Логическое управление и аудит доступа

Защитные меры в этой категории применяются для:

- ограничения доступа к информации, компьютерам, сетям, приложениям, системным ресурсам, файлам и программам;

- регистрации подробного описания ошибок и действий пользователя в следе аудита и при анализе записей для обнаружения и исправления нарушений при обеспечении безопасности.

Общепринятым средством усиления управления доступом является использование особенностей идентификации и аутентификации, включенных в списки управления доступом, которые определяют, какие файлы, ресурсы и т.д. разрешены для доступа пользователя и какие формы может принимать этот доступ. К этой категории защитных мер относятся:

1 Политика управления доступом

Для каждого пользователя или группы пользователей организация должна установить однозначно определенную политику управления доступом. Эта политика устанавливает права доступа в соответствии с требованиями бизнеса, например принципы доступности, производительности и осведомленности. Организация должна руководствоваться общим принципом: "даем столько прав, сколько необходимо, и лишь столько, сколько возможно". Распределение прав доступа следует учитывать в подходе организации к обеспечению безопасности (например, открытый или ограниченный доступ), культуре удовлетворения потребностей бизнеса и признанию со стороны пользователей.

2 Управление доступом пользователя к ЭВМ

Управление доступом к ЭВМ применяется для предупреждения несанкционированного доступа к компьютеру. Организация должна обеспечивать возможность распознавания и идентификации личности каждого авторизованного пользователя, как при успешной, так и неудачной попытке осуществить регистрацию. Управление компьютерным доступом может быть облегчено с помощью паролей или другого метода идентификации и аутентификации.

3 Управление доступом пользователя к данным, услугам и приложениям

Управление доступом должно применяться для защиты данных и услуг в компьютере или в сети от несанкционированного проникновения. Это может быть достигнуто с помощью соответствующих механизмов идентификации и аутентификации (см. 8.2.1), интерфейсов между сетевыми услугами и конфигурацией сети, обеспечивающей только санкционированный доступ к услугам ИТ (ограниченное распределение прав). Для предупреждения несанкционированного доступа к приложениям, организация должна управлять доступом на основе функциональной роли пользователя в организации.

4 Анализ и актуализация прав доступа

Организация должна проводить периодический анализ и актуализацию всех прав доступа, предоставленных пользователю, если изменились требования к обеспечению безопасности. Права привилегированного доступа для управления их правильным использованием должны чаще анализироваться. Доступ должен быть отменен немедленно, если он больше не нужен.

5 Контрольные журналы

Работы с помощью ИТ должны регистрироваться, а контрольные журналы должны периодически просматриваться для установления успешных и неудачных попыток войти в систему, получить доступ к данным, функциям используемой системы и т.д. Неисправности также должны регистрироваться и периодически анализироваться. Полученные данные должны применяться в соответствии с законодательством по защите данных и конфиденциальности, например, их можно хранить только в течение ограниченного периода времени и использовать только для обнаружения нарушений безопасности.

Защита от злонамеренных кодов

Злонамеренные коды могут проникать в систему через внешние соединения и/или файлы и программное обеспечение, установленные с помощью переносных дисков. Злонамеренные коды могут оставаться необнаруженными до выявления их вредного воздействия, если не реализованы соответствующие защитные меры. Злонамеренные коды могут подрывать защитные меры (например перехватывать и раскрывать пароли), случайно раскрывать или изменять информацию, нарушать целостность системы, уничтожать информацию и использовать без разрешения ресурсы системы. Злонамеренные коды могут быть следующих типов:

- вирусы;

- черви;

- троянские кони.

Носителями злонамеренных кодов являются:

- исполняемое программное обеспечение;

- файлы данных (содержащие исполняемые макроопределения, например, документы по электронной обработке текста или крупноформатные таблицы);

- активное содержание страниц Интернета (WWW).

Злонамеренные коды могут распространяться через:

- гибкие диски;

- другие съемные носители;

- электронную почту;

- сети;

- загрузку.

