Ваша компания имеет
несколько филиалов, ежедневно обменивающихся
данными. Кроме того, вы приняли решение найти
рынок сбыта своих продуктов с помощью World Wide Web. Но
насколько безопасна эта сеть? Как доставить
нужную информацию соответствующим людям
вовремя, надежно защитив при этом свои
корпоративные данные? Задача, конечно, сложная,
но при правильно выбранной стратегии и средствах
вы сможете обеспечить безопасность будущего —
своего и своих данных.
Как старший менеджер, выполняющий
функции крупного розничного продавца, вы — член
группы, составляющей систему заказов по почте на
основе Internet (версия Sears конца 90-х, каталога Roebuck).
Звучит "интригующе", однако существует и
обратная, основная непривлекательная сторона
этого проекта: главный управляющий хочет
непосредственно направлять заказы в
регистрационный журнал и в инвентарную систему,
и вы рискуете своей шеей, если эти системы будут
разрушены, если информация кредитной карточки
заказчика подвергнется риску, если какой-либо
умный преступник придумает, как
инициализировать большой заказ без его оплаты —
короче говоря, в случае любого нарушения системы
защиты пострадаете вы.
Время менять карьеру? Или время
требовать повышения? Благодаря широкому
освещению в печати, а также связанным с Internet
нарушением защиты, преследованию и задержанию
высококвалифицированных хакеров, осознание
необходимости информационной безопасности с
каждым днем растет.
По словам Daniel White, руководителя отдела
учебной безопасности консалтинговой службы (Ernst
& Young, Chicago, Illinois), управляющий состав становится
все более "подкованным" в вопросах
безопасности, что ведет к увеличению бюджета."
Эта тенденция свидетельствует об
изменениях, происшедших по сравнению с
предыдущими годами, когда "недостаток
бюджета" и "недостаток управленческой
осведомленности" были указаны как два
основных препятствия для обеспечения
безопасности в ежегодном отчете по
информационной безопасности компании Ernst & Young.
В третьем выпуске отчета White говорит:
"…увеличивается число руководителей служб
безопасности, докладывающих непосредственно
Конгрессу производственных профсоюзов", что
указывает на происшедшие изменения — ранее
безопасность сводилась к разовым акциям, а не
рассматривалась как стратегическая функция.
Bill Malik, специалист по вопросам
безопасности промышленно-аналитической фирмы The
Gartner Group (Stanford, Connecticut), согласен с этой мыслью.
"Консультанты фирмы Gartner, — говорит он, — активно
работали с клиентурой, чтобы поднять уровень
системы обеспечения безопасности".
Руководство компании, начиная с главного
управляющего, вынуждено уделять больше внимания
вопросам безопасности; растет число компаний,
платящих высокое жалованье "главному офицеру
информационной безопасности," ответственному
за управление риском на корпоративном уровне.
ЗАЩИТИТЕ
СВОИ РЕСУРСЫ
Промышленные аналитики сходятся во
мнении, что наступило время, когда
информационной безопасности уделяется внимание,
которого она заслуживает. Информация является
одним из наиболее важных ресурсов организации и,
в отличие от других ресурсов, ее важность часто
зависит от того, насколько хорошо компания может
ее защитить. Конечно, ваши конкуренты могут иметь
аналогичное оборудование, другие ресурсы, однако
именно ваше информационное имущество
(стратегические планы маркетинга, предложение в
Конгресс производственных профсоюзов о
$50-миллионном проекте разработки прикладной
программы, списки клиентов,
научно-исследовательские разработки и т.п.)
обеспечивает вам преимущество перед
конкурентами.
Кроме того, такие оперативные задачи,
как разработка корпоративной компьютерной сети —
Intranet, объединение Internet и Intranet, желание выхода на
глобальный рынок без риска с помощью
общедоступных компьютерных сетей, — все это
требует надежной информационной безопасности.
Угроза безопасности организации
исходит из многих источников, и вовсе не
высококвалифицированные компьютерные
преступники представляют главную опасность.
Специалисты по вопросам безопасности
практически единодушны во мнении, что, несмотря
на все высказывания в средствах информации об
Internet и внешних (по отношению к организации)
угрозах, основная угроза для корпоративной
информации исходит все же изнутри самой
компании. Наличие настольных компьютеров и
сетевых прикладных программ привело к
перемещению угрозы безопасности на
обывательский уровень, т.е. на уровень взяток.
Служащему, к примеру, несложно
записать важную информацию — таблицу с
планируемыми объемами продаж, файлы документов с
анализом фармацевтического исследования или с
контрактами, отражающими гибкие ценовые квоты, —
на дискету, а затем незаметно положить ее в
кошелек или в карман рубашки, чтобы затем во
время 15-минутного перерыва на кофе, не привлекая
внимания, обменять у конкурента на чек. По словам
руководителя ФБР Louis L. Freeh, корпоративный шпионаж
является распространенным бизнесом. В речи,
произнесенной на комиссии по разведке Сената США
и подкомиссии Сената по терроризму, технологии и
правительственной информации в феврале 1996 г., Freeh
процитировал последнее исследование,
показавшее, что 74% всех потерь связаны с теми,
"кому компания доверяет", — служащими,
бывшими служащими, подрядчиками.
НАЙДИТЕ
СЛАБЫЕ МЕСТА
Как же вам обеспечить доступность
данных и в то же время гарантировать их защиту?
При оценке безопасности важно установить, в чем
заключается уязвимость системы и как ее
уменьшить. Каждая видимая или осязаемая часть
системы физически уязвима: компьютеры и средства
аудиовизуальной информации могут быть украдены
или разрушены стихийным бедствием, внезапный
скачок напряжения может вызвать фатальный сбой
жесткого диска, ведущий к искажению или
уничтожению информации. И вне физических угроз
информация подвержена как преднамеренному, так и
неумышленному разрушению.
Связи между частями системы также
угрожает опасность разного вида. Так,
аппаратно-ориентированные программы,
анализирующие протоколы вычислительной сети
(например, продукты фирмы Sniffer, Park Menio, California), или
недорогие программно-ориентированные продукты
типа Walnut Greek (AG Groups EtherPeek, California) предназначены
для чтения пакетов при перемещении последних по
сети. Кроме того, существует бесплатно
распространяемое по Internet программное
обеспечение, превращающее ваш PC в анализатор
пакетов. В руках специалиста по исправлению
неисправностей в сети эти инструментальные
средства служат для того, для чего они были
разработаны: помогают анализировать и разрешать
возникающие в сети проблемы. Однако в руках
компьютерных преступников они могут
использоваться для проникновения в пакеты с
целью определения имен пользователей и их
паролей или обнаружения важной корпоративной
информации. Кто-либо, руководствуясь далеко не
самыми честными намерениями, может, например,
использовать такие инструментальные средства
для модификации пакетов, изменения долларовых
сумм и получения важной информации. Имея
небольшие навыки работы в сети, очевидно, можно
использовать украденные пакеты для регистрации
в системе и разрушения информации вашей
организации.
Другая угроза — инициализация
воздействия типа "отказ от обслуживания":
обычно преднамеренный захват ресурса таким
образом, что всякие попытки использовать этот
ресурс наталкиваются на отказ — начинается
лавинное заполнение сообщений шлюза связи,
возможно, приводящее к аварийному отказу.
Кроме всего прочего, нельзя забывать и
о случайных ошибках. Правомочные пользователи
могут неумышленно удалить или изменить данные.
Служащие, имеющие ноутбуки, могут их потерять. А
так как ноутбуки, как правило, содержат файлы
конфигурации удаленного доступа, идентификаторы
регистрации в локальной сети и соответствующие
пароли, то иметь такой ноутбук в руках — все равно,
что иметь ключи к корпорации. Согласно отчету по
информационной безопасности Ernst & Young, 1995,
издержки от подобного рода действий — вирусов,
неадекватного планирования послеаварийного
восстановления информации, дефицита эффективных
процедур резервного копирования, а также
стоимость полностью украденной информации или
ее повреждения — оцениваются в миллионах
долларов ежегодно.
Но издержки, связанные с
неэффективными действиями системы защиты,
оцениваются не только в долларах. Malik Gartners, к
примеру, сообщает о злоумышленнике, который
проник в базу медицинских данных, узнал имена
известных личностей, имеющих СПИД, и начал их
шантажировать.
РАЗРАБОТАЙТЕ
СТРАТЕГИЮ
Описанный сценарий требует, в первую
очередь, стратегии "доказательства надлежащим
усердием", говорит Jim Hurley
(исследовательско-консалтинговая организация,
Aberdeen Group, Boston, Massachusetts). Для сохранения своей
репутации и кредитоспособности фирма может
усилить свою безопасность, прежде всего,
благодаря специальному обучению рядового
пользователя, что должно стать правилом Ӑ 1 в
политике корпоративной безопасности.
Разработка корпоративной системы
безопасности — средство сохранения
корпоративной информации. Стратегия защиты
включает набор правил и действий, регулирующих
управление, защиту и распределение важной
информации. "Информационная безопасность — это
комплекс мероприятий по сохранению информации
от потерь, с использованием средств управления,
согласно выбранной стратегии, с определенными
гарантиями", — говорит Hurley. Эксперты
придерживаются мнения, что любую систему можно
"взломать" при наличии достаточного времени
и ресурсов, так что важно оценить риск, связанный
с информационными ресурсами, оценить эти
ресурсы, сбалансировать ценность информации и
затраты по ее защите.
УСТАНОВИТЕ
ПРИОРИТЕТЫ
Требования информационной защиты
обычно определяются в терминах
конфиденциальности, целостности, доступности и
гарантированности.
Во-первых, для обеспечения
конфиденциальности информация в вашей
организации должна быть доступна только
определенным людям, как в пределах, так и вне
компании. Во-вторых, информация должна быть
защищена от изменений, приводящих к ее искажению.
В-третьих, информация должна быть по мере
необходимости легко доступна (соответствующим
людям). И наконец, должны существовать средства
определения степени эффективности первых трех
требований.
В зависимости от конкретных условий,
одно из перечисленных требований является более
важным, чем остальные. Так, в случае диалоговой
обработки запросов, например в сфере финансовых
услуг, целостность и доступность может быть
более ценна, чем конфиденциальность, в то время
как в военном деле более важна
конфиденциальность. Политика безопасности вашей
организации должна учитывать эти нюансы.
ШИФРУЙТЕ
Существуют разнообразные методы и
технологии, предназначенные для распределенной
среды клиент/сервер, которые вы можете
использовать для обеспечения безопасности как
всей системы, так и отдельных ее частей.
Например, информационный поток от
заказчика к базе данных бухгалтерии или
инвентаря подвергается угрозам во многих
пунктах. Пароли следует защищать на
автоматизированном рабочем месте заказчика и
шифровать по мере передачи по сети, что
предохранит их от перехвата посторонними.
Существующие в некоторых средах дополнительные
устройства обеспечивают полное шифрование всех
данных, передаваемых по сети. Другие методы,
заимствованные из математики и криптографии,
контролируют перехват информации и позволяют
отклонять ее как поврежденную, если она была
перехвачена.
Шифрованное сообщение напоминает
искаженный текст, пока оно не будет приведено в
первоначальный вид — дешифровано обычно с
использованием определенного "ключа" (ключ —
это бинарный файл, содержащий алфавитно-цифровые
строки переменной длины). Существует метод
шифрования с помощью секретного ключа,
использующий один и тот же ключ для шифрования и
дешифрования, и шифрование открытым ключом, c
двумя различными ключами, один — для шифрования,
другой — для дешифрования. (Еще большую путаницу в
терминологию вносит то, что один из ключей в
шифровании открытым ключом называется личным
ключом, который, в отличие от секретного ключа,
доступен только владельцу.) Процессы шифрования
с помощью секретного и открытого ключей не
являются взаимно исключающими — на практике
системы шифрования открытым ключом часто
содержат элементы технологии секретного ключа.
В последние годы политические и
социальные аспекты использования методик
шифрования широко обсуждались в средствах
массовой информации. Действующее американское
законодательство, в том числе принятые в 1995 г.
Закон о цифровой телефонной связи и в 1996 г. Закон
о реформе связи, может влиять как на право на
охрану личной собственности, так и на право
индивидуума использовать технологию шифрования
для обеспечения безопасной связи любого вида.
Американское правительство выступило
с инициативой обнародовать информацию об
ограничивающей микросхеме, Skipjack-алгоритме и
сведения о заблокированном ключе (каждый из
ключей разбивается на две части, одна из которых
хранится в определенном правительственном
учереждении и выдается на определенных
условиях). Такая инициатива, обеспечивая доступ
общественности к шифрованию, в то же время
сохраняет за властями право прослушивания
телефонных разговоров.
Стратегия защиты вашей организации
должна быть направлена на решение следующих
важных проблем. Необходимо учитывать, имеют ли
служащие право использовать собственные
программы шифрования как для почтовых сообщений,
так и для своих файлов. Это связано с тем, что
программное обеспечение для шифрования, типа Pretty
Good Privacy (PGP), можно бесплатно получить по Internet, а RSA
RSAs Secure можно использовать без оплаты 30 дней.
Проблемы, касающиеся вычислительной
среды предприятия, начинаются с разнообразия
экспортных и импортных ограничений на
технологию шифрования, вводимых различными
правительствами. При существовании различных
норм лишь немногие национальные производители
могут извлекать рыночную выгоду, исходя из того,
какие продукты и где они могут продавать. К
примеру, в США федеральное положение
устанавливает максимальную длину ключа для
экспорта общего назначения в 40 бит. (Технология
шифрования рассматривается государственным
департаментом как "стратегический ресурс",
а чем длиннее ключ, тем сложнее его определить.)
Именно поэтому в США фирмы-поставщики
разрабатывают экспортные версии своего
программного обеспечения с 40-битовым ключом для
использования вне США и Канады.
Другая проблема, существующая на
глобальном рынке, — использование технологии
шифрования в международных рамках: что дозволено
и что — нет. Например, Швейцария запрещает
использование стандарта шифрования данных (DES)
США — алгоритма шифрования, являющегося во многих
отношениях мировым стандартом. Хотя попытки
внести изменения в закон продолжают исходить с
разных сторон, очевидно одно — при наличии
глобального рынка существует определенная
потребность в тщательном, взаимно-операбельном
международном шифровании согласно общепринятым
стандартам.
ИДЕНТИФИЦИРУЙТЕ
СЕБЯ
Прежде чем любые две стороны процесса
клиент-сервер смогут взаимодействовать, каждая
сторона, как правило, должна идентифицировать и
удостоверить свою подлинность. Этот процесс
обычно именуется идентификацией и
аутентификацией. Существует три основные cферы
идентификации в сетевой вычислительной среде —
идентификация при: 1) регистрации доступа к сети,
сетевому файловому серверу или принт-серверу, 2)
использовании электронной почты, 3)
использовании приложения базы данных. Такие
механизмы применяют определенный вид
идентификатора пользователя или идентификатора
входа в систему, используемых в комбинации с
чем-либо, известным пользователю, например
паролем, и/или с принадлежащим ему —
автоматизированной карточкой доступа, или
физической характеристикой, уникальной для
каждого человека (например, отпечатком пальца).
Основной и наиболее распространенный
способ установления подлинности — использование
идентификатора входа в систему (logonID) и пароля.
Пользователь при регистрации в системе вводит
идентификатор входа в систему и пароль, система
затем дешифрует пароль и передает его, к примеру,
в сетевую службу безопасности операционной
системы или прикладную программу базы данных,
где он сравнивается с паролем, содержащимся в
файле паролей. Для повышения безопасности ни
один из паролей не дешифруется, а система в
процессе идентификации сравнивает два
зашифрованных пароля.
Выяснение пользовательского пароля —
один из простейших способов войти в систему,
поэтому системы шифрования являются гарантией
того, что при перехвате сетевого трафика пароль
определить не удастся. Независимо от качества
шифрования, тем не менее, одни пароли более
безопасны, чем другие. Хакеры могут легко
определить наиболее легкие пароли: имена членов
семьи или домашних животных. Сетевые
администраторы, для того чтобы выявить неудачный
пароль, могут воспользоваться такой программой,
как public-domain Crack, или автоматизированными
словарями паролей, которые доступны в Internet.
Наилучшими считаются длинные пароли,
содержащие как буквы, так и числа или специальные
символы, легко запоминаемые пользователями, при
этом у них не будет искушения их записывать.
Например, пароль: "l; go4it" легко запоминается
его создателем, однако его трудно вычислить.
Стратегия вашей корпоративной безопасности
должна включать основные принципы создания
паролей: насколько длинными они должны быть, как
часто пользователи должны их изменять, где они
могут быть использованы и т.д. — и последовательно
претворять в жизнь эти принципы, используя
утилиты администрирования операционной системы
или прикладные программы. Например, сетевая
операционная система может помочь реализовать
"стратегию трех попыток": после трех
неудачных попыток зарегистрироваться в системе
пользователь не сможет входить в систему на
протяжении определенного периода времени,
например 24 часов. Полномочные пользователи,
столкнувшись со стратегией "трех попыток",
могут обратиться за помощью к администратору
системы, что вряд ли захочет сделать хакер.
Для усиления защиты при идентификации
применяется комбинация двух методов:
объединение чего-либо, принадлежащего
пользователю (карточка доступа), с тем, что он
знает (пароль пользователя). Карточки доступа
SecurlD (Secutiry Dynamics, Cambridge, Massachusetts), например, являются
устройством, размером с кредитную карточку,
которое случайным образом генерирует новый
номер каждые 60 секунд. Пользователь при
регистрации вводит свой пароль или PIN, а затем
число, сгенерированное на момент входа.
Удаленный сервер сравнивает PIn и
синхронизированные числовые данные и разрешает
или запрещает доступ. Если карточка доступа
украдена, ее нельзя будет использовать (если,
конечно, легальный владелец платы не записал
пароль на карточке доступа).
ДЕРЖИТЕ СВОИ
БАЗЫ ДАННЫХ ПОД ЗАМКОМ
Что касается работы с паролями, то в
системах реляционных баз по сравнению с сетевыми
операционными системами средств меньше. Если
администратор баз данных (АБД) захочет заставить
пользователей обновлять свои пароли каждые 30
дней, то он не найдет для этих целей простого
встроенного средства. (Oracle8, выпуск которого
планируется в следующем году, будет содержать
средство управления паролями).
Имеются специальные приложения,
например менеджер паролей баз данных SQL<>SECURE (BrainTrec
Software, Norwell, Massachusetts), предназначенные для усиления
защиты Oracle7 с помощью паролей. Это приложение
содержит процессор паролей, генерирующий новые
пароли, отвечающие стандартам безопасности,
отслеживает устаревание паролей, приводит в
соответствие пароли операционной системы и
пароли баз данных, фиксирует и реагирует на
попытки взлома системы и пр.
Для усиления защиты определенных
приложений администраторы Oracle7 могут также
создавать триггерные схемы, например,
устанавливать определенные часы для работы с
таблицами данных. Важным моментом является
согласованная работа АБД и сетевых
администраторов, что приводит к повышению
безопасности и эффективности работы.
Конечно, все описанные меры будут
бессмысленны, если пользователи не будут
соблюдать меры предосторожности, поэтому
специальное обучение персонала является
неотъемлемой частью программы корпоративной
безопасности.
ИСПОЛЬ3УЙТЕ
Я3ЫК ТЕЛА
Другой метод установления
подлинности пользователя заимствован из
биометрии (статистической науки о биологических
явлениях). В настоящее время биометрические
устройства используются для обеспечения
физической защиты доступа в здания, компьютерные
залы. Однако сфера применения таких устройств
расширяется, они становятся частью процесса
идентификации в процессе регистрации в сети и
получения доступа к информации.
Биометрические устройства для
установления подлинности личности сканируют
такие уникальные параметры человеческого тела,
как характеристики глаз, голоса, отпечатки
пальцев и рук. Как правило, в биометрически
реализованных системах защиты содержится база
данных, в которую заносятся соответствующие
характеристики всех санкционированных
пользователей. Если пользователь хочет получить
доступ в систему или здание, происходит
считывание его физических характеристик и
сравнение с показателями, хранящимися в базе
данных. Примером может служить система
распознавания отпечатков пальцев TouchSafeII (Identix,
Sunnyvale, California). Модуль контроля доступа к данным в
ней представляет собой небольшой блок
(5.25×3.39×2.77), связанный с компьютером
интерфейсным ISA-кабелем. Пользователь помещает
палец на сенсорную пластинку и устройство
сравнивает отпечаток с хранимыми в нем
образцами.
НЕ
ПОВТОРЯЙТЕСЬ
Преимущество биометрического способа
идентификации заключается в том, что конечному
пользователю не принадлежит ничего, что может
быть забыто, потеряно или украдено;
биометрические системы, как правило, сложно
обмануть. Кроме того, конечному пользователю не
требуется запоминать еще один пароль. Это
особенно актуально сегодня, когда пароли
признаны одним из основных способов
идентификации и число их постоянно растет.
Основная нагрузка ложится на "плечи" АБД и
сетевых администраторов, ведущих систему
паролей предприятия.
Реальная польза от использования
системы аутентификации, однако, зависит от
механизмов безопасности, имеющихся в
установленной операционной системе. Если,
например, пользователь может сам изменять свои
пароли, то пользователю другого отделения сети
не составит труда выдать себя за первого и
получить доступ к информации.
Помимо механизмов идентификации,
специфичных для определенного приложения, базы
данных или сетевой операционной системы,
существует альтернативный подход, разработанный
специально для распределенных вычислительных
сред, — служба аутентификации пользователей с
любой целью, в которой применяется единый
идентификатор входа в систему и пароль — single sign-on
(SSO). Использование такой службы упрощает работу
администраторов, так как позволяет управлять
всеми записями пользователей с помощью одного
устройства. Легкость управления и повышенная
безопасность — два основных довода в пользу служб
аутентификации и эксплуатации SSO.
Подсчитано, что пользователь тратит в
среднем около трех минут в день на регистрацию
входа в систему, что равняется примерно 1.5 суткам
в год. Дело здесь не только в деньгах. Высшее
руководство завалено жалобами конечных
пользователей и администраторов на постоянно
меняющиеся пароли, просроченные ID и т.д.
"Применение SSO поможет положить этому конец и,
кроме того, повысит общую защищенность
системы", — утверждает Chris Byrnes, руководитель
проекта сервисного и системного управления
программы META Group.
Примеры реализации служб
аутентификации и эксплуатации SSO: Kerberos,
устанавливаемый на многих изделиях DCE/Kerberos; Challanger
фирмы CyberSafe (Issaquah, Washington); SESAME — европейская
система безопасности для сред с большим
количеством поставщиков, европейский вариант
Kerberos; AccessMaster (сопровождение интегрированных
систем) фирмы Bull, Billerica, Massachussets; Access Manager фирмы ICL,
Reston, Virginia; ENS (Enterprise Network Service — сетевая служба
предприятия) фирмы Banyan, Westborough, Massachussets.
ПРОБЛЕМА ПОЛНОМОЧИЙ
После того как подлинность
пользователей установлена, необходимо
разработать механизм строгого контроля за тем,
что они могут делать в рамках системы. В сетевых
операционных системах эти механизмы обычно
именуют списками управления доступом (ACLs) и
списками прав доступа (ARLs). Эти списки содержат
имена пользователей или групповые имена лиц,
имеющих право доступа к ресурсам системы, а также
тип доступа — чтение, запись, выполнение или
удаление (read-only, write, execute, delete).
Существует два механизма управления
доступом: дискреционный и мандатный.
Дискреционное управление доступом (DAC) означает,
что кто-либо, обладающий правами доступа к
ресурсам (файлам, таблицам баз данных,
изображениям и т.д.), может, по своему усмотрению,
делегировать свои полномочия другим лицам. Это,
конечно, может содержать определенную угрозу для
системы безопасности: например, управляющий,
имеющий определенные полномочия для работы с
таблицами зарплат, может передать эти полномочия
служащему бухгалтерии, который, в свою очередь,
может передать их работнику отдела ввода данных.
Мандатное управление доступом (MAC)
приводит в соответствие доступ к информации
(исходя из ее важности) c полномочиями
пользователя, пытающегося ее получить. Например,
в МАС-системе каждой информации, извлеченной из
базы данных, присваивается защитная метка, и
пользователи, не имеющие соответствующего
разрешения, не смогут ее получить, даже если
управляющий захочет дать им ее.
В любом случае предоставление
привилегий определенным должностям, а не
определенным лицам придает управлению более
рациональный характер. Novell, например,
предоставляет различные системы полномочий, в
зависимости от того, являетесь вы пользователем
или привилегированным пользователем (super user). В
разных операционных системах подобный процесс
осуществляется различными способами и
"роли" могут не совпадать, общей является
концепция ролеориентированного управления
привилегиями.
Основной принцип безопасности
заключается в том, что ни один пользователь не
должен иметь доступа ни к чему, за исключением
того, в чем он, безусловно, нуждается.
Администраторы баз данных могут создать
структурированный доступ к данным путем
разработки иерархии ролей и присваивания
привилегий этим ролям на основе того, что должны
знать их исполнители.
ВВЕДИТЕ
АУДИТОРОВ
И наконец, в вашей организации должен
существовать механизм проверки выполнения
политики безопасности на местах. Существует ли
способ обеспечить ежедневную уверенность в
конфиденциальности, целостности и доступности
информационных ресурсов вашей организации? Да —
аудиторный механизм, который должен поставлять
информацию о деятельности и ресурсах системы,
обеспечивать учет ресурсов и отслеживание
источников возникающих проблем.
Администраторы должны ежедневно
вести журнал протоколов, чтобы располагать
информацией о том, кто зарегистрировался или кто
пытался зарегистрироваться, но превысил лимит
"трех попыток". В основном необходимо вести
учет ресурсов пользователей без паролей,
групповых, временно неиспользуемых и новых
ресурсов, а также изменений в защите файлов или
признаков подозрительных действий.
Byrns (META Group) рекомендует использовать
трехступенчатую проверку: проверку
статистической среды, мониторинг работы
механизмов в реальном времени с помощью
триггерных сигнализаторов и, где это допустимо,
имитацию нападения для выявления "слабых
мест" защиты. Хакеры используют имитаторы
нападения, такие, как SATAN (Secutiry Analysis Tool for Auditing Networks
инструментарное средство анализа защиты для
контроля сетей, разработанное Dan Farmer и Wietse Venema,
которое можно получить по Internet), для определения
слабых мест системы. Следовательно,
администраторам защиты также необходимо
вооружиться подобными средствами.
1996
