Страница 6: ДСТУ ISO/IEC TR 13335-4:2005. Інформаційні технології. Настанови з керування безпекою інформаційних технологій. Частина 4. Вибір засобів захисту (61301)

Кінець таблиці 8.1.6

Таблиця 8.1.7 — Фізична безпека

8.2 Специфічні засоби захисту інформаційної системи

У кінці цього підрозділу у таблицях, що стосуються кожної підгрупи показано, де можна знайти додаткову інформацію про згадані категорії засобів захисту.

Ідентифікація є засобом, яким користувач надає системі заявлену ідентичність. Автентифіка­ція — це метод визначення дійсності цієї заявки. Нижченаведені способи — це приклади, як до­сягнути І&А (можливі інші способи класифікації механізмів І&А).

1. І&А на основі інформації, якою володіє користувач

Паролі є найтиповішим способом забезпечення І&А на основі того, чим володіє користувач і що пов’язано з процесом ідентифікації користувача. Призначення паролів та їхню регулярну зміну треба контролювати. Якщо користувачі вибирають паролі самостійно, вони повинні знати про за­гальні правила створення і поводження з паролями. В цьому питанні може допомогти програмне забезпечення, наприклад, для обмеження використання простих чи шаблонних паролів та сим­волів. Якщо необхідно чи бажано, копії паролів слід захищати, щоб дозволити авторизований до­ступ, якщо користувач не має в розпорядженні чи забув свій пароль. І&А на основі інформації, якою володіє користувач, також може використовувати криптографічні методи чи протоколи автентифікації. Цей тип ідентифікації та автентифікації також може бути використаний для віддаленої І&А.

2. І&А на основі того, чим володіє користувач

Об’єктами, якими володіє користувач для цілей І&А, можуть бути модулі пам’яті та інтелекту­альні модулі. Звична реалізація таких модулів пам’яті — магнітний матеріал на звороті кредитної картки. Автентифікація забезпечується на основі того, чим володіє користувач (картка) та того, що він знає (PIN-код). Типовими прикладами інтелектуальних модулів є смарт-картки.

3. І&А на основі того, ким є користувач

Технології біометричної автентифікації використовують унікальні характеристики чи риси людини для визначення її особистості. Це можуть бути відбитки пальців, форма руки, знімок сітківки ока, а також голос чи письмовий підпис. Відповідні деталі треба безпечно зберігати на смарт-картках чи в системі.

8.2.2 Контролювання логічного доступу та аудит

Засоби захисту в цій області реалізують для:

• обмеження доступу до інформації, комп’ютерів, мереж, додатків, системних ресурсів, файлів та програм, і

• запису деталей помилок та дій користувача в журнали аудиту та аналізування записаних деталей для виявлення порушень безпеки і реагування на них відповідним чином.

Звичний метод для впровадження контролю доступу — це використання списків контролю доступу, що визначають, до яких файлів, ресурсів тощо користувачу дозволено доступ, і які форми цей доступ може мати. Засоби захисту в сфері контролю логічного доступу та аудиту наведено нижче.

1. Політика контролю доступу

Для кожного користувача чи групи користувачів треба чітко визначити політику контролю до­ступу. Ця політика має надавати права доступу відповідно до ділових потреб, таких як доступність, продуктивність та принцип “необхідного знання”. Загальна ідея така: “максимальна кількість прав, яка вважається необхідною, мінімальна кількість прав, яка вважається можливою”. Під час призначен­ня прав доступу потрібно брати до уваги підхід організації до безпеки (наприклад, відкритий чи об­межувальний) та способи забезпечення потреб організації і прийнятності системи для користувача.

2. Доступ користувачів до комп’ютерів

Контроль доступу до комп'ютерів застосовують для запобігання будь-якого неавторизованого доступу до комп’ютера. Має бути можливою ідентифікація та перевіряння ідентичності кожного авторизованого користувача та ведення журналів успішності чи неуспішності спроби. Контроль доступу до комп'ютерів можна посилити паролями чи будь-яким іншим методом І&А.

3. Доступ користувачів до даних, служб та програм

Контроль доступу треба застосовувати для захисту даних чи служб на комп’ютері чи в мережі від несанкціонованого доступу. Це може бути зроблено за допомогою відповідних механізмів ідентифікації та автентифікації (див. 8.2.1), відповідних інтерфейсів між мережними службами та конфігурації мережі, яка гарантує лише авторизований доступ до інформаційних служб (обмежувальний розподіл прав). Для запобігання несанкціонованому доступу до програм потрібно запроваджува­ти рольовий контроль доступу, що дозволяє доступ відповідно до ділових обов’язків користувача.

4. Перегляд і оновлення прав доступу

Усі права доступу, що надаються користувачам, мають регулярно переглядатися та оновлю­ватись, якщо потреби безпеки чи ділові потреби доступу змінились. Права привілейованого до­ступу треба переглядати частіше, щоб уникнути їх нецільового використання. Права доступу негайно скасовують, якщо вони більше не потрібні.

5. Журнали аудиту

Усю роботу по супроводженню IT треба записувати в журналі, а ці журнали регулярно перевіря­ти; це охоплює успішні та неуспішні спроби входу в систему, ведення журналу доступу до даних, функцій системи тощо. Також необхідно вести журнали збоїв і регулярно переглядати ці журнали. Всі ці дані потрібно використовувати відповідно до законодавства про захист даних та приватного життя, наприклад, їх можна зберігати тільки обмежений строк та використовувати тільки для ви­явлення порушень захисту.

8.2.3 Захист від зловмисного коду

Зловмисний код може потрапляти до систем через зовнішні сполучення, а також через файли та програмне забезпечення, занесені на переносних дисках. Якщо не реалізовані відповідні засоби захисту, цей код можна не виявити, доки він не призвів до пошкоджень. Зловмисний код може при­зводити до компрометації безпеки засобів захисту (наприклад, перехват і розкриття паролів), не- зловмисного розкриття інформації, внесення незловмисних змін до інформації, втрати цілісності системи, руйнування інформації, та (або) несанкціонованого використання системних ресурсів.

Зловмисний код може бути таких видів:

• віруси,

• черв’яки, та

• троянські коні.

Переносниками зловмисного коду є:

• програми, що запускаються,

• файли даних (що містять макроси, наприклад, текстові документи чи таблиці),

• активний вміст сторінок Інтернету.

Зловмисний код може поширюватись через:

• дискети,

• інші знімні носії інформації,

• електронну пошту,

• мережі,

• завантаження (по каналах зв’язку).

Зловмисний код може бути введений внаслідок зловмисних дій користувача чи у разі взаємодії системних рівнів, що може бути невидимим для користувачів. Захистити від зловмисного коду можна, використавши засоби захисту, наведені нижче.

1. Сканери

Різні форми зловмисного коду можуть бути виявлені та видалені спеціальним сканувальним програмним забезпеченням та програмами перевіряння цілісності. Сканери можуть працювати в закритому чи відкритому режимах. Робота сканеру у відкритому режимі забезпечує активний за­хист, тобто виявлення (і, можливо, видалення) зловмисного коду перед тим, як відбулося заражен­ня та інформаційній системі заподіяна шкода. Є сканери для окремих комп’ютерів, робочих станцій, файлових серверів, серверів електронної пошти та брандмауерів. Однак, користувачі та адміністратори мають знати про те, що на сканери не можна покладатися у виявленні всіх зло­вмисних кодів (чи навіть всього коду певного типу), оскільки постійно з’являються нові форми зло­вмисного коду.

2. Програми перевіряння цілісності

Зазвичай, для доповнення засобів захисту, що забезпечується сканерами, потрібні інші форми засобів захисту. Наприклад, контрольні суми можна використовувати для перевіряння того, чи була програма модифікована. Програми перевіряння цілісності мають бути складовою частиною технічних засобів захисту від зловмисного коду. Ця техніка може бути використана тільки для файлів даних та програм, що не зберігають інформацію про статус для подальшого використання.

3. Контроль за обігом переносних носіїв інформації

Неконтрольований обіг носіїв інформації (особливо дискет) може призвести до зростання ризику введення зловмисного коду в інформаційні системи організації. Контроль за обігом носіїв може бути досягнуто використанням:

• спеціального програмного забезпечення,

• процедурних засобів захисту (див. нижче).

4. Процедурні засоби захисту

Треба розробити настанови для користувачів та адміністраторів, що окреслюють процедури та правила мінімізації проникнення зловмисного коду. Такі настанови мають стосуватися питання завантаження ігор та інших виконуваних програм, використання різних видів Інтернет-служб та важливих файлів різних типів. За необхідності, треба виконувати незалежний перегляд вихідно­го чи виконуваного коду. Треба запроваджувати навчання, що стосуються питань безпеки, та дис­циплінарні заходи і відповідні процедури за недотримання задокументованих процедур і правил запобігання зловмисному коду.

5. 2.4 Керування мережею

Ця сфера охоплює теми планування, експлуатації та адміністрування мереж. Правильна кон­фігурація та адміністрування мереж є ефективним методом зменшення ризиків. Зараз ISO працює над декількома документами, що містять подальшу інформацію про детальні засоби захисту для забезпечення мережної безпеки. Засоби захисту в сфері керування мережею наведено нижче.

1. Процедури експлуатації

Запровадження процедур експлуатації та обов’язків необхідне для забезпечення правильного та безпечного функціонування мереж. Вони містять документацію експлуатації та запровадження процедур реагування у разі порушення безпеки (див. також 8.1.3).

2. Планування системи

Для забезпечення надійного функціонування та адекватних мережних потужностей необхід­не розвинене планування, підготовка та моніторинг (охоплюючи статистику завантаження). Для нових систем треба застосовувати критерій прийняття, треба здійснювати контроль за змінами та реагування на них (див. також 8.1.5).