Политика безопасности беспроводных сетей
Специфика беспроводных сетей подразумевает, что данные могут быть перехвачены и изменены в любой момент. Для одних технологий достаточно стандартного беспроводного адаптера, для других требуется специализированное оборудование. Но в любом случае, эти угроза реализуются достаточно просто, и для противостояния им требуются эффективные криптографические механизмы защиты данных.
- неконтролируемое использование и нарушение периметра;
- несанкционированное подключение к устройствам и сетям;
- перехват и модификация трафика;
- нарушение доступности;
- позиционирование устройства.
Широкое распространение беспроводных устройств и их небольшая стоимость приводят к тому, что в периметре сетевой безопасности возникают бреши. Здесь речь идет не только о злоумышленниках, подключивших КПК с поддержкой Wi-Fi к проводной сети компании, но и о более тривиальных вещах. Активный беспроводной адаптер на подключенном к корпоративной сети ноутбуке, принесенная из дома для тестирования точка доступа — все это может стать удобными каналами для проникновения во внутреннюю сеть.
Недостаточная аутентификация, ошибки в системе разграничения доступа позволяют осуществлять несанкционированное подключение. Различные методы атак на Bluetooth и Wi-Fi, направленные на реализацию этих угроз, будут рассмотрены в этой и последующих главах книги.
Специфика беспроводных сетей подразумевает, что данные могут быть перехвачены и изменены в любой момент. Для одних технологий достаточно стандартного беспроводного адаптера, для других требуется специализированное оборудование. Но в любом случае, эти угроза реализуются достаточно просто, и для противостояния им требуются эффективные криптографические механизмы защиты данных.
По своей природе беспроводные сети не могут обеспечивать высокую доступность. Различные природные, техногенные и антропогенные факторы могут эффективно нарушать нормальное функционирование радиоканала. Этот факт должен учитываться при проектировании сети, и беспроводные сети не должны использоваться для организации каналов при высоких требованиях по доступности.
Станции Wi-Fi могут быть легко обнаружены пассивными методами, что позволяет с достаточно большой точностью определять местоположение беспроводного устройства. Например, система Navizon может использовать для определения местоположения мобильного устройства систему GPS, базовые станции GSM и точки беспроводного доступа. Что касается Bluetooth, то использованию этой технологии для определения местоположения владельца мобильного телефона (к примеру) посвящен ряд серьезных работ. Те, кому интересны эти проблемы, могут начать ознакомление с ними с публикаций Джозефа Хэллберга (Josef Hallberg) и Маркус Нильсона (Marcus Nilsson) «Positioning with Bluetooth» и Силке Фельдман с коллегами «An indoor Bluetooth-based positioning system: concept, Implementation and experimental evaluation».
Политика безопасности в отношении беспроводных сетей может быть представлена как в виде отдельного документа, так и в составе других составляющих нормативного обеспечения безопасности. В большинстве случаев наличие отдельного документа не требуется, поскольку положения политики в отношении беспроводных сетей во многом пересекаются с традиционным содержанием подобных документов. Так, например, требования по физической защите точек доступа вполне перекрываются вопросами физической безопасности активного сетевого оборудования. В связи с этим в виде отдельного документа политика беспроводной безопасности представлена в период внедрения WLAN, после чего, при очередном пересмотре документов гармонично вливается в другие.
Если беспроводные сети не используются, то политика безопасности должна включать в себя описание защитных механизмов, направленных на снижение рисков, связанных с несанкционированным использованием радиосетей. В основном здесь перечисляются те технологии, самовольное использование которых недопустимо, и описываются механизмы защиты, направленные на выполнение требований. Например, для снижения вероятности нарушения политики могут быть использованы механизмы защиты, приведенные в табл. 2.1. Здесь и далее положения политики безопасности (также называемой концепцией, основной политикой) приведены совместно с возможным содержанием требований безопасности (функциональная политика).
Основные положения политики безопасности беспроводных сетей
Требования к безопасности
Обучение пользователей и администраторов
ISO|IEC 27001 A.8.2.2
Пользователи должны знать и понимать изложенные в политике ограничения, а администраторы должны иметь необходимую квалификацию для предотвращения и обнаружения нарушений политики
Контроль подключений к сети
ISO|IEC 27001 A.11.4.3
Уровень риска, связанного с подключением несанкционированной точки доступа или клиента беспроводной сети, можно снизить путем отключения неиспользуемых портов коммутаторов, фильтрации по MAC-адресам (port-security), аутентификации 802.1X, систем обнаружения атак и сканеров безопасности, контролирующих появление новых сетевых объектов
Физическая безопасность
ISO|IEC 27001 A.9.1
Контроль приносимых на территорию устройств позволяет ограничить вероятность подключения к сети беспроводных устройств. Ограничение доступа пользователей и посетителей к сетевым портам и слотам расширения компьютера снижает вероятность подключения беспроводного устройства
Минимизация привилегий пользователя
ISO|IEC 27001 A.11.2.2
Если пользователь работает на компьютере с минимально необходимыми правами, то снижается вероятность самовольного изменения настроек беспроводных интерфейсов
Контроль политики безопасности
ISO|IEC 27001 6, A.6.1.8
Средства анализа защищенности, такие как сканеры уязвимостей, позволяют обнаруживать появление в сети новых устройств и определить их тип (функции определения версий ОС и сетевых приложений), а также отслеживать отклонения настроек клиентов от заданного профиля. Техническое задание на проведение работ по аудиту внешними консультантами должно учитывать требования политики в отношении беспроводных сетей
Инвентаризация ресурсов
ISO|IEC 27001 A.7.1.1
Наличие актуального обновляемого списка сетевых ресурсов облегчает обнаружение новых сетевых объектов
Обнаружение атак
ISO|IEC 27001 A.10.10.2
Применение систем обнаружения атак как традиционных, так и беспроводных дает возможность своевременно определять попытки несанкционированного доступа
Расследование инцидентов
ISO|IEC 27001 A.13.2
Инциденты, связанные с беспроводными сетями мало отличаются от других подобных ситуаций, однако процедуры их расследования должны быть определены
Для сетей, где беспроводные сети внедряются или используются, может потребоваться внесение дополнений в разделы политики, приведенные в таблице 2.2.
Таблица 2.2. Положения политики безопасности беспроводных сетей
Требования к безопасности
Нормативно-правовое обеспечение
ISO|IEC 27001 A.15.1.1
Использование беспроводных сетей может попадать под действие как российских, так и международных нормативных актов. Так, в России использование частотного диапазона 2,4 ГГц регулируется решением ГКРЧ от 6.11.2004 (04-03-04-003). Кроме того, поскольку в беспроводных сетях интенсивно используется шифрование, а применение криптографических средств защиты в ряде случаев попадает под довольно жесткие законодательные ограничения, необходимо проработать и этот вопрос
Внутренний и внешний аудит
ISO|IEC 27001 6, A.6.1.8
При проведении работ по оценке защищенности должны учитываться требования политики в отношении беспроводных сетей. Более подробно возможный состав работ по оценке защищенности WLAN описан в последней глава данной книги
Разделение сетей
ISO|IEC 27001 A.11.4.5
В связи со спецификой беспроводных сетей желательно выделять точки беспроводного доступа в отдельный сетевой сегмент с помощью межсетевого экрана, особенно когда речь касается гостевого доступа
Использование криптографических средств защиты
ISO|IEC 27001 A.12.3
Должны быть определены используемые протоколы и алгоритмы шифрования трафика в беспроводной сети (WPA или 802.11i). При использовании технологии 802.1X определяются требования к протоколам ЭЦП и длине ключа подписи сертификатов, используемых для различных целей
Аутентификация
ISO|IEC 27001 A.11.4.2
Должны быть определены требования к хранению данных аутентификации, их смене, сложности, безопасности при передаче по сети. Могут быть явно определены используемые методы EAP, методы защиты общего ключа сервера RADIUS
Контроль изменений в информационной системе
ISO|IEC 27001 A.12.5.1
Должны учитываться используемые в ИС беспроводные технологии.
Допустимость использования программного и аппаратного обеспечения.
ISO|IEC 27001 A.12.4.1
В этом разделе рассматриваются требования к точкам доступа, беспроводным коммутаторам и клиентам беспроводной сети.
Обнаружение атак
ISO|IEC 27001 A.10.10.2
Должны быть определены требования к системам обнаружения беспроводных атак, закреплена ответственность за анализ событий
Протоколирование и анализ событий безопасности
ISO|IEC 27001 A.10.10.1
Данный раздел может быть расширен путем добавления в список контролируемых событий, специфичных для беспроводных сетей. Может включать в себя предыдущий раздел
Удаленный доступ к сети
ISO|IEC 27001 A.11.7.2
В большинстве случаев пользователей беспроводной сети логично относить к пользователям систем удаленного доступа. Это обусловлено аналогичными угрозами и как следствие — контрмерами, характерными для данных компонентов ИС
Кроме того, в том или ином виде должны быть сформированы следующие документы:
- инструкция для пользователей с учетом использования беспроводной сети;
- базовые настройки точек доступа, беспроводных коммутаторов, рабочих станций;
- процедуры контроля защищенности беспроводных сетей;
- профили систем обнаружения атак;
- процедуры по реагированию на инциденты в беспроводной сети.
Правильно построенная и соблюдаемая политика безопасности является надежным фундаментом защищенной беспроводной сети. Вследствие этого стоит уделять ей достаточное внимание, как на этапе внедрения сети, так и в ходе ее эксплуатации, отражая в нормативных документах изменения, происходящие в сети.
Подвержены ли ваши электронные устройства ВЗЛОМУ?
Присоединитесь к нашему ТГ каналу и узнайте, как сделать их неприступными.