Политика сетевой безопасности - Новости с мира ПК
Vvmebel.com

Новости с мира ПК
7 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Политика сетевой безопасности

Политика безопасности беспроводных сетей

Специфика беспроводных сетей подразумевает, что данные могут быть перехвачены и изменены в любой момент. Для одних технологий достаточно стандартного беспроводного адаптера, для других требуется специализированное оборудование. Но в любом случае, эти угроза реализуются достаточно просто, и для противостояния им требуются эффективные криптографические механизмы защиты данных.

При построении системы обеспечения безопасности важно определить модель угроз, т.е. решить, чему собственно защита будет противостоять. По сути, в беспроводных сетях угрозы две: несанкционированное подключение и прослушивание, но их список можно расширить, выделить следующие основные угрозы, связанные с беспроводными устройствами:

  • неконтролируемое использование и нарушение периметра;
  • несанкционированное подключение к устройствам и сетям;
  • перехват и модификация трафика;
  • нарушение доступности;
  • позиционирование устройства.

Широкое распространение беспроводных устройств и их небольшая стоимость приводят к тому, что в периметре сетевой безопасности возникают бреши. Здесь речь идет не только о злоумышленниках, подключивших КПК с поддержкой Wi-Fi к проводной сети компании, но и о более тривиальных вещах. Активный беспроводной адаптер на подключенном к корпоративной сети ноутбуке, принесенная из дома для тестирования точка доступа — все это может стать удобными каналами для проникновения во внутреннюю сеть.

Недостаточная аутентификация, ошибки в системе разграничения доступа позволяют осуществлять несанкционированное подключение. Различные методы атак на Bluetooth и Wi-Fi, направленные на реализацию этих угроз, будут рассмотрены в этой и последующих главах книги.

Специфика беспроводных сетей подразумевает, что данные могут быть перехвачены и изменены в любой момент. Для одних технологий достаточно стандартного беспроводного адаптера, для других требуется специализированное оборудование. Но в любом случае, эти угроза реализуются достаточно просто, и для противостояния им требуются эффективные криптографические механизмы защиты данных.

По своей природе беспроводные сети не могут обеспечивать высокую доступность. Различные природные, техногенные и антропогенные факторы могут эффективно нарушать нормальное функционирование радиоканала. Этот факт должен учитываться при проектировании сети, и беспроводные сети не должны использоваться для организации каналов при высоких требованиях по доступности.

Станции Wi-Fi могут быть легко обнаружены пассивными методами, что позволяет с достаточно большой точностью определять местоположение беспроводного устройства. Например, система Navizon может использовать для определения местоположения мобильного устройства систему GPS, базовые станции GSM и точки беспроводного доступа. Что касается Bluetooth, то использованию этой технологии для определения местоположения владельца мобильного телефона (к примеру) посвящен ряд серьезных работ. Те, кому интересны эти проблемы, могут начать ознакомление с ними с публикаций Джозефа Хэллберга (Josef Hallberg) и Маркус Нильсона (Marcus Nilsson) «Positioning with Bluetooth» и Силке Фельдман с коллегами «An indoor Bluetooth-based positioning system: concept, Implementation and experimental evaluation».

Политика безопасности в отношении беспроводных сетей может быть представлена как в виде отдельного документа, так и в составе других составляющих нормативного обеспечения безопасности. В большинстве случаев наличие отдельного документа не требуется, поскольку положения политики в отношении беспроводных сетей во многом пересекаются с традиционным содержанием подобных документов. Так, например, требования по физической защите точек доступа вполне перекрываются вопросами физической безопасности активного сетевого оборудования. В связи с этим в виде отдельного документа политика беспроводной безопасности представлена в период внедрения WLAN, после чего, при очередном пересмотре документов гармонично вливается в другие.

Если беспроводные сети не используются, то политика безопасности должна включать в себя описание защитных механизмов, направленных на снижение рисков, связанных с несанкционированным использованием радиосетей. В основном здесь перечисляются те технологии, самовольное использование которых недопустимо, и описываются механизмы защиты, направленные на выполнение требований. Например, для снижения вероятности нарушения политики могут быть использованы механизмы защиты, приведенные в табл. 2.1. Здесь и далее положения политики безопасности (также называемой концепцией, основной политикой) приведены совместно с возможным содержанием требований безопасности (функциональная политика).
Основные положения политики безопасности беспроводных сетей

Политика безопасности сети

Защита информации наиболее эффективна, когда в компьютерной сети поддерживается многоуровневая защита. Она складывается из следующих компонентов:

1) политика безопасности (ПБ) локальной сети организации;

2) система защиты хостов локальной сети;

3) сетевой аудит;

4) защита на основе маршрутизаторов;

5) межсетевые экраны;

6) системы обнаружения вторжений;

7) план реагирования на выявленные атаки.

Полная защита целостности сети зависит от реализации всех выше перечисленных компонентов защиты. Использование многоуровневой защиты – это наиболее эффективный метод предотвращения НСД. Самым важным для функционирования защищенной сети является ее политика безопасности, которая определяет, что защищать и на каком уровне. Все остальные уровни защиты логически следуют после принятия для сети политики ее безопасности.

Проведение выбранной при создании сети организации ПБ предусматривает регулярный пересмотр этой политики и реализующих ее мер защиты, что подразумевает:

· обновление политики и мер защиты безопасности, если это необходимо;

· проверку совместимости политики и мер защиты с существующей сетевой средой;

· разработку новых и удаление старых правил политики и мер защиты по мере необходимости.

Читать еще:  Как отключить проверку безопасности в edge

ПБ можно разделить на две категории: административные политики и технические политики. В зависимости от этого ПБ базируется на правилах двух видов.

Первая группа связана с заданием правил разграничения доступа ко всем ресурсам системы, а вторая группа основана на правилах анализа сетевого трафика как внутри локальной сети, так и при его выходе из системы или входе в нее. В основе этих правил лежит принцип доверия. Определяя ПБ, нужно выяснить, насколько можно доверять людям и ресурсам.

Для первой группы правил главный вопрос заключается в том, кому и в какой степени в локальной сети можно доверять, имея в виду больше человеческий фактор, но, не забывая при этом и о запущенных в локальной сети процессах и приложениях.

Начальный этап задания этих правил состоит в определении тех, кто получает доступ. Предварительные установки систем, обеспечивающих защиту информации в локальной сети, могут соответствовать принципу наименьшего доступа для всех.

Далее для каждой группы пользователей и входящих в нее представителей определяются степени доверия. Компромиссное решение в данном случае и будет самым подходящим.

В данном контексте вопрос для второй группы правил можно поставить так: «Каким пакетам в локальной сети доверять, а каким нет, ибо они могут циркулировать в локальной сети по инициативе злоумышленника». Именно эти правила и являются главенствующими при установке и настройке основных систем анализа трафика локальной сети и пакетных фильтров.

Для локальной сетей можно выделить три основные модели доверия:

· либеральная – доверять всем в течение всего времени работы;

· запретительная – не доверять никому и никогда;

· разумная или компромиссная – доверять иногда некоторым людям.

Обычно ПБ включает в себя следующие части:

1. Предмет ПБ. Перед описанием самой ПБ в данной области, нужно сначала определить саму область с помощью ограничений и условий в понятных всем терминах. Часто полезно ясно указать цель или причины разработки политики.

2. Описание позиции организации. Как только описан предмет ПБ, даны определения основных понятий и рассмотрены условия ее применения, в явной форме описывается позиция организации по данному вопросу.

3. Применимость. Это означает, что надо уточнить где, как, когда, кем и к чему будет применяться данная ПБ.

4. Роли и обязанности. Нужно указать ответственных лиц и их обязанности в отношении разработки и внедрения различных аспектов ПБ, а также в случае нарушения ПБ.

5. Меры защиты. Перечисляются конкретные меры, реализующие ПБ в организации, дается обоснование выбора именно такого перечня мер защиты и указывается, какие угрозы безопасности локальной сети наиболее эффективно предотвращаются такими мерами защиты.

6. Соблюдение политики. Для ПБ может оказаться уместным описание с некоторой степенью детальности нарушений, которые неприемлемы, и последствий такого поведения. Могут быть явно описаны наказания, применяемые к нарушителям ПБ.

7. Ответственные или консультанты, по вопросам безопасности и справочная информация.

Сетевая политика безопасности;

При задании сетевой ПБ необходимо определить процедуры защиты своей сети, ее содержимого и пользователей от ущерба и потерь. С этой точки зрения сетевая ПБ играет роль проведения в жизнь общей ПБ, определенной в организации. Сетевая ПБ кон­центрируется на контроле сетевого трафика и его использования. Она определяет сетевые ресурсы и угрозы, использование и воз­можности сети, а также детальные планы действий при наруше­нии ПБ.

При применении сетевой ПБ необходимо стратегически реа­лизовать защитные границы внутри своей сети. Эти стратегиче­ские границы называются сетевыми периметрами. Устанавливая уровни безопасности сетевых периметров, можно осуществлять множественный контроль безопасности сетевого трафика.

Для установления сетевых периметров необходимо определить защищаемые компьютеры и сети, а также определить защитные механизмы для них. Одним из основных таких элементов является межсетевой экран. Чтобы установить успешный периметр безо­пасности, межсетевой экран (МЭ) должен быть шлюзом для всех соединений между доверенными сетями, не доверенными и не­известными. Каждая сеть может содержать множество внутренних периметров. Чтобы понять, как сетевые периметры располагаются относительно друг друга, рассмотрим два типа сетевых перимет­ров: внешний и внутренний.

В простейшем случае сетевой периметр организации включает в себя внешний и внутренний периметры (рис. 1.6).

Внешний сетевой периметр идентифицирует точку разделения между устройствами, которые контролируются, и теми, которые не контролируются. Обычно этой точкой является маршрутиза­тор, который используется для разделения своей сети от сети про­вайдера Интернета.

Внутренний сетевой периметр представляет собой дополнитель­ные границы, в которых размещаются другие механизмы безопас­ности, такие как МЭ и фильтрующие маршрутизаторы. В этом слу­чае внешний и внутренний периметры определены расположени­ем внешнего и внутреннего маршрутизаторов и МЭ. Расположение МЭ между внутренним и внешним маршрутизаторами дает наи­большую дополнительную защиту от атак с обеих сторон, но зна­чительно уменьшает трафик, который должен исследовать МЭ, так как ему не нужно просматривать пакеты, циркулирующие во внут­ренней сети.

С точки зрения пользователей внешних сетей МЭ представляет собой все доступные компьютеры доверенной сети. Он определяет центральную точку, через которую должны проходить все соедине­ния между двумя сетями.

Читать еще:  Удаление антивируса авг

Внешний сетевой периметр является наиболее небезопасной областью сетевой инфраструктуры организации. Обычно эта об­ласть предназначается для маршрутизаторов, МЭ и общедоступ­ных интернет-серверов, таких как HTTP, FTP или e-mail. По­скольку к этой области легко получить доступ, она является наи­более часто атакуемой (обычно для того, чтобы через нее получить доступ к внутренней сети). Поэтому критичные данные, предназ­наченные только для внутреннего использования, не должны рас­полагаться во внешнем сетевом периметре.

Можно использовать множество внутренних МЭ для установ­ки множества внутренних сетевых периметров (рис. 1.7).

Использование внутренних межсетевых экранов позволяет ог­раничить доступ к совместно используемым внутренним ресурсам сети.

Доверенными сетями являются сети внутри сетевого перимет­ра безопасности. Под доверенными сетями понимаются сети, над

которыми специалисты организации имеют полный администра­тивный контроль. При установке МЭ необходимо точно иденти­фицировать типы сетей, которые присоединяются к МЭ посред­ством сетевых адаптеров. После начального конфигурирования доверенные сети включают МЭ и все сети позади него.

Недоверенными сетями являются сети, которые находятся вне установленного сетевого периметра. Они являются недоверенны­ми, так как они вне контроля. При установке МЭ необходимо также точно определить недоверенные сети, от которых МЭ мо­жет допускать запросы.

Неизвестными сетями являются сети, которые не являются ни доверенными, ни недоверенными. Неизвестные сети существуют вне периметра безопасности (по умолчанию все недоверенные сети рассматриваются как неизвестные).

Область внешнего сетевого периметра называют демилитари­зованной зоной (Demilitarized Zone, DMZ). Демилитаризованная зона — по международному праву территория, на которой ликви­дированы военные укрепления и сооружения, запрещено содер­жание вооруженных сил.

В русском языке есть более подходящее название — «нейтраль­ная зона» (территория, географический район, где по междуна­родному соглашению или решению государства, к которому он принадлежит, запрещается размещение военных объектов, под­готовка и ведение боевых действий). Так как аббревиатура DMZ прижилась в Интернете и компьютерных публикациях, будем ис­пользовать ее.

Важной составной частью политики безопасности является се­тевая политика безопасности или политика сетевого подключе­ния. Политикой сетевого подключения должны быть определены типы устройств, разрешенные для подключения к сети. В ней дол­жны быть детально определены настройки систем, которые до­пускается подключать к сети. Эта политика может включать в себя следующие разделы:

• описание процесса установки и настройки операционной системы (ОС) и приложений, а также их функциональных возможностей, которые разрешено использовать;

• местоположение в сети (физической подсети) систем опре­деленного типа и процедура разрешения вопросов адресации в сети;

• требование об установке и регулярном обновлении антиви­русного ПО;

• описание настройки прав пользователей и защиты ресурсов,
обеспечиваемых ОС;

процедуры, которым необходимо следовать для создания новой учетной записи пользователя, и аналогичные процедуры для ее удаления;

• запрет на установку дополнительных аппаратных или про­граммных компонентов без одобрения сетевого администратора (или другого ответственного лица).

Особенности политики сетевой безопасности

Политика безопасности определяется как совокупность документированных

управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов.

При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами:

• невозможность миновать защитные средства;

• усиление самого слабого звена;

• невозможность перехода в небезопасное состояние;

• разнообразие защитных средств;

• простота и управляемость информационной системы;

• обеспечение всеобщей поддержки мер безопасности.

Поясним смысл перечисленных принципов.

Если у злоумышленника или недовольного пользователя появится возможность миновать защитные средства, он, разумеется, так и сделает. Применительно к межсетевым экранам данный принцип означает, что все информационные потоки в защищаемую сеть и из нее должны проходить через экран. Не должно быть “тайных” модемных входов или тестовых линий, идущих в обход экрана.

Надежность любой обороны определяется самым слабым звеном. Злоумышленник не будет бороться против силы, он предпочтет легкую победу над слабостью. Часто самым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.

Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Образно говоря, если в крепости механизм подъемного моста ломается, мост должен оставаться в поднятом состоянии, препятствуя проходу неприятеля.

Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.

Принцип разделения обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора.

Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией — управление доступом и, как последний рубеж, — протоколирование и аудит. Эшелонированная оборона способна по крайней мере задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий.

Читать еще:  Как отключить антивирус майкрософт

Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем).

Очень важен принцип простоты и управляемости информационной системы в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. Только в простой и управляемой системе можно проверить согласованность конфигурации разных компонентов и осуществить централизованное администрирование. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудноуправляемой.

Последний принцип — всеобщая поддержка мер безопасности — носит нетехнический характер. Если пользователи и/или системные администраторы считают информационную безопасность чем-то излишним или даже враждебным, режим безопасности сформировать заведомо не удастся. Следует с самого начала предусмотреть комплекс мер, направленный на обеспечение лояльности персонала, на постоянное обучение, теоретическое и, главное, практическое.

Анализ рисков — важнейший этап выработки политики безопасности. При оценке рисков, которым подвержены Intranet-системы, нужно учитывать следующие обстоятельства:

· новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное — его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;

· новые (сетевые) сервисы и ассоциированные с ними угрозы.

Как правило, в Intranet-системах следует придерживаться принципа “все, что не разрешено, запрещено”, поскольку “лишний” сетевой сервис может предоставить канал проникновения в корпоративную систему. В принципе, ту же мысль выражает положение “все непонятное опасно”.

Межсетевой экран и политика сетевой безопасности

Ряд задач по отражению наиболее вероятных, угроз для внутренних сетей способны решать межсетевые экраны. В отече­ственной литературе до последнего времени использовались вме­сто этого термина другие термины иностранного происхождения: брандмауэр и firewall. Вне компьютерной сферы брандмауэром (или firewall) называют стену, сделанную из негорючих материа­лов и препятствующую распространению пожара. В сфере компь­ютерных сетей межсетевой экран представляет собой барьер, за­щищающий от фигурального пожара — попыток злоумышленников вторгнуться во внутреннюю сеть для того, чтобы скопировать, из­менить или стереть информацию либо воспользоваться памятью или вычислительной мощностью работающих в этой сети компью­теров. Межсетевой экран призван обеспечить безопасный доступ к внешней сети и ограничить доступ внешних пользователей к внут­ренней сети.

Межсетевой экран(МЭ) — это система межсетевой защи­ты, позволяющая разделить общую сеть на две части или более и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной части общей сети в другую (рис. 29). Как правило, эта граница проводится между кор­поративной (локальной) сетью предприятия и глобальной сетью Internet, хотя ее можно провести и внутри корпоративной сети предприятия.

Рис. 29. Схема установления межсетевого экрана

Межсетевой экран (FIRE WALL) — набор программных и аппаратных средств управления доступом одной сети в другую, защищающий внутреннюю сеть от внешний вторжений.

МЭ пропускает через себя весь трафик, принимая для каждого проходящего пакета решение — пропускать его или нет. Для того чтобы МЭ мог осуществить это, ему необхо­димо определить набор правил фильтрации.

Обычно межсетевые экраны защищают внутреннюю сеть предприятия от «вторжений» из глобальной сети Internet, однако они могут использоваться и для защиты от «нападений» из корпо­ративной интрасети, к которой подключена локальная сеть пред­приятия. Ни один межсетевой экран не может гарантировать полной защиты внутренней сети при всех возможных обстоятельствах. Однако для большинства коммерческих организаций установка межсетевого экрана является необходимым условием обеспече­ния безопасности внутренней сети. Главный довод в пользу при­менения межсетевого экрана состоит в том, что без него системы внутренней сети подвергаются опасности со стороны слабо защи­щенных служб сети Internet, а также зондированию и атакам с ка­ких-либо других хост-компьютеров внешней сети.

Решение о том, фильтровать ли с помощью межсетевого экрана конкретные протоколы и адреса, зависит от принятой в за­щищаемой сети политики безопасности. Межсетевой экран явля­ется набором компонентов, настраиваемых таким образом, чтобы реализовать выбранную политику безопасности. В частности, не­обходимо решить, будет ли ограничен доступ пользователей к оп­ределенным службам Internet на базе протоколов TCP/IP и если будет, то до какой степени.

Политика сетевой безопасностикаждой организации должна включать две составляющие:

голоса
Рейтинг статьи
Ссылка на основную публикацию
Adblock
detector