Гибкое управление средствами защиты — необходимое условие их успешного применения 

В. Гайкович, Д. Ершов

«Системы безопасности, связи и телекоммуникаций» | №03/1997

Для эффективной защиты информации в автоматизированной системе (АС) организации, как правило создается специальное подразделение (администрация безопасности), на специалистов которого возлагается решение следующих основных задач:

• организация и поддержание контролируемого доступа пользователей к ресурсам АС на всех этапах ее жизненного цикла;
• слежение за состоянием безопасности АС и оперативное реагирование на происходящие в ней несанкционированные действия пользователей.

Так как механизмы защиты, встроенные в распространенные ОС (MS-DOS/Windows 3.X, Novell Netware, Windows 95) не обеспечивают надежной защиты данных на рабочих станциях сети, поэтому они не позволяют решить указанные задачи без применения дополнительных средств защиты информации (СЗИ).

На рынке средств защиты сегодня имеется большое число различных СЗИ. Перед администратором безопасности встает вопрос определения необходимости и порядка применения СЗИ в АС. Очевидно, далеко не все компьютеры организации необходимо оснащать дополнительными СЗИ, так как это требует дополнительных материальных затрат и может только затруднить эксплуатацию всей АС в целом.

По нашему мнению, применение СЗИ целесообразно в следующих основных случаях:

• при размещении на компьютерах средств криптографической защиты данных (например в системе «Клиент-Банк»). В этом случае дополнительные СЗИ необходимы для защиты ключей электронной цифровой подписи и шифрования;
• при необходимости регламентации и протоколирования действий пользователей, работающих на компьютерах АС. В этом случае система защиты решает задачу недопущения действий пользователей, не предусмотренных технологией обработки данных;
• при необходимости ограничения доступа пользователей, работающих на компьютере, к его локальным ресурсам (дискам, каталогам, файлам или внешним устройствам), а также исключения возможности самостоятельного изменения состава и конфигурации программных средств, установленных на компьютере.

В связи с применением дополнительных СЗИ администратору безопасности предстоит выполнять следующие действия (операции):

• устанавливать СЗИ на компьютеры организации (установка и внедрение СЗИ);
• настраивать СЗИ путем задания прав доступа пользователей к ресурсам как компьютеров, так и к ресурсам сети (эксплуатация СЗИ);
• контролировать состояние защищенности АС путем оперативного мониторинга и анализа системных журналов (контроль за состоянием безопасности АС).

При выполнении этих операций возникает ряд проблем, пути решения которых обсуждаются ниже.

Установка и внедрение средств защиты

В большинстве случаев СЗИ устанавливаются на уже реально функционирующую АС. Так как защищаемая АС используется для решения важных задач, часто в непрерывном технологическом цикле, ее владельцы и пользователи неодобрительно относятся к любому, даже кратковременному, перерыву в ее работе, необходимому для установки и настройки СЗИ.

Следует учитывать, что с первого раза правильно настроить систему защиты не представляется возможным. Обычно это связано с отсутствием в организации полного детального списка всех аппаратных, программных и информационных ресурсов системы, подлежащих защите, и готового непротиворечивого перечня прав доступа и полномочий каждого пользователя АС (см. статью «Организационные меры защиты информации» в предыдущем номере журнала). Поэтому этап внедрения СЗИ обязательно включает действия по первоначальному выявлению, последовательному уточнению и соответствующему изменению настроек устанавливаемой СЗИ.

Очевидно, что те же самые действия администратору безопасности придется неоднократно повторять и на этапе эксплуатации СЗИ при изменениях состава технических средств, программного обеспечения, пользователей и т.д. Такие изменения происходят довольно часто, поэтому средства управления СЗИ должны обеспечивать удобство осуществления необходимых при этом настроек СЗИ.

В том случае, если средства управления СЗИ не приспособлены к этому, а сама СЗИ не обладает достаточной гибкостью, то очень скоро СЗИ становится не помощником, а обузой для всех, и в первую очередь для администраторов безопасности, и в конце концов такая СЗИ обречена на отторжение.

При разработке СЗИ Secret Net специалистами НИП «Информзащита» был предложен ряд дополнительных механизмов, облегчающих установку и внедрение СЗИ в организации. К их числу можно отнести:

• специальные механизмы, позволяющие автоматизировать деятельность администратора безопасности по типовой установке и тиражированию значений параметров СЗИ с эталонной станции, на все рабочие станции данного типа;
• специальные режимы «мягкого» функционирования СЗИ. Эти режимы позволяют устанавливать СЗИ на АС в организациях, у которых первоначально отсутствует детальный перечень прав пользователей по доступу к ресурсам. Они позволяют выявлять некорректные настройки средств защиты (и затем производить их корректировку) без нарушения работоспособности АС. Помогает «мягкий» режим и при формировании списков программ, разрешенных для запуска конкретным пользователям (при создании замкнутой программной среды), позволяя накапливать в системных журналах необходимые сведения для их корректировки.

Эксплуатация СЗИ

Деятельность администратора безопасности на этапе эксплуатации СЗИ состоит в корректном и своевременном внесении изменений в полномочия пользователей и в настройки защитных механизмов на компьютерах АС. С увеличением масштаба защищаемой АС и при сохранении неизменным количества людей, отвечающих за ее информационную безопасность, изменяются требования к способам управления СЗИ. Как показывает практика, решения, приемлемые для одного компьютера или небольшой сети из 10-15 рабочих станций, как правило, не устраивают обслуживающий персонал и администраторов безопасности больших сетей, объединяющих сотни машин.

Кроме обязательной децентрализованной схемы управления полномочиями (непосредственно с рабочих станций) могут быть реализованы две принципиально различных схемы централизованного управления:

• схема «длинные руки». При этой схеме управление полномочиями пользователей на каждом компьютере осуществляется администратором удаленно со своего рабочего места в режиме виртуального терминала. Недостатками данной схемы являются :
• все изменения полномочий пользователей осуществляются в оперативном режиме (управляемая станция должна быть включена и на ней должен работать пользователь);
• необходимость повторения администратором операций по управлению для всех рабочих станций (то есть для смены пароля пользователя необходимо вручную изменить его пароль на всех компьютерах, на которых он зарегистрирован);
• схема отложенного централизованного управления доступом. При этой схеме управления полномочия пользователя меняются один раз в центральной базе данных, а их изменение на конкретных компьютерах обеспечивается системой защиты. При этом администратору безразлично состояние станции на момент внесения изменений в центральную базу данных. Все изменения на компьютер передаются во время очередного сеанса синхронизации.

Вторая схема управления более предпочтительна, так как облегчает работу администратора по управлению полномочиями пользователя в крупных АС. Однако наличие первой схемы в качестве дополнительной (например для просмотра экрана, полномочий пользователей по доступу к файлам на локальных дисках) также целесообразно.

При создании СЗИ Secret Net специалистами НИП «Информзащита» были предложены следующие решения по управлению полномочиями пользователей и настройками СЗИ на компьютерах:

• схема отложенного централизованного управления доступом реализуется с использованием специального сервера управления доступом, непрерывно работающего на одном из файловых серверов сети и реализующего специальный механизм автоматической синхронизации содержимого центральной (на сервере) и локальных (на станциях) баз данных защиты (Рис.1.). Ведение распределенной базы данных защиты (центральной и локальных) гарантирует, что выход из строя сервера управления доступом не будет препятствовать нормальному функционированию средств защиты на рабочих станциях;
• возможность актуализации центральной базы данных системы защиты при децентрализованном внесении изменений в локальные базы данных, расположенные на рабочих станциях сети (обратная синхронизация);
• средства автоматической рассылки изменений полномочий пользователя на те станции, к которым он имеет доступ. Например, при смене своего пароля пользователем, осуществленной на одной из рабочих станций, новое значение пароля этого пользователя должно быть отражено в центральной базе данных защиты сети, а также передано на все рабочие станции, на которых данному пользователю разрешено работать;
• схема «длинные руки», обеспечивающая различные режимы оперативного удаленного управления компьютерами, в том числе и средствами защиты в филиалах организации, в которых отсутствуют квалифицированные администраторы безопасности.

Контроль за состоянием безопасности АС

Администратору безопасности необходимо контролировать состояние АС как оперативно, путем слежения за состоянием защищенности компьютеров АС, так и не оперативно путем анализа содержимого журналов регистрации событий СЗИ.

Использование сервера управления доступом для оперативного контроля за состоянием рабочих станций и работой пользователей позволяет отказаться от постоянного присутствия в сети администратора безопасности. В этом случае сервер управления доступом автоматически регистрирует несанкционированные действия, происходящие в сети и всегда обладает оперативной информацией о состоянии станций.

Увеличение количества рабочих станций и использование программных средств, включающих большое количество разнообразных компонентов приводит к существенному увеличению объемов журналов регистрации событий СЗИ. Объем сведений, хранящихся в журналах, может стать настолько большим, что администратор уже физически не сможет полностью проанализировать их содержимое за приемлемое время.

Для облегчения работы администратора безопасности по контролю за состоянием безопасности АС специалистами НИП «Информзащита» предлагаются следующие возможности:

• оперативный контроль за состоянием рабочих станций сети и работой пользователей, регистрация событий несанкционированного доступа в специальном журнале;
• селекцию определенных событий (по имени пользователя, дате, времени происшедшего события, категории происшедшего события и т.п.) из системных журналов;
• хранение системных журналов каждой рабочей станции по системе «день/месяц/год» с автоматическим ограничением срока хранения системных журналов. По истечении установленного срока журналы автоматически уничтожаются;
• специальные возможности по ограничению перечня событий, регистрируемых СЗИ;
• семантическое сжатие данных в журналах регистрации, позволяющее укрупнять регистрируемые события без существенной потери их информативности;
• автоматическая подготовка отчетных документов установленной формы о работе станций сети и имевших место нарушениях, что позволяет существенно снизить рутинную нагрузку на администратора безопасности.

Заключение

Успех масштабного применения СЗИ в организации во многом зависит от наличия развитых средств управления режимами работы различных защитных механизмов. Недостаточное внимание к проблемам и пожеланиям заказчиков в плане обеспечения удобства работы администраторов безопасности по управлению СЗИ на всех этапах жизненного цикла АС часто является основной причиной отказа от использования конкретных СЗИ.

Именно поэтому специалисты НИП «Информзащита» постоянно заботятся о развитии средств гибкого управления во всех создаваемых ими СЗИ. В этом одна из основных причин успеха и основное качественное отличие СЗИ с торговой маркой «Secret Net» ото всех аналогичных продуктов других разработчиков.

Мы надеемся, что наши подходы и технические решения помогут Вам надежно защитить информацию в АС, обеспечивая удобство и гибкость управления Вашей информационной безопасностью.