ГОСТ Р ИСО МЭК 17799 (1027767), страница 15

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 15)

Это является особенно важным для сетей, совместно используемых спользователями третьей стороны (не сотрудниками организации).Обеспечение информационной безопасности при осуществлении маршрутизации основываетсяна надежном механизме контроля адресов источника и назначения сообщения. Преобразование сете­вых адресов также очень полезно для изоляции сетей и предотвращения распространения маршрутовот сети одной организации в сеть другой. Этот подход может быть реализован как программным спосо­бом, так и аппаратно. Необходимо, чтобы специалисты, занимающиеся внедрением, были осведомле­ны о характеристиках используемых механизмов.9.4.9 Безопасность использования сетевых службОбщедоступные и частные сетевые службы предлагают широкий спектр дополнительных инфор­мационных услуг, обладающих характеристиками безопасности и обеспечивающих разные уровнизащиты.

Организации, пользующиеся этими услугами, должны быть уверены в том, что при этом обеспе­чивается необходимый уровень информационной безопасности и имеется четкое описание атрибутовбезопасности всех используемых сервисов.9.5 Контроль доступа к операционной системеЦель: предотвращение неавторизованного доступа к компьютерам.На уровне операционной системы следует использовать средства информационной безопасностидля ограничения доступа к компьютерным ресурсам. Эти средства должны обеспечивать:а) идентификацию и верификацию компьютера пользователя и, если необходимо, термина­ла и местоположение каждого авторизованного пользователя;б) регистрацию успешных и неудавшихся доступов к системе;в) аутентификацию соответствующего уровня. Если используется система парольной защи­ты, то она должна обеспечивать качественные пароли (9.3.1 г);г) ограничение времени подсоединения пользователей, в случае необходимости.33Другие методы контроля доступа, такие как «отклик-отзыв», являются допустимыми, если ониоправданы с точки зрения бизнес-рисков.9.5.1 Автоматическая идентификация терминалаСледует рассматривать возможность использования автоматической идентификации терминала,чтобы аутентифицировать его подсоединение к определенным точкам системы.

Автоматическая иден­тификация терминала — метод, который должен использоваться, если важно, чтобы сеанс мог бