Обеспечение безопасности в комп. Сетях

Мероприятия по защите корпоративной информации должны обеспечивать выполнение след задач:

• защита от проникновения в комп. сеть и утечки информации из сети по каналам связи;

• разграничение потоков информации между сегментами сети;

• защита наиболее критичных ресурсов сети от вмешательства в нормальный процесс функционирования;

• защита важных рабочих мест и ресурсов от несанкционированного доступа;

• криптографическая защита наиболее важных инф. ресурсов

Для поддержания режима ИБ в комп. сетях особенно важны программно-тех­нические меры и средства. Ключевыми механизмами явля­ются: идентификация и аутентификация; управление досту­пом; технологии обнаружения атак; протоколирование и ре­гистрация; криптография и сетевая защита; экранирование,

Использование в корпоративных сетях межсетевых экра­нов предотвращает возможность нарушения пользователями установленных администраторами правил безопасности ин­формации, позволяет решать ряд задач:

• безопасное взаимодействие пользователей и инф. ресурсов, расположенных в экстранет- и интранет-сетях, с внешними сетями;

• создание технологически единого комплекса мер защи­ты для распределенных и сегментированных локальных се­тей подразделений предприятия;

• построение иерархической системы защиты.

Для защиты информации, передаваемой по открытым каналам связи, поддерживающим протоколы ТСР/IР сущ. ряд программных продуктов, предназначенных для построения VPN на основе международных стандартов IPSec. Виртуальные сети создаются чаще всего на базе сети Интернет.Преимущества: высокая гарантированная надежность, изменяемая топология, простота конфигурирования и масштабирования, контроль всех событий, относительно невысокая стоимость аренды каналов и коммуникационногооборудования.

Системы шифрования с открытым криптографическим интерфейсом реализуют различные криптоалгоритмы. В настоящее время инф. продукты, пред­назначенные для шифрования в корпоративных сетях, уста­навливаются только на тех рабочих местах, на которых хра­нится очень важная информация.

В связи с постоянными изменениями сети важно свое­временное выявление новых уязвимых мест и внесение изменений в настройки инф. комплекса, в том числе в подсистему защиты. В качестве протокола сетевого уровня в настоящее в исп-ся протокол IPv6, который обеспечивает расширенное адресное пространство; улучшенные возможности маршрутизации; управление доставкой информации, средства обеспечения безопасности, использующие алгоритмы аутентификации и шифрования. Спецификация IPsec, входящая в стандарт, предусматривает стандартный способ шифрования трафика на сетевом уровне IР и обеспечивает защиту на основе сквозного шифрования.

Преимущества применения 1Рsес на сетевом уровне: под­держка отличных от ТСР протоколов; поддержка виртуаль­ных сетей в незащищенных сетях; более надежная защита от анализа трафика; защита от атак типа «отказ в обслужи­вании» и др.

Ядро IРSес составляют три протокола: протокол аутенти­фикации - гарантирует цело­стность и аутентичность данных, протокол шифрования— шифрует передавае­мые данные, гарантируя конфиденциальность,и протокол обмена ключами— решает вспомогательную задачу автоматического предоставления конечным точкам канала секретных клю­чей, необходимых для работы протоколов аутентификации и шифрования данных.

Протокол IPsec создавался в рамках разработок средств защищенной передачи пакетов в сети Интернет-2.

Построение многоуровневой системы ИБ КИС

Одним из важнейших методов повышения безопасности является использование средств, предусмотренных в стандартных протоколах их построения (модель OSI).Фактически обязательно применение след. методов: организация доменов безопасности на уровне транспортной сети и на уровне сервиса электронной почты., регистрация попыток пользователей установления соединений вне заданных доменов безопасности, протокольная аутннтификация устанавливаемых соединений, определение доступного сервиса для каждого конкретного абонента и др.

Проблема защиты информации сети интернет сегодня самая актуальная и в ней выделяются 2 категории: общая безопасность и надёжность финансовых операций. Безопасность сети можно обеспечивать на различных уровнях сетевого взаимодействия с использованием различных протоколов защиты.

Прикладной уровень – SET,PGP,HTTP,FTP,SMTP

Сеансовый уровень – HTTP,FTP,SMTP,SSL

Транспортный уровень – TCP

Сетевой уровень – AH,ESP,IP

HTTP- защита транзакций в web.применение: браузеры, приложения для сети Интернет, веб-серверы

SSL – защита пакетов данных на сетевом уровне.применение: браузеры, веб-серверы, приложения для интернет

S/MIME- защита вложений в электронные сообщения на различных платформах.применение: почтовые программы с поддержкой шифрования и цифровой подписи RSA

S/WAN- шифрование одноранговых соединений между брандмауэрами и маршрутизаторами. Применение: виртуальные частные сети.

SET- защита транзакций с кредитными картами.применение: серверы транзакций,электронная коммерция

Жизненный цикл ИС. Стандарты. Модели ЖЦ.

Жизненный цикл информационной системы (ЖЦ ИС)- непрерывный процесс, начинающийся с момента принятия решения о ее создании и заканчивающийся в момент полного изъятия из эксплуатации.

Существует ряд стандартов и методик, используемых при разработке КИС:

• ISО/IЕС 12207 — стандарт на процессы и организацию жизненного цикла, который распространяется на все виды программного обеспечения;

• Rational Unified Process (RUP)- итеративная методология разработки;

• Rapid Application (RАD) — методология быстрой разработки приложений, представляющая комплекс специальных инструментальных средств, позволяющих оперировать с определенным набором графических объектов, функционально отображающих отдельные компоненты приложений;

• Custom Development Method(СDМ) — методология по разработке прикладных информационных систем, рассчитанных на использование в проектах с применением компонентов Огасlе.

Стандарт IS0/IЕС 12207 определяет структуру жизненного цикла, включая процессы, работы и задачи, выполняемые в процессе создания информационной системы.

Мидель жизненного цикла ИС -некоторая структура, определяющая последовательность осуществления процессов, действий и задач, выполняемых на протяжении ЖЦ ИС, их взаимосвязи. Наиболее распространенными моделями жизненного цикла являются каскадная и спиральная. Каскадная модельЖЦ ИС предусматривает последовательную организацию работ. Ее основной особенностью является разбиение всей разработки на этапы, переход с одного этапа на следующий происходит только после того, как полностью завершены все работы на предыдущем. Каждый этап завершается выпуском полного комплекта документации, достаточной для того, чтобы разработка могла быть продолжена другой командой разработчиков. Спиральная модель жизненного цикла предполагает итерационный процесс разработки ИС с возможностью существенного упрощения внесения уточнений и дополнений в проект. На каждом витке спирали создается фрагмент или версия программного изделия, уточняются цели и характеристики проекта, определяется его качество, планируются работы на следующем витке. Главная задача каждой итерации — создать работоспособный продукт, который можно показать пользователям системы.

Этапы проектирования ИС. Требования к ИС. Разработка документации.

Основные стадии и этапы канонического проектирования ИС:1)Формирование требований:Обследование объекта и обоснование необходимости создания ИС;

Формирование требований пользователей к ИС; Оформление отчета о выполненной работе и тактико-технического задания на разработку.2) Работка концепции: Изучение объекта автоматизации; Проведение необходимых научно-исследовательских работ; Разработка вариантов концепции ИС, удовлетворяющих требованиям пользователей; Оформление отчета и утверждение концепции.3) Разработка ТЗ:Разработка и утверждение технического задания на создание ИС.4)Создание эскизного проекта: Разработка предварительных проектных решений по системе и ее частям; Разработка эскизной документации на ИС и ее частей. 5)Разработка технического проекта: Разработка проектных решений по системе и ее частям; Разработка документации на ИС и ее части; Разработка и оформление документации на поставку комплектующих изделий; Разработка заданий на проектирование в смежных частях проекта. 6)Разработка рабочей документации: Разработка рабочей документации на ИС и ее части; Разработка и адаптация программ. 7)Ввод в действие: Подготовка объекта автоматизации; Подготовка персонала; Комплектация ИС поставляемыми; Строительно-монтажные работы; Пусконаладочные работы; Проведение предварительных испытаний; Проведение опытной эксплуатации; Проведение приемочных испытаний. 8) Сопровождение ИС: Выполнение работ в соответствии с гарантийными обязательствами; Постгарантийное обслуживание.

Требования:1) Системность— предусматривает рассмотрение предприятия как единого целого и выделение в нем типов связей между структурными подразделениями или бизнес-процессами.2) Развитие — система создается с учетом постоянного изменения бизнеса и потребностей пользователей, что требует наличия в системе инструментария для адаптации или модернизации. 3) Совместимость — разработанная ИС должна быть открытой, ориентированной на максимальное использование стандартов на все виды обеспечения.4)Непосредственное участие работников предприятия в процессе проектирования и разработки ИС – непрерывный контроль со стороны заказчика позволяет избежать неправильных постановок задач и ускорить процесс внедрения системы.5) Безопасность-обеспечение безопасности всех информационных процессов. 6)Эффективность - достижение рационального соотношения между затратами на создание ИС и результатами ее эксплуатации.

Рабочий проект системы включает создание программного продукта и всей сопровождающей документации, которая должна содержать все необходимые и достаточные сведения для обеспечения выполнения работ по вводу ИС в действие и ее эксплуатации, для поддержания уровня эксплуатационных характеристик (качества) системы. Разработанная документация соответствующим образом оформляется, согласовывается и утверждается.

Не нашли, что искали? Воспользуйтесь поиском по сайту: