Глава 5 Построение защищенных экономических информационных систем

Глава 5

Построение защищенных экономических информационных систем

5.1. Основные технологии построения защищенных экономических информационных систем

Построение защищенных информационных систем связано с решением следующих двух ключевых взаимосвязанных проблем:

• распределение задач администрирования средствами защиты информации между субъектами управления системой;

• использование встроенных механизмов защиты на всех уровнях иерархии системы.

Первая проблема обусловлена иерархическими принципами построения сложной системы – выделяют уровень платформы (операционная система), общесистемный уровень (СУБД и другие системные средства), уровень приложений. Каждый уровень требует своего администрирования. В информационной системе выделяются следующие задачи администрирования:

• системное администрирование (настройка операционной системы, конфигурация и маршрутизация сетевого трафика и т. п.);

• администрирование СУБД и других общесистемных средств;

• администрирование прикладных приложений. При этом на уровне системного администрирования в сложных системах может присутствовать разделение задач по функциональному назначению объектов – рабочие станции, файл-серверы и серверы приложений, серверы доступа к внешним сетям и др.

В иерархии задач администрирования в сложной системе вводятся соответствующие администраторы, каждый из которых отвечает за свою компоненту управления.

В сложных защищенных информационных системах, предназначенных для обработки конфиденциальной информации, выделяется самостоятельная компонента управления – управление информационной безопасностью системы. Возникает проблема включения данной компоненты в исходную схему администрирования, связанная с тем, что администратором каждого уровня иерархии управления решаются задачи администрирования информационной безопасностью в рамках соответствующего уровня иерархии. Возникают вопросы. Каким образом распределить данные задачи при включении в схему администратора безопасности, какими его функциями делегировать? Какие функции администрирования информационной безопасностью возложить на остальных администраторов системы?

Другая проблема состоит в использовании встроенных средств защиты, распределении задач между встроенными и добавочными средствами защиты. Проблема осложнена тем, что, с одной стороны, невозможно в полной мере доверять встроенным в системы иностранного производства средствам защиты, с другой – нельзя и отказываться от этих механизмов в полном объеме. Иначе для всех видов операционных систем, СУБД и т. д. потребуется разрабатывать добавочные средства защиты, а это невозможно реализовать или приведет к существенному усложнению системы.

Используются следующие подходы для решения указанных проблем:

1. Все задачи администрирования информационной безопасности системы возложить на администратора безопасности. Это невозможно. Во-первых, задача администрирования становится недопустимо сложной и требует для решения чрезвычайно высокой квалификации администратора безопасности. Во-вторых, для использования такого решения необходимо разграничивать функции администрирования на всех уровнях иерархии системы, что возможно только с реализацией защиты на всех уровнях добавочными средствами.

2. Задачи администрирования информационной безопасности системы распределить между соответствующими администраторами на соответствующих уровнях иерархии. В этом случае не ясны задачи и функции администратора безопасности центрального звена управления информационной безопасности сложной защищенной системы. Обеспечить какую-либо безопасность системы при распределенном решении данной задачи невозможно в принципе.

Наиболее широко используется компромиссное решение рассматриваемой проблемы, реализуемое с использованием метода уровневого контроля целостности списков санкционированных событий.

Суть метода заключается в следующем: все ресурсы системы делятся на уровни (по функциональному признаку). Текущая конфигурация каждого уровня заносится в соответствующий эталонный список, хранящийся в системе защиты информации и недоступный никому, кроме администратора безопасности, целостность которого контролируется с малым периодом (малая величина списка). Случай обнаружения расхождений текущего и эталонного списка является признаком НСД. В качестве реакции на НСД система защиты информации, помимо восстановления изначальной конфигурации, может выполнить дополнительные реакции. В контролируемых списках могут находиться – списки зарегистрированных пользователей, списки их паролей, списки разрешенных к запуску процессов, настройки операционной системы (например, ключи реестра для MS Windows), собственные настройки системы защиты информации и т. д.

Все настройки системы защиты информации на соответствующих уровнях иерархии задаются соответствующим администратором – системным администратором, администратором приложений, администратором СУБД. Эти администраторы контролируются администратором безопасности, реализованным организационными мероприятиями. По завершении настроек они сохраняются администратором безопасности в эталонных списках системы защиты информации, к которым имеет доступ только администратор безопасности. В процессе функционирования системы данные списки непрерывно контролируются и автоматически восстанавливаются системой защиты информации из эталонных копий в случае обнаружения их искажений.

Компромисс предлагаемого решения состоит в следующем. Администраторы уровней иерархии сами реализуют требования разграничительной политики доступа к ресурсам при непосредственном контроле со стороны администратора безопасности. Система защиты информации обеспечивает невозможность изменения заданных настроек без участия администратора безопасности, в том числе и остальным администраторам системы. Данный подход позволяет разделить задачи администраторов без использования добавочных средств защиты, и в полном объеме использовать встроенные механизмы защиты на всех уровнях иерархии системы.

Основной проблемой остается распределение функций системного администратора и администратора безопасности. Для экономии финансовых средств функции этих администраторов в сложной информационной системе следует совмещать. При этом могут быть в полной мере использованы и механизмы защиты, встроенные в операционную систему. Разделение функций системного администратора и администратора безопасности возможно при условии, что система разграничения доступа к ресурсам на уровне операционной системы будет реализована как добавочное средство защиты. В противном случае системный администратор получит доступ к эталонным спискам событий, хранящимся в системе защиты информации.

Преимуществом данного метода является возможность разделения задач администрирования при максимальном использовании встроенных средств защиты на всех уровнях иерархии сложной системы. Однако появляется другая проблема – проблема доверия встроенным механизмам защиты, которые могут содержать как ошибки, так и закладки, что при определенных условиях позволит злоумышленнику их преодолеть. Решение этой проблемы возможно с помощью рассмотренного ранее метода уровневого контроля целостности списков санкционированных событий, а также метода противодействия ошибкам и закладкам в средствах информационной системы, сущность которого состоит в следующем.

При доступе санкционированного пользователя либо злоумышленника к информации должен произойти ряд событий:

• авторизация пользователя, должен быть запущен некоторый процесс (программа) на исполнение;

• при доступе к информации (файлу, таблице) должны быть проверены права доступа пользователя, при этом собственно операционная система и СУБД должны обладать некоторым набором заданных администраторами свойств и т. д.

Далее система защиты информации создает эталонные копии списков контролируемых событий и осуществляет их непрерывный контроль в процессе функционирования системы. При искажении исходного списка вырабатывается реакция системы защиты информации (например, восстановление исходного списка, выключение компьютера и т. д.).

Если доступ к информации осуществляет санкционированный пользователь и не нарушает своих прав в рамках заданной администратором безопасности разграничительной политики, он получает доступ к информации. В противном случае нарушителю необходимо осуществить какое-либо изменение контролируемого события при доступе к информации. Иначе нарушитель не получит доступ к данным. В этом случае системой защиты информации будет оказано противодействие НСД. Особенностью данного подхода является то, что для системы защиты информации неважно, за счет чего злоумышленником осуществляется попытка модификации контролируемого события при доступе к информации, в том числе и за счет использования им ошибки либо закладки. Фиксируется не причина попытки изменения события, а сам факт подобного изменения.

Применение этого метода позволяет повысить доверие к встроенным механизмам защиты информационной системы и, как следствие, рассматривать их как основные средства защиты при построении сложной защищенной информационной системы.

Преимуществом рассмотренных принципов реализации системы защиты информации является ее реализация на прикладном уровне, т. е. практически инвариантна к типу используемых в информационных системах операционной системе, СУБД и приложений, и ее применение практически не приводит к снижению надежности функционирования системы.