Файл: 9_ua_3_.doc

Охочим докладніше ознайомитися з питанням ми рекомендуємо прочитати статтю В. Барсукова "Блокування технологічних каналів просочування інформації" (Jet Info, 1998, 5-6).

Мобільні і портативні комп’ютери - принадний об’єкт крадіжки. Їх часто залишають без нагляду, в автомобілі або на роботі, і викрасти такий комп’ютер зовсім нескладно. Раз у раз засоби масової інформації повідомляють про те, що який-небудь офіцер англійської розвідки або американський військовий позбавився таким чином рухомого майна. Ми настійно рекомендуємо шифрувати дані на жорстких дисках таких комп’ютерів.

Взагалі кажучи, при виборі засобів фізичного захисту слід проводити аналіз ризиків. Так, ухвалюючи рішення про закупівлю джерела безперебійного живлення, необхідно врахувати якість електроживлення в будівлі, займаній організацією (втім, майже напевно воно виявиться поганим), характер і тривалість збоїв електроживлення, вартість доступних джерел і можливі втрати від аварій (поломка техніки, припинення роботи організації і т.п.) (див. також статтю В.Барсукова "Захист комп’ютерних систем від силових деструктивних дій" в Jet Info, 2000, 2). В той же час, у багатьох випадках рішення очевидні. Заходи протипожежної безпеки обов’язкові для всіх організацій. Вартість реалізації багатьох заходів (наприклад, установка звичайного замка на двері серверної кімнати) або мала, або хоча і помітна, але все таки явно менше ніж можливий збиток. Зокрема, має сенс регулярно копіювати великі бази даних.

---

4 Підтримка працездатності

Далі розглянемо низку рутинних заходів, направлених на підтримку працездатності інформаційних систем. Саме тут таїться найбільша небезпека. Ненавмисні помилки системних адміністраторів і користувачів загрожують пошкодженням апаратури, руйнуванням програм і даних; в кращому разі вони створюють проломи в захисті, які роблять можливою реалізацію загроз.

Недооцінка чинників безпеки в повсякденній роботі - ахиллесова п’ята багатьох організацій. Дорогі засоби безпеки втрачають значення, якщо вони погано документовані, конфліктують з іншим програмним забезпеченням, а пароль системного адміністратора не мінявся з моменту установки.

Можна виділити наступні напрями повсякденної діяльності:

• підтримка користувачів;

• підтримка програмного забезпечення;

• конфігураційне управління;

• резервне копіювання;

• управління носіями;

• документування;

• регламентні роботи.

Підтримка користувачів має на увазі перш за все консультування і надання допомоги при рішенні різного роду проблем. Іноді в організаціях створюють для цієї мети спеціальний "довідковий стіл", але частіше від користувачів відбивається системний адміністратор. Дуже важливо в потоці питань уміти виявляти проблеми, пов’язані з інформаційною безпекою. Так, багато труднощів користувачів, що працюють на персональних комп’ютерах, можуть бути слідством зараження вірусами. Доцільно фіксувати питання користувачів, щоб виявляти їх типові помилки і випускати пам’ятки з рекомендаціями для поширених ситуацій.

Підтримка програмного забезпечення - один з найважливіших засобів забезпечення цілісності інформації. Перш за все, необхідно стежити за тим, яке програмне забезпечення встановлено на комп’ютерах. Якщо користувачі встановлюватимуть програми на свій розсуд, це може привести до зараження вірусами, а також появі утиліт, діючих в обхід захисних засобів. Цілком вірогідно також, що "самодіяльність" користувачів поступово приведе до хаосу на їх комп’ютерах, а виправляти ситуацію доведеться системному адміністратору.

Другий аспект підтримки програмного забезпечення - контроль за відсутністю неавторизованої зміни програм і прав доступу до них. Сюди ж можна віднести підтримку еталонних копій програмних систем. Звичайно контроль досягається комбінуванням засобів фізичного і логічного управління доступом, а також використовуванням утиліт перевірки і забезпечення цілісності.

---

Конфігураційне управління дозволяє контролювати і фіксувати зміни, що вносяться в програмну конфігурацію. Перш за все, необхідно застрахуватися від випадкових або непродуманих модифікацій, уміти як мінімум повертатися до минулої, працюючої, версії. Фіксація змін дозволить легко відновити поточну версію після аварії.

Кращий спосіб зменшити кількість помилок в рутинній роботі - максимально автоматизувати її. Мають рацію ті "ледачі" програмісти і системні адміністратори, які, окинувши поглядом море одноманітних задач, говорять: "я ні за що не робитиму цього; я напишу програму, яка зробить все за мене". Автоматизація і безпека залежать один від одного; той, хто піклується в першу чергу про полегшення своєї задачі, насправді оптимальним чином формує режим інформаційної безпеки.

Резервне копіювання необхідне для відновлення програм і даних після аварій. І тут доцільно автоматизувати роботу, як мінімум, сформувавши комп’ютерний розклад створення повних і инкрементальных копій, а як максимум - скориставшися відповідними програмними продуктами (див., наприклад, Jet Info, 2000, 12). Потрібно також налагодити розміщення копій в безпечному місці, захищеному від несанкціонованого доступу, пожеж, протечек, тобто від всього, що може привести до крадіжки або пошкодження носіїв. Доцільно мати декілька екземплярів резервних копій і частину з них берегти зовні території організації, захищаючись таким чином від крупних аварій і аналогічних інцидентів.

Час від часу в тестових цілях слід перевіряти можливість відновлення інформації з копій.

Управляти носіями необхідно для забезпечення фізичного захисту і обліку дискет, стрічок, друкарських видач і т.п. Управління носіями повинне забезпечувати конфіденційність, цілісність і доступність інформації, що зберігається поза комп’ютерними системами. Під фізичним захистом тут розуміється не тільки віддзеркалення спроб несанкціонованого доступу, але і запобігання від шкідливих впливів навколишнього середовища (жари, холоду, вологи, магнетизму). Управління носіями повинне охоплювати весь життєвий цикл - від закупівлі до виведення з експлуатації.

Документування - невід’ємна частина інформаційної безпеки. У вигляді документів оформляється майже все - від політики безпеки до журналу обліку носіїв. Важливо, щоб документація була актуальною, відображала саме поточний стан справ, причому в несуперечливому вигляді.

---

До зберігання одних документів (що містять, наприклад, аналіз вразливих місць системи і загроз) застосовні вимоги забезпечення конфіденційності, до інших, таким як план відновлення після аварій - вимоги цілісності і доступності (в критичній ситуації план необхідно знайти і прочитати).

Регламентні роботи - дуже серйозна загроза безпеки. Співробітник, що здійснює регламентні роботи, дістає винятковий доступ до системи, і на практиці дуже важко проконтролювати, які саме дії він скоює. Тут на перший план виходить ступінь довір’я до тих, хто виконує роботу.

---

5 Реагування на порушення режиму безпеки

Програма безпеки, прийнята організацією, повинна передбачати набір оперативних заходів, направлених на виявлення і нейтралізацію порушень режиму інформаційної безпеки. Важливо, щоб в подібних випадках послідовність дій спланерувала наперед, оскільки заходів потрібно вживати термінові і скоординовані.

Реакція на порушення режиму безпеки переслідує три головні цілі:

• локалізація інциденту і зменшення шкоди, що завдається;

• виявлення порушника;

• попередження повторних порушень.

В організації повинна бути людина, доступна 24 години в доба (особисто, по телефону, пейджеру або електронній пошті), який відповідає за реакцію на порушення. Всі повинні знати координати цієї людини і звертатися до нього при перших ознаках небезпеки. Загалом, як при пожежі, потрібно знати, куди дзвонити, і що робити до приїзду пожежної команди.

Важливість швидкої і скоординованої реакції можна продемонструвати на наступному прикладі. Хай локальна мережа підприємства складається з двох сегментів, що адмініструються різними людьми. Далі, хай в один з сегментів був внесений вірус. Майже напевно через декілька хвилин (або, в крайньому випадку, декілька десятків хвилин) вірус розповсюдиться і на інший сегмент. Значить, заходів потрібно вжити негайно. "вичищати" вірус необхідно одночасно в обох сегментах; інакше сегмент, відновлений першим, заразиться від іншого, а потім вірус повернеться і в другий сегмент.

Нерідко вимога локалізації інциденту і зменшення шкоди, що завдається, вступає в конфлікт з бажанням виявити порушника. В політиці безпеки організації пріоритети повинні бути розставлені наперед. Оскільки, як показує практика, виявити зловмисника дуже складно, на наш погляд, в першу чергу слід піклуватися про зменшення збитку.

Щоб знайти порушника, потрібно наперед з’ясувати контактні координати постачальника мережних послуг і домовитися з ним про саму можливість і порядок виконання відповідних дій. Більш детально дана тема розглядається в статті Н. Браунли і Э. Гатмэна "Як реагувати на порушення інформаційної безпеки (RFC 2350, BCP 21)" (Jet Info, 2000, 5).

Щоб запобігти повторним порушенням, необхідно аналізувати кожний інцидент, виявляти причини, накопичувати статистику. Які джерела шкідливого ПО? Які користувачі мають звичай вибирати слабкі паролі? На подібні питання і повинні дати відповідь результати аналізу.

---