порядок этого должен быть описан в политике безопасности.

Концепция
защиты «в
глубину»
Безмалый В.Ф.
MVP Consumer Security
Microsoft Security Trusted Advisor
vladb@windowslive.com
http://vladbez.spaces.live.com
Особенности современных информационных
систем как объекта защиты
2
Особенности современных
АС как объекта защиты
 участие в процессе
автоматизированной
обработки
информации
большого
количества
пользователей и
персонала
различных
категорий;
3
Особенности современных
АС как объекта защиты
4
Уязвимость основных структурно-функциональных
элементов распределенных АС
 рабочие станции;
 сервера или host-машины (служб файлов,
печати, баз данных и т.п.);
 сетевые устройства;
 каналы связи (локальные, телефонные, с
узлами коммутации и т.д.).
5
Источники угроз
безопасности
• стихийные бедствия и
аварии;
• сбои и отказы оборудования
АС;
• ошибки проектирования и
разработки компонентов АС;
6
Источники угроз
безопасности
• ошибки эксплуатации
(пользователей, операторов и
другого персонала);
• преднамеренные действия
нарушителей и злоумышленников
(обиженных лиц из числа
персонала, преступников, шпионов,
диверсантов и т.п.).
7
Классификация угроз безопасности
• Естественные угрозы.
• Искусственные угрозы - это угрозы
АС, вызванные деятельностью
человека:
o непреднамеренные (неумышленные, случайные)
угрозы;
o преднамеренные (умышленные) угрозы, связанные с
корыстными, идейными или иными устремлениями
людей (злоумышленников).
8
Классификация каналов
проникновения в систему и утечки
информации
• Косвенные каналы –каналы, не
требующие проникновения в
помещения, где расположены
компоненты системы.
• Прямые каналы требуют
проникновения.
o Прямые каналы могут использоваться без внесения
изменений в компоненты системы или с внесением.
9
Выводы
• Уязвимыми являются все основные
структурно-функциональные
элементы современных
распределенных систем.
• Защищать компоненты систем
необходимо
от
всех
видов
вредоносных воздействий
10
Физические аспекты
информационной
безопасности
11
Физические факторы обеспечения
производительности и доступности
• Физический доступ к
аппаратным устройствам
• Перебои электропитания
12
Физические факторы обеспечения
производительности и доступности
• Изменение температуры и
влажности в серверной
комнате
• Вибрация
• Электромагнитные
помехи
13
Стандартные требования к
помещениям
• Ещё в 1978 году был утвержден
первый документ, который
устанавливал стандартные
требования к зданиям и
помещениям,
предназначенным для
размещения ЭВМ и их
комплексов.
14
Аргументы, говорящие в пользу
защищенных комнат
15
Оснащение серверной
• Источник
беспереб
ойного
питания
• Система
кондицио
нирования
• Телекомм
уникацио
нные
шкафы
16
Оснащение серверной
• Датчики контроля за
состоянием
внутренней среды
• Дополнительные
устройства
физической защиты
комнаты.
• Проектированию
предшествует анализ
рисков и выработка
концепции
безопасности.
17
Факторы оценки риска
• Криминогенная
обстановка в регионе
• Проектировка здания и
офисных помещений
• Надежность электросети
18
Факторы оценки риска
• Климатическая и экологическая
обстановка
• Уровень шумового и
электромагнитного загрязнения
среды
• Вибрация и многое другое.
19
Атаки, основанные на
поиске информации в
мусоре, и возможный
ущерб от них
20
Цели атаки
• Бумажный мусор в мусорных
корзинах, расположенных вне
организации
• Бумажный мусор в мусорных
корзинах, расположенных внутри
организации
• Выброшенные электронные
носители
21
Описание
• Злоумышленник ворует документы из
мусорных корзин, расположенных в
самой организации.
• Злоумышленник ворует данные и
приложения, хранящиеся на
выброшенных электронных носителях, и
сами носители.
22
Ущерб
• Утечка конфиденциальной
информации
• Урон репутации компании
• Трата ресурсов
23
Меры по защите от
атаки на мусор
• Прежде чем выбросить какие-либо
документы с конфиденциальной
корпоративной информацией в
мусорный контейнер , их
необходимо измельчить в
бумагорезательной машине.
24
Регламентация процессов
разработки, испытания, опытной
эксплуатации, внедрения и
сопровождения задач
25
Порядок разработки
задач
• Разработка ПО задач, проведение
испытаний разработанного и
приобретенного ПО, передача ПО в
эксплуатацию должна
осуществляться в соответствии с
утвержденным «Порядком
разработки, проведения испытаний
и передачи задач (комплексов
задач) в эксплуатацию».
26
Порядок разработки
задач
• Организация разработки и отладки
программ должна исключать
возможность доступа
программистов в эксплуатируемые
подсистемы АС (к реальной
информации и базам данных). Для
разработки и отладки программ
должен быть организован
специальный опытный участок АС.
27
Взаимодействие подразделений на
этапах проектирования, разработки,
испытания и внедрения новых
автоматизированных подсистем
28
При проектировании и разработке
• Специалисты подразделения ЗИ
совместно со специалистами
отдела разработки программ и
представителями заказывающего
подразделения участвуют в
разработке постановки задач и
Технического задания в части
определения требований по
информационной безопасности.
29
При проведении
испытаний
• Специалисты ЗИ совместно со
специалистами отделов
разработки и системного
сопровождения ПО и
представителями заказывающего
подразделения участвуют в
подготовке программ и методик
испытаний задач и программных
средств.
30
При сдаче в промышленную
эксплуатацию
• Специалисты ЗИ совместно со
специалистами отделов
разработки и системного
сопровождения ПО участвуют в
разработке формуляра для
задачи (разработанного или
приобретенного программного
средства).
31
В процессе эксплуатации
• Внесение изменений в конфигурацию
аппаратно-программных средств
подсистемы осуществляется
специалистами отделов технического
сопровождения на основании
утвержденных и согласованных с ЗИ
заявок от руководителей подразделений в
соответствии с «Инструкцией по
установке, модификации и техническому
обслуживанию программного
обеспечения и аппаратных средств».
32
Проблемы
эшелонирования
обороны
33
Упрощенная схема
организации
34
Проблемы
• Наличие мобильного
«зоопарка»
• Сотрудники,
работающие дома
35
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
• Главная особенность обязательное шифрование данных
на всем пути их следования.
• Средства по обеспечению
безопасности нужно сделать
доступными для обычных
сотрудников (например, оснастить
мобильные устройства системой
шифрования дисков).
36
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
o Представления о безопасности
должны стать органичными —
приемам безопасности следует
не обучать, а внедрять их на
уровне подсознания, чтобы они
выполнялись в обязательном
порядке и без лишнего
обдумывания.
37
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
• Создание открытых интегрированных
платформ, данные для которых снабжены
собственным описанием и средствами
самообороны
• Внедрение строго контролируемой
системы мониторинга доступа к данным,
которая становится органической
составной частью всего содержания
бизнеса
38
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
• Разработку концепции
криптографической защиты,
обеспечивающей защиту информации
на всех этапах ее преобразования и при
любых изменениях
• Объединение со всеми уже
существующими средствами и
технологиями защиты данных.
39
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
• С технологической точки
зрения DCS складывается из
трех функциональных
модулей:
o управление правами контента
предприятия
o управление личными данными
o система динамического шифрования
данных.
40
Безопасность, ориентированная на
данные» (Data Centric Security, DCS)
• В случае перехода на DCS число
сотрудников, вовлеченных в процесс
обеспечения безопасности, заметно
возрастает и они не могут быть
ограничены только этим видом
деятельности, так как концепция DCS
предполагает, что ответственность за
защищенность данных переходит от
специалистов по защите к пользователям,
непосредственно работающим с
данными.
41
Особенности
криптозащиты
• При этом необходимо, чтобы
криптозащита распространялась
на проводные и беспроводные
сети, жесткие и сменные диски, CD,
DVD, устройства резервного
копирования, электронную почту,
системы мгновенного обмена
сообщениями и пр.
42
Особенности
криптозащиты
• Традиционно готовые к
передаче данные кодируются,
передаются и декодируются. Но
такой статичный способ
криптозащиты не подходит в
случаях, когда данные находятся
в постоянной работе на
протяжении всего их жизненного
цикла.
43
Недостатки DCS
• На рынке имеется не так уж много
сертифицированных криптографических
решений, а сертифицированных
решений, опирающихся на технологию
DCS, нет вообще.
• Необходимо создать классификацию,
определяющую уровень
чувствительности данных и необходимые
методы их защиты.
44
Недостатки DCS
• Основная проблема в том, что
служба информационной
безопасности, занимающаяся
классификацией данных, не знает,
что именно нужно шифровать, а
что – нет. Без участия
представителей бизнеса здесь не
обойтись, но бизнес этим
заниматься не будет.
45
Как быть?
• Хотя концепцию «защиты по
периметру» никто не отменял, нет
сомнений, что для более
эффективного противодействия
угрозам должна измениться
основополагающая концепция
защиты. Одного шифрования
данных будет явно недостаточно.
46
Как быть?
• Как только отдельно от документа,
который передан по защищенным
каналам связи и зашифрован
средствами криптозащиты,
передается пароль, достоверность
защиты будет определяться не тем,
кто получил документ, а тем, кто
сможет получить зашифрованный
документ и пароль.
47
Как быть?
• Необходимо комбинировать
методы защиты и методы
контроля, которые, строго
говоря, защитой не
являются, то есть добавлять
технологии мониторинга.
48
Рост числа мобильных
устройств
49
Ключевые показатели рынка
смартфонов и коммуникаторов в РФ
• Всего в 2009 году было
продано 4,4 млн штук
смартфонов и
коммуникаторов
50
Динамика продаж смартфонов и коммуникаторов в
2004 –2009 гг. в штучном выражении
51
Средняя цена проданного
смартфона и коммуникатора (2004 –
2009 гг.) РФ
52
К 2013 году рынок мобильных
приложений вырастет на 800%
• По данным исследования,
проведенного аналитической
фирмой research2guidance,
рынок приложений для
смартфонов может увеличиться
более чем в восемь раз за
ближайшие три года.
53
Россия: продажи ноутбуков
взлетели в 2,5 раза
• По сравнению с четвертым
кварталом 2008 г. год спустя
рынок персональных
компьютеров в России в
количественном выражении
вырос на 57,8%, говорится в IDC
Quarterly PC Tracker.
54
IDC: доля ноутбуков на украинском
рынке ПК впервые превысила 50%
• В 4-м квартале 2009 г вендоры
отгрузили в Украину почти 298
тысяч мобильных устройств, что
составило почти половину всего
годового объема.
• Впервые доля ноутбуков на
рынке ПК превысила отметку
50% и составила 53,6%.
55
IDC: доля ноутбуков на украинском
рынке ПК впервые превысила 50%
• Снизился спрос на нетбуки:
если в 3-м квартале 2009 г их
доля в общем объеме
мобильных решений
составляла 16,5%, то в 4-м
квартале 2009 г она
уменьшилась до 9%.
56
В аэропортах Европы еженедельно
забывают 3500 ноутбуков
• По данным исследования
Стефан Мидгли из Absolute
Software, каждую неделю
люди забывают в
аэропортах Европы 3,5 тыс.
ноутбуков.
57
Соединенные Штаты
• За неделю в аэропортах
Соединенных Штатов пользователи
умудряются потерять до 12 тысяч
ноутбуков.
• Если посчитать, то в год в залах
ожидания и местах отдыха
американских аэропортов теряются
до 600 тысяч портативных ПК.
58
В аэропортах
Соединенных Штатов
• Более 65% путешествующих по
работе сотрудников
практически не уделяют
внимания защите
конфиденциальной
информации, хранящейся на их
ноутбуках.
59
В аэропортах
Соединенных Штатов
• Около 42% предпочитают не
усложнять себе жизнь
созданием резервных копий
важных файлов перед
отъездом в командировку.
60
Исследование Ponemon
Institute
• Согласно исследованию,
проведенному Ponemon Institute,
потери и кражи ноутбуков в
аэропортах, такси и отелях во всем
мире обходятся компаниям,
которые ими владеют, в среднем в
49246 долларов. Это стоимость не
самих компьютеров, а хранящихся в
них данных.
61
Исследование Ponemon
Institute
• Финансовые потери,
обусловленные
безвозвратной утратой
важной информации,
составляют 80% от указанной
суммы.
62
Шифрование мобильных
устройств
63
Оценка готовности аппаратных
средств к шифрованию
• Если вы решили остановить свой выбор на
технологии шифрования от компании
Microsoft, ваши компьютеры должны
удовлетворять следующим требованиям:
o операционная система Windows Vista Enterprise,
Windows Vista Ultimate или Windows 7 Enterprise, Windows
7 Ultimate;
o если вы хотите задействовать BitLocker вместе с
модулем TPM, материнские платы ваших компьютеров
должны быть TPM-совместимы
64
Оценка готовности аппаратных
средств к шифрованию
o жесткий диск должен содержать два раздела с файловой
системой NTFS. Раздел, на который BitLocker будет записывать
загрузочные компоненты, должен быть первым и содержать не
менее 1,5 Гбайт чистого пространства для Windows Vista или
100 Mбайт для Windows 7. Кроме того, это должен быть
активный раздел.
• Для того чтобы узнать, удовлетворяют ли ваши
компьютеры указанным требованиям, можно
использовать сценарии Windows Management
Instrumentation (WMI) или PowerShell. Однако
предпочтительнее задействовать Microsoft Systems
Management Server (SMS).
65
Выбор программного
обеспечения
• На Украину запрещен ввоз компьютеров
с поддержкой ТРМ, что существенно, на
мой взгляд, затрудняет использование
технологии BitLocker. Как быть?
• Выход может быть в использовании
стороннего шифрования, в котором
ключи хранят на смарт-картах или
токенах, и которое удовлетворяет
правилам сертификации.
66
Шифрование Secret Disk
67
Системные требования
Secret Disk
• Операционная система:
o Microsoft Windows 2000 SP2 и более новые;
o Microsoft Windows XP Home Edition SP2 и более новые;
o Microsoft Windows XP Professional SP2 и более новые (32 и
64 разряда);
o Windows Vista Business, включая SP1 (32 и 64 разряда);
o Windows Vista Home Premium, включая SP1 (32 и 64
разряда);
o Windows Vista Ultimate, включая SP1 (32 и 64 разряда);
o Windows 7 (32 и 64 разряда).
68
Шифрование дисков
• Создать зашифрованный
диск можно двумя
способами:
o зашифровать существующий
диск;
o создать криптографический
контейнер (виртуальный
зашифрованный диск).
69
Если вы шифруете системный
раздел, то помните
• после зашифровывания системного
раздела нельзя использовать диспетчеры
загрузки;
• нельзя устанавливать программы,
переписывающие загрузочную запись
Master Boot Record;
• при шифровании системного раздела вы
не можете использовать eToken в
формате смарт-карты.
70
Несколько слов о
быстродействии.
• При копировании 16000 файлов
общим объемом 1,8 Гбайт
время копирования на
незашифрованный диск
составило 20 минут 10 секунд.
На зашифрованный — 20 минут
10,55 секунды.
71
Шифрование в Windows 7
72
Краткий обзор
технологии BitLocker
• Наиболее эффективно применение
данной технологии для портативных ПК,
оборудованных Trusted Platform Module
(TPM) версии 1.2 и выше.
• Если ваш компьютер не оборудован TPM,
вы сможете использовать в качестве
ключа внешнюю USB флеш-карту в
качестве токена для хранения ключа
доступа.
73
Развертывание технологии
шифрования диска BitLocker
• Оценить готовность ваших
аппаратных средств к
BitLocker
• Определить возможность
разворачивания
74
Развертывание технологии
шифрования диска BitLocker
• Выбрать конфигурацию
BitLocker
• Создать план
восстановления данных в
случае чрезвычайной
ситуации
75
Разворачивание
Windows 7
• BitLocker не может быть установлен
и настроен удаленно, так как ТРМ
не может быть инициализирован
удаленно.
• А кроме того может потребоваться
обновление BIOS для полного
удовлетворения требованиям
BitLocker.
76
Определите возможность
развертывания BitLocker
• Какие компьютеры в вашей
организации нуждаются в защите?
• Нужно ли защищать все ваши
мобильные и настольные
компьютеры?
• Какие данные в вашей организации
нуждаются в криптографической
защите?
77
Какие компьютеры
нуждаются в защите?
• Компьютеры, используемые топменеджерами;
• Компьютеры, используемые
служащими;
• Компьютеры, на которых
обрабатывается персональная
информация клиентов или
служащих;
78
Какие компьютеры
нуждаются в защите?
• Компьютеры, используемые в тех
областях, где они уязвимы к физическому
воздействию (воровство);
• Портативные компьютеры, используемые
служащими вне пределов офиса;
• Домашние компьютеры служащих,
используемые для удаленной работы в
сети компании.
79
Какие данные нуждаются в защите с
помощью шифрования?
• Конфиденциальная информаци;
• Личные данные служащих, уволенных
служащих или клиентов;
• Исходные тексты программного
обеспечения, базы данных и другая
интеллектуальная собственность;
• Лицензионные материалы,
принадлежащие вашим деловым
партнерам или клиентам.
80
Конфигурация BitLocker
Компьютер
Конфигурация BitLocker
Стационарная рабочая Стационарная
станция
использовать
Стандартный ноутбук
Ноутбуки, на которых
хранится информация,
отнесенная к
категории «СТРОГО
КОНФИДЕНЦИАЛЬНО
»
рабочая станция может
шифрование
BitLocker
с
использованием ТРМ или с хранением ключа
на USB устройстве, в зависимости от
аппаратной конфигурации
Все новые компьютеры, оборудованные ТРМ
должны использовать конфигурацию
BitLocker с TPM и PIN-кодом. Остальные BitLocker без ТРМ (с USB устройством).
компьютеры, оборудованные ТРМ
81
BitLocker с режимом TPM
(без PIN-кода).
• При загрузке системы все работает
автоматически и прозрачно для
пользователя. Данный режим может
применяться
в
следующих
ситуациях:
o В случае если вы не нуждаетесь в мультифакторной
аутентификации
o Если данные, хранимые на вашем компьютере не
требуют усиленной аутентификации
82
Внедрение BitLocker с
TPM
• Внедрение данной технологии
потребует от вас выполнения
следующих шагов:
o Создание перечня компьютеров, находящихся
в вашей организации и оборудованных ТРМ
модулями;
o Описание цикла обновления (замены)
аппаратных средств;
83
Внедрение BitLocker с
TPM
• Внедрение данной технологии
потребует от вас выполнения
следующих шагов:
o Существуют ли в вашей организации компьютеры,
требующие автоматического запуска.
o Описание процедур замены жесткого диска, ремонта
и списания для ТРМ-защищенных систем, при условии
что зашифрованный с помощью BitLocker диск не
может быть непосредственно использован в качестве
срочной замены.
84
Внедрение BitLocker с
TPM и PIN-кодом
• Необходимо обратить внимание на
создание инструкции для
пользователей, которая будет
предназначена для:
o обучения пользователей процедуре выбора устойчивого
к взлому PIN-кода, удовлетворяющего требованиям
политики безопасности организации;
o рассмотрения процедуры доступа к компьютеру и
восстановления данных в случае если пользователь
забыл свой PIN-код;
o рассмотрения процедуры сброса PIN-кода.
85
Внедрение BitLocker с
USB-устройством
• Если же вы все же планируете
использовать BitLocker с USB-ключом,
то предусмотрите следующие шаги:
o Проверьте компьютеры, на которых вы собираетесь
использовать BitLocker с USB-ключом, чтобы убедиться в
том, что они могут распознать USB-ключ во время
загрузки;
o Создайте план перемещения данных и приложений с
этих компьютеров на компьютеры с поддержкой ТРМ, в
случае обновления аппаратного парка.
86
BitLocker с ТРМ и USB
устройством
• В случае если вы примете
подобный режим работы, вы
получаете гибрид режима TPMONLY и USB-ONLY, в связи с чем
вы должны быть уверены, что
ваши компьютеры
поддерживают оба
вышеназванных режима.
87
Восстановление данных
• Существуют следующие
методики хранения пароля
восстановления:
o Печать пароля в распечатанном на
бумаге виде;
o Хранение пароля на сменных
носителях;
o Хранение пароля на сетевом
носителе;
o Хранение пароля в Active Directory.
88
Active Directory
• Данный метод восстановления
имеет следующие преимущества:
o Процесс хранения автоматизирован и не требует
вовлечения пользователя;
o Информация, необходимая для восстановления не
может быть утеряна или изменена пользователем;
o AD обеспечивает централизованное управление и
хранение информации восстановления;
o Информация восстановления защищена вместе с
другими данными AD;
89
Active Directory
• Вместе с тем, BitLocker выдвигает
требования:
o Организация должна иметь устойчивую, хорошо
управляемую инфраструктуру AD;
o AD на базе Windows Server 2003 должна быть
расширена для включения атрибутов BitLocker.
Подробнее об этом можно прочесть в статье Extending
Your Active Directory Schema in Windows Server 2003 R2
http://technet2.microsoft.com/WindowsServer/en/library/5
09ada1a-9fdc-45c1-873920085b20797b1033.mspx?mfr=true .
90
Печать пароля восстановления
(сохранение его в текстовом файле)
• Преимущества:
oПроцесс легко осуществим ;
oТребуется небольшая
инфраструктура;
oЛегко осуществим для
нетехнических пользователей.
91
Печать пароля восстановления
(сохранение его в текстовом файле)
• Недостатки:
o Процесс создания и хранения пароля
восстановления зависит от пользователя;
o Хранение пароля данным способом не
обеспечивает централизованного управления;
o Не существует гарантированной защиты от
компрометации (хищения,
несанкционированного ознакомления, утраты
или повреждения).
92
Сохранение пароля восстановления
на USB устройстве
• Преимущества:
o Вы можете хранить большое
количество паролей
восстановления на одном USBустройстве, так как все они
хранятся в виде текстовых файлов;
o Легче обеспечить физическую
защиту устройства, его
безопасное хранение.
93
Сохранение пароля восстановления на
USB устройстве
• Недостатки:
o Далеко не все компьютеры на сегодня
поддерживают обращение к USB-устройству в
процессе загрузки;
o Сбор паролей восстановления для
последующего хранения - ручной процесс,
который не может быть автоматизирован;
o USB-устройство может быть утрачено
(потеряно или повреждено) и в таком случае
все пароли восстановления будут утрачены.
94
Политика
восстановления
• Для безопасного восстановления данных
чрезвычайно важно определить кто
именно будет заниматься их
восстановлением.
• Восстановление данных, шифрованных с
помощью BitLocker будет требовать
наличия физического доступа к
восстанавливаемому компьютеру для
ввода пароля восстановления.
95
Политика
восстановления
• По умолчанию, все администраторы
домена могут читать пароли
восстановления BitLocker, хранимые
в AD. Точно так же они могут
делегировать эту возможность
другим пользователям. Однако
порядок этого должен быть описан
в политике безопасности.
96
Политика
восстановления
• Прежде чем вы начнете процесс
восстановления, вы должны
гарантировать, что предусмотрели любые
неожиданности. Например:
o В случае восстановления с помощью ключа USB вы должны
гарантировать, что ваша целевая система может прочитать
USB-устройство во время начальной загрузки. Убедитесь до
того, что ваше USB-устройство работает вместе с целевым
компьютером;
o При использовании дополнительных (сетевых и т.д.) мест
хранения паролей восстановления убедитесь до начала
процесса восстановления, что они доступны пользователю.
97
Политика
восстановления
o Нельзя использовать для восстановления файл, расположенный на
жестком диске того же компьютера, так как он будет недоступен
пользователю во время загрузки.
o Не следует использовать сетевые ресурсы, которые вы не можете
надежно защитить против доступа злонамеренных или ненадежных
лиц.
o В случае если вы хотите распечатать пароль восстановления при его
генерации убедитесь, что сетевой принтер доступен и вы знаете как
будете хранить напечатанный пароль.
98
Вопросы?
Безмалый В.Ф.
MVP Consumer Security
Microsoft Security Trusted Advisor
vladb@windowslive.com
http://vladbez.spaces.live.com