retina Network Security Scanner, metasploit, nexpose, backtrack, MBSA, Kali-Linux, Burp Suite, OWASP dirbuster, ProxyStrike
Хостовые средства анализа параметров защиты: Security Benchmarks, CIS Scoring Tools, CIS Router Audit Toolkit, Windows Security Templates, Security Analysis Tool
Сетевые взломщики паролей Brutus, Hydra, LC5
Стандартные сетевые утилиты: как host, showmount, traceout, rusers, finger, ping
Средства инвентаризации и сканеры ресурсов сети: LanScope, nmap
Сетевые снифферы и анализаторы протоколов: tcpdump, wireshark
Для того, чтобы не упустить из виду каких-либо актуальных уязвимостей, используются известные методики (OSSTMM, OWASP Testing Guide) и актуальные перечни уязвимостей (OWASP top-10, SANS top-20, CVE).
3.3. Инструментальные средства анализа защищённости
,
Слайд 473. Методы и средства анализа защищённости автоматизированной системы
Лучшими методами для предотвращения рисков сетевых
3. Методы и средства анализа защищённости автоматизированной системы
Лучшими методами для предотвращения рисков сетевых
Конфигурирование систем, начиная с первого дня, для поддержания наиболее защищённого состояния, которое может позволить ваша бизнес функциональность, и использование автоматизированных средств для предотвращения инсталляции / деинсталляции программного обеспечения пользователями.
Использование автоматизированных средств для поддержания защищённой конфигурации систем и установки программных коррекций (включая обновление антивирусного программного обеспечения).
Использование прокси-серверов на периметре вашей сети, конфигурируя все сетевые сервисы (HTTP, HTTPS, FTP, DNS, и т.д.) так, чтобы они проходили через прокси в ходе получения доступа к Интернет.
Защита чувствительных данных посредством шифрования, классификация информации, отображаемая на матрицу управления доступом и применение автоматизированных средств предотвращения утечки информации.
3.4. Методы предотвращения сетевых атак на периметр сети
,