Підходи до аудиту інформаційної безпеки
Рассмотрим анонсы организаций, осуществляющих аудит информационной безопасности.
Пример 1.
Внешний аудит безопасности 'закрытых' систем
Если политика безопасности Вашей сети такова, что аудиторов нельзя пустить 'внутрь' сети, в этом случае мы предлагаем вам абсолютно безопасный внешний аудит. При внешнем аудите безопасности нам, как правило, не нужно знать ничего, кроме названия фирмы (.. и вашей должности, конечно же - мы должны быть уверены, что выполняем легальную работу, а не взлом на заказ). Обо всех наши достижениях мы будем немедленно сообщать вам, и получать разрешение на следующий шаг. Эта работа не является риском для вашей сети, так как никакая конфиденциальная информация не переходит от Вас к нам. Если же нам удалось успешно добраться (или подойти близко) к конфиденциальным данным, или получить больший контроль над системой, чем полагается, это является показателем проблем в защите вашей сети (и означает, что другие тоже имеют такую возможность). Вы получите от нас конкретную четкую информацию о том, как взломщик может использовать обнаруженные нами уязвимости, и что можно сделать, чтобы устранить риск.
Безусловно, перед началом работы возможно подписание соглашения о неразглашении информации (Non Disclosure Agreement - NDA), а поскольку весь процесс будет согласовываться с Вами, вы будете контролировать аудит и сможете в любой момент остановить его, если в этом возникнет необходимость. Кроме того, перед началом работы предлагается обменяться контактной информацией, чтобы была возможность оперативной связи.
Результаты работы
По итогам аудита даются рекомендации (в едином отчете и/или по мере обнаружения) по устранению обнаруженных проблем. В ходе исследования не используются автоматические сканеры безопасности, так как результат их работы недостаточно надежен. Все обнаруженные уязвимости проверяются и по возможности сопровождаются дополнительной информацией и ссылками, позволяющими более качественно понять и устранить проблему.
Кроме того, перед началом работы может быть оговорено требование предоставления журнала работы и полной записи всего актуального трафика.
Пример 2.
Активный аудит с применением инструментальных средств
Выполняются работы по оценке защищенности существующей АС заказчика с использованием технических средств:
сканирование сетей – инвентаризация ресурсов, оценка работоспособности и поиск уязвимых мест;
сканирование серверов и рабочих станций - поиск уязвимых мест;
антивирусное сканирование;
тесты на проникновение из внешних сетей;
формирование отчета о состоянии защищенности;
выработка рекомендаций по устранению проблем;
настройка системы безопасности.
Применяются следующие программные средства:
CISCO Secure Scanner v2.0.2/4 – сканирование сетевых устройств;
CISCO Network Designer – построение логической топологии сети;
CommView v3.4 – анализ сетевого трафика;
Agilent Advisor – сетевое сканирование с расширенной функциональностью;
NAI Sniffer Pro – сканер безопасности;
Xspider – сканирование рабочих станций сети;
Lava-soft Ad-aware 5.0 – поиск троянских программ (Windows);
набор антивирусных средств.
Пример 3. Элвис-плюс (www.elvis.ru)
Проведение комплексного обследования защищенности информационной системы позволяет получить объективные данные о текущем состоянии безопасности информации, оценить сложившуюся ситуацию и принять обоснованные управленческие решения по обеспечению необходимого уровня защищенности информационных активов предприятия.
Цель
Получение объективных данных о текущем состоянии обеспечения безопасности информации на объектах корпоративной информационной системы (КИС);
Оценка вероятности причинения ущерба собственнику информационных активов в результате нарушения конфиденциальности, целостности или доступности информации, подлежащей защите, за счет получения несанкционированного доступа к ней;
Разработка комплекса мер, направленных на повышение степени защищенности информации ограниченного доступа.
Состав работ
Сбор исходных данных для проведения аудита безопасности информации КИС:
получение необходимой документации от Заказчика;
анкетирование и интервьюирование персонала;
визуальный осмотр компонентов КИС.
Классификация информационных ресурсов компании:
определение объекта защиты и анализ его состава;
определение степени конфиденциальности информации;
подготовка предложений по разработке (корректировке) перечня сведений, подлежащих защите.
Моделирование процессов нарушения безопасности информации и анализ угроз безопасности информации компании.
Определение (уточнение) требуемого уровня гарантий безопасности.
Анализ имеющихся организационно-распорядительных документов о порядке функционирования корпоративной информационной системы (КИС) и защите информации.
Анализ структуры, состава, принципов функционирования КИС и существующей системы защиты информации.
Анализ деятельности персонала компании по обеспечению безопасности информации.
Оценка (тестовые испытания) эффективности существующей системы защиты КИС с применением специализированных инструментариев:
проведение испытаний программных и программно-аппаратных средств защиты, а также встроенных механизмов
защиты общесистемного программного обеспечения, используемых в КИС для защиты информации;
проведение испытаний функций системы защиты информации методом моделирования действий злоумышленника.
Результат
Результатом проведения комплексного обследования защищенности КИС (аудита безопасности) является Аналитический Отчет о текущем состоянии защищенности. В Отчете на основе проведенного анализа даются развернутые рекомендации по повышению уровня защищенности информации КИС с помощью совершенствования комплекса организационно-технических и административных мер, применения специальных средств защиты информации (СЗИ) и использованию возможностей имеющихся программных и технических средств. Одним из разделов Отчета является описание реальных угроз безопасности, источников этих угроз, способов реализации угроз (обнаруженных и потенциальных) и уязвимостей системы.
Содержание Аналитического Отчета и перечень приложений определяются Заказчиком.
Висновки
Контрольні питання
1ИТ- информационные технологии