комплекс мер безопасности для локальной вычислительной сети предприятия

В настоящее время каждая информационная система нуждается в защите. Это является главным аргументов в конкурентной борьбе на рынке. И позволяет избежать значительных финансовых потерь от деятельности злоумышленников, ошибочных действий сотрудников или воздействия неблагоприятных факторов.
Важнейшим мероприятием обеспечения безопасности информационной системы является построение комплексной защиты ее компьютерной сети.
В ходе выполнения работы были выработаны комплексные меры безопасности в локальной сети.
Для достижения поставленной цели исследования в ходе проведенной работы были решены задачи:
ознакомления с теоретической частью вопросов по безопасности и надёжности сети;
проведен анализ специализированной литературы по безопасности локальных сетей;
осуществлено выявление возможных источ ...

СОДЕРЖАНИЕ 2
ВВЕДЕНИЕ 3
1. АНАЛИЗ ПОТЕНЦИАЛЬНЫХ УГРОЗ ОПЕРАТИВНО-ТЕХНОЛОГИЧЕСКОЙ ИНФОРМАЦИИ В ЛОКАЛЬНОЙ СЕТИ 6
1.1. Риски, связанные с работой в открытых сетях. Виды угроз. 6
1.2. Основные задачи сетевой безопасности 7
1.3. Основные принципы обеспечения информационной безопасности предприятия 8
1.3.1. Интегрированная система информационной безопасности 8
1.3.2. Обеспечение безопасности как комплексная проблема 10
1.4. Модели безопасности локальной вычислительной сети. 15
2. ТРЕБОВАНИЯ ПО ОБЕСПЕЧЕНИЮ КОМПЛЕКСНЫХ МЕР СИСТЕМЫ БЕЗОПАСНОСТИ 17
2.1. Понятие политики безопасности. 17
2.2. Меры обеспечения безопасности компьютерных систем 17
2.3. Межсетевой экран как средство разграничения доступа в реализации политики безопасности. 21
2.4. Разработка и коррекция правил политики безопасности. 26
3. ТЕХНИЧЕСКИЕ АСПЕКТЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ 32
ЗАКЛЮЧЕНИЕ 37
СПИСОК ЛИТЕРАТУРЫ 38

В настоящее время информационная безопасность локальной вычислительной сети является одной из важнейших проблем современного общества. Грамотно спроектированная локальная вычислительная сеть, отвечающая современным стандартам безопасности, – это основополагающий базис современной организации. Подключение организаций к такой масштабной сети, как Internet, положительно влияет на эффективность работы организаций и предоставляет им множество новых возможностей. Не смотря на эти огромные возможности, организациям необходимо создать системы защиты внутренних ресурсов. Комплексный характер проблемы защиты даёт понять о необходимости сочетания законодательных, программно-технических и организационных мер для решения данных проблем.
Объектами комплексной интегрированной системы обеспечения информа ционной безопасности предприятия являются:
- информационные системы;
- информационные процессы;
- информационные ресурсы.
Возможно отключение сети предприятия от сети Интернет, установка системы RAID, снабжение системы надежным UPS. При проектировании сети, необходимо учитывать всевозможные субъективные и объективные угрозы.
На сегодняшний день невозможно представить себе крупную организацию, которые для обработки документов, ведение учёта и бухгалтерий не используют машины, подключённые к сети. Современный человек не может представить себе повседневную жизнь без доступа к Интернету. Однако доступ к информации через сети Интернет может омрачаться вирусными атаками, червями и троянскими конями. Целью КИБ является защита информационной системы организации, сохранение целостности и гарантия полноты, выдаваемой ей информации, минимизация разрушений при непредвиденных чрезвычайных происшествиях.
Целью работы является разработка комплексных мер безопасности в локальной сети.
Для выполнения поставленной задачи необходимо разбить исходную задачу на подзадачи и реализовать их:
1. Ознакомление с теоретической частью вопросов по безопасности и надёжности сети;
2. Анализ специализированной литературы по безопасности локальных сетей;
3. Выявление возможных источников угроз объектов атаки;
4. Разработка мероприятий по совершенствованию общих мер безопасности для локальных сетей.
Объектом исследования является организация безопасности в локальных вычислительных сетях.
Предмет исследования – комплексные меры по безопасности сети.
Гипотеза исследования основана на том, что, комплексные меры безопасности для локальной вычислительной сети на предприятии, позволят обеспечить безопасное использование ресурсов компьютеров и периферийных устройств, подключенных в локальную вычислительную сеть, создадут единое безопасное информационное поле.
Для решения поставленных задач использовался комплекс взаимодополняющих методов исследования: методы изучения, обобщения и анализа опыта существующих результатов практики построения локальных вычислительных систем, экспериментальные методы исследования; количественные и качественные методы сбора эмпирической информации; методы проведения диагностики и организационно-технических мероприятий над локальной вычислительной сетью.
Теоретическая значимость выполненной работы состоит в обобщении материалов по безопасности локальных вычислительных систем.
Практическая значимость проекта заключается в повышении безопасности работы предприятия с помощью комплексных мер безопасности локальной вычислительной сети.
Структура работы соответствует логике исследования и включает в себя введение, основную часть, заключение, список литературы. Так, во введении раскрывается цель работы, предмет и объект исследования; постановка гипотезы помогает выделить основные задачи, а актуальность и значимость работы формирует понимание необходимости применения комплексных мер безопасности локальных вычислительных сетей. В основной части описывается теоретический материал по безопасности локальных вычислительных сетей. В заключении подводятся итоги.

Настройка параметров защиты приложений;
Установка и обновление антивирусных систем;
Запуск приложений в контексте с минимальными привилегиями.
Последним этапом построения системы защиты является защита данных, которые могут располагаться на локальных и серверных хостах [24].
Шифрованная файловая система является еще одним важным элементом надежного бастиона защиты. Поскольку данные являются основой современного бизнеса, очень важно предусмотреть процедуры резервного копирования и восстановления.
Защита данных:
Защита файлов средствами шифрующей файловой системы (EFS);
Настройка ограничений в списках контроля доступа;
Система резервного копирования и восстановления;
Защита на уровне документов с помощью Windows Right Management Services.
1.4. Модели безопасности локальной вычислительной сети.
На различных этапах разработки комплексных мер защиты информации применяется большое количество моделей безопасности. Ниже перечислены те модели, которые могут быть использованы, применительно к локальной вычислительной сети.
Контроль доступа субъектов к объектам обеспечивается моделью дискреционного доступа.
Механизм распространения доступа субъектов к объектам объясняется моделью дискретного доступа.
Механизм доступа к ресурсам системы осуществляется моделью мандатного управления доступом Белла-Лападула.
Выполнение субъектов на нескольких устройствах обработки рассматривается в модели распределенных систем.
Выполнение субъектами специализированной операции над объектами сложной структуры рассматривается в модели безопасности военной системы передачи данных (MMS-модель).
Модель трансформации прав доступа позволяет субъекту в данный момент времени предоставляется только одно право доступа.
Для управления доступом используется матрица доступа со строгой типизацией ресурсов, описанная в схематической модели.
Иерархическая модель описывает управление доступом для параллельных вычислений, при этом управление доступом основывается на вычислении предикатов.
Модель безопасных спецификаций описана в аксиоматике Хоара.
Модель информационных потоков содержит объекты и атрибуты, что позволяет определить информационные потоки.
Операции доступа субъектов к объектам READ и WRITE рассматриваются в вероятностных моделях.
Модель элементарной защиты учитывает вероятность отказа системы и обнаружения блокировки действий нарушителя.
Модель системы безопасности с полным перекрытием объясняет сте­пень обеспечения безопасности системы, набор угроз и средств безопасности, набор барьеров и уязвимых мест.
Модель гарантированно защищенной системы обработки информа­ции. описывает после­довательность доступов субъектов к объектам.
Субъектно-объектная модель описывает доступ субъектов к объектам.
Использование той или иной модели определяется конкретной задачей на конкретном этапе проектирования или функционирования системы безопасности.
2. ТРЕБОВАНИЯ ПО ОБЕСПЕЧЕНИЮ КОМПЛЕКСНЫХ МЕР СИСТЕМЫ БЕЗОПАСНОСТИ
2.1. Понятие политики безопасности.
В сфере безопасности информации отсутствует готовое решение из-за уникального устройства каждой из организаций. Основным этапом построения надежной информационной системы (ИС) является выработка политики безопасности [5].
Политика безопасности – это совокупность управленческих решений, ориентированных на защиту информации.
Политику безопасности разделяют на три уровня:
Решения, затрагивающие организацию в целом.
Вопросы ИБ различных аспектов эксплуатируемой системы.
Конкретные сервисы ИС.
Третий уровень включает в себя два подуровня – цели ПБ и правила достижения этих целей.
2.2. Меры обеспечения безопасности компьютерных систем
Темпы развития современных систем и технологий значительно опережают темпы разработки рекомендательной и нормативно-правовой базы руководящих документов, действующих на территории России. Поэтому решение вопроса об оценке уровня защищенности информационных активов компании обязательно связано с проблемой выбора критериев и показателей защищенности, а также эффективности корпоративной системы защиты информации [18,25-27].
Существующие методики управления рисками, разработки и сопровождения корпоративных систем защиты информации обязаны позволять предоставить решения ряда задач перспективно-стратегического развития компании.
Во-первых, количественно оценить текущий уровень ИБ компании, что потребует выявления рисков на правовом, организационно-управленческом, технологическом, а также техническом уровнях обеспечения защиты информации.
Во-вторых, разработать и реализовать комплексный план совершенствования корпоративной системы защиты информации для достижения приемлемого уровня защищенности информационных активов компании.
Уровень безопасности компании в большей часть зависит от квалификации специалистов. Немаловажную роль играет, и ежегодная переоценка состояния информационной безопасности компании [18].
Основная задача системы ИБ заключается в обеспечении устойчивого функционирования объекта. Для этого необходимо:
отнести информацию к категории ограниченного доступа (служебной тайне);
создать условия функционирования с наименьшей вероятностью реализации угроз безопасности информационным ресурсам и нанесения различных видов ущерба;
создать механизм и условия оперативного реагирования на угрозы ИБ и проявления негативных тенденций в функционировании, эффективное пресечение посягательств на ресурсы на основе правовых, организационных и технических мер и средств обеспечения безопасности [25,26];
создать условия для максимально возможного возмещения и локализации ущерба, наносимого неправомерными действиями физических и юридических лиц, и тем самым ослабить возможное негативное влияние последствий нарушения информационной безопасности1.
Рис. 2.4. Модель построения корпоративной системы защиты информации
Модель защиты информации – это совокупность объективных внешних и внутренних факторов и их влияние на состояние информационной безопасности на объекте и на сохранность материальных или информационных ресурсов.
В конце работ, можно определить меру гарантии безопасности ИС, основанную на оценке, с которой можно доверять ИС объекта. Данный подход предполагает, что основная гарантия следует из применения больших усилий при проведении оценки безопасности.
Формирование организационной политики безопасности [18,25].
Прежде чем предлагать какие-либо решения по системе ИБ, предстоит разработать политику безопасности. Организационная политика безопасности описывает порядок предоставления и использования прав доступа пользователей, а также требования отчетности пользователей за свои действия в вопросах безопасности. Система информационной безопасности (СИБ) окажется эффективной, если она будет надежно защищать информацию [18].
Этапы построения организационной политики безопасности – это внесение в описание объекта автоматизации структуры ценности и проведение анализа риска, и определение правил для любого процесса пользования данным видом доступа к ресурсам объекта автоматизации, имеющим данную степень ценности [5].
Прежде всего, необходимо составить детализированное описание общей цели построения системы безопасности объекта, выражаемое через совокупность факторов или критериев, уточняющих цель. Факторы безопасности, в свою очередь, могут распределяться на правовые, технологические, технические и организационные [5].
Требования гарантии достигаемой защиты выражаются через оценки функций безопасности СИБ объекта. Оценка силы функции безопасности выполняется на уровне отдельного механизма защиты, а ее результаты позволяют определить относительную способность соответствующей функции безопасности противостоять идентифицированным угрозам. Исходя из известного потенциала нападения, сила функции защиты определяется, например, категориями “базовая”, “средняя”, “высокая”. Потенциал нападения определяется путем экспертизы возможностей, ресурсов и мотивов побуждения нападающего [5,18].
Разработка включает:
уточнение функций защиты;
выбор архитектурных принципов построения СИБ;
разработку логической структуры СИБ (четкое описание интерфейсов);
уточнение требований функций обеспечения гарантоспособности СИБ;
разработку методики и программы испытаний на соответствие сформулированным требованиям.
Во время оценки достигаемой защищенности производится оценка меры гарантии безопасности информационной среды. Мера гарантии основывается на оценке, с которой после выполнения рекомендованных мероприятий можно доверять информационной среде объекта.
2.3. Межсетевой экран как средство разграничения доступа в реализации политики безопасности.
Концепция межсетевого экранирования формулируется следующим образом. Пусть имеется два множества информационных систем. Экран – это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем (Рис. 2.1.).
Рис. 2.1. Экран как средство разграничения доступа.
В простейшем случае экран состоит из двух механизмов, один из которых ограничивает перемещение данных, а второй, наоборот, ему способствует. В более общем случае экран (полупроницаемую оболочку) удобно представлять себе, как последовательность фильтров. Каждый из них может задержать (не пропустить) данные, а может и сразу "перебросить" их "на другую сторону". Кроме того, допускается передача порции данных на следующий фильтр для продолжения анализа, или обработка данных от имени адресата и возврат результата отправителю (Рис. 2.2.).
Рис. 2.2. Экран как последовательность фильтров.
Помимо функций разграничения доступа, экраны осуществляют также протоколирование информационных обменов.
Обычно экран не является симметричным, для него определены понятия "внутри" и "снаружи". Другой пример экрана – устройство защиты порта, контролирующее доступ к коммуникационному порту компьютера до и независимо от всех прочих системных защитных средств. Экранирование позволяет поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, индуцированную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально сторонний злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более безопасным образом.
Также экранирование может контролировать информационные потоки, которые направляется во внешнюю область, что позволяет использовать и оставаться в конфиденциальном режиме.
Зачастую экран выполняют как сетевой сервис на следующих уровнях семиуровневой эталонной модели OSI: третий уровень (сетевой), четвертый уровень (транспортный) или седьмой уровень (прикладной). В первом случае используется экранирующий маршрутизатор, во втором используем экранирующий транспорт, в третьем используем экранирующий шлюз. Все подходы имеют достоинства и недостатки; в этой области существуют гибридные экраны, в которых используется всё лучшее из вышеупомянутых способов.
Экранирующий маршрутизатор работает с особыми пакетными данными, поэтому его можно назвать пакетным фильтром. Для определения, пропускать или задерживать некоторые данные, для всех пакетов выполняется отдельно друг от друга, анализируя заголовочные поля и транспортные уровни применяя правила данной системы. При анализе информации важен порт по которому поступает данный пакет в маршрутизатор.
Маршрутизаторы, которые используются сегодня обеспечивают связь между портом и правилами и обеспечивает фильтрацию поступающих и исходящих пакетов. Для фильтрации можно выбрать и универсальное ЭВМ, который обеспечен необходимым количеством сетевых карт. У экранирующих маршрутизаторов есть преимущества, которые заключаются в относительно небольшой цене (маршрутизатор необходим почти всегда, используя его возможность к экранированию) и простота для моделей OSI уровнем выше. Однако количество информации при анализе ограничено, из этого вытекает, что защита относительно небольшая.
Экранирующий транспорт обеспечивает контроль за установкой виртуального соединения и передачу информации. Экранирующий транспорт является простой и надёжной системой. Для примера экранирующего транспорта можно привести TCP wrapper.
Экранирующий транспорт имеет в себе большой объём информации, позволяющий ему выполнять очень качественный контроль за виртуальными соединениями (он может следить за поступающей информацией и предотвращать передачу лишней информации). Так же есть возможность накапливать информацию, которая является более необходимой.
Однако область, где они применяются, является недостаточно просторной, так как накапливаются датаграммные протоколы. Экранирующий транспорт используется вместе с различными подходами в качестве дополнительного элемента.
Экранирующий шлюз, работающий на уровне приложений, обеспечивает необходимую защиту. Экранирующий шлюз в общем понимании это универсальный компьютер, у которого для всех прикладных пакетов работают программные агенты. В этом случае, кроме фильтрации, осуществляется важнейший аспект экранирования. Все средства, находящиеся снаружи, могут видеть только шлюзовой компьютер, то есть они могут получить информацию о той сети, которую шлюз позволяет передавать. Шлюз закрывает внутреннюю сеть от остального мира. В представлении субъектов внутренней сети они ведут диалог с объектами остального мира напрямую. Недостатком таких экранов является то, что такая система является не совсем простой, для общего построения необходимо отдельные команды и действия, чтобы поддерживать все прикладные протоколы.
В качестве примера программ и инструментов для создания экранирующих шлюзов можно привести TIS Firewall Toolkit компании Trusted Information Systems.
В гибридных системах, таких как Firewall-1 компании Sun Microsystems, практически реализованы все лучшие стороны экранирующих систем, то есть присутствует необходимая защита, сохраняется простота и прозрачность, имеются дополнительные возможности.
Важная часть экранирования – зона риска, представляющая множество систем, к которым получает доступ злоумышленник после обхода экрана. Для повышения защищенности экран исполняют в качестве совокупности элементов, при обходе защиты одного экрана доступ к внутренней сети не открывается. Пример возможной конфигурации многокомпонентного экрана представлен на Рис. 2.3.
Рис. 2.3. Многокомпонентный экран.
Опишем необходимые условия к данной системе, осуществляющей межсетевое экранирование. Экранирующая система обязана:
Обеспечивать защиту внутренних компонентов сети и контролировать все подключения из внешнего мира;
Гибко управляться;
Работать в скрытом режиме от локальной сети и не усложнять выполнение;
Эффективно выполнять поставленные задачи и успешно выполнять обработку;
Иметь самозащиту от несанкционированного проведения некоторых работ;
При многочисленном подключении из вне система должна обеспечить для каждого их безопасность;
Уметь предоставлять соответствующий доступ авторизированным пользователем.
Экранирование обеспечивает доступ к сервисам внутри информационной системы, уменьшает нагрузки, обеспеченные из внешней среды. Необходимо уменьшать уязвимость внутренней системы, так как первоначально необходимо обойти защитные экраны. Экранирующая система устроена более просто, что позволяет увеличить надёжность. Экранирование ведёт контроль за всеми выходящими потоками информации. В экранировании используется система многоступенчатой защиты. Это обеспечивает более надёжную защиту, так как для достижения внутренней сети необходимо преодолеть несколько защищённых «постов обороны».
2.4. Разработка и коррекция правил политики безопасности.
Политика администрирования операционных систем строится на следующих принципах [5, 18]:
Непрерывность;
Комплексность;
Актуальность;
Адекватность;
Непротиворечивость (разграничение доступа, настроек процессов);
Формальный подход. Применение методик (инструкций, положений, приказов, РД и прочих рекомендательных документов) и четких концептуальных принципов при постановке задач администрирования и их реализации;
Подконтрольность.
На контроллере домена создаются учетные записи с индивидуальным паролем для каждого пользователю. В каждой учетной записи права пользователей могут быть настроены таким образом, чтобы дать сотрудникам необходимый уровень доступа для выполнения должностных обязанностей [21].
Доступ к папкам и программам ограничен и контролируется администратором. Доступ к папкам и программам может быть закрыт по усмотрению администратора. Доменная структура позволяет контролировать всех без исключения пользователей, избежать случайного удаления важных программ, нежелательного доступа к папкам и документам, централизованно управлять использованием интернет трафика [21]. Кроме ограничения доступа контроллер домена обеспечивает централизованное управление правами пользователя и рабочими станциями, а также контролирует стабильность работы сетевых программ. Все это способствует эффективному и бесперебойному функционированию всех сетевых программ и позволяет контролировать активность пользователей в корпоративной сети.
Включён программный межсетевой экран Internet Connection Firewall. Включена служба теневого копирования тома (англ. Volume Shadow Copy Service), которая автоматически сохраняет старые версии пользовательских файлов, позволяя при необходимости вернуться к предыдущей версии того или иного документа. Работа с теневыми копиями возможна только при установленном «клиенте теневых копий» на ПК пользователя, документы которого необходимо восстановить.
Хранение файлов документов и баз данных организовано на сервере данных. На клиентских компьютерах хранение производственной информации запрещено [21].
Доступ к настройкам BIOS и к учетной записи Администратора на клиентских компьютерах закрыт безопасным паролем известным только администраторам сети. Загрузка клиентских компьютеров и доступ к клиентским учетным записям закрыты паролями пользователей. Учетная запись Гостя – отключена. Не используемые порты ПЭВМ – отключены [21].
Под резервным копированием информации понимается создание полных копий производственных БД, для быстрого восстановления работоспособности информационной системы организации, в случае возникновения аварийной ситуации, повлекшей за собой повреждение или утрату данных.
Резервному копированию подлежат все производственные БД всех отделов организации.
Резервные копии хранятся вне пределов серверного помещения, доступ к резервным копиям ограничен. Список лиц, имеющих доступ к данным, формируется на основании письменной Заявки руководителя подразделения информационных технологий (ИТ), согласованной с руководителем подразделения информационной безопасности (ИБ) отдела обеспечения. Изменение прав доступа к резервируемым техническим средствам, массивам и носителям информации производится на основании Заявки руководителя подразделения ИТ, согласованной с руководителем подразделения ИБ [18,21]. О выявленных попытках несанкционированного доступа к резервируемой информации и аппаратным средствам, а также иных нарушениях ИБ, произошедших в процессе резервного копирования, сообщается в подразделение ИБ служебной запиской в течение рабочего дня после обнаружения указанного события.
Порядок резервного копирования. Резервное копирование производится штатными средствами СУБД. Резервное копирование может производится:
вручную – оператор, ответственный за резервное копирование запускает процедуру экспорта.
автоматически – запуск исполняемого файла, производящего вызов процедуры экспорта, производится операционной системой по расписанию автоматически.
Резервное копирование БД производится не реже 1 раза в сутки. Срок хранения резервной копии БД не менее 1 месяца.
Стратегия резервного копирования должна гарантировать синхронное восстановление данных, расположенных в разных схемах БД. Например, схема ХЭД (хранилище электронных документов), должна копироваться одновременно со схемой АИС Юстиция.