Разработка метода анализа Интернет-услуг с точки
зрения информационной безопасности
Белов Сергей Валерьевич,
кандидат технических наук,
Рысёнкин Олег Владимирович,
соискатель Астраханского государственного технического университета,
инженер-программист ООО «Газпром добыча Астрахань».
Количество услуг, предоставляемых клиентам Интренет-провайдерами,
постоянно расширяется, репутация компаний во многом зависит от того, на сколько качественно, своевременно и всеобъемлюще клиенты
получат эти услуги.
Работа провайдеров все больше подвергается атакам. Увеличивается
не только количество атак, но и их разнообразие. Их целью становится банкротство
провайдера и уход его с рынка телекоммуникационных технологий.
В настоящее время все больше организаций, предоставляющих услуги в
области Интернет-технологий,
сталкиваются с проблемами разработки политики безопасности (ПБ) для
обеспечения своей информационной безопасности (ИБ). Однако,
в открытых источниках не предлагаются общие методологии по защите провайдеров
от атак. Большинство специалистов, работающих в Интернет-компаниях, при разработке ПБ пользуются
практическими соображениями, и не используют научный подход. Для разработки ПБ Интернет-провайдера
необходимо комплексно проанализировать услуги, оказываемые клиентам с точки
зрения ИБ. Данная статья посвящена разработке общей методологии комплексной оценки
услуг.
Для всестороннего анализа услуг с точки зрения ИБ необходимо для
каждой услуги проанализировать:
·
угрозы, которым она может быть подвержена
(несанкционированный доступ (НСД), вирусы, атаки, глушение связи, воровство
трафика и т.д.[2]);
·
источники возникновения каждой угрозы (персонал,
противник, аппаратные отказы и сбои, программные отказы, ошибки конфигурации
сети и оборудования и т.д.[1]);
·
результаты и последствия реализации угрозы
(насколько критична реализация угрозы для работоспособности компании);
·
методы борьбы (организационные, технические,
законодательные).
Различные провайдеры предоставляют различные услуги, однако, все
компании предоставляют определенный, общий для всех, пакет услуг. Для примера оценки
будем использовать только одну наиболее широко распространенную и востребованную
услугу, предоставляемую провайдерами - WiFi доступ: организация сети клиента
[2]. Применение метода представим в виде таблицы 1, так как данное представление
наиболее наглядного и легко программно реализуемо.
При применении метода оценок к конкретной компании список услуг
можно как расширить, так и сузить. Цель в том, чтобы оценить с точки зрения ИБ
именно те услуги, которые оказывает конкретный провайдер для построения его
системы защиты.
Для того чтобы эти услуги предоставлялись качественно и в срок
необходимо, применительно к каждой услуге, разработать механизмы противодействия
нарушению нормального функционирования.
Таблица 1.
Пример анализа услуги.
Услуги |
Угрозы |
Источник угрозы |
Результат реализации угрозы |
Методы борьбы |
Wi Fi доступ, организация сети
клиента. |
1.Маскарад. |
1. Противник. |
Получение конфиденциальной информации клиентов,
удар по репутации компании. |
1. Шифрование трафика. 2. Взаимная аутентификация. 3. Контроль целостности VPN. 4. Привязка к MAC
адресу. 5. Сложные пароли для клиентов. |
2.Глушение связи. |
1. Программные отказы. 2. Противник. |
Отсутствие связи, невозможность получение клиентом
услуг. |
1. Использование только направленных антенн. 2. Шифрование трафика. |
|
3.НСД (подслушивание). |
1. Противник. 2. Сотрудник. 3. Программные отказы. 4. Аппаратные отказы и сбои. |
Получение конфиденциальной информации клиентов. |
1. Шифрование трафика. 2. Взаимная аутентификация клиента и сервера. 3. Привязка к MAC
адресу клиента. |
|
4.Воровство трафика. |
1. Противник 2. Программные отказы. |
Причинение прямых финансовых убытков провайдеру. |
1. Взаимная аутентификация клиента и сервера (аутентификация). 2. Использование только направленных антенн (НА). 3. Привязка к MAC
адресу клиента. |
|
5.Спам от имени оператора. |
1. Программные отказы. 2. Противник. 3. Использование устаревших технологий. |
Удар по репутации компании. |
1. Шифрование трафика. 2. Взаимная аутентификация. 3. Использование только НА. 4. Законодательные меры. |
|
6.НСД к внутренней сети крупного клиента. |
1. Использование устаревших технологий. 2. Противник |
Получение конфиденциальной информации клиентов, внедрение
во внутреннюю сеть клиента в обход внешних межсетевых экранов. |
1. Шифрование трафика. 2. Взаимная аутентификация. 3. Контроль целостности. 4. Привязка к MAC
адресу клиента. 5. Использование НА. 6. Сложные пароли для клиентов. 7. Конфигурация сети с учетом требований безопасности. 8. Использование сканеров и систем обнаружения атак. 9. Страхование информационных рисков. |
В статье впервые поставлена и выполнена задача комплексно классифицировать
Интернет-услуги с точки зрения ИБ для того, что бы любая компания на рынке
могла с помощью такой классификации разработать собственную
ПБ. Таблица может быть продолжена, расширена с учетом особенностей конкретной
компании. Такая система анализа услуг с точки зрения ИБ станет научной основой
построения ПБ, данная система может быть применена в любом
Интернет-провайдере. При грамотном и всеобъемлющем, по всем пунктам, заполнении
таблицы любая компания может оценить критичность тех или иных предоставляемых
услуг. Осознать, каким угрозам она подвержена, и каким последствиям приведет их
реализация. Основная цель такого анализа разработка организационных,
технических методов обеспечения ИБ компании, предоставляющей услуги в области Интернет-технологий и снижение
затрат на их создание. Полученные результаты можно использовать для построения
автоматизированной системы для анализа предоставляемых провайдером услуг.
Литература
1.
Герасименко В.А., Малюк А.А. Основы
защиты информации. - М., 1997.
Поступила в
редакцию 30.03.2009 г.