сропиа (Темы и ответы на них)

1.3. Система раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации.

В соответствие с решением Совета Безопасности Российской Федерации от 27 июня 2000 года к важнейшей задаче создания вышеупомянутой федеральной системы следует отнести направление работ по созданию системы раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации.

Создание такой системы связано с разработкой и применением мощного интегрированного инструментария, использующего самые современные методы обработки и анализа информации из разнородных источников, основанные на применении интеллектуальных информационных технологий. Острота решения данной задачи определяется высокими темпами подключения к Internet ОГВ и экономически значимых структур РФ, информационные ресурсы которых часто являются критическими для государства.

На данный момент информационные системы ОГВ, создаваемые с участием ФАПСИ, разворачиваются с учетом возможных угроз со стороны открытых сетей. Для систем, в которых циркулирует информация, составляющая государственную тайну, накладываются ограничения на связь с глобальной сетью Internet. При создании официальных информационных ресурсов ОГВ в сети Интернет (например, сайт Совета Безопасности Российской Федерации), для обеспечения их безопасности должны использоваться сертифицированные устройства типа «firewall».

В соответствии с п.1 Указа Президента РФ от 06.10.98 № 1189 «О мерах по обеспечению информационной безопасности РФ в сфере международного информационного обмена» в интересах органов государственной власти Российской Федерации ФАПСИ проводит комплекс работ по созданию специальной сети RSNET для обеспечения их доступа в Интернет и информационного обмена между собой. Прорабатываются вопросы безопасности системы управления, информационных ресурсов, доступа из глобальной сети Интернет.

Следует отметить, что в соответствии с этим Указом запрещено подключение любых информационных систем, в которых обрабатывается конфиденциальная информация, к внешней сети (Интернет) без использования средств разграничения доступа и средств криптографической защиты данных.

Создание системы раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации позволит организовать «передний рубеж» защиты специальной сети RSNET от деструктивных информационных воздействий со стороны открытых сетей.

В соответствии с указанием Генерального директора ФАПСИ № 2/46-265 от 30.03.99г. и с пп.1, 2 Решения 2.2 МВК Совета безопасности РФ по информационной безопасности от 22.06.99г. в настоящее время в ФАПСИ ведутся работы в рамках первого этапа создания системы динамического мониторинга состояния информационно-телекоммуникационных сетей и централизованной обработки фактов сбоев и нарушений работоспособности компьютерных систем, которые могут классифицироваться как признаки компьютерного нападения.

В США работы по созданию аналогичной по назначению системы обнаружения несанкционированного доступа в информационные сети (FIDNET) планируется проводить в рамках «Национального плана защиты информационных систем», который предусматривает полномасштабное разворачивание системы FIDNET в 2003 году и финансирование, в частности, на 1999 год в размере 1,5 млрд. долларов. Сравнимая с этой сумма была затрачена небюджетными организациями США на работы в области борьбы с компьютерными преступлениями.

С целью оперативно-технического и научно-технического сопровождения создания системы динамического мониторинга и предупреждения угроз компьютерного нападения в ФАПСИ завершено формирование подразделения, в функциональные обязанности которого входит:

решение первоочередных задач по обеспечению разработки нормативно-методических документов по сбору и анализу информации о фактах компьютерного нападения,

решение первоочередных задач по проведению динамического мониторинга и анализу защищенности информационно-телекоммуникационных сетей от компьютерного нападения,

разработка мер по противодействию попыткам несанкционированного проникновения в системы и нарушения их функционирования.

Подготовлен «Временный порядок сбора и первичного анализа информации о фактах сбоев компьютерных систем (для опытного полигона)» (№ 2/59-258, 1999 г.).

Кроме серьезных финансовых затрат данная проблема требует решения целого спектра вопросов научно-технического, административного, юридического характера. Необходимо принятие пакета законов, регламентирующих использование ресурсов глобальной сети Интернет в интересах ОГВ, законов об ответственности за совершение компьютерных преступлений, а также законов, регламентирующих деятельность правоохранительных органов и спецслужб государства в данной области.

В связи с отсутствием отечественных средств мониторинга необходимо проводить работы по их созданию, так как использование зарубежных средств ставит Российскую Федерацию в опасную зависимость от иностранных производителей данной продукции.

Также представляется необходимым создание единого ситуационно-аналитического центра мониторинга информационного пространства России, в который будет стекаться информация из его региональных подразделений для последующего её анализа и принятия необходимых решений. Данный центр необходимо создавать в тесной кооперации с другими заинтересованными ведомствами, прежде всего ФСБ, СВР, Минобороны, МВД.

В настоящем разделе сделана попытка структурного представления системы раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации.

На рис. 5 представлена предлагаемая структурная схема разрабатываемой системы.

Система раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации

Рис. 5. Структурная схема системы раннего обнаружения и предупреждения об информационных атаках на критическую информационную инфраструктуру Российской Федерации

Система быстрого распространения информации

о выявленных средствах РИВ (ИО) и

рекомендациям по способам противодействия

Центр мониторинга, анализа и прогноза информационных угроз федеральным критическим инфраструктурам

Центр раннего обнаружения и оценки возникающих информационных киберугроз

Центр анализа и прогноза системных информационных угроз

Центр быстрого реагирования на возникающие угрозы кибернетических атак

База данных и знаний по выявленным РИВ (ИО), методикам и средствам защиты информации в федеральных ИТКС

Объединенный федеральный банк данных по выявленному ИО и средствам его доставки и внедрения

Объединенный федеральный банк данных методик выявлдения

РИВ (ИО)

Объединенный федеральный банк данных сертифицированных средств защиты от РИВ (ИО)

Объединенный федеральный банк данных по способам и средствам ведения информационных войн

Центр информационных операций в техносфере информационного

противоборства

Центр по правовым проблемам защиты информационной инфраструктуры России от кибернетических атак

Межведомственная база данных по средствам и методам применения ИО, методологии информационного противоборства (ИБ) и предупреждения информационных войн

Центр мониторинга, анализа и прогноза информационных угроз федеральным критическим инфраструктурам (включая ИТКС) включает:

- Центр раннего обнаружения и оценки возникающих информационных киберугроз;

- Центр анализа и прогноза системных информационных угроз;

- Центр быстрого реагирования на возникающие угрозы кибернетических атак;

• систему быстрого распространения информации о выявленных средствах РИВ (ИО) и рекомендациям по способам противодействия;

• Центр технологической безопасности, осуществляющий сертификацию решений для обеспечения сетевой и телекоммуни­кационной безопасности;

• Центр по правовым проблемам защиты информационной инфраструктуры России от кибернетических атак.

Центр раннего обнаружения и оценки возникающих информационных киберугроз предназначен для:

- централизованной обработки информации о фактах сбоев и нарушений работоспособности компьютерных систем, эксплуатируемых ОГВ, которые могут классифицироваться как признаки компьютерного нападения;

• первичного оперативного анализа выявленных аномалий, их типизации, оценки, определения степени опасности для действующих информационных систем;

• определения первопричин инцидента, что важно для оценки его последствий и недопущения повторных нарушений

• присвоения КН соответствующего уровня тревоги и принятия решения о необходимости оповещения соответствующих ОГВ о КН, уровне его организации, масштабе и поражающих факторах.

Центр анализа и прогноза системных информационных угроз предназначен для:

- проведения системного анализа выявленных информационных угроз, их систематизации, ранжирования, классификации и прогноза.

• выявления потенциально уязвимых элементов сетей и устройств, способных при определенных условиях поставить под угрозу их безопасность в целом;

• определения наиболее эффективных способов обнаружения и противодействия информационным атакам;

• проведения постоянной оценки и корректировки модели угроз со стороны потенциального противника и своевременное внесение изменений в средства защиты информации;

Центр быстрого реагирования на возникающие угрозы кибернетических атак – оперативный орган, задачами которого являются:

• создание средств восстановления элементов информационной инфраструктуры, поврежденных в ходе преднамеренных атак, случайных нежелательных воздействий, а также объективных критических ситуаций;

- блокирование событий, относящихся к угрозам КН или непосредственно к акциям КН;

- восстановление штатных режимов работы в приемлемые для пользователя сроки;

• интеграция с другими защитными механизмами сети для лучшего анализа ситуации (например, с привлечением средств контроля целостности), так и для оперативного реагирования на нарушения (средствами приложений, операционных систем или межсетевых экранов);

• выявление и организация поиска нарушителя.

Система быстрого распространения информации о выявленных средствах РИВ (ИО) и рекомендациям по способам противодействия предназначена для:

• оперативного оповещения ОГВ о выявленных информационных угрозах, осуществляет сбор данных, их обработку и доведение до потребителей в рамках единой системы распределения информации;

• эффективного оперативного обмена информацией о потенциальных угрозах между организациями и ведомствами, в первую очередь государственными.

Центр технологической безопасности, осуществляющий сертификацию решений для обеспечения сетевой и телекоммуни­кационной безопасности объединяет систему Межведомственных центров защиты от РИВ (ИО):

- Центр проведения СИ и СП

- Центр сертификации ПО

• Центр безопасности RSNET

• Центр безопасности ИТКС

- Антивирусный центр