Безопасность информационных технологий и использование ЭП и PKI на основе "УЦ КриптоПро" 2.0

Безопасность информационных технологий и использование ЭП и PKI на основе "УЦ КриптоПро" 2.0

Код программы БТ101, 10 дней

Статус

Комплексная практическая программа Учебного центра "Информзащита"

Описание программы

Комплексная программа подготовки специалистов, ответственных за обеспечение безопасности сетевых приложений и электронных коммуникаций.

Комплексная программа подготовки руководителей и специалистов, планирующих использование и внедрение электронной подписи (ЭП) и элементов инфраструктуры открытых ключей (PKI) в профессиональную деятельность сотрудников предприятий и организаций.

В комплексную программу включены курсы:

• БТ01 "Безопасность информационных технологий"
• T010 "Использование электронной подписи и развертывание PKI на основе Удостоверяющего центра КриптоПро 2.0"

Пакет слушателя

• Фирменные учебные пособия
• Дополнительные материалы по тематике программы в электронном виде

Дополнительно

Выпускники комплексной программы БТ101 получают свидетельства об обучении Учебного центра «Информзащита» и документы о повышении квалификации в области информационной безопасности по направлению «Безопасность информационных технологий» или «Аппаратные и программные средства защиты информации».

Программа курса

Модуль 1.    Безопасность информационных технологий

Раздел 1. Основы безопасности информационных технологий

• Актуальность проблемы обеспечения безопасности информационных технологий. Место и роль автоматизированных систем в управлении бизнес-процессами. Основные причины обострения проблемы обеспечения безопасности информационных технологий.
• Основные понятия в области безопасности информационных технологий. Что такое безопасность информационных технологий. Информация и информационные отношения. Субъекты информационных отношений, их интересы и безопасность, пути нанесения им ущерба. Основные термины и определения. Конфиденциальность, целостность, доступность. Объекты, цели и задачи защиты автоматизированных систем и циркулирующей в них информации.
• Угрозы безопасности информационных технологий. Уязвимость основных структурно-функциональных элементов распределенных автоматизированных систем. Угрозы безопасности информации, автоматизированных систем и субъектов информационных отношений. Основные источники и пути реализации угроз. Классификация угроз безопасности и каналов проникновения в автоматизированную систему и утечки информации. Основные непреднамеренные и преднамеренные искусственные угрозы. Неформальная модель нарушителя.
• Виды мер и основные принципы обеспечения безопасности информационных технологий. Виды мер противодействия угрозам безопасности. Достоинства и недостатки различных видов мер защиты. Основные принципы построения системы обеспечения безопасности информации в автоматизированной системе.
• Правовые основы обеспечения безопасности информационных технологий. Законы Российской Федерации и другие нормативные правовые акты, руководящие и нормативно-методические документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. Защита информации ограниченного доступа, права и обязанности субъектов информационных отношений. Лицензирование деятельности, сертификация средств защиты информации и аттестация объектов информатизации. Требования руководящих документов ФСТЭК России и ФСБ России. Вопросы законности применения средств криптографической защиты информации. Ответственность за нарушения в сфере защиты информации.
• Государственная система защиты информации. Состав государственной системы защиты информации. Организация защиты информации в системах и средствах информатизации и связи. Контроль состояния защиты информации. Финансирование мероприятий по защите информации.
• Основные защитные механизмы, реализуемые в рамках различных мер и средств защиты. Идентификация и аутентификация пользователей. Разграничение доступа зарегистрированных пользователей к ресурсам автоматизированных систем. Регистрация и оперативное оповещение о событиях безопасности. Криптографические методы защиты информации. Контроль целостности программных и информационных ресурсов. Обнаружение атак. Защита периметра компьютерных сетей. Управление механизмами защиты.

Раздел 2. Обеспечение безопасности информационных технологий

• Организационная структура системы обеспечения безопасности информационных технологий. Понятие технологии обеспечения безопасности информации и ресурсов в автоматизированной системе. Цели создания системы обеспечения безопасности информационных технологий. Регламентация действий пользователей и обслуживающего персонала автоматизированной системы. Политика безопасности предприятия. Основные организационные и организационно-технические мероприятия по созданию и обеспечению функционирования комплексной системы защиты информации. Распределение функций по обеспечению безопасности информационных технологий. Система организационно-распорядительных документов по обеспечению безопасности информационных технологий.
• Обязанности конечных пользователей и ответственных за обеспечение безопасности информационных технологий в подразделениях. Общие правила обеспечения безопасности информационных технологий при работе сотрудников с ресурсами автоматизированной системы. Обязанности ответственного за обеспечение безопасности информации в подразделении. Ответственность за нарушения. Порядок работы с носителями ключевой информации.
• Документы, регламентирующие правила парольной и антивирусной защиты. Инструкции по организации парольной и антивирусной защиты.
• Документы, регламентирующие порядок допуска к работе и изменения полномочий пользователей автоматизированной системы. Инструкция по внесению изменений в списки пользователей. Правила именования пользователей. Процедура авторизации сотрудников. Обязанности администраторов штатных и дополнительных средств защиты.
• Документы, регламентирующие порядок изменения конфигурации аппаратно-программных средств автоматизированной системы. Обеспечение и контроль физической целостности и неизменности конфигурации аппаратно‑программных средств автоматизированных систем. Регламентация процессов обслуживания и осуществления модификации аппаратных и программных средств. Процедура внесения изменений в конфигурацию аппаратных и программных средств защищенных серверов и рабочих станций. Экстренная модификация (обстоятельства форс-мажор).
• Регламентация процессов разработки, испытания, опытной эксплуатации, внедрения и сопровождения задач. Взаимодействие подразделений на этапах проектирования, разработки, испытания и внедрения новых автоматизированных подсистем.
• Определение требований к защите и категорирование ресурсов. Положение о категорировании ресурсов. Проведение информационных обследований и анализ подсистем автоматизированной системы как объекта защиты. Определение градаций важности и соответствующих уровней обеспечения защиты ресурсов. Проведение обследований подсистем, инвентаризация, категорирование и документирование защищаемых ресурсов автоматизированных систем.
• Планы защиты и планы обеспечения непрерывной работы и восстановления подсистем автоматизированной системы. Регламентация действий при возникновении кризисных ситуаций.
• Основные задачи подразделения обеспечения безопасности информационных технологий. Организация работ по обеспечению безопасности информационных технологий. Организационная структура, основные функции подразделения безопасности.
• Концепция безопасности информационных технологий предприятия. Документальное оформление вопросов, отражающих официально принятую систему взглядов на проблему обеспечения безопасности информационных технологий, в качестве методологической основы для формирования и проведения в организации единой политики в области обеспечения информационной безопасности для принятия управленческих решений и разработки практических мер по воплощению данной политики в жизнь.

Раздел 3. Средства защиты информации от несанкционированного доступа

• Назначение и возможности средств защиты информации от несанкционированного доступа. Задачи, решаемые средствами защиты информации от несанкционированного доступа.
• Рекомендации по выбору средств защиты информации от несанкционированного доступа. Распределение показателей защищенности по классам для автоматизированных систем. Требования руководящих документов ФСТЭК России к средствам защиты информации от несанкционированного доступа. Рекомендации по выбору средств защиты информации от несанкционированного доступа.
• Аппаратно-программные средства защиты информации от несанкционированного доступа. Краткий обзор существующих на рынке средств защиты информации от несанкционированного доступа. Существующие средства аппаратной поддержки. Задача защиты от вмешательства посторонних лиц и аппаратные средства аутентификации.
• Возможности применения штатных и дополнительных средств защиты информации от несанкционированного доступа. Стратегия безопасности и сертифицированные решения Microsoft. Разграничение доступа зарегистрированных пользователей к ресурсам автоматизированной системы. Защита от несанкционированной модификации программ и данных. Защита данных от несанкционированного копирования и перехвата средствами шифрования. Регистрация событий, имеющих отношение к безопасности. Оперативное оповещение о зарегистрированных попытках несанкционированного доступа. Управление средствами защиты.

Раздел 4. Обеспечение безопасности компьютерных систем и сетей

• Проблемы обеспечения безопасности в компьютерных системах и сетях. Типовая корпоративная сеть. Уровни информационной инфраструктуры корпоративной сети. Сетевые угрозы, уязвимости и атаки. Средства защиты сетей.
• Назначение, возможности, и основные защитные механизмы межсетевых экранов (МЭ). Назначение и виды МЭ. Основные защитные механизмы, реализуемые МЭ. Основные возможности и варианты размещения МЭ. Достоинства и недостатки МЭ. Основные защитные механизмы: фильтрация пакетов, трансляция сетевых адресов, промежуточная аутентификация, script rejection, проверка почты, виртуальные частные сети, противодействие атакам, нацеленным на нарушение работоспособности сетевых служб, дополнительные функции. Общие рекомендации по применению. Политика безопасности при доступе к сети общего пользования. Демилитаризованная зона. Назначение, особенности и типовая схема «HoneyNet».
• Анализ содержимого почтового и Web‑трафика (Content Security). Системы анализа содержимого. Компоненты и функционирование систем контроля контента (электронная почта и НТТР‑трафик). Политики безопасности, сценарии и варианты применения и реагирования.
• Виртуальные частные сети (VPN). Назначение, основные возможности, принципы функционирования и варианты реализации VPN. Структура защищенной корпоративной сети. Варианты, достоинства и недостатки VPN-решений. Общие рекомендации по их применению. Решение на базе ОС Windows 2003. VPN на основе аппаратно-программного комплекса шифрования «Континент». Угрозы, связанные с использованием VPN.
• Антивирусные средства защиты. Общие правила применение антивирусных средств в автоматизированных системах. Технологии обнаружения вирусов. Возможные варианты размещение антивирусных средств. Антивирусная защита, как средство нейтрализации угроз.
• Обнаружение и устранение уязвимостей. Назначение, возможности, принципы работы и классификация средств анализа защищенности. Место и роль в общей системе обеспечения безопасности. Сравнение возможностей с межсетевыми экранами. Средства обеспечения адаптивной сетевой безопасности. Варианты решений по обеспечению безопасности сети организации. Обзор средств анализа защищенности сетевого уровня и уровня узла. Специализированный анализ защищенности.
• Мониторинг событий безопасности. Категории журналов событий. Способы построения, дополнительные компоненты и реализация инфраструктуры управления журналами событий. Технология обнаружения атак. Классификация систем обнаружения атак. Специализированные системы обнаружения атак.
• Итоговый зачет (тест).

Модуль 2.    Использование электронной подписи и развертывание PKI
на основе Удостоверяющего центра КриптоПро 2.0

Раздел 1.

• Электронные документы. Угрозы безопасности субъектам электронного документооборота. Модель нарушителя.
• Электронная подпись. Виды электронной подписи. Правовые вопросы применения ЭП и СКЗИ в России. Особенности юридического определения ЭП. Федеральный закон «Об электронной подписи».
• Криптографические методы защиты информации. Криптография с симметричными ключами. Криптография с открытыми ключами. Доверие к открытому ключу и цифровые сертификаты.
• Электронный сертификат. Структура сертификата. Сертификаты стандарта X.509. Основной контекст сертификата. Расширения сертификатов. Классы сертификатов. Хранилища сертификатов. Закрытые ключи, риски использования по умолчанию. КриптоАРМ. Создание самоподписанного сертификата. Анализ сертификата. Импорт и экспорт сертификатов.
• Криптопровайдеры. Набор CSP (Cryptographic Service Provider) по умолчанию. Microsoft CSP.
• Создание электронной подписи. Установка и эксплуатация «КриптоАРМ», «КриптоТри», «eToken КриптоАРМ».
• Электронные ключи eToken. Модели eToken. JaCarta. Российская криптография в JaCarta ГОСТ и eToken ГОСТ. Установка и настройка различных моделей eToken. Настройка параметров. Режимы работы. Получение сертификата с использованием электронных ключей eToken.
• Электронная подпись для Apple iOS. Решения и технологии применения российской криптографии для электронной подписи на iPad и iPhone.
• Электронные идентификаторы Рутокен. Модели Рутокен. Российская криптография в Рутокен ЭЦП. Рутокен Web. Установка и настройка различных моделей Рутокен. Настройка параметров. Режимы работы. Получение сертификата с использованием электронных ключей Рутокен.
• КриптоПро CSP. Основные характеристики. Реализуемые алгоритмы. Установка. Настройка параметров. Получение сертификатов с использованием средства криптографической защиты «СКЗИ КриптоПро». Функциональный ключевой носитель. КриптоПро УЭК CSP. Практика применения КриптоПро eToken CSP и КриптоПро Рутокен CSP.
• Проблемы безопасности при применении электронных подписей. Интернет-банкинг. Примеры атак на системы дистанционного банковского обслуживания. Обзор типовых методов атак на счета клиентов систем ДБО. Визуальный контроль содержания передаваемых в смарт-карту данных. Применение устройств доверенного ввода информации для защиты платежей. Просмотр содержания подписываемых документов в доверенной среде.
• Web-порталы и облачные сервисы. Особенности применения электронной подписи в решениях с облачной архитектурой. Квалифицированная электронная подпись. Неквалифицированная электронная подпись. Применение технологии OTP для защиты решений с использованием электронных подписей.
• Компоненты PKI. Орган сертификации. Орган регистрации. Хранилище. Архив. Пользователи инфраструктуры.
• Принципы доверия PKI. Иерархическая модель доверительных отношений. Сетевая модель доверительных отношений. Регулируемые доверительные отношения. Базовые ограничения. Ограничения по именам. Ограничения по политике выдачи сертификатов. Ограничения по политике приложений. Получение и регистрация частного номера организации. Формирование объектных идентификаторов областей применения сертификатов открытых ключей. Регулируемые доверительные отношения.
• Эксплуатация PKI. Создание файла конфигурации для корневого центра сертификации (ЦС). Установка и настройка корневого ЦС. Публикация списков отозванных сертификатов корневого ЦС. Установка подчиненного ЦС. Настройка WEB-интерфейса подчиненного ЦС.
• Проверка подлинности цифровых сертификатов в инфраструктуре Windows PKI. Процедуры сличения. Стандартная процедура обработки цепочки сертификатов. Обработка цепочки списков CTL. Обработка цепочки кросс-сертификатов. Получение сертификата пользователя. Организация защищенной электронной почты.
• Процедуры аннулирования сертификатов в Windows PKI. Списки аннулированных сертификатов (Certificate Revocation List, CRL). Риски, связанные с технологией CRL.
• КриптоПро OCSP Server. Краткое описание протокола Online Certificate Status Protocol (OCSP). Установка КриптоПро OCSP Server. Создание экземпляра Службы. Управление операторами Службы. Запуск Службы. Установка модуля поддержки OCSP.
• КриптоПро Revocation Provider. Ключевые особенности. Установка Revocation Provider. Как работает Revocation Provider.
• КриптоПро TSP Server. Для чего нужны штампы времени. Краткое описание протокола Time Stamping Protocol (TSP). Установка КриптоПро TSP Server. Запуск Службы. Установка модуля поддержки TSP КриптоАРМ.
• Усовершенствованная подпись КриптоПро. Доказательство момента подписи документа и действительности сертификата ключа подписи на этот момент. Проверка подлинности ЭП без сетевых обращений. Архивное хранение электронных документов. Формат усовершенствованной электронной подписи. Технологические процедуры создания усовершенствованной ЭП. Проверка усовершенствованной ЭП.

  Раздел 2.

• Назначение и основные возможности программно-аппаратного комплекса (ПАК) «Удостоверяющий центр «КриптоПро УЦ» версии 2.0. Нормативно-правовое обеспечение деятельности УЦ. Назначение. Область применения. Основные функции. Логические компоненты. Технические средства. Электронный замок «Соболь». Смарт-карты и токены различных моделей eToken, Рутокен, JaCarta для защиты ключей ЭП. Функциональные роли.
• Планирование развертывания ПАК «Удостоверяющий центр «КриптоПро УЦ» версии 2.0. Типовые схемы публикации УЦ в сети Интернет. Лицензионные ограничения. Структура и режимы работы ЦР. Реализация ролевого администрирования. Политика PKI. Состав сертификатов ключей проверки ЭП и CRL. Дополнительные задачи УЦ.
• Установка ПАК «Удостоверяющий центр «КриптоПро УЦ» версии 2.0. Подготовка системы семейства Windows Server 2008 R2\ 2012 (R2). Настройка сервера ЦС. Настройка сервера ЦР. Настройка Консоли управления ЦР. Настройка Консоли управления ЦР.
• Функционирование УЦ с использованием Консоли управления ЦР. Регистрация нового пользователя. Выпуск сертификата пользователю. Приостановление сертификата пользователя. Возобновление сертификата пользователя. Аннулирование сертификата пользователя.
• Функционирование УЦ с использованием Веб-портала ЦР. Отклонение запроса на регистрацию пользователя. Одобрение запроса на регистрацию пользователя. Одобрение запроса на сертификат. Установка и подтверждения установки сертификата. Проверка сертификата на подлинность. Одобрение запроса на приостановление. Одобрение запроса на восстановление.
• Установка УЦ для выпуска квалифицированных сертификатов. Включение дополнительных полей в сертификат УЦ. Включение дополнительных полей в сертификат администратора ЦР.
• Программный компонент УЦ «Консоль экспертизы ЭП» и АРМ Разбора конфликтных ситуаций.
• Обновление ПО КриптоПро УЦ 2.0.
• Итоговый зачет.