ТЕМА 6. ІНФОРМАЦІЙНА БЕЗПЕКА СИСТЕМ ЕЛЕКТРОННОЇ КОМЕРЦІЇ1. Поняття інформаційної безпеки.2. Методи забезпечення інформаційної безпеки.3. Інструментальні засоби аналізу захищеності інформаційних систем.1. Поняття інформаційної безпеки. Підключення організації до глобальної мережі, такий як Internet, вимагає створення системи захисту інформаційних ресурсів, від тих, хто схоче їх використовувати, модифікувати або просто знищити. Не дивлячись на свою специфіку, система захисту організації при роботі в глобальних мережах повинна бути продовженням загального комплексу зусиль, направлених на забезпечення безпеки інформаційних ресурсів. Під інформаційною безпекою розуміється "стан захищеності інформації, оброблюваної засобами обчислювальної техніки або автоматизованої системи від внутрішніх або зовнішніх загроз". Захист інформації - це комплекс заходів, направлених на забезпечення інформаційної безпеки. На практиці під цим розуміється підтримка цілісності, доступності і, якщо необхідно, конфіденційності інформації і ресурсів, що використовуються для введення, зберігання, обробки і передачі даних. Комплексний характер, проблеми захисту говорить про те, що для її вирішення необхідне поєднання законодавчих, організаційних і програмно-технічних заходів. Знання можливих загроз, а також вразливих місць інформаційної системи, необхідне для того, щоб вибирати найефективніші засоби забезпечення безпеки. Найчастішими і самими небезпечними (з погляду розміру збитку) є ненавмисні помилки користувачів, операторів, системних адміністраторів і інших осіб, обслуговуючих інформаційні системи. Іноді такі помилки приводять до прямого збитку (неправильно введені дані, помилка в програмі, що викликала зупинку або руйнування системи). Іноді вони створюють слабкі місця, якими можуть скористатися зловмисники (такі звичайно помилки адміністрування). Згідно даним Національного Інституту Стандартів і Технологій США (NIST), 65% випадків порушення безпеки ІС - слідство ненавмисних помилок. На другому місці за розмірами збитку розташовуються крадіжки і фальсифікації. В більшості розслідуваних випадків винуватцями виявлялися штатні співробітники організацій, відмінно знайомі з режимом роботи і захисними заходами. Ключовим етапом для побудови надійної інформаційної системи є вироблення політики безпеки. Під політикою безпеки розуміють сукупність документованих управлінських рішень, направлених на захист інформації і пов'язаних з нею ресурсів. З практичної точки зору політику безпеки доцільно розділити на три рівні: Рішення, що зачіпають організацію в цілому. Вони носять вельми загальний характер і, як правило, виходять від керівництва організації. Питання, що стосуються окремих аспектів інформаційної безпеки, але важливі для різних систем, експлуатованих організацією. Конкретні сервіси інформаційної системи. Третій рівень включає два аспекти - мета (політики безпеки) і правило їх досягнення.^ 2. Методи забезпечення інформаційної безпеки.Міжмережеве екранування Реалізації політики безпеки – вживання різних програмних і апаратно-технічних засобів в процесі побудови системи безпеки. Використовування міжмережевого екрану. Міжмережевий екран (firewall) - це засіб розмежування доступу клієнтів з однієї безлічі мережі до серверів з іншої безлічі мережі. Екран виконує свої функції, контролюючи всі інформаційні потоки між двома безліччю систем. Вимоги до реальної системи, що здійснює міжмережеве екранування. В більшості випадків екрануюча система повинна: Забезпечувати безпеку внутрішньої (що захищається) мережі і повний контроль над зовнішніми підключеннями і сеансами зв'язку; Володіти могутніми і гнучкими засобами управління для повного і, наскільки можливо, простого втілення в життя політики безпеки організації; Працювати непомітно для користувачів локальної мережі і не утрудняти виконання ними легальних дій; Працювати достатньо ефективно і встигати обробляти весь вхідний і витікаючий трафік; Володіти властивостями самозахисту від будь-яких несанкціонованих дій, оскільки міжмережевий екран є ключем до конфіденційної інформації в організації; Якщо у організації є декілька зовнішніх підключень, у тому числі і у видалених філіалах, система управління екранами повинна мати нагоду централізований забезпечувати для них проведення єдиної політики безпеки; Мати засобу авторизації доступу користувачів через зовнішні підключення. Екранування дозволяє підтримувати доступність сервісів усередині інформаційної системи, зменшуючи або взагалі ліквідовуючи навантаження, ініційоване зовнішньою активністю. Екранування дає можливість контролювати інформаційні потоки, направлені в зовнішню область, забезпечуючи режим конфіденційності.Шифрування інформації TCP/IP володіє високою сумісністю як з різними по фізичній природі і швидкісним характеристикам каналами, так і з широким довкола апаратних платформ, сукупність цих характеристик робить протокол TCP/IP унікальним засобом для інтеграції великих розподілених гетерогенних інформаційних систем. Технології інформаційної безпеки протоколу TCP/IP дозволяють з регульованим ступенем надійності захищати трафік всіх без виключення користувачів і прикладних систем при повній прозорості (невидимості для додатків) засобів захисту. Такі засоби захисту включають: Чим є ці засоби захисту? Протокол, що управляє шифруванням трафіку SKIP (Simple Key management for Internet Protocol) і створений на його основі ряд продуктів захисту інформації (ряд програмних реалізацій протоколу SKIP для базових апаратно-програмних платформ, пристрій колективного захисту локальної мережі SKIPBridge, пристрій забезпечення регульованої політики безпеки SunScreen). SKIP (Simple Key mamagement for Internet Protocol - Простий протокол управління криптоключами в інтермережі) розроблений компанією Sun Microsystems в 1994 році і запропонований як стандарт Internet. У основі SKIP лежить криптографія відкритих ключів Діффі-Хеллмана. SKIP має, в порівнянні з існуючими системами шифрування трафіку ряд унікальних особливостей: SKIP універсальний: він шифрує IP-пакеты, не знаючи нічого про додатки, користувачів або процеси, їх формуючих; він обробляє весь трафік, не накладаючи ніяких обмежень ні на вищерозміщене програмне забезпечення, ні на фізичні канали, на яких він використовується; SKIP сеансонезалежний: для організації захищеної взаємодії не вимагається додаткового інформаційного обміну; SKIP незалежний від системи шифрування - користувач може вибирати будь-який з пропонованих постачальником або використовувати свій алгоритм шифрування інформації. Пристрій SKIPBridge забезпечує захист (шифрування) трафіку, спрямовуваного з внутрішньої мережі в зовнішню на основі протоколу SKIP, а також фільтрацію і дешифрування трафіку, що поступає із зовнішньої мережі у внутрішню. IP-пакеты, що приймаються із зовнішньої мережі, обробляються протоколом SKIP. Пакети, що пройшли фільтрацію SKIP, за допомогою протоколу IP передаються програмному забезпеченню SKIPBridge, вирішальному задачі адміністративної безпеки (забезпечуючому пакетну фільтрацію), і потім - операційній системі. SunScreen - це спеціалізована система захисту, розроблена компанією Sun Microsystems, вирішальна задачі фільтрації пакетів, аутентифікації і забезпечення конфіденційності трафіку. Пристрій SunScreen виконаний на основі апаратного модуля SPF-100. SPF-100 містить SPARC-процессор, що працює під управлінням ОС Solaris. SunScreen не має IP-адреса, тому він "невидимий" із зовнішньої мережі і несхильний до атаки. Пристрій SunScreen, містить п'ять Ethernet-адаптеров, до яких можуть під'єднуватися чотири незалежні сегменти локальної мережі і комунікаційний провайдер. Для кожного сегменту забезпечується настройка індивідуальної політики безпеки шляхом завдання складного набору правил фільтрації пакетів.^ 3. Інструментальні засоби аналізу захищеності інформаційних систем. Для перевірки захищеності інформаційних систем існують програмні продукти класу "сканер безпеки системи". Ці продукти на сьогоднішній день існують для більшості операційних систем. Найвідоміші: ASET (компонент ОС Solaris), KSA (для платформ NetWare і NT), SSS (System Security Scanner) (Unix-платформы).System Security Scanner Програма System Security Scanner призначена для проведення перевірки стану безпеки на окремих UNIX-компьютерах і пошуку уразливості ОС як зовні (по мережі з використанням Internet Scanner), так і зсередини (з самої ОС комп'ютера). При цьому проводиться перевірка прав доступу і прав власності файлів, конфігурацій мережних сервісів, установок ресурсів користувачів, програм аутентифікації і інших, пов'язаних з користувачами слабких місць (наприклад, паролів). Пакет програм Internet Scanner SAFEsuite призначений для проведення комплексної оцінки ефективності політики безпеки на рівні мережних сервісів. Він надає можливості для ідентифікації і корекції більше 140 відомих слабких місць і постійного нагляду за станом безпеки для широкого діапазону мережних пристроїв - від web-узлов і міжмережевих екранів і до серверів і робочих станцій UNIX, Windows 95, Windows NT і всіх інших пристроїв працюючих з TCP/IP. Складається з трьох програм: Web Security Scanner, Firewall Scanner, Intranet Scanner.Web Secure Scanner Призначений для пошуку слабких місць безпеки на web-серверах. Забезпечує аудит ОС, під управлінням якої працює web-сервер, програм-додатків, встановлених на web-сервере, і CSI scripts в web-приложениях. Проводить тестування конфігурації web-сервера, оцінює рівень безпеки основної файлової системи.Firewall Scanner Забезпечує пошук слабких місць в міжмережевих екранах, перш за все в їх конфігурації, і надає рекомендації по їх корекції. Проводить тестування реакції міжмережевих екранів на різні типи спроб порушення безпеки. Виконує сканування сервісів - ідентифікацію всіх мережних сервісів, доступ до яких здійснюється через міжмережевий екран.Intranet Scanner Призначений для автоматичного виявлення потенційних слабких місць усередині мереж з використанням різних тестів для перевірки реакції на несанкціоновані проникнення. Забезпечує перевірку різних мережних пристроїв, включаючи UNIX hosts, системи, що працюють під Microsoft NT/Windows 95, маршрутизатори, web-серверы і X-терминалы. Сімейство продуктів SAFEsuite, розроблених американською компанією Internet Security Systems (ISS) - комплект засобів призначених для оцінки захищеності інформаційних систем. Складається з системи аналізу захищеності на рівні мережі Internet Scanner, засобу аналізу захищеності на рівні хосту System Scanner і виявлення атак на рівні мережі RealSecure Network Engine, Database Scanner.Internet Scanner Система аналізу захищеності — Internet Scanner — призначена для проведення регулярних всесторонніх або вибіркових тестів мережних служб, операційних систем, прикладного, що використовується, ПО, маршрутизаторів, міжмережевих екранів, Web-серверов і т.п. Результатом тестування є звіти, що містять докладний опис кожної знайденої уразливості, її дислокації в корпоративній мережі, а також рекомендації по корекції або усуненню «слабкого місця». Система аналізу захищеності — Database Scanner - призначена для виявлення проблем, пов'язаних з безпекою баз даних. В цьому ПО реалізовані перевірки підсистем аутентифікації, авторизації і контролю цілісності. Вбудована база знань, містить перелік коректуючих дій, що рекомендуються, для усунення знайдених уязвімостей. Database Scanner підтримує СУБД Microsoft SQL Server, Sybase Adaptive Server, Oracle, Informix.