ГОСТ Р ИСО МЭК 17799 (1027767), страница 14

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 14)

Контроль доступа, в частности, является необходи­мым для сетевых подключений к важным или критичным бизнес-приложениям или для пользователей,находящихся в зонах высокого риска, например, в общественных местах или за пределами организа­ции — вне сферы непосредственного управления и контроля безопасности со стороны организации.Следует предусматривать меры безопасности в отношении использования сетей и сетевых серви­сов. При этом должны быть определены:- сети и сетевые услуги, к которым разрешен доступ;- процедуры авторизации для определения кому, к каким сетям и сетевым сервисам разрешен дос­туп;- мероприятия и процедуры по защите от несанкционированного подключения к сетевым серви­сам.Необходимо, чтобы эти меры согласовывались с требованиями бизнеса в отношении контролядоступа (9.1).9.4.2 Предопределенный маршрутМаршруты от пользовательского терминала до точек предоставления компьютерных сервисовтребуют особого контроля.

Сети проектируются с учетом обеспечения максимальных возможностей длясовместного использования ресурсов и гибкости маршрутизации. Эти особенности повышают рискнеавторизованного доступа к бизнес-приложениям или неавторизованного использования информаци­онного оборудования. Мероприятия, которые ограничивают маршруты между пользовательским терми­налом и компьютерными сервисами, к которым пользователь авторизован осуществлять доступ,например, путем создания оптимального маршрута, могут уменьшать такие риски.Цель оптимизации маршрута состоит в том, чтобы исключить выбор пользователями иных мар­шрутов, кроме маршрута между пользовательским терминалом и сервисами, по которому пользовательавторизован осуществлять доступ.Этот подход обычно требует внедрения набора средств контроля в различных точках маршрута.Принцип заключается в ограничении вариантов маршрутизации в каждой точке сети посредством опре­деленных способов, например:31- распределения выделенных линий или номеров телефона;- автоматического подключения портов к определенным системным приложениям или шлюзамбезопасности;- ограничения опций меню и подменю для индивидуальных пользователей;- предотвращения неограниченного сетевого роуминга;- использования определенных прикладных систем и/или шлюзов безопасности для внешнихпользователей сети;- активного контроля разрешенного источника с целью направления соединения через шлюзыбезопасности, например, межсетевые экраны;- ограничения доступа к сети посредством создания отдельных логических доменов, напримервиртуальных частных сетей для пользовательских групп в пределах организации (9.4.6).Выбор конкретных способов должен основываться на требованиях бизнеса в отношении контролядоступа (9.1).9.4.3 Аутентификация пользователей в случае внешних соединенийВнешние соединения обеспечивают потенциал для неавторизованного доступа к служебнойинформации, например, при использовании телефонной связи.

Поэтому, при доступе удаленныхпользователей, они должны быть аутентифицированы. Некоторые методы аутентификации обеспечи­вают больший уровень защиты, например, основанные на использовании средств криптографии, и могутобеспечить надежную аутентификацию. Исходя из оценки риска, важно определить требуемый уровеньзащиты для выбора соответствующего метода аутентификации.Аутентификация удаленных пользователей может быть достигнута при использовании средствкриптографии, средств идентификации аппаратуры или протоколов, поддерживающих метод«отклик-отзыв». Выделенные частные линии или средства проверки сетевого адреса пользователямогут также использоваться для обеспечения доверия к источнику подключений.Процедуры и средства контроля обратного вызова, например использование модемов с обратнымвызовом, могут обеспечивать защиту от неавторизованных и нежелательных подключений к средствамобработки информации организации, так как подтверждают право на доступ пользователей, пытающих­ся установить удаленную связь с сетью организации.

При использовании этих способов организации неследует использовать сетевые сервисы, которые включают переадресацию вызова. Если же онииспользуются, необходимо блокировать возможности переадресации, чтобы избежать связанных сэтим рисков. Также важно, чтобы процесс обратного вызова обеспечивал уверенность в том, что факти­ческое разъединение на стороне организации осуществлено. В противном случае удаленный пользова­тель может держать линию занятой, фальсифицируя проверку обратного вызова. Для исключенияподобных инцидентов процедуры и средства контроля обратного вызова следует тщательнотестировать,9.4.4 Аутентификация узлаСредство автоматического подсоединения к удаленному компьютеру может предоставить способполучения неавторизованного доступа к бизнес-приложению.

Следовательно, подключения к удален­ным компьютерным системам необходимо аутентифицировать, что особенно важно, если подключениепроизводится к сети, которая находится вне сферы контроля управления безопасностью организации.Примеры аутентификации и способы ее достижения рассматриваются в 9.4.3.Аутентификация узла может служить альтернативным средством аутентификации групп удален­ных пользователей там, где они подсоединены к безопасному компьютерному средству совместногоиспользования (9.4.3).9.4.5 Защита портов диагностики при удаленном доступеДля обеспечения безопасности доступ к портам диагностики должен быть контролируемым, Мно­гие компьютерные сети и системы связи имеют набор средств удаленной диагностики для использова­ния инженерами по обслуживанию.

Будучи незащищенными, эти диагностические порты являютсяисточником риска неавторизованного доступа. Безопасность этих портов необходимо обеспечивать спомощью соответствующего защитного механизма безопасности, например, «замка», а также осуще­ствлять доступ обслуживающего персонала к диагностическим портам только на основании договорен­ности между руководителем, отвечающим за обеспечение компьютерных сервисов, и персоналом поподдержке аппаратных/программных средств.9.4.6 Принцип разделения в сетяхКомпьютерные сети все более распространяются за пределы организации, поскольку создаютсяделовые партнерства, которые требуют общения между партнерами или совместного использованиясетевой инфраструктуры и средств обработки информации. Такие расширения увеличивают риск неав­торизованного доступа к информационным системам сети, причем в отношении некоторых из этих сис32тем, вследствие их важности или критичности, может потребоваться защита от пользователей,получивших доступ к другим системам сети.

В таких случаях необходимо рассматривать внедрениедополнительных мероприятий по управлению информационной безопасностью в пределах сети, чтобыразделять группы информационных сервисов, пользователей и информационные системы.Одно из таких мероприятий состоит в том, чтобы разделять их на отдельные логические сетевыедомены, например, внутренний сетевой домен организации и внешние сетевые домены, каждый изкоторых защищен определенным периметром безопасности.

Такой периметр может быть реализованпосредством внедрения шлюза безопасности между двумя связанными сетями для контроля доступа иинформационного потока между ними. Этот шлюз следует конфигурировать для фильтрации трафикамежду доменами (9.4.7 и 9.4.8) и для блокирования неавторизованного доступа в соответствии с полити­кой контроля доступа организации (9,1).

Примером такого шлюза является межсетевой экран.Критерии для разделения сетей на домены следует формировать на основе анализа политики кон­троля доступа (9.1), а также учитывая влияние этого разделения на производительность в результатевключения подходящей технологии маршрутизации сетей или шлюзов (9.4.7 и 9.4.8).9.4.7 Контроль сетевых соединенийТребования политики контроля доступа для совместно используемых сетей, особенно тех, кото­рые простираются за границы организации, могут потребовать внедрения дополнительных мероприя­тий по управлению информационной безопасностью, чтобы ограничивать возможности пользователейпо подсоединению.

Такие мероприятия могут быть реализованы посредством сетевых шлюзов, которыефильтруют трафик с помощью определенных таблиц или правил. Необходимо, чтобы применяемыеограничения основывались на политике и требованиях доступа к бизнес-приложениям (9.1), а такжесоответствующим образом поддерживались и обновлялись.Примеры бизнес-приложений, к которым следует применять ограничения:- электронная почта;- передача файлов в одном направлении;- передача файла в обоих направлениях;- интерактивный доступ;-доступ к сети, ограниченный определенным временем суток или датой.9.4.8 Управление маршрутизацией сетиСети совместного использования, особенно те, которые простираются за границы организации,могут требовать реализации мероприятий по обеспечению информационной безопасности, чтобы под­соединения компьютеров к информационным потокам не нарушали политику контроля доступа к биз­нес-приложениям (9.1).

Характеристики

Список файлов учебной работы