42. Аудит безопасности компьютерных сетей: уровни, цели и показатели
Фраза «проверка безопасности» употребляется взаимозаменяемо с фразой «аудит компьютерной безопасности», хотя эти понятия отличаются. Проверка безопасности (pen-test) — это узко направленная проверка наличия брешей в критических ресурсах, таких как межсетевая защита или Web сервер. Проверяющие безопасность могут рассматривать лишь один сервис на сетевом ресурсе. Они обычно работают извне с минимальной информацией о данной сети для того, чтобы как можно более реалистично симулировать возможную атаку хакера.
С другой стороны, аудит компьютерной безопасности – это систематическая оценка того, как устроена политика безопасности данной организации. Аудиторы компьютерной безопасности работают с полным владением информацией об организации, ее внутренней структуре, для того, чтобы исследовать ресурсы, которые должны состоять под аудитом.
Аудит безопасности является частью процесса определения и управления эффективными политиками безопасности, и это не просто разговоры и конференции. Аудит безопасности касается каждого, кто использует ресурсы внутри организации. Он предоставляет все возможности для проверки безопасности вашей фирмы.
Аудиторы компьютерной безопасности осуществляют проверку посредством личных опросов, сканирований на наличие уязвимостей, проверки настройки операционной системы, анализа открытых сетевых ресурсов, истории данных. Они в первую очередь исследуют использование политик безопасности – основу любой эффективной стратегии безопасности организации. Далее следуют вопросы, на которые аудит безопасности должен найти ответ:
- Насколько сложно подобрать пароль?
- Используется ли ACLs на сетевых ресурсах для контроля доступа к данным?
- Ведется ли аудит доступа к данным?
- Просматриваются ли логи аудита?
- Соответствуют ли настройки безопасности операционной системы общепринятой практике безопасности
- Устранены ли все ненужные приложения и сервисы на каждой системе?
- Пропатчены ли операционные системы и коммерческие приложения до нужного уровня?
- Как хранятся копии данных, кто имеет к ним доступ, проводится ли сохранение данных регулярно?
- Разработан ли план восстановления данных в случае инцидента? Проводились ли тренировки по восстановлению данных?
- Есть ли в наличии криптографические утилиты для шифрования данных и настроены ли они должным образом?
- Были ли написаны используемые программы с учетом безопасности?
- Каким образом проводилось тестирование этих программ на предмет наличия брешей в их безопасности?
- Каким образом ведется аудит изменений кода и конфигураций на каждом уровне? Как просматриваются эти записи и кто ответственный за проведение их просмотра?
Планирование безопасности сети и данных.
Высокая степень безопасности может быть достигнута путем использования плана, предусматривающего применение различных мер и средств обеспечения безопасности.
Оценка требований к безопасности сетевых данных является первым этапом разработки плана по принятию мер их защиты. При этом должны быть учтены характер деятельности организации и хранящихся в сети данных, стратегия и стиль управления организацией, которые должен знать сетевой администратор и реализовать его в подведомственной ему сети.
Высокий уровень безопасности данных должен поддерживаться в организациях, располагающих данными, которые являются строго конфиденциальными по своей природе. Примером могут служить коммерческие организации, предоставляющие услуги или выпускающие продукцию в областях с высоким уровнем конкуренции. Некоторые виды данных должны быть защищены независимо от характера деятельности организации. К ним относятся бухгалтерская документация, налоговая информация, промышленные секреты (планы деятельности организаций и коммерческие планы, рецепты, технологии изготовления, тексты программ и т.д.).
Для принятия мер по защите данных в сети нужно выявить главные источники угроз их безопасности.
Существуют следующие виды угроз:
■ непреднамеренные, к которым относятся ошибочные действия лояльных сотрудников, стихийные бедствия, ненадежность работы программно-аппаратных средств и др.;
■ преднамеренные, которые явно направлены на причинение ущерба информационной безопасности;
■ внешние, которые проявляются в таких формах, как несанкционированное использование паролей и ключей; атаки DoS (Denial of Service — отказ в обслуживании), направленные на разрыв сетевого соединения или приведение его в неработоспособное состояние; подмена адреса; компьютерные вирусы и черви;
■ внутренние, к которым можно отнести промышленный шпионаж, интриги и недовольство служащих, случайные нарушения и т.п.
В плане безопасности должны быть самым детальным образом перечислить процедуры, выполнение которых предписывается политикой безопасности. Каждый сотрудник, отвечающий за выполнение конкретной процедуры, должен быть предупрежден о возможных последствиях в случае отступления от предписанного способа выполнения процедуры. Рекомендуется взять с сотрудника письменное подтверждение того, что он понимает смысл стратегии безопасности, согласен с ней и обязуется ей следовать, а так¬же регулярно обновлять план, т.е. пересматривать аспекты безопасности, пытаясь определить новые потенциально уязвимые компоненты, угрозы и контрмеры для борьбы с ними, и отражать изменения в плане.
