Проектирование средств защиты информации. Горизонтальная структура.

В разрабатываемой подсистеме (системе) в зависимости от используемых ролей настраиваются права конкретного пользователя, при этом оговариваются набор доступных ему подсистем и перечень операций, которые он может выполнять в каждой из них.

Все пользователи системы, а также файловый сервер должны быть соединены в сеть. Компьютеры пользователей соединены между собой специальным устройствам (Switch/Hub), которые позволяют объединить компьютеры в небольшую локальную сеть. Пользователи должны иметь в своём распоряжении все необходимые дополнительные устройства (сканер, принтер, плоттер и т.д.).

Угрозы безопасности могут быть как внутренние (внутри ЛВС), так и внешние (если к сети есть доступ из внешнего мира, например прямой выход в Internet или при работе с удаленными пользователями).

Внутренние угрозы:

1. Физический доступ к серверам и активному оборудованию: перезагрузка, выключение, выведение из строя противоправными действиями:

1) Обеспечение физической охраны помещения;

2) Выделение отдельного специального помещения для серверов и активного оборудования;

3) Регламент на посещение помещений с активным оборудованием, контроль ключей.

2. Физический доступ к ПЭВМ пользователей: материальный ущерб оборудованию, незаконный доступ к информации с рабочего места пользователя:

1) Обеспечение физической охраны;

2) Регламент работы пользователей в своих помещениях (контроль окон и дверей);

3) Использование на рабочих местах пользователей хранителей экрана;

4) Желательно убрать все устройства для физических носителей;

3. Физический доступ к принтеру: извлечение конфиденциальной информации, напечатанной на данном принтере:

1) Сгруппировать сотрудников предприятия, таким образом, чтобы внутри отдельной группы велась работа только с одной конфиденциальной информацией;

2) произвести настройки сетевых ресурсов, так, чтобы сотрудники выделенных групп могли осуществить печать только на “отведенных” для них устройствах печати.

4. Перехват трафика внутри сети:

1) Замена устройств типа Hub коммутаторами, где пакеты идут по специализированному маршруту, конкретно заданной машине.

5. Доступ к информации: несанкционированный доступ к информации, т.е. возможность доступа пользователя к той информации, которую он знать не должен:

1) Дискретный доступ к информации (создание для пользователей уникальных имени и пароля);

2) Идентификация должна осуществляться с уровня ОС. При этом на изменение параметров Bios уже должен быть выставлен пароль. Система должна быть защищена на всех уровнях (звеньях) – клиент, сервер-приложение, СУБД.

3) Требования к паролям пользователей:

- пароль не должен быть простым, т.е. такой комбинацией символов, которую можно легко угадать, зная пользователя;

- желательно чтобы пароль состоял как из чисел, и букв, а также из специальных символов;

- пароль должен быть легко запоминаем пользователем во избежание его записи на бумаге;

- пароли должны быть длиннее 6 символов (лучше 9-10);

- необходимо предусмотреть периодическую смену паролей пользователей (не реже 1 раз в месяц, пароли при смене не должны повторяться);

- желательно установить пароль на BIOS.

4) Хранение конфиденциальной информации в отдельной таблице БД.

6. Порча кабеля ЛВС: физическая порча кабеля (например, обрыв, электро-магнитные наводки):

1) Кабель должен быть проложен так, чтобы к нему не было физического доступа;

2) Не прокладывать кабель вблизи с силовыми кабелями;

3) Использовать экранированный кабель “витая пара”.

Внешние угрозы:

1. Доступ к каналам связи:

1) Использование технологии VPN (virtual private network). В сети предприятия VPN реализуется программно-аппаратно: пакет с помощью технологии VPN кодируется на маршрутизаторе отправителя (пакет в пакет, инкапсуляция пакетов) и расшифровывается на маршрутизаторе получателя.

2. Внешние атаки через INTERNET:

1) Если не требуется постоянного доступа в Internet, то можно установить отдельно выделенный компьютер, который не подключен в общую сеть;

2) Если требуется дать доступ из ЛВС в Internet, то должна быть одна точка выхода;

3) На FireWall маршрутизатора прописать каким пользователям, что доступно.

3. Доступ через Internet с мобильного пользователя:

1) FireWall;

2) VPN.

Не нашли, что искали? Воспользуйтесь поиском: