Разработка предложений по улучшению системы защиты при доступе к WEB-ресурсам

Вопросы безопасности при доступе к Web-ресурсам остаются актуальными, так как распределенная среда предоставляет широкий круг возможностей реализации атак. Web-серверы – это современные технологии, основанные на виртуализации и сетецентрическом взаимодействии. При решении о разработке собственных Web-ресурсов и организации доступа к ним руководители предприятий должные обязательно учитывать проблему защиты информации. Значимость данного вопроса обусловлена и критической важностью информационных ресурсов, и необходимость строго соответствия нормативно-правовым актам, регулирующих отношения в этой сфере.
В рамках дипломного исследования были рассмотрены законодательные основы информационной безопасности в свете организации доступа к Web-ресурсам. Были выделены такие аспекты, как защита перс ...

ВВЕДЕНИЕ 3
ГЛАВА 1. НОРМАТИВНО-ПРАВОВЫЕ ОСНОВЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ WEB-РЕСУРСОВ 5
1.1 Нормативно-правовые акты Российской Федерации в области информационной безопасности Web-ресурсов 5
1.2 Стандарты в области информационной безопасности Web-ресурсов 9
1.3 Модель нарушителя безопасности доступа к Web-ресурсам 12
ГЛАВА 2. АНАЛИЗ ПРОБЛЕМЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ ДОСТУПЕ К WEB-РЕСУРСАМ 16
2.1 Особенности размещения Web-ресурсов 16
2.2 Анализ возможных атак на Web-ресурсы 18
2.3 Анализ и оценка рисков при организации доступа к Web-ресурсам 22
2.4 Статистика реализации угроз при доступе к Web-ресурсам 25
ГЛАВА 3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ ПО УЛУЧШЕНИЮ ЗАЩИТЫ ПРИ ДОСТУПЕ К WEB-РЕСУРСАМ 27
3.1 Организационные меры защиты при доступе к Web-ресурсам 27
3.2 Технические методы защитыпри доступе к Web-ресурсам 30
3.2.1 Сетевое экранирование 31
3.2.2 Обнаружение и предотвращение вторжений 33
3.2.3 Системы предотвращения утечки информации 35
3.2.4 Защита от вредоносного программного обеспечения 37
3.2.5 Средства идентификации и аутентификации 40
ЗАКЛЮЧЕНИЕ 44
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 46

Современное стремительное развитие информационных технологий предъявляет новые требования к хранению, обработке и распространению данных. От традиционных носителей информации и от выделенных серверов компании и частные лица постепенно переходят к дистанционным технологиям, реализованным через глобальную сеть Интернет. Сервисы в Интернет способны стать незаменимыми инструментами функционирования современной, динамично развивающейся компании, к числу которых можно отнести электронную почту; обмен файлами, голосовыми сообщениями и данных с использованием видео-приложений; разработка собственных Web-ресурсов. Однако по мнению многих специалистов предоставление доступа к Web-ресурсам требует построения системы эффективной защиты информационной системы предприятия, так как возможна реализация различных угроз (например, вопросы утечки информации по техническим каналам рассмотрены в учебном пособии Техническая защита информации автора Хорев А.А.). Такими угрозами могут стать внедрение вредоносного программного обеспечения от неблагонадежных сайтов, задержка коммуникаций в связи с перегрузкой канала, утечка информации, атаки на вычислительную систему и т.д. Таким образом, вопросы разработки и модификации систем защиты в свете развития сервисов Интернет выходят на первый план и требуют всестороннего анализа. Именно поэтому тема исследования актуальна.
Проблема исследования заключается в большой вероятности угроз и атак злоумышленников на информационную систему предприятия из-за отсутствия комплексной системы защиты при доступе к WEB-ресурсам.
Объект исследования – системы защиты информации.
Предмет исследования – средства модификации системы защиты при доступе к WEB-ресурсам.
Цель исследования – на основе всестороннего анализа рисков и угроз при доступе к WEB-ресурсам разработать рекомендации по улучшению системы защиты.
Для достижения цели необходимо решение ряда задач:
1. Провести обзор литературы и Интернет-источников по вопросам организации безопасного доступа и по улучшению системы защиты при доступе к WEB-ресурсам.
2. Рассмотреть законодательные основы информационной безопасности.
3. Выявить основные проблемы информационной безопасности при доступе к WEB-ресурсам.
4. Провести анализ рисков и угроз при доступе к WEB-ресурсам
5. Провести анализ защищаемой информации.
6. На основе анализа существующих средств информационной безопасности и возможных атак на Web-ресурсы разработать рекомендации по защите при доступе к WEB-ресурсам.
Вопросам построения систем защиты при доступе к WEB-ресурсам посвящены работы таких авторов, как Бородакий В.Ю. (рассматривает вариант безопасного хранения ресурсов средствами облачных технологий); Щеглов А.Ю. (проводит анализ методов и средств защиты компьютерной информации от несанкционированного доступа), Хорев А.А. (анализирует технические меры защиты информации).
Методы исследования: анализ, синтез, изучение источников информации, диагностика.
Диплом состоит из введения, трех глав и заключения. Первая глава – теоретическая, посвящена вопросам правового регулирования информационной безопасности. Вторая глава – аналитическая, содержит анализ возможных атак и оценку рисков. Третья глава – практическая, включает практические предложения по улучшению системы защиты при доступе к WEB-ресурсам.

Суть его состоит в том, что за счет увеличения трафика и числа присылаемых сообщений генерируется сбой в работе сервиса. Ответ злоумышленникам в этом случае – установка провайдером отграничений трафика от одного отправителя.Для получения доступа к ресурсам возможна реализация такой атаки, как Переполнение буфера. Она основана на программных ошибках, в следствии которых память нарушает свои же границы, что, в свою очередь, приводит к аварийному завершению процесса или выполнению произвольного бинарного кода, где используется текущая учетная запись.Возможна и атака, не предусматривающая разрушительное действие – сетевая разведка. В этом случае происходит сбор информации нарушителем (сканирование портов, запрос DNS, проверка защиты компьютера и проверка системы). Данные действия необходимы для проведения специализированной атаки, целью которой станет разрушение информационной системы.Довольно распространены атаки в виде заражения вычислительной системы вредоносными программами, в качестве которых могут выступать вирусы, трояны, почтовые черви и т.д.Злоумышленники могут атаковать информационную систему, опираясь на особенности работы сетевой карты. Через специальные приложения, которые получают пакеты с сетевой карты, выявляют информацию о структуре вычислительной системы, пароли пользователей. Их сообщения и другие файлы. Подобные атаки носят название Сниффинг пакетов.Еще один широкий круг возможных атак – так называемые инъекции. Их особенность заключается во вмешательстве в процесс передачи данных путем внедрения стороннего программного кода, который фактически не мешает работе приложения, но одновременно производит необходимое злоумышленнику действие.Процесс передачи данных подвержен и такой атаке, как Man-in-the-middle, когда нарушитель перехватывает канал связи между приложениями, обеспечивая тем самым доступ к передаваемой информации. Причем возможна не только кража данных, но и их искажение. Чаще всего названные атаки применяются в онлайн играх.Возможна атака и на локальную сеть с использованием ее IP-адреса. Отметим, что такой несанкционированный доступ возможен, если система информационной безопасности кроме идентификации IP-адреса других инструментов не использует.На сегодняшний день Web-ресурсы становятся более уязвимыми для DoS- и DDoS-атак (тип «Отказ в обслуживании»). Поэтому перейдем к их детальному рассмотрению. DoS-атака (англ. Denial of Service) преследует цель доведения до отказа вычислительной системы, чтобы пользователи либо вообще не получили доступа к ней, либо испытывали затруднения. DDoS-атака (англ.  Distributed Denial of Service) имеет ту же цель, но реализует свои действия с нескольких компьютеров сети (распределенная атака).Современные DDoS-атаки используют несколько векторов уязвимостей Web-ресурсов, увеличивая тем самым вероятность успеха. Изначально подобные атаки были ориентированы на Web-сервер, но со временем целями стали еще и Интернет-канал, межсетевой экран, сервер баз данных и т.д. Если говорить о классе принадлежности Web-ресурсов, то злоумышленники в первую очередь нацелены на Интернет-магазины, Интернет-казино, на поставщиков услуг через Интернет, банковские платежные систе5мы и системы электронных платежей и т.п. Опишем принцип действия DDoS-атак. Web-ресурсы обычно имеют ограничения по количеству одновременно обрабатываемых запросов. Кроме того, Интернет-канал так же обладает конечной пропускной способностью. Следствием превышения предельной возможности одного из компонентов может стать замедление формирования ответа на запросы или абсолютный отказ на запрос. Для злоумышленника конечной целью становится полная остановка нормального функционирования ресурса («отказ в обслуживании»). Тем самым нарушитель добивается либо денежной компенсации за прекращение атаки, либо дискредитации бизнеса конкурента или нанесения ему ущерба. Виды DDoS-атак:UDP-наводнение (используется бессеансовый режим протокола UDP; инициируется отправка огромного количества UDP-пакетов, результатом чего является перегрузка сети и целевых машин);TCP и TCP SYN-наводнение (использует стандартный механизм установления TCP-соединения, называемый также механизмом тройного квитирования - посылка SYN-пакета, получение пакета SYN-ACK и посылка ACK-пакета. Суть атаки заключается в создании большого числа незавершенных TCP-соединений: на машину жертвы обрушивается шквал запросов на установление соединения, т.е. пакеты с выставленным флагом SYN; сервер отвечает, как и положено, пакетами SYN-ACK, но открытия соединения не следует, а - следует отправка следующего SYN-пакета, на который также следует ответ, данное соединения также остается незавершенным и т.д., вследствие чего ресурсы машины вскоре оказываются исчерпаны);ICMP-наводнение (Ping-пакеты с подделанным адресом источника, отправленные по широковещательному адресу, доставляются всем хостам сети, что вызывает шквал ответов на указанную в качестве источника машину жертвы - ICMP ECHO REPLY);атаки на протоколы HTTP, DNS и SIP.Подводя итог анализу возможных атак на Web-ресурсы, можно выделить наиболее уязвимые компоненты (см. рис.2.2).Рисунок 2.2 Уязвимые объекты при доступе к Web-ресурсам2.3 Анализ и оценка рисков при организации доступа к Web-ресурсамПроведем анализ рисков при доступе к Web-ресурсам.Виртуализация центров обработки информации (ЦОД). Переход от традиционных способов хранения информации к сетевым технологиям требует четкого разделения прав и контроля доступа на системном уровне, так как специалисты получают возможность работы с данными посредством сети Интернет. Динамичность виртуальных машин. Виртуальные машины могут быть дублированы или перемещены между физическими серверами, что негативно сказывается на целостности системы защиты. Поэтому важно надежно зафиксировать состояние защиты.Уязвимости внутри виртуальной среды. Высока вероятность удаленного взлома или заражения вредоносным программным обеспечением.Атаки на бездействующие виртуальные машины. Риск заражения выключенной виртуальной машины велик, так как абсолютно невозможен запуск специализированного защитного программного обеспечения.Отсутствие понятий периметр или границы сети. Общий уровень защищенности в Интернет сервисах определен наименее защищенной частью сети. Инструменты корпоративной политики информационной безопасности не способны влиять на Web-серверы. Таким образом, виртуальные машины должны сами обеспечивать себя защитой, перемещая сетевой периметр к самой виртуальной машине.Перейдем к ответу на вопрос, как правильно оценить риски при доступе к Web-ресурсам. Для начала выделим параметры, на которые стоит опираться при построении системы доверия к уровню безопасности:Стоимость данных. Как правило, данный показатель зависит от оценки пользователей, которая основана на критичности информации. Например, персональным данным назначается более высокая стоимость по сравнению с менее критичными ресурсами.История поставщика услуг хранения данных. Данный параметр может включать в себя профиль провайдера, его достижения в прошлом, отзывы пользователей о конкретном сервисе. Неблагополучная история поставщика способна уменьшить фактор доверия.Расположение данных. Организация централизованного хранения данных в пределах страны способна снизить возможные риски.Отметим, что выделены лишь некоторые показатели. Данный список можно продолжить такими параметрами, как безопасность сервера, метод шифрования, стоимость услуги, поддержка мониторинга и т.п.На основе трех предложенных параметров составим матрицу доверия, которая используется как инструмент принятия решений при анализе рисков. Для наглядности представим матрицу в виде трехмерного графика, оси которого представляют: X- стоимость данных, Y- история услуг провайдера, Z- информация о местоположении данных. (см. рис.2.2).Рисунок 2.2. Матрица доверия для анализа степени рискаНаглядное представление возможных рисков дает возможность построения областей доверия. Так, зона наименьшего доверия характеризуется высокой стоимостью данных в совокупности с плохой историей провайдера и критичным местоположением информационных ресурсов.Этапом, следующим за оценкой рисков, является определение мер защиты информации. На основе анализа технической литературы, касающейся вопросов информационной безопасности, а так же Интернет-источников, содержащих публикации специалистов в области защиты при доступе к Web-ресурсам, были выделены следующие методы обеспечения информационной безопасности:Шифрование. Многие авторы считают этот метод наиболее эффективным [18]. Возможна его реализация двумя способами: шифрование средствами Web-сервера или шифрование на стороне клиента. Защита данных при передаче. При правильно построенной системе защиты персональных данных информацию нельзя прочитать или изменить, даже в случаи доступа через ненадежные узлы. Достичь безопасности при передачи информационных пакетов можно, если применять надежные алгоритмы и протоколы для обеспечения защиты данных. Например, надежная пересылка файлов осуществляется по набору протоколов IPsec [17]Идентификация и аутентификация. Идентификация позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова "аутентификация" иногда используют словосочетание "проверка подлинности" [28]. Изоляция пользователей. Данный метод основывается на использовании индивидуальной виртуальной машины и виртуальной сети. Можно выделить такие технологии, как VPN (Virtual Private Network), VLAN (Virtual Local Area Network) и VPLS (Virtual Private LAN Service). Еще один способ – изоляция пользователей за счет изменения данных кода в единой программной среде, но не находит широкого применения, так как создает дополнительные риски, связанные с опасностью найти дыру в нестандартном коде, позволяющему получить доступ к данным.2.4 Статистика реализации угроз при доступе к Web-ресурсамСогласно статистическим исследованиям в 2014 году большая часть атак при доступе к Web-ресурсам была направлена на базы данных (SQL- и NoSQL-инъекции). В результате успешной атаки нарушитель получает доступ ко всей базе данных, и, соответственно, как минимум ко всем учетным записям пользователей.Второе место в данном исследовании занимают атаки на клиентов. Они считаются менее опасными, так как направлены на конкретного пользователя или их группу, а не сервер целиком. Полная статистика представлена на рисунке 2.3Рисунок 2.3 Статистика совершения атак в 2014 годуКоличество атак каждый месяц увеличивается, но это, прежде всего, связано с подключением новых клиентов. Еще одна причина роста числа атак на Web-ресурсы – допущение ошибок при разработке и администрировании ресурсов.Выделим самые распространенные проблемы взлома Web-ресурсов:Отсутствие защиты у второстепенных элементов ресурсов.Несвоевременное обновление программного обеспечения.Заражение вредоносными программами компьютеров пользователей, имеющих необходимые ключи доступа.Ошибочная публикация учетных записей в открытом доступе.Разработка слабой парольной политики.Перечислим объекты атак в порядке убывания популярности для злоумышленников:Платежные системы и банки.Электронная коммерция.Средства массовой информации.Игровая индустрия.Рекламные сети.Выводы. Отметим, что для эффективной реализации защиты при доступе к Web-ресурсам следует строить комплексную систему, которая должна обеспечивать надежное шифрование и передачу файлов, доступ к ним только авторизированных пользователей, изолированных друг от друга, а также содержать инструменты обнаружения атак и средства оповещения пользователей.ГЛАВА 3. ПРАКТИЧЕСКИЕ РЕКОМЕНДАЦИИ ПО УЛУЧШЕНИЮ ЗАЩИТЫ ПРИ ДОСТУПЕ К WEB-РЕСУРСАМ3.1 Организационные меры защиты при доступе к Web-ресурсамОрганизационные (административные) меры и методы защиты - это меры и методы организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Они основаны на принципах управления коллективом и предприятием (службой) и принципах законности [13].Как уже было отмечено, возможно два варианта размещения Web-ресурсов - на виртуальных серверах в дата-центрах или на специализированном сервере организации.В первом случае организационные меры защиты основаны на формулировке прав и обязанностей сторон – провайдеров (поставщики услуг) и конечных пользователей (потребители). Анализ Интернет-источников показал, что современные поставщики услуг облачных вычислений предлагают клиентам следующие соглашения:SLA - формальный договор между заказчиком услуги и ее поставщиком. Нужен для согласования аспектов предоставления услуги.NDA -  соглашение о конфиденциальности.Договор-поручение оператора. В договоре между провайдером и заказчиком должны быть зафиксированы правовые ограничения, основа которых состоит в том, что поставщик услуги обязан гарантировать использование всех ресурсов, предоставленных ему заказчиком, исключительно для оказания услуг этому заказчику. Кроме того, должны быть четко прописаны регламенты работы с Web-ресурсами, определяющие процедуру доступа к ним персонала провайдера и ограничения по внесению изменений в конфигурацию.Стоит отметить и необходимость разделения ответственности между клиентом и провайдером. Так, в обязанности поставщика входит контроль и обеспечение работоспособности инфраструктуры, предоставляющей сервис. Потребитель должен обеспечивать эксплуатацию сервиса и защиту рабочих мест.Второй вариант (размещение ресурсов на специализированном сервере организации) подразумевает разработку концепции безопасности владельцем Web-ресурсов. Организационные меры заключаются в разработке таких документов, как должностные инструкции для пользователей и обслуживающего персонала; правила администрирования компонентов системы; правила учета, хранения, распространения и уничтожения носителей секретной информации; правила идентификации пользователей;план действий в случае выявления попыток несанкционированного доступа к ресурсам системы, выхода со строя средств защиты, возникновении чрезвычайной ситуации;инструкции по обучению пользователей правилам информационной безопасности.Структура системы организационной защиты при доступе к Web-ресурсам представлена на рисунке 3.1Рисунок 3.1 Структура системы организационной защиты при доступе к Web-ресурсамВыделим принципы организационной защиты информации:Комплексный подход (необходимо комплексное принятие всех возможных организационных мер).Оперативность принятия решений (владелец Web-ресурсов должен оперативно решать задачи информационной безопасности).Персональная ответственность (каждый из сотрудников компании обязан нести персональную ответственность за своевременность и эффективность принятия мер по обеспечению информационной безопасности).Таким образом, практические рекомендации при принятии организационных мер защиты при доступе к Web-ресурсам заключаются в следующем:В случае организации хранения Web-ресурсов на виртуальных серверах:Для согласования условий предоставления услуг по хранению ресурсов заключить договор между компанией и провайдером, в котором указать обязанности поставщика по обеспечению сохранности ресурсов и недопустимости несанкционированного доступа.Составить соглашение о конфиденциальности, в котором предусмотреть правила работы с данными для персонала провайдера.Разработать регламент работы с Web-ресурсами, в котором определить процедуру внесений в них изменений.В случае организации хранения Web-ресурсов на специализированном сервере:Разработать должностные инструкции для персонала компании, имеющих доступ к Web-ресурсам.