Средства обеспечения безопасности
Для безопасности сети используется широкий набор различных средств и технологий. Рассмотрим некоторые из них.
Базовые технологии безопасности.
В разных программных и аппаратных продуктах, предназначенных для защиты данных, часто используются одинаковые подходы, приемы и технические решения, которые в совокупности образуют технологию безопасности.
Криптозащита. Разработкой методов преобразования информации в целях ее защиты занимается криптография.
Преобразование общедоступных (понятных для всех) данных к виду, затрудняющему их распознавание, называется шифрованием (Encryption), а обратное преобразование — дешифрованием (Decryption). Шифрование является доступным средством для администраторов и пользователей и одним из эффективных средств обеспечения конфиденциальности информации. Следует выделить два основных способа шифрования данных: перестановку (Transposition), когда в исходных данных изменяют последовательность символов, и замену (Substitution), при которой с помощью некоторого шаблона производят замену всех символов используемого алфавита, например буквы заменяют цифрами.
Операции шифрования и дешифрования данных (информации) осуществляются с помощью ключей, которые создаются с привлечением математических формул.
Метод, при котором для обеих операций используется один ключ, называется симметричной криптографией (Symmetric Cryptography). При асимметричной криптографии (Asymmetric Cryptography) каждый пользователь сети должен располагать двумя ключами: общим (Public key) и частным (Private key). Оба ключа связаны друг с другом с помощью некоторой математической функции. Общий ключ известен каждому пользователю. Зашифрованное с помощью общего ключа сообщение может быть прочитано только с помощью частного ключа. Поскольку предполагается, что пользователь, которому адресуется сообщение, не разглашает свой ключ, он является единственным человеком, который может прочитать сообщение.
Популярны два алгоритма шифрования: симметричный DES (Data Encryption Standard — стандарт шифрования данных, который является официальным стандартом правительства США) и не¬симметричный RSA, разработанный учеными Rivest, Shamir, Adle- man и названный по начальным буквам их фамилий.
Для шифрования, аутентификации и проверки целостности передаваемых по сети пакетов разработан протокол IPSec (IP Securi¬ty), включающий в себя протокол АН (Authentication Header), позволяющий проверять идентичность отправителя, и протокол ESP (Encapsulating Security Payloads), обеспечивающий конфиденциальность самих данных. Протокол IPSec поддерживают маршрутизаторы компании Cisco Systems и ОС Windows 2000/ХР.
Для передачи через Internet зашифрованных, аутентифицированных сообщений используется протокол SSL (Secure Sockets Layer — уровень защищенных сокетов, или гнезд). В этом протоколе криптографическая система с открытым ключом комбинируется с блочным шифрованием данных.
Это процедура установления подлинности пользователя при запросе доступа к ресурсам системы (компьютеру или сети). Аутентификация предотвращает доступ нежелательных лиц и разрешает доступ всем легальным пользователям. В процедуре аутентификации участвуют две стороны, одна из которых доказывает свое право на доступ (аутентичность), предъявляя некоторые аргументы, другая — проверяет эти аргументы и принимает решение. Для доказательства аутентичности может использоваться некоторое известное для обеих сторон слово (пароль) или уникальный физический предмет (ключ), а также собственные биохарактеристики (отпечатки пальцев или рисунок радужной оболочки глаза).
Наиболее часто при аутентификации используют вводимые с клавиатуры пароли.
Пароль представляет собой зашифрованную последовательность символов, которая держится в секрете и предъявляется при обращении к информационной системе.
Объектами аутентификации могут быть не только пользователи, но и различные устройства, приложения, текстовая и другая информация.
Идентификация субъектов и объектов доступа.
Идентификация предусматривает закрепление за каждым субъектом доступа уникального имени в виде номера, шифра или кода, например, персональный идентификационный номер (Personal Identification Number — PIN), социальный безопасный номер (So¬cial Security Number — SSN) и т. п. Идентификаторы пользователей должны быть зарегистрированы в информационной системе администратором службы безопасности.
При регистрации в базу данных системы защиты для каждого пользователя заносятся такие данные, как фамилия, имя, отчество и уникальный идентификатор пользователя, имя процедуры для установления подлинности и пароль пользователя, полномочия пользователя по доступу к системным ресурсам и др. Идентификацию следует отличать от аутентификации. Идентификация заключается в сообщении пользователем системе своего идентификатора, в то время как аутентификация является процедурой доказательства пользователем того, что именно ему принадлежит введенный им идентификатор.