На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Правила обеспечения безопасности в организации

Windows Server является сетевой операционной системой (NOS — Network Operating Sys­tem). В ней работают разные пользователи, запускаются различные процессы, на ее основе работают многочисленные технологии. Поэтому нельзя рассматривать вопросы безопасности Windows Server в отрыве от проблем общей системы безопасности в организации.
Здесь наши читатели могут остановиться в недоумении. В этой книге рассказано обо всех технических моментах, о всех методах и принципах, которые позволяют максимально защи­тить системы под управлением Windows. Однако, и это знает любой профессионал в области информационных технологий, создание системы защиты с учетом одного только техниче­ского аспекта еще не гарантирует безопасности. Что же еще необходимо для обеспечения безопасности, помимо защиты самой операционной системы Windows?
Вероятно, этому вопросу можно посвятить отдельную книгу. В следующих разделах мы постараемся выделить только основные моменты стратегии защиты, что позволит макси­мально прояснить ситуацию для наших читателей, после чего они смогут полностью сосредо­точиться на "главном блюде" этой книги — безопасности Windows.
Рассмотрим стандартную модель безопасности в обычной организации (1). Первое, что бросается в глаза при взгляде на схему, — это то, что она замкнута. Это подчеркивает, что достижение безопасности является постоянным процессом, а не "конечным пунктом путе­шествия". Постоянно возникают новые угрозы (стоит только просмотреть популярные спи­ски рассылки по проблемам безопасности, например Bugtraq), и необходимо снова и снова предпринимать ответные меры по устранению этих угроз.
На 1 приведены четыре компонента "цикла безопасности": планирование, обнару­жение, ответные действия и предотвращение. Остановимся подробно на каждом из них.
Обнаружение Планирование Ответные действия
Предотвращение Рис.      Схема обеспечения безопасности
Планирование
При планировании стратегии безопасности следует ответить на три основных вопроса.
т Что необходимо защитить (назовем это "активами")?
■ Каковы требования по обеспечению безопасности "активов"?
* Какие риски имеют особое значение?
Эти вопросы соответствуют стратегии обеспечения безопасности на основе допустимых уровней риска, которая пропагандируется многими современными исследователями, в част­ности, можно назвать метод оценки критических угроз, "активов" и уязвимых мест (метод OCTAVE), разработанный Координационным центром института CERT (CERT/CC).

Давайте для начала определимся с "активами". Это не так просто, как может показаться на первый взгляд, — в том или ином случае, "активами" могут считаться аппаратные средства сервера, информация базы данных или даже засекреченные технологии производства. Обыч­но мы рассматриваем "активы" в трех аспектах: люди, процесс и технология.
После определения того, что именно необходимо защитить, нужно понять, есть ли какие-то требования относительно безопасности этих "активов". При этом также полезно разделить требования к безопасности по категориям. В современной науке защиты информации приня­то описывать безопасность системы И хранящихся данных с помощью терминов защищенно­сти, целостности и доступности (CIA).
Теперь можно рассмотреть, какой вид риска имеет первостепенное значение для каждого защищаемого элемента. Этот процесс называют оценкой риска (risk assessment) или более но­вым термином — моделированием угрозы (threat modeling). Существует несколько методов оценки риска, но мы рекомендуем самый простой: составить блок-схему конкретной систе­мы, рассмотреть взаимосвязь между компонентами, определить основные из них, которые необходимо защитить, и постараться оценить вероятные угрозы в терминах CIA.
Изучение принципов оценки риска выходит за рамки материала этой книги. В конце гла­вы приведено несколько полезных ссылок на источники информации по этой теме.
Политика
Что касается риска, который удалось выявить в процессе его оценки, то в идеальном слу­чае его следует снизить или устранить. Создание плана по устранению риска составляет осно­ву фазы планирования — разработки политики безопасности.
Политика является основой безопасности: без соблюдения правил политики безопасность невозможна. Как можно определить брешь в системе безопасности, когда не существует по­литики, описывающей необходимые правила работы? Политика определяет, что необходимо для уменьшения риска до приемлемого уровня. Поэтому политика должна основываться на результатах оценки риска. Таким образом, для создания надежной политики безопасности в организации следует использовать надежный шаблон. В качестве шаблона, определяющего политику безопасности, мы рекомендуем использовать документ ISO 17799, который приоб­рел особую популярность после того, как стал международным стандартом (см, раздел "Дополнительная литература и ссылки'' в конце этой главы).
Мы приведем только несколько советов по созданию надежной политики безопасности.
Согласованность с руководящим составом
Заставьте прочесть и одобрить разработанную политику руководителей всех уровней. Это значительно улучшает ее внедрение на практике. Если же менеджеры компании не будут уве­рены в правильности принятой политики, то будет достаточно сложно заставить кого-либо в организации придерживаться се основных принципов.
Двухуровневая модель
Разработайте основные элементы политики как аксиому руководящих принципов и опи­шите права, предоставляемые всем пользователям. Затем следует создать подробное описание стандартов и правил выполнения действий, которые должны быть подчинены задеклариро­ванным принципам политики. Это упрощает управление политикой и позволяет изменять отдельные элементы ее реализации без пересмотра всей политики в целом.
Периодические обновления
Постоянным в области защиты информации является лишь процесс внесения изменений. Политика — не исключение. Следует приготовиться к тому, что политика будет периодиче­ски изменяться. Кроме того, могут возникнуть непредвиденные обстоятельства. Мы реко­мендуем выполнять проверки, по крайней мере, один раз в год.