Составить правила администрирования компонентов корпоративной сети.Определить правила идентификации пользователей Web-ресурсов.Подготовить инструкции для персонала в случае непредвиденных ситуаций.Проводить систематические инструктажи по эффективному обеспечению информационной безопасности.3.2 Технические методы защиты при доступе к Web-ресурсамТехнические меры защиты разделяются на два класса:Ограничение и контроль физического доступа к объектам информационных систем и его техническим средствам (совместно с организационными мерами).Использование программных, программно-аппаратных и аппаратных средств для защиты информации в информационных системах [19].К техническим мерам можно отнести следующие технологии:Сетевое экранирование.Обнаружение и предотвращение вторжений.Системы предотвращения утечки информации.Защита от вредоносного программного обеспечения.Средства идентификации и аутентификации.3.2.1 Сетевое экранированиеБрандмауэр (сетевой экран) – комплекс аппаратно-программных средств для осуществления контроля и фильтрации проходящих через него сетевых пакетов в соответствии с заданными правилами. Брандмауэр нового поколения – это технология сетевой безопасности, в состав которой входит полный набор средств для проверки и предотвращения проникновений, проверки на уровне приложений и точного управления на основе политик. Реализация брандмауэров возможна как на программном, так и на аппаратном уровне. В первом случае необходима более длительная установка и настройка, второй вариант более прост в использовании, но требует больших материальных затрат.Главным параметром является надёжность сетевого экрана, степень предоставления защиты и способность отражать различные атаки и угрозы. Немаловажным также является удобство использования брандмауэра, простота настройки параметров, требования к производительности и степень загрузки ресурсов компьютера во время работы. В рамках исследования сетевых экранов были проведены их испытания и сравнение.Тест брандмауэров проводился по следующим группам внутренних атак, для наглядности разбитых на уровни сложности:I. Базовый уровень сложности (56 вариант атак): 1. Поверка защиты процессов от завершения (41 вариант атак);2. защита от стандартных внутренних атак (15 вариантов атак).II. Повышенный уровень сложности (8 вариантов атак):1. тестирование защиты от нестандартных утечек (3 варианта атак);2. тестирование защиты от нестандартных техник проникновения в режим ядра (5 вариантов атак).Тестирование проводилось на популярных сетевых экранах (таблица 3.1).Таблица 3.1БрандмауэрыКомпанияПродуктAvast SoftwareAvast! Internet SecurityAVGAVG Internet SecurityBitDefenderBitDefender Internet SecurityComodoComodo Internet SecurityDr.WebDr.Web Security SpaceEset Eset Smart SecurityKaspersly LabKaspersky Internet SecurityMcAfeeMcAfee Internet SecurityAgnitumOutpost Security Suite ProTrend MicroTrend Micro Titanium Internet SecuritySymantecNorton Internet SecurityВ таблице 2.2 приведена платформа для тестирования сетевых экранов.Таблица 3.2Платформа для проведения тестаПроцессорDualCore Intel Core 2 Duo E8400, 3000 MhzМатеринская платаGygabyte GA-G31MF-S2BидеокартаNVIDIA GeForce 9600 GTОперативная память4096 MBЖeсткий дискWDC WD2500JS-22NCB1Сеть100mbit/sec Ethernet (NVIDIA nForce Networking Controller)Операционная системаWindows 7 Enterprise SP1Установленные программыMicrosoft Visual C++ 2010 x86 RedistributableMicrosoft Office 2007 Enterprise (Русская Версия)Denwer3_Base_PHP52_2012-09-16_a2.2.22_p5.2.12_zendoptimizer_m5.5.25_pma3.5.1_xdebug.exeРезультаты теста приведены в таблице 3.3.Таблица 3.3Результаты теста брандмауэровПротестированный продуктАтаки базового уровня сложностиАтаки повышенного уровня сложностиВсего балловВсего %Баллы%% от суммыБаллы%% от суммыComodo56100%87,5%8100%12,5%64100%BitDefender56100%87,5%8100%12,5%64100%Kaspersky5395%82,8%788%10,9%6094%Norton50,590%78,9%8100%12,5%58,591%Outpost4988%76,6%5,569%8,6%54,585%Eset4988%76,6%5,569%8,6%54,585%Dr.Web46,583%72,7%563%7,8%51,580%Trend Micro4377%67,2%338%4,7%4672%Avast4173%64,1%1,519%2,3%42,566%AVG4173%64,1%00%0,0%4164%McAfee4173%64,1%00%0,0%4164%Из таблицы 3.