4 Система защиты информации вс в отделе воинской части

Задача системы защиты информации – свести к минимуму риск реализации угрозы безопасности. Служба обеспечения информационной безопасности предприятия должна постоянно отслеживать сообщения о реализации новых видов угроз и своевременно устранять данные угрозы на объекте путем получения обновленных версий ПО или грамотной настройки системы защиты информации.

Ниже представлен перечень составляющих системы защиты информации отдела.

1. Организационно-распорядительные документы, определяющие политику безопасности предприятия, порядок настройки и правила эксплуатации базовых операционных систем и прикладных программных продуктов, средств защиты информации (должностные инструкции, ТЗ предприятия, эксплуатационная документация и т.п.). Это необходимо для того, чтобы свести к минимуму некоторые случайные угрозы (например: ошибки персонала, случайное ознакомление с конфиденциальной информацией неуполномоченных лиц и т.п.).

2. Программно-аппаратные средства защиты информации, основным из которых является межсетевой экран. Согласно определению РД ГТК, межсетевой экран (МЭ) представляет собой локальное (однокомпонентное) или функционально-распределенное средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС, и обеспечивает защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС.

На предприятии установлены два МЭ FireWall-1, разработанные компанией Check Point Software Technologies. Брандмауэр FireWall-1 сертифицирован организацией National Computer Security Association (NCSA), а также имеет сертификат Гостехкомиссии по 3-му классу защищенности для межсетевых экранов. FireWall-1 построен на основе разработанной компанией технологии защитных систем, которая получила название Stateful Inspection и является межсетевым экраном экспертного уровня. Архитектура Stateful Inspection позволяет проектировать защищенные вычислительные системы, отличающиеся высокой масштабируемостью, производительностью и удобством.

Система FireWall-1 предлагает новый подход к безопасности сети, обеспечивая полный и простой контроль доступа к каждой службе и компьютеру сети. FireWall-1 поддерживает все семейство TCP/IP протоколов.

FireWall-1 проверяет прохождение пакетов через все важнейшие точки сети (шлюз интернет, серверы, рабочие станции, маршрутизаторы, коммутаторы и пакетные фильтры), предлагая блокировать все нежелательные попытки связи. Мощная аудиторская система централизует все регистрации в системном журнале и оповещения всей сети на рабочей станции системного администратора.

FireWall-1 совершенно прозрачна к пользовательским приложениям. Характеристики системы никак не затрагиваются, это касается установок программ и устройств, и переустановки не требуется. FireWall-1 сосуществует с другими защитными системами.

Говорится, что хост – хост FireWall, если на него установлен модуль FireWall. Модуль FireWall устанавливается на хост при установке системы FireWall-1 и загружается в ядро системы хоста. Модуль Управления позволяет компилировать правила работы на хосту FireWall. Эти правила можно задействовать на системах FireWall: хостах, серверах, маршрутизаторах, коммутаторах или шлюзах.

При установке на шлюзе модуль FireWall проверяет трафик между сетями. FireWall-1 модуль FireWall устанавливается внутри ядра операционной системы между каналом данных (Data Link) и слоями сети. Поскольку канал данных по сути является сетевой картой (NIC), а слой первого уровня сети – это протокол (например, IP), следовательно, FireWall-1 находится на самом низком программном уровне. Проверка на таком уровне гарантирует то, что модуль FireWall обработает и проверит все входящие и исходящие пакеты в шлюзе. Ни один пакет не будет обработан на более высоком уровне, пока не будет проверен модулем FireWall на соответствие Политике Безопасности. Модуль FireWall проверяет адреса IP, номера портов, а также другую информацию для принятия решения стоит ли принимать пакеты к обработке в соответствии с Правилами Безопасности.

FireWall-1 воспринимает внутреннюю структуру семейства протоколов IP и приложений, построенных на них, и позволяет выделять данные приложений из пакетов, сохранять их и обеспечивать их контекстом в случаях, когда приложение не делает это.

Модуль Управления FireWall-1 используется для конфигурирования Политики Безопасности в рамках предприятия, управления шлюзами и хостами коммутации (Модули FireWall-1), просмотра системного журнала и оповещений.

FireWall работает независимо от интерфейса сети и поэтому поддерживается всеми сетевыми интерфейсами, работающими в ОС [2].

Как упоминалось выше, в отделе установлено два межсетевых экрана фирмы Check Point для создания трех выделенных межсетевыми экранами контуров доставки, адресования и обмена с АС. Межсетевой экран 1 (МЭ 1) обеспечивает фильтрацию пакетов для всех контуров и трансляцию IP-адресов для открытого контура (имеющего произвольные, не доступные из Интернет, IP-адреса). Также Межсетевой экран 1 настроен таким образом, что запрещаются инициированные публичными серверами соединения с контуром адресования. Однако сами сервера должны оставаться доступны для соединений, инициированных как из Интернет, так и из контура адресования. Настройки межсетевого экрана 2 (МЭ 2) обеспечивают обмен между контурами адресования и обмена с АС только по одному порту с помощью специально разработанной программы обмена. Все остальные порты МЭ 2 закрыты. Инициатором обмена может выступать только контур обмена с АС.

3. Программные средства антивирусной защиты для защиты от вредоносных программ. В отделе используется ПО Касперского Business Optimal [10].

5. СЗИ Windows NT 4.0 Service Pack 6. ЛВС отдела построена как домен Windows NT. Сервер БД является первичным контроллером домена (PDC). Также имеется резервный контроллер домена, на который копируется БД PDC. База данных PDC содержит информацию обо всех пользователях и группах в системе. Каждый пользователь, получающий доступ к компьютеру, должен быть распознан системой. При входе в систему средствами Windows NT обеспечивается следующее.

1. Идентификация и аутентификация пользователя или группы. Это выполняется с помощью диспетчера учетных записей защиты (SAM – Security Account Manager). SAM поддерживает базу данных учетных записей защиты (security account datebase), которая обычно называется базой данных SAM и содержит данные обо всех учетных записях пользователей и групп. SAM генерирует идентификаторы защиты (SID), которые уникальным образом обозначают каждую учетную запись пользователя или группы. SAM используется LSA для опознавания пользователей в процессе входа в систему путем сравнения имени пользователя и пароля, введенных пользователем, с соответствующей его записью в базе данных SAM. База данных учетных записей хранится на сервере БД в отдельном файле в каталоге %WinNT%/System32 системы. Копия файла %SystemRoot%\SYSTEM32\CONFIG\SAM содержится в директории %SystemRoot%\REPAIR\ после создания администратором восстановительного (repair) диска и легко может быть скопирована оттуда (что может быть использовано злоумышленниками). Однако сами пароли в открытом виде не содержатся в данном файле. Пароль пользователя (в кодировке UNICODE) с использованием хэш-алгоритма MD4 превращается в 16-байтное значение, которое и находится в файле SAM. Необходимо также отметить, что все пользователи имеют пароли, устойчивые к прямому перебору, т.е. содержат буквенные, цифровые и специальные символы в разных регистрах и имеют длину не менее 10 символов. Таким образом, пароль типа Nb6$iL78@+&67K будет подбираться прямым перебором несколько лет.

2. Разграничение доступа. Каждый ресурс компьютера связан со списком пользователей (называемым списком управления доступом – access control list). Пользователи из этого списка могут получить доступ к объекту и операциям, разрешеным каждому пользователю. Информация, связанная с контролем доступа к объектам, располагается в дескрипторе безопасности.

3. Аудит. Регистрируются следующие события: локальная и удаленная регистрация пользователей в сети и окончание сеанса их работы; доступ к файлам и объектам; управление пользователями и группами; изменение политики безопасности, изменение прав пользователей или политики аудита; включение или перезагрузка системы на локальной рабочей станции; слежение за процессами запуска и завершения процессов, а также непосредственного доступа к объектам. События записываются в трех разных журналах аудита: системный журнал System Log – в файле sysevent.evt; журнал приложений Application log – в файле аррevent.evt; журнал безопасности Security log – в файле sесevent.evt. Все журналы располагаются в каталоге %WinNT% / system32 / config. Кроме того, в сети отдела с помощью утилиты REGEDT32 был включен аудит для контроля доступа к ключу "HKEY_LOCAL_MACHINE\Security", что показывает удаленный доступ к системному реестру.

Идентификация и аутентификация, разграничение доступа и аудит связаны со следующими компонентами подсистемы защиты Windows NT: аутентификацией локальной защиты (LSA – Local Security Authority), на которую возложены следующие обязанности: аутентификация пользователей в процессе входа в систему, генерирование признаков доступа (access token) в процессе входа в систему, управление политикой защиты, управление политикой аудита; регистрация сообщений аудита в журнале событий; и эталонным монитором защиты (SRM – Security Reference Monitor), который усиливает проверку правильности доступа и политику аудита, которые устанавливают LSA. Все попытки доступа к ресурсам должны пройти через SRM, проверяющий правильность доступа к объектам (файлам, каталогам и т. д.), наличие разрешений в учетных записях пользователей и генерирующий контрольные сообщения. У SRM имеется в системе лишь одна копия кода проверки правильности учетной записи, что гарантирует единообразную защиту объектов повсюду в Windows NT. Когда приложение пытается получить доступ к объекту, SRM исследует список управления доступом к этому объекту (ACL - access control list) и проверяет элементы управления доступом (ACE - access control entries) в этом списке, чтобы определить, имеются ли у пользователя необходимые разрешения для выполнения требуемой операции. При этом SRM либо предоставит доступ, либо откажет в нем на основании данных в ACL.

Кроме того, в отделе предусмотрено, что пользователи, не имеющие прав администратора, не имеют доступ к системным файлам, реестру и т.д. (так, например, файл MSV_0.dll, отвечающий за проверку подлинности пароля при локальном входе в систему, может быть скопирован и изменен таким образом, что любой пароль для любого пользователя будет считаться верным).

Необходимо также отметить, что в компьютерах ЛВС отдела с Windows NT используется только файловая система NTFS, которая повышает производительность, надежность и защищенность сети. NTFS допускает задание прав доступа для каждого файла/директории и проведения для них аудита. NTFS компенсирует ошибки дисков с помощью функции быстрого исправления, которая автоматически переносит данные из дефектных секторов в другие сектора. NTFS также имеет встроенную защиту, ее нельзя обойти путем простой загрузки операционной системы MS-DOS. Но существует утилита NTFSDOS, которая распознает длинные имена файлов NTFS и может считывать сжатые файлы. Таким образом, для доступа к файловой системе NTFS может использоваться загрузочная дискета MS-DOS, на которую записана утилита NTFSDOS. Следовательно, только шифрование способно надежно защитить информацию от подобных методов прямого доступа к диску. К сожалению, в Windows NT 4.0 не предусмотрена возможность шифрования на уровне операционной системы. Поэтому для повышения уровня защиты используется физическая защита компьютера. В отделе все серверы размещены в отдельной комнате с ограниченным доступом. Также исключена возможность загрузки компьютера с дискеты.

Кроме того, в NTFS был сделан невозможным доступ на запись для группы "Everyone" в директорию %systemroot%/system32.

И, наконец, с помощью утилиты User Manager изменены права пользователя "Access this computer from the network" на "Authenticated Users", а не на "Everyone". Это делает невозможным удаленный доступ через локальные бюджеты на компьютере и позволяет осуществлять доступ только через бюджеты домена.

5. Защиту телекоммуникационного сервера. Безопасность RAS [7].

1. Со стороны сети Internet сервер защищен МЭ 1.

2. Используется только протокол MS-CHAP (Microsoft Challenge Authentication Handshake Protocol).

3. Подключены средства аудита службы RAS. Таким образом, все попытки использования удаленного доступа регистрируются в журнале событий.

4. Установлены средства идентификации службы RAS. Служба требует от пользователя создания цифровых подписей для каждого пере­сылаемого пакета. Благодаря этому можно избежать атак наблюдения. Кроме того, с помощью цифровых подписей сервер всегда сможет обнаружить нарушение целостности данных пакета.

5. Установлены средства шифрования службы RAS. Таким образом, сервер RAS пересылает удаленному пользователю одноразовый ключ (после удач­ной регистрации в системе). При этом одноразовый ключ зашифро­вывается службой RAS с помощью симметричного ключа, а сервер RAS генерирует новый одноразовый ключ при каждой регистрации удаленного клиента. Благодаря этому хакер не может повторно использовать чей-либо перехваченный ключ.

Одной из наиболее сложных проблем, связанных с шифрованием RAS в Windows NT 4.0 является тот факт, что сервер передает одноразо­вый ключ «открытым текстом». Благодаря этому хакер может взломать ключ и воспользоваться им в течение одного сеанса.

6. Подключены функции обратного дозвона (-dial-back»). Сервер RAS проверяет имя и пароль удаленного пользователя, а затем разъ­единяет связь («вешает трубку») После этого сервер набирает заранее за­программированный номер пользователя и соединяется с ним повторно. Благодаря этому можно зафиксировать телефон и месторасположение пользователя.

Для пользователей, которым нельзя дозвониться создана спе­циальная учетная запись, не использующая функцию обрат­ного дозвона.

7. Наложены ограничения по времени на использование службы удаленного доступа.

5. Защита от следующих атак.

1. Защита от прослушивания сетевого трафика: использование на предприятии сетевых коммутаторов в каждом контуре позволяет создавать выделенный канал передачи данных между рабочими станциями на концах соединения. Таким образом, исключается возможность прослушивания программными средствами внутреннего сетевого трафика. Исключение составляют широковещательные пакеты, такие как ARP-запрос и Nbname-запрос. Для исключения широковещательных Nbname-запросов на предприятии рекомендуется устанавливать службу WINS.

Прослушивание внешнего сетевого трафика предприятия является труднореализуемым, так как злоумышленнику необходимо в этом случае знать маршрут сетевых пакетов. Если злоумышленнику известен маршрут, то он также должен иметь доступ к используемому каналу передачи данных. Таким образом, вероятность прослушивания программными средствами внешнего сетевого трафика является малой. Если данная атака все же окажется реализованной, то для предотвращения нарушения конфиденциальности информации, ее следует шифровать.

Проведение данной атаки аппаратными средствами предотвращается организационными мерами политики безопасности предприятия и провайдера услуг Internet.

2. Защита от подмены доверенного объекта распределенной вычислительной системы: используемый на предприятии МЭ Check Point FireWall-1 обеспечивает защиту от IP spoofing атаки. Для включения механизма защиты от данной атаки во время определения сетевого объекта брандмауэра в управляющей консоли Policy Editor для каждого сетевого интерфейса брандмауэра необходимо определить диапазон допустимых адресов. В ходе функционирования после приема пакета сетевым интерфейсом МЭ проверяет, с какого адреса пришел данный пакет. В случае, если этот адрес не входит в диапазон допустимых для данного интерфейса адресов, пакет отфильтровывается. Таким образом исключается возможность проведения данной атаки из Internet, а также между сегментами.

3. Защита от атаки типа “ отказ в обслуживании ”: использованный на предприятии МЭ Check Point FireWall-1 обеспечивает защиту от атак типа «Отказ в обслуживании». Для включения механизма защиты от данной атаки в управляющей консоли Policy Editor необходимо выбрать пункт главного меню Policy/Properties.. и на закладке SYNDefender установить переключатель в положение SYN Gateway..

Параметр Maximum Sessions определяет максимальное количество возможных одновременно открытых соединений. При достижении данного количества попытки установить другие соединения будут отфильтровываться межсетевым экраном. Кроме того, для всех сетевых соединений, проходящих через брандмауэр, в параметре Timeout устанавливается время отклика рабочих станций. Если за данный период времени от какой-либо из рабочих станций в соединении не поступают пакеты, МЭ разрывает соединение, посылая рабочим станциям предприятия пакет с признаком конца соединения от лица удаленной рабочей станции. Таким образом, МЭ отражает сетевые атаки, заполняющие полосу пропускания канала связи анонимными пакетами и переполняющие очередь запросов.

Используемая в Check Point FireWall-1 технология Statefull Inspection предоставляет возможность анализа сетевого пакета на всех уровнях модели OSI для стека протокола TCP/IP (с сетевого уровня до уровня приложений) [11]. Во время анализа брандмауэр выявляет некорректно сформированные пакеты и отфильтровывает их, обеспечивая защиту от третьей разновидности типовой атаки «Отказ в обслуживании».

4. Защита от внедрения в распределенную вычислительную систему ложного объекта: в схеме предприятия доступ к ресурсам Internet, требующим удаленного поиска, разрешен только с рабочего места вызова. При этом информация, которая циркулирует в этих соединениях, не является критичной с точки зрения нарушения целостности и конфиденциальности. Используемый на предприятии МЭ позволяет обнаруживать «шторм» ложных DNS-ответов, поэтому после обнаружения атаки администратору безопасности или оператору рабочего места вызова следует немедленно прервать сеанс связи. Для исключения атаки этого типа оператору рабочего места вызова рекомендуется использовать фиксированный перечень серверов пейджинговых служб и обращаться к ним, задавая непосредственно IP-адрес, а не домен.

   9. Защита от НСД по коммутируемым линиям связи. Политика безопасности отдела четко определяет границы работы удаленных пользователей в рамках только открытого контура доставки. Для этого Телекоммуникационный сервер должен размещаться в открытом сегменте. Прямой доступ в закрытые контуры для удаленных пользователей должен быть закрыт межсетевым экраном. Обмен сообщениями с рабочими станциями закрытых контуров должен происходить только через сервер электронной почты или телекоммуникационный сервер.

   10. Безопасность MS SQL Server [9], [12]:

1. в MS SQL Server включена опция блокировки учетной записи пользователя базы данных в случае серии неудачных попыток аутентификации;

2. для усиления безопасности сервера БД параметр уровня аудита установлен в значение «Все попытки», что означает, что будут регистрироваться все попытки доступа к БД;

3. используются различные пароли пользователя для доступа к компьютеру и к СУБД.

9. Средства для предотвращения потерь информации при кратковременном отключении электроэнергии. В отделе установлен источник бесперебойного питания UPC Matrix 3000, который является полностью автоматическим устройством и имеет функции слежения за состоянием и параметрами первичной (внешней) и вторичной линий сетевого питания.

10. Контроль целостности программного обеспечения, тестирование программных и аппаратных средств. Для защиты аппаратных средств от возможного внедрения закладных устройств все средства проходят специальные проверки. То же касается и ПО. В отделе используется только лицензионное ПО.

11. Физическая защита компонентов ВС. Для обеспечения физической защиты от НСД все серверы ЛВС, МЭ, патч-панели с концентраторами, модемами, мультиплексором, маршрутизатором и другим коммуникационным оборудованием расположены в отдельной охраняемой комнате.

15. Защита сервера электронной почты. Для защиты сервера электронной почты были предприняты следующие меры.

1. Для ликвидации уязвимости в Exchange Server 5.5, связанной с рассылкой спама без ведома администратора, была отключена гостевая учетная запись.

2. Для защиты от вредоносных программ используется Антивирус Касперского Business Optimal [10]. Он интегрируется в почтовый сервер в качестве дополнительного модуля и осуществляет централизованную фильтрацию всей почтовой корреспонденции, как в масштабе реального времени, так и по требованию пользователя. С помощью Антивируса Касперского Business Optimal для MS Exchange Server 5.5 обеспечивается защита любого количества почтовых ящиков, установленных на сервере MS Exchange (как личных, так и публичных). Таким образом, почтовые сообщения "очищаются" от вредоносных кодов всех типов до того как они попадут на локальные компьютеры.

3. Для защиты электронной почты используется криптографическая система PGP.

4. Для защиты сервера электронной почты со стороны Internet используется МЭ 1. Он фильтрует входящий и исходящий трафик согласно своим настройкам. Так, в службе SMTP установлено удаление информации заголовка исходящего сообщения, раскрывающей детали устройства внутренней сети. Также Check Point FireWall-1 препятствует выполнению потенциально опасных команд SMTP, таких, как debug. Можно ограничить набор разрешенных команд и устроить так, чтобы отвергались любые сообщения, превышающие определенный размер. Но, как упоминалось в предыдущей главе, для сервера электронной почты нельзя применять слишком строгие правила фильтрации, поскольку он должен быть доступен извне. Поэтому для защиты внутренней сети он расположен в DMZ и отделен от контура адресования тем же МЭ 1. Настройки МЭ 1 определяют, что сервер электронной почты не может быть инициатором соединения контуром адресования, хотя сам он должен быть открыт для любых инициированных соединений как со стороны Internet, так и из внутренней сети отдела.

15. Резервное копирование. Оно необходимо для сохранения данных и функционирования системы в случае осуществления случайных угроз. В отделе делаются резервные копии сервера БД и электронной почты. В качестве программного продукта резервного копирования используется система ARCserve компании Cheyenne (подразделение Computer Associates) [2]. Она имеет следующие функциональные возможности.

1. Построение системы по принципу клиент—сервер. Программный пакет ARCserve выполнен в архитектуре клиент— сервер.

2. Многоплатформенность. Система ARCserve разработана как многоплатформенная система сетевого резервного копирования.

3. Автоматизация типовых операций. ARCserve обеспечивает автоматизацию всех процессов, связанных с резервным копированием. Он выполняет резервное копирование по расписанию, т. е. когда администратор системы ARCserve задает регламент выполнения работ. Для каждого фрагмента информации (группа каталогов, база данных) регламентом определяются время начала копирования, внешнее устройство и тип копии. Система ARCserve поддерживает развитые схемы ротации носителей резервных копий. Самая популярная схема из тех, что уже заложены в программном пакете, — GFS (Grandfather-Father—Son). Она обеспечивает создание и хранение копий данных каждый рабочий день в течение недели, раз в неделю в течение месяца и раз в месяц в течение года. Администратор системы ARCserve по своему усмотрению может модифицировать данную схему, использовать другую из числа предопределенных или же задать свою собственную. При реализации любой схемы ротации носителей ARCserve предварительно проверяет записанную на носитель информацию для предотвращения случайной порчи недавно сделанной копии.

4. Поддержка различных режимов резервного копирования. Система сетевого резервного копирования ARCserve поддерживает различные механизмы создания резервных копий данных. В ARCserve существуют три вида резервных копий: полная копия (Full Backup), представляющая точный образ сохраняемых данных; дифференциальная копия (Differential Backup), содержащая только файлы, измененные со времени создания полной копии; инкрементальная копия (Incremental Backup), содержащая только файлы, измененные со времени создания последней полной, дифференциальной или инкрементальной копии.

5. Быстрое восстановление серверов сети после аварии. Для эффективного восстановления серверов под управлением Windows NT после аварии система ARCserve предлагает опцию аварийного восстановления (Disaster Recovery Option). Использование опции аварийного восстановления сводится к следующему. В случае изменения параметров сервера, например, после установки пакетов исправления ошибок (Service Packs и Patches), для него создается комплект дискет аварийной копии. Для восстановления сервера после аварии необходимо подключить к серверу устройство резервного копирования с последней копией данных и произвести загрузку с первой дискеты из комплекта аварийной копии. При выполнении этих шагов на сервере будут восстановлены файловая система, приложения и все остальные ресурсы, в том числе и учетные записи пользователей. После перезагрузки сервер полностью готов к работе, причем он окажется в той же конфигурации, в какой был на момент создания последней резервной копии.

Таким образом, опция аварийного восстановления многократно сокращает время, требуемое для приведения серверов Windows NT в рабочее состояние после аварии.

6. Резервное копирование данных в интерактивном режиме. Для сохранения баз данных прикладных систем в интерактивном режиме система ARCserve содержит ряд специальных программ-агентов. Каждая из них служит для сохранения баз данных конкретной системы и функционирует как клиент системы ARCserve.

В отделе используются агенты интерактивного резервного копирования ARCserve для базы данных Microsoft SQL Server и прикладной системы клиент—сервер Microsoft Exchange Server. Кроме интерактивного резервного копирования баз данных, эти агенты обеспечивают и фрагментарное восстановление информации с резервных копий. В частности, агент для системы Microsoft Exchange Server предоставляет возможность восстановления отдельных папок и сообщений.

7. Развитые средства мониторинга и управления. Управление системой ARCserve и всеми работами резервного копирования осуществляется из интерактивной графической программы – менеджера. Она предоставляет администратору и операторам системы резервного копирования следующие возможности: задание регламента резервного копирования, схемы ротации лент, типов резервных копий, режима чистки устройств; управление устройствами резервного копирования; просмотр содержимого архивов и поиск требуемой информации в них; контроль за процессом резервного копирования; сбор служебной информации и статистики.

15. С учетом автономной работы составляющих СЗИ, каждая из которых требует отдельного администрирования, в отделе предусмотрены дополнительные средства защиты информации.

1. Организация отдельного рабочего места администратора безопасности (системного аналитика) для централизованного управления и слежения за работой отдела. Рабочее место системного аналитика (РМСА) должно иметь возможность управления составляющими СЗИ отдела. Исходя из этого, оно было размещено в контуре адресования, откуда можно управлять двумя межсетевыми экранами и администрировать рабочие места. Кроме того, РМСА защищено от внешних сетевых атак.

Для организации удаленного доступа к МЭ на РМСА устанавливается управляющая консоль брандмауэра. Администрирование домена контура адресования из РМСА осуществляется встроенными функциями ОС Windows NT 4.0 Service Pack 6.

Также РМСА имеет доступ ко всем журналам регистраций составляющих СЗИ (системы защиты информации) отдела. Регистрацию обращений к защищенным сетевым ресурсам и фактов обмена информацией с предприятием выполняют установленные в отделе межсетевые экраны. Регистрацию входов пользователей в ОС осуществляют встроенные средства ОС Windows NT на каждой рабочей станции. Регистрацию попыток подключений к базе данных с рабочих станций контура адресования осуществляет специальное ПО рабочих мест. Таким образом, в ходе функционирования отдела формируются журналы трех типов, при этом они размещены на различных платформах и имеют различный формат. Следовательно, для организации централизованного сбора журналов регистраций разработано специальное ПО РМСА, которое обеспечивает контроль за доступом на рабочие станции и сервера контура адресования посредством просмотра журнала регистрации, формируемого МЭ и сводного системного журнала безопасности; контроль за работой специального ПО посредством просмотра журнала регистрации пользователей, формируемого программами специального ПО и статистический контроль за доступом с рабочих мест локальной сети контура в глобальную сеть Internet посредством обработки файлов регистрации, формируемых средствами маршрутизации IP-трафика.

2. Разработка в составе специального ПО программы обмена, которая использует свои протоколы обмена, в целях реализации информационного обмена между контурами адресования и обмена с АС. Контуры адресования и обмена с АС связаны между собой через МЭ 2. Для организации обмена информацией между этими контурами разработан комплекс в составе специального ПО, состоящий из программы-сервера и программы-клиента. При этом серверная программа запускается в контуре адресования на центральном сервере баз данных, а программа-клиент – в контуре обмена с АС на локальном сервере баз данных. Для организации обмена через МЭ на нем открывается один порт (настраиваемый администратором), все остальные порты МЭ должны быть закрыты. Обмен производится только по инициативе клиента из контура обмена с АС. Серверная программа принимает запрос на соединение от клиента только с одним конкретным IP-адресом, задаваемым администратором. После проверки IP-адреса протоколом обмена предусмотрена проверка пароля, передаваемого клиентом. Пароль также задается администратором в настройках комплекса. Произвольный доступ в контур обмена с АС из контуров адресования или доставки, таким образом, исключается.

Итак, в данной главе дипломного проекта была рассмотрена существующая в отделе система защиты информации. Данная СЗИ устраняет большинство угроз, рассмотренных в главе 3. Но все еще наиболее уязвимым перед атаками типа “отказ в обслуживании” остается сервер электронной почты. Это связано с уязвимостью MS Exchange Server 5.5. Также в отделе не существует специальных средств защиты от спама.

В ОС Windows NT 4.0 не предусмотрена возможность шифрования на уровне операционной системы. Т.о., если не будет физической защиты компьютера, то злоумышленник сможет с помощью драйвера NTFSDOS.EXE получить доступ к данным.