- Методы управления доступом
- Уровни управления доступом
- Административный уровень
- Физический уровень
- Технический уровень
Обновлено: 27.03.2010
Управление доступом может обеспечиваться на различных уровнях сети и отдельных систем. Одни средства управления доступом являются компонентами ядра операционной системы или встроены в приложения и устройства. Другие могут поставляться в виде отдельных пакетов, разработанных сторонними производителями. Различные средства управления доступом предоставляют различную функциональность, поэтому они должны работать совместно, чтобы обеспечивать необходимый уровень защиты, при котором плохие парни будут оставаться снаружи, а хорошие – внутри.
Большинство компаний не хочет, чтобы посторонние бесконтрольно разгуливали по их офисам, садились за компьютеры сотрудников, получали доступ к сетевым ресурсам. Также компании не хотят, чтобы каждый сотрудник имел доступ ко всей информации компании, например, записям кадрового учета, сведениям о заработной плате, коммерческой тайне. Компании хотят иметь определенную уверенность в том, что для сотрудников, которые имеют доступ к критичной информации, установлены ограничения, не позволяющие им удалить финансовые, налоговые и иные данные, повреждение которых является риском для компании. Некоторые виды управления доступом, предотвращающие такие события, рассматриваются далее.
Управление доступом состоит из трех широких категорий: административного, технического и физического. Каждая категория имеет различные механизмы управления доступом, которые могут выполняться автоматически или вручную. Все эти механизмы должны работать согласованно друг с другом для защиты инфраструктуры и данных.
Каждая категория управления доступом содержит несколько компонентов:
- Административный уровень
- Политики и процедуры
- Управление персоналом
- Структура надзора
- Тренинги и повышение осведомленности по вопросам безопасности
- Тестирование
- Физический уровень
- Сегментация сети
- Защита периметра
- Управление компьютерами
- Отделение рабочих областей
- Резервное копирование данных
- Прокладка кабелей
- Контролируемые зоны
- Технический уровень
- Доступ к системам
- Сетевая архитектура
- Доступ к сети
- Шифрование и протоколы
- Аудит
Высшее руководство должно принять решение в отношении роли безопасности в компании, а также ее целей и задач. От этого решения зависит реализация всех механизмов, обеспечивающих и поддерживающих безопасность. Обычно руководство предоставляет «скелет» инфраструктуры безопасности и определяет, кто будет «наполнять» его.
Первая часть строительства фундамента безопасности в компании – это политика безопасности. Создание политики безопасности входит в обязанности руководства, после чего оно должно делегировать разработку поддерживающих ее процедур, стандартов и руководств, указывающих какое управление персоналом должно применяться, как должно проходить тестирование, которое гарантирует, что все части работают для достижения целей безопасности компании. Эти элементы являются административным уровнем управления, они работают на самом верху иерархии модели управления доступом. (Административный уровень управления рассматривался в Домене 01, но здесь показывается его взаимосвязь с логическими и физическими уровнями управления доступом).
Политики и процедуры
Политика безопасности – это высокоуровневый документ, отражающий намерения руководства в отношении безопасности компании, указывающий, какие действия являются допустимыми, какой уровень риска считается приемлемым. Политика безопасности основывается на требованиях законодательства, регуляторов, а также бизнес-целях самой компании. Эта политика задает направление для каждого сотрудника и подразделения, указывающее как политика должна быть внедрена, как она должна соблюдаться и какие меры предусмотрены за несоответствие ей. Процедуры, руководства и стандарты предоставляют дополнительные детали, необходимые для поддержки и соблюдения политики безопасности компании.
Управление персоналом
Управление персоналом определяет, как сотрудники должны взаимодействовать с механизмами безопасности и какие предусмотрены меры воздействия за несоблюдение требований безопасности. Сюда включаются меры безопасности при приеме, увольнении, переводе и повышении сотрудников. Следует разработать специальные процедуры для каждой из этих ситуаций, для чего целесообразно привлекать подразделение по работе с кадрами, а также юридическое подразделение. Разделение критичных обязанностей и ротация обязанностей также являются средствами управления персоналом, которые должны быть продиктованы руководством.
Высшее руководство должно создать структуру надзора, в которой каждый сотрудник отчитывается перед вышестоящим руководителем, а этот руководитель несет ответственность за выполнение данной функции. Это направлено на обеспечение ответственности руководителей за своих подчиненных и за выполняемые ими действия, на повышение интереса со стороны руководителей к деятельности подчиненных им сотрудников. Если сотрудника поймали на попытке взлома сервера, на котором хранится информация о кредитных картах клиентов, сотрудник и его руководитель, перед которым он отчитывается (supervisor), будут совместно нести за это ответственность. Это административная мера помогает бороться с мошенничеством и обеспечивать надлежащий контроль.
Тренинги и повышение осведомленности по вопросам безопасности
Во многих компаниях руководство крайне неохотно тратит время, деньги и другие ресурсы на те вещи, которые не влияют на рентабельность. Именно поэтому проведение тренингов и повышение осведомленности по вопросам безопасности традиционно имеет низкий приоритет, однако последнее время у компаний возникает все больше и больше проблем, связанных с компьютерной безопасностью, и руководство начинает понимать ценность таких тренингов и повышения осведомленности.
Безопасность компании зависит от технологий и людей, а люди обычно являются «слабым звеном» – именно их действия (или бездействие) чаще всего приводят к появлению уязвимостей и нарушению безопасности компании. Если пользователи понимают, как правильно использовать ресурсы, знают, зачем нужны средства управления доступом и к чему может привести их отсутствие, осведомлены о последствиях ненадлежащего использования ресурсов, компания может существенно снизить количество инцидентов безопасности.
Тестирование
Все защитные меры, механизмы и процедуры должны периодически проверяться, чтобы убедиться, что они надлежащим образом поддерживают политику безопасности и выполняют установленные для них задачи. Тестированием может быть отработка реакции на физические атаки или повреждения сети, проведение теста на проникновение через межсетевой экран и сетевой периметр для выявления уязвимостей, проверка знаний сотрудников, пересмотр процедур и стандартов для убеждения в том, что они соответствуют произошедшим изменениям в бизнесе и технологиях.
Поскольку изменения происходят постоянно, а окружение эволюционирует, процедуры и практики безопасности должны непрерывно тестироваться для уверенности в том, что они соответствуют ожиданиям руководства и остаются актуальными при каждом изменении инфраструктуры. Руководство обязано убедиться, что процесс тестирования выполняется надлежащим образом.
Мы будем детально рассматривать физическую безопасность далее в Домене 04, но сейчас важно понять, что определенные физические меры безопасности должны поддерживать административные и технические (логические) меры и работать совместно с ними. Примерами физических мер безопасности являются: охрана, проверяющая пропуска на входе в здание, ограждения внешнего периметра здания, защита серверной комнаты от посторонних и от факторов внешней среды (влажность, температура), обеспечение только уполномоченным лицам доступа в определенные помещения и работы с конфиденциальной информацией.
Сегментация сети
Сегментация сети может быть реализована физическими и логическими средствами. Например, сеть может быть спроектирована таким образом, что все компьютеры AS400 и базы данных не только отделены в отдельный сетевой сегмент на логическом уровне, но и физически находятся в отдельном помещении, для входа в которое необходимо иметь специальную магнитную карточку, выдаваемую лишь сотрудникам с соответствующим допуском. Другие сегменты сети могут включать в себя веб-серверы, маршрутизаторы и коммутаторы, а третьи –рабочие станции сотрудников. Каждый сегмент дополнительно может защищаться на физическом уровне – в соответствующие помещения могут допускаться только уполномоченные лица.
Защита периметра
Порядок защиты периметра зависит от компании и ее требований к безопасности. В одной компании может быть организован пропускной режим, в то время, как другая компания может позволять любому зайти в ее помещения. Защита периметра может включать в себя систему видеонаблюдения, оборудованную детекторами движения, сенсорами, сигнализацией, контролирующую зоны парковки, места ожидания, ограждения вокруг здания, проходы во внутренней территории. Все это примеры механизмов защиты периметра, которые обеспечивают управление доступом на физическом уровне с целью защиты людей, зданий и того, что находится в этих зданиях.
Управление компьютерами
Каждый компьютер может иметь физические средства контроля, такие как, защита от вскрытия, снятие дисководов и CD-ROM’ов для предотвращения копирования конфиденциальной информации, установка устройств, снижающих побочные электромагнитные излучения и т.д.
Отделение рабочих областей
Доступ в определенные помещения может быть разрешен только уполномоченным сотрудникам. Например, в исследовательских компаниях ограничивают доступ в лаборатории, чтобы никто не нарушил ход экспериментов и не получил тестовые данные. Доступ к серверным комнатам и коммуникационным шкафам предоставляют только соответствующему ИТ-персоналу, чтобы избежать ошибок и попыток саботажа. В финансовых организациях ограничивают доступ в хранилища ценностей и кассовые помещения.
Резервное копирование данных
Резервное копирование данных – это физическая мера безопасности, обеспечивающая доступность данных после аварий в сети или системах. Администратор ведет банк резервных копий на внешних носителях и хранит его в огнеупорном сейфе или перевозит в другое здание.
Прокладка кабелей
Для передачи информации по сети могут использоваться различные типы кабелей. Некоторые из них обладают специальной оболочкой, обеспечивающей защиту от перехвата электрических сигналов. В других, каждый провод покрывается защитным материалом («экраном»), обеспечивающим отсутствие наводок от других проводов. Все кабели следует прокладывать только внутри здания, в недоступных для доступа посторонних местах, чтобы исключить повреждение кабелей и перехват информации.
Контролируемые зоны
Здание компании следует разделить на зоны в зависимости от критичности деятельности, выполняющейся в каждой из них. Фойе может рассматриваться как публичное место, помещения, в которых выполняется разработка программного обеспечения, могут считаться совершенно секретными, а офисы руководства – секретными. Не так важна используемая классификация, важно понимать, что одни помещения могут быть более критичны, чем другие, и что помещения (зоны) требуют различных механизмов управления доступом, основанных на требованиях к уровню защиты. Отдельные помещения (зоны) могут потребовать использования специальных материалов и/или оборудования, препятствующих утечке информации по техническим каналам.
То же самое справедливо и для сети компании. Она должна быть сегментирована, и средства управления доступом в каждом сегменте должны выбираться на основе критичности устройств, подключенных к этому сегменту, а также на основе критичности данных, обрабатываемых в нем.
Технические (логические) меры безопасности – это программные средства, используемые для ограничения доступа субъектов к объектам. Это могут быть компоненты операционных систем, отдельные пакеты безопасности, приложения, аппаратные сетевые устройства, протоколы, механизмы шифрования, матрицы контроля доступа. Эти меры безопасности работают на разных уровнях в сети или системах, но при этом должна быть обеспечена их совместная работа для защиты от несанкционированного доступа к ресурсам и гарантий доступности, целостности и конфиденциальности ресурсов. Технические меры защищают целостность и доступность ресурсов, ограничивая число субъектов, которые могут иметь к ним доступ, а также конфиденциальность ресурсов, предотвращая их раскрытие неавторизованным субъектам. Следующие разделы поясняют, как работают некоторые технические меры, и в какие части среды они внедряются.
Доступ к системам
Различные типы средств и механизмов безопасности управляют доступом к ресурсам. Если компания использует архитектуру MAC, определяется уровень допуска пользователя и сравнивается с уровнем классификации ресурса для проверки, может ли пользователь получить доступ к запрашиваемому объекту. Если компания использует архитектуру DAC, операционная система проверяет, имеет ли пользователь разрешение на доступ к запрошенному ресурсу. Критичность данных, уровни допуска пользователей, права и разрешения пользователей используются в качестве логических мер безопасности для управления доступом к ресурсам. В качестве технических мер могут использоваться комбинации имени пользователя и пароля, реализации системы Kerberos, биометрические системы, инфраструктуры открытых ключей (PKI), RADIUS, TACACS, системы аутентификации посредством смарт-карт. Эти технологии, используя различные механизмы аутентификации, проверяют, что пользователь является именно тем, за кого себя выдает. После успешной аутентификации пользователь может быть авторизован и ему может быть предоставлен доступ к ресурсам. Эти технологии будут рассмотрены в следующих доменах, но на данный момент нужно понимать, что доступ к системам – это разновидность технических мер безопасности, реализующих управление доступом.
Сетевая архитектура
Архитектура сети может быть построена и реализована посредством нескольких логических мер защиты, обеспечивающих изоляцию и защиту окружения. Сеть может быть изолирована физически (стенами, выделенными помещениями), либо логически (отдельными адресными пространствами, подсетями, сегментами, управляемыми коммуникационными потоками между сегментами). Часто очень важно контролировать взаимодействие различных сегментов между собой. На рисунке 2-16 показан пример того, как компания может сегментировать свои сети и организовать взаимодействие между сегментами. В приведенном примере компания не хочет, чтобы между внутренней сетью и демилитаризованной зоной (DMZ) были открытые и неограниченные коммуникационные маршруты. Обычно внутренним пользователям нет необходимости напрямую обращаться к системам в DMZ, а исключение таких маршрутов взаимодействия снижает возможности для внутренних атак на эти системы. Кроме того, если атака из Интернета успешно компрометирует систему в DMZ, атакующий не должен получить при этом возможность простого доступа во внутреннюю сеть, для чего должен применяться соответствующий тип логической изоляции.
На этом примере также показано, что управляющий сегмент может взаимодействовать со всеми другими сетевыми сегментами, но эти сетевые сегменты не могут взаимодействовать с управляющим сегментом, так как в нем находятся консоли, управляющие межсетевыми экранами и IDS, и нет причин для взаимодействия с ними пользователей и других администраторов.
Рисунок 2-16. Сегментация сети на техническом уровне управляет порядком взаимодействия различных сегментов сети
Доступ к сети
Системы используют логические средства защиты, определяющие, кто может получить доступ к ним и что он может делать с ними после аутентификации. Это справедливо и для сетей. Маршрутизаторы, коммутаторы, межсетевые экраны и мосты работают как технические средства защиты, обеспечивающие ограничения доступа в/из сети, а также между различными сегментами сети. Если атакующий из Интернета хочет получить доступ к определенному компьютеру, он должен взломать сначала межсетевой экран, маршрутизатор и коммутатор, и только потом он сможет приступить к взлому этого компьютера во внутренней сети. Каждое устройство имеет свои собственные логические средства, которые принимают решения, кто может получить к нему доступ и какие действия выполнять.
Доступ к различным сетевым сегментам должен быть определен достаточно детально. Маршрутизаторы и межсетевые экраны могут использоваться для обеспечения того, что только определенные типы сетевого трафика могут передаваться в каждый сегмент.
Шифрование и протоколы
Шифрование и протоколы работают как технические меры для защиты информации, проходящей через сети и находящейся на компьютерах. Это обеспечивает гарантии, что информация получена именно тем, кому была направлена, и что она не была изменена в процессе передачи. Эти защитные меры могут обеспечить конфиденциальность и целостность данных, а также ограничить возможные маршруты взаимодействия. (Криптография и механизмы шифрования детально рассматриваются в Домене 06).
Аудит
Средства аудита – это технические меры, которые отслеживает действия в рамках сети, на сетевых устройствах или на отдельных компьютерах. Аудит позволяет выявить не только действия, в выполнении которых было отказано пользователю, но и производить мониторинг, позволяющий определить вид использованного доступа к ресурсу, обнаружить недостатки в системе безопасности, выявить подозрительную деятельность. Эта информация может использоваться для обнаружения слабых мест в других технических средствах защиты и помочь администратору понять, где и что нужно изменить, чтобы достичь необходимого уровня безопасности окружения.
ПРИМЕЧАНИЕ. Многие из вопросов, которых мы коснулись в этих разделах, будут более подробно рассматриваться в следующих доменах. На данный момент важно понимать, что административный, технический и физический уровни должны работать совместно, чтобы обеспечить надлежащее управление доступом.
Комментариев нет:
Отправить комментарий