1. Несанкционированный доступ к каналам передачи данных. Данная угроза может возникнуть в тех случаях, когда посторонний человек сможет подключиться к сети передачи данных, причем подключение может происходить любым образом.
2. Несанкционированный доступ к основным ресурсам: серверы, активное оборудование
3. Несанкционированный доступ к персональному компьютеру пользователя
4. Несанкционированный доступ к принтерам, работающим с конфиденциальной информацией
5. Подмена рабочего места пользователя. Эта угроза возникает в результате замены компьютера пользователя другим и подмены IP-адреса. В этом случае, данные, предназначенные для пользователя, попадают в посторонние руки.
4.2 Меры по устранению угроз безопасности сети
Для ликвидации угроз необходимо разработать организационные мероприятия:
· Для обеспечения защиты активного оборудования от несанкционированного доступа к нему (угроза № 2), необходимо его разместить под охрану. Обеспечить доступ к нему и выдачу ключей лицам, обладающим такими полномочиями, например руководителю отдела.
· Для защитыот несанкционированного доступа к компьютеру пользователей (угроза № 3) необходимо использовать пароли. Пароль — это последовательность букв, цифр и других символов, с помощью, которой система проверяет, действительно ли это тот самый пользователь, который имеет данную учетную запись и право доступа к ресурсам.
К паролям предъявляются определённые требования:
- пароль не должен содержать данных, которые как-то связаны с пользователем (дата рождения, адрес и др.);
- пароль должен сочетать в себе как символы, так и числа;
- пароль должен содержать от 8-10 символов;
- Для усложнения доступа к компьютеру и его ресурсам, необходимо предусмотреть пароли BIOS. Также нужно физически заблокировать доступные и не используемые порты.
- Необходима периодическая смена паролей
· Несанкционированный доступ к принтерам, работающим с конфиденциальной информацией (Угроза № 4). Сетевые принтеры, работающие с конфиденциальной информацией (какой преподаватель сколько часов отвел), должны стоять отдельно. Возможно решение общего использования принтеров при непосредственном присутствии около принтера: документ, посланный на печать, возможно, распечатать только при идентификации и аутентификации пользователя, пославшего документ, на самом принтере.
· Для того чтобы избежатьподмены рабочего места пользователя (угроза № 5), помещение во внерабочее время должно находиться под замком. Ключ должен выдаваться на основании распоряжения директора лицам, оговоренным в нём.
Во избежание подмены оборудования пользователя необходимо сделать привязку MAC-адреса сетевого интерфейса к коммутатору, т.е. разрешить доступ к данному порту определённому сетевому устройству. Существует также ряд неявных угроз, которые могут возникнуть в процессе функционирования активного оборудования, например сбой в электропитании, выход из строя винчестеров, пожар.
Для предотвращения последствий от сбоя рекомендуется использовать:
1. Фильтры питания;
2. Источники бесперебойного питания;
3. Автономные генераторы.
4. Средства пожаротушения.
4.3. Поддержка работоспособности системы.
Для поддержки работоспособности системы необходимо наладить:
1. поддержку пользователей системы, а именно необходимо расписать все возможные случаи поведения системы и действия пользователей в этих ситуациях.
2. поддержку программного обеспечения, а именно иметь в наличии все необходимые инсталляционные пакеты используемых программ.
3. поддержку аппаратного обеспечения, а именнорезерв активного оборудования (в т.ч. коммуникационных кабелей), наличие источников бесперебойной работы.
4. регламент конфигурационного управления, а именно регламент подключения новых пользователей (перемещение/увольнение) - ОРМ регламент на копирование и архивирование данных/файлов - ОРМ
5. регламент восстановления работоспособности системы при экстренных ситуациях/авариях – ОРМ
6. для обеспечения точности контрольных журналов, которые могут потребоваться при расследовании или в качестве свидетельства при наложении дисциплинарных взысканий, необходимо правильно установить системные часы компьютеров. Неточные контрольные журналы могут помешать таким расследованиям и подорвать доверие к такому свидетельству;
7. должен быть утвержден регламент антивирусной защиты: определены настройки мониторов для рабочих мест пользователей и администратора, периодичность обновления антивирусных баз.
5. Механизмы защиты вертикальной структуры сети
Для повышения надёжности защиты информации в сети необходимо защищать её на каждом уровне модели OSI.
Физический уровень:
Данный уровень отвечает за кодирование передаваемых сигналов в среде передачи данных. На этом уровне происходит преобразование поступающих со всех остальных уровней битов (0 и 1) в электрические сигналы. В соответствии с этим, для избежания воздействия различных электромагнитных наводок, которые могут привести к искажению передаваемой информации, необходимо использовать для передачи данных специальные экранированный кабель.
Канальный уровень:
Так как на данном уровне семиуровневой модели OSI происходит работа с MAC-адресами сетевых интерфейсов (адресами сетевых карт), то с целью устранения такой угрозы, как подмена рабочего места пользователя, необходимо произвести привязку MAC-адресов к конкретным портам активного оборудования, например, коммутатора.
Привязка MAC-адресов будет выглядеть примерно следующим образом:
[разрешить доступ MAC-1 к порту Port-1]
После выполнения такой операции к порту 1 коммутатора будут иметь доступ только компьютеры с адресами сетевых интерфейсов MAC-1. Устройства с другими сетевыми картами уже не смогут получить доступ к портам данного коммутатора.
Сетевой уровень:
Сетевой уровень отвечает за маршрутизацию, т.е. за выбор оптимального пути и доставку пакета данных адресату. Так как наша сеть состоит только из 3 рабочих станций и 1 сервера, которые между собой соединены коммутатором то вся маршрутизация настраивается на отдельных рабочих станциях.
Транспортный уровень:
На данном уровне необходимо организовать списки доступа (ACCESS – листы). Например:
[Разрешить сервису Service-1 адреса IP-1 доступ к сервису Service-1 адреса IP-2]
[Разрешить сервису Service-2 адреса IP-1 доступ к сервису Service-2 адреса IP-2]
[Разрешить сервису Service-5 адреса IP-3 доступ к сервису Service-5 адреса IP-2]
Такие списки доступа можно настроить на каждом компьютере.
Это уровень сетевой модели, отвечающий за взаимодействие пользовательского приложения и сетью. На данном уровне необходимо осуществлять идентификацию (проверку наличия данного пользователя в списке) и аутентификацию (проверку достоверности имени и пароля) пользователей. При этом необходимо следить за тем, чтобы пользователи периодически осуществляли смену пароля, причём новый пароль должен значительно отличаться. Беспарольных пользователей в системе быть не должно.
Также на данном уровне необходимо произвести разделение прав доступа пользователей к информации на сервере.
На всех пользователях данной системы желательно установить операционную систему Windows XPProfessional. На сервере баз данных для большей защищённости находящейся на нём информации должна быть установлена ОС Windows 2003 Server.
При инсталляции и настройке ОС рекомендуется:
1. Необходимо поставить все существующие для ОС сервиспаки;
2. Опускать ненужные сервисы, при этом необходимо периодически проверять включенные сервисы с целью выявления изменений, которые могут произойти, например, при установке нового ПО или АО (На сервере с конфиденциальной информацией не должно быть таких сервисов, как telnet, ftp, http);
3. По возможности не использовать удалённое администрирование;
4. Постоянно контролировать процессы, запущенные в системе. Администратору необходимо знать каждый процесс и для чего он запускается;
5. Поставить на компьютеры последнюю версию хорошего антивируса (AVP, DrWEB, ...) и регулярно обновлять антивирусные базы. Также необходимо политикой безопасности запретить всем пользователям, кроме администратора, отключать антивирус. Обязательно наличие механизмов регистрации процессов, их анализа и распознавания угроз системе;
6. Выполнять проверку целостности, путем вычисления значения хэш-функции (некий аналог контрольной суммы) от заранее определенного набора критичных файлов системы и сравнения этого значения с эталоном. Проверка может проводиться как программными, так и аппаратными средствами;
7. Все пользователи должны иметь пароли, устойчивые к прямому перебору, т.е. содержать буквенные, цифровые и специальные символы в разных регистрах и иметь длину не менее 10 символов. Таким образом, пароль типа Nb6$iL78@+&67K будет подбираться прямым перебором несколько лет, пароль не должен нести смысловую нагрузку, как, например: quake, doom, password и т.д.;