Злонамеренные коды могут быть внесены в результате преднамеренных действий пользователя или путем взаимодействий на системном уровне, которые пользователь может не видеть. Защита от злонамеренного кода может быть достигнута путем использования ниже перечисленных защитных мер:

1 Сканеры

Различные формы злонамеренного кода могут быть обнаружены и удалены путем специального сканирующего программного обеспечения и проверок на целостность. Сканеры могут работать в автономном режиме или под управлением центрального процессора. Работа сканера в режиме "онлайн" обеспечивает активную защиту, т.е. обнаружение (и возможное удаление) злонамеренного кода до распространения заражения и нанесения ущерба системе ИТ. Рекомендуется использовать сканеры, работающие по принципу фильтрации содержимого сетевых протоколов, для автономных компьютеров и рабочих станций, серверов файлов, серверов электронной почты и средств межсетевой защиты. Однако пользователи и администраторы должны понимать, что нельзя полагаться на сканеры для обнаружения всех злонамеренных кодов (даже установленного типа), потому что новые формы злонамеренных кодов возникают непрерывно.

2 Проверки целостности

Обычно для усиления защиты, обеспечиваемой сканерами, требуются другие защитные меры. Например для проверки изменений, внесенных в программу, можно использовать контрольные суммы. Программное обеспечение целостности должно быть неотъемлемой частью технических защитных мер, обеспечивающих защиту от злонамеренного кода. Этот технический прием может быть использован для файлов данных и программ, не имеющих статуса информации для дальнейшего применения.

3 Управление обращением съемных носителей

Неконтролируемое обращение носителей (особенно дискет) может привести к увеличению риска внедрения злонамеренного кода в системы ИТ организации. Управление обращением в среде передач информации может быть достигнуто путем использования:

- специального программного обеспечения;

- процедур организации по защитным мерам (см. ниже).

4 Процедуры организации по защитным мерам

Организация должна разработать руководящие указания для пользователей и администраторов, определяющие процедуры и практические действия для минимизации возможности внесения злонамеренного кода. Такие процедуры должны охватывать загрузку игр и другого исполняемого программного обеспечения, использование разных типов услуг в сети Интернет и импортируемые файлы разных типов. При необходимости должен быть проведен независимый анализ источника или исполнительного кода. Обучение и дисциплинарные действия должны проводиться на рабочем месте для того, чтобы персонал соблюдал документированные процедуры и выполнял необходимые действия для предупреждения злонамеренных кодов.

Управление сетью

Управление сетью включает в себя планирование, эксплуатацию и администрирование сетей. Выбор правильной конфигурации и форм администрирования сетей являются эффективными средствами снижения уровня риска. В настоящее время разрабатываются несколько документов ИСО, содержащих дополнительную информацию о защитных для обеспечения безопасности сети. К этой категории относятся следующие защитные меры:

1 Операционные процедуры

Установление операционных процедур и распределение ответственности необходимо для обеспечения правильной и безопасной работы сетей. К ним относится документация операционных процедур и установление порядка действий для реагирования на значительные инциденты безопасности (см. 8.1.3).

2 Системное планирование

Для обеспечения надежного функционирования и адекватной пропускной способности сети должно проводиться перспективное планирование и подготовка, а также текущий мониторинг (включая загрузочные статистики). Должны применяться критерии приемки новых систем, управлять и реагировать на изменения (см. также 8.1.5).

3 Конфигурация сети

Соответствующая конфигурация сети является важным фактором ее функционирования. Организация должна разработать стандартизованный подход для конфигурации всех своих серверов и обеспечить качественную сопроводительную документацию. Затем должно быть обеспечено применение серверов только для специальных целей (например, никакие другие задачи не должны решаться средствами межсетевой защиты) и достаточная защита от неисправностей.

4 Разделение сетей

Для сведения к минимуму риска и возможностей неправильного использования сети в работе, должны быть логически и физически разделены сети, связанные с различными областями бизнеса. Кроме того, средства разработки должны быть отделены от эксплуатационного оборудования.

5 Мониторинг сети

Мониторинг сети должен использоваться для выявления слабых мест в конфигурации существующей сети, что позволяет вносить изменения в конфигурацию, вызванные анализом трафика, и помогает идентифицировать взломщиков сети.

6 Обнаружение вторжения

Попытки получить доступ в систему или сеть и успешный несанкционированный вход должны быть выявлены для проведения организацией соответствующих корректирующих действий.

Криптография

Криптография, то есть математический способ преобразования данных для обеспечения безопасности, может применяться для многих различных целей обеспечения безопасности ИТ, (например, криптография помогает обеспечивать конфиденциальность и/или целостность данных, неотказуемость, и применяет передовые методы идентификации и аутентификации). В случае применения криптографии следует обращать внимание на соблюдение законодательных и обязательных требований. Одним из наиболее важных аспектов криптографии является адекватная система управления ключами, подробно рассмотренная в ИСО/МЭК 11770-1. Дополнительная информация о классификации криптографических приложений приведена в приложении С ИСО/МЭК 11770-1. Использование криптографии в идентификации и аутентификации рассматривается в 8.2.1. Программные средства обеспечения даты/времени могут быть использованы для поддержки применения криптографических защитных мер. Ниже рассматриваются разные пути использования криптографии:

1 Защита конфиденциальности данных

Если важно сохранение конфиденциальности данных, например в случае особенно конфиденциальной информации, должны применяться защитные меры в виде шифрования информации для хранения и ее передачи по сетям. Решение о применении шифрования должно приниматься с учетом:

- соответствующих законодательных и обязательных требований;

- требований, установленных при управлении ключами и трудностей, которые придется преодолевать для обеспечения действительного улучшения безопасности без создания новых уязвимостей;

- пригодности соответствующих технических средств шифрования, используемых для ситуации развертывания и требуемого уровня защиты.

2 Защита целостности данных

Для защиты информации в памяти или предназначенной для передачи и сохранения целостности хранимых или обрабатываемых данных должны быть применены хэш-функции, цифровые подписи и/или другие защитные меры по обеспечению целостности. Защитные меры по обеспечению целостности данных (например использование так называемых кодов аутентификации сообщений) предоставляют защиту от случайного или намеренного изменения содержания, добавления или исключения информации. Цифровые подписи могут обеспечивать не только подобную защиту целостности сообщений, но имеют свойства, позволяющие делать невозможным изменение смысла передаваемой информации. Решение использовать цифровые подписи и другие защитные меры целостности должны быть приняты с учетом:

- соответствующих законодательных и обязательных требований;

- инфраструктуры открытых ключей;

- требований к управлению ключами и трудностей, которые придется преодолевать для реального усовершенствования безопасности без создания новых уязвимостей.

3 Неотказуемость

Методы криптографии (например на основе использования цифровых подписей) могут быть применены для подтверждения отправки, передачи, доставки, уведомления о приеме, например сообщений или протоколов связи.

4 Аутентичность данных

Для обеспечения аутентичности данных, организация может использовать цифровую подпись для подтверждения подлинности данных. Такая необходимость может возникнуть при ссылке на данные источников третьей стороны или если в точности справочных данных заинтересована большая группа лиц. Для подтверждения того, что данные поступают от определенного лица могут также применяться цифровые подписи.

5 Управление ключами

Управление ключами включает в себя технические, организационные и процедурные аспекты, необходимые для поддержки любого способа криптографии. Задачей управления ключами является надежное администрирование и менеджмент криптографическими ключами и связанной с этим информацией. Управление ключами включаете себя: генерирование, регистрацию, сертификацию, распределение, установку, хранение, архивирование, отмену, извлечение и уничтожение ключей. Кроме того, важно правильно разработать процедуру управления ключами для снижения риска дискредитации ключей и их использование неуполномоченными лицами. Процедуры управления ключами зависят от применяемого алгоритма, использования ключа по назначению и политики обеспечения безопасности. Более подробно управление ключами рассмотрено в ИСО/МЭК 11770-1.