Обучение
Мы расскажем об обучении и практических занятиях пользователей чуть позже, когда бу­дем изучать фазу предотвращения цикла безопасности, но жизненно важно, чтобы все со­трудники организации были осведомлены о принятой политике безопасности И ее основных догматах. Кроме того, мы считаем, что проведение регулярных учебных занятий обеспечивает необходимыми практическими знаниями персонал организации.
После определения политики мы можем вернуться к рассмотрению цикла безопасности (см. 1).
Обнаружение
Создание политики — необходимое дело, но какая в ней польза, если нельзя проверить, придерживаются ли пользователи установленных правил. Большая часть материала этой книги касается именно этапа обнаружения, поскольку выявление уязвимых мест системы безопасности критически важно для обнаружения нарушений принятой политики. Среди процессов этапа обнаружения можно назвать следующие:
т автоматизированное сканирование уязвимых мест;
■ отслеживание событий и предупреждение о возможных атаках;
■ использование систем обнаружения вторжений (IDS — Intrusion Detection System);
■ использование систем обнаружения аномалий (ADS — Anomaly Detection System); * периодические проверки безопасности.
Эта книга не посвящена искусству обнаружения вторжений или расследованию действий зло­умышленников, И мы не станем подробно рассказывать о мониторинге, проверках и протоколиро­вании событий. В главе 2, "Архитектура системы безопасности Windows Server 2003", мы даем ре­комендации по проведению аудита в системе Windows Server 2003, и мы хотим быть уверены, что наши читатели понимают важность этой процедуры и реализуют ее должным образом. Не забы­вайте периодически проверять свои журналы — в противном случае ОНИ просто не нужны.
Ответные действия
Предположим, что на этапе обнаружения в системе безопасности было выявлено уязви­мое место. Значит, нужно проанализировать ситуацию и действовать (и как можно скорее). Основными составляющими этапа ответного действия являются:
т ответнапроисшествие;
■ внесение исправлений;
■ выводы аудита; * восстановление.
В этой книге мы подробно рассмотрим этапы исправления, отчета по аудиту и восстанов­ления В разделе, посвященном тому, как избежать взлома своей системы. Мы не станем на­долго останавливаться на том, что делать при успехе атак хакера, — эти вопросы составляют часть ответа на происшествие. Ответ на происшествие включает в себя множество процедур, которые следует выполнять сразу же после случившегося инцидента для максимального сни­жения причиненного ущерба. Знание этих процедур необходимо, ибо они могут пригодиться в любую минуту. Кроме того, в книге не обсуждаются проблемы обеспечения непрерывной работы организации и план действий на случай чрезвычайных ситуаций (BCP/DR). Мы толь­ко дадим несколько полезных ссылок в конце этой главы.
Предотвращение
Итак, мы завершаем первый круг в цикле безопасности. В этой книге мы рассмотрим ме­ры противодействия различным типам атак, но в чем заключаются общие профилактические действия ДЛЯ выявления злоумышленников и создания надежной системы безопасности? Рассмотрим следующие аспекты:
обучение я тренинг;
■ обмен информацией:
■ действия по обеспечению безопасности;
* безопасная архитектура рабочего процесса.
Образование и тренинг— наиболее очевидные методы улучшения безопасности в пределах организации. Обмен информацией может усилить эффект обучения благодаря выполнению регу­лярных обновлений программного обеспечения на компьютерах пользователей, а также благодаря рассылкам важных сведений между отделом безопасности и остальными сотрудниками.
Действия по обеспечению безопасности включают: хранение и предоставление необходимой технической информации, а также установку заплат для уязвимого программного обеспечения, антивирусных программ, организацию контроля доступа (как с физической, так и с логической точки зрения), проверку входящих и исходящих данных и управление правами пользователей с помощью создания групп и отдельных учетных записей. Мы затронем все эти вопросы на страницах этой книги, но не будем рассматривать их со всей возможной тщательностью (исключение будет сделано только для проблемы добавления за плат для систем Windows).
Последним и, возможно, наиболее важным штрихом в картине безопасности организации является необходимость в применении профилактических действий по защите информации. В частности, это касается процесса разработки приложений, который должен отвечать строгим стандартам и подчиняться согласованному руководству. Это позволяет избежать многих оши­бок, которые нередко случаются при создании новых программ. Кроме того, можно выполнять регулярные проверки состояния физической, сетевой и системной архитектуры безопасности, оценивая это состояние по сравнению с изменяющимися стандартами и технологиями. Таким образом, можно гарантировать, что защищаемая организация будет шагать в ногу со временем и придерживаться всех новых идей и принципов надежной системы безопасности.
В оставшейся части этой главы мы постараемся выделить несколько основных принципов безопасности, которые могут составить основу политики для любой организации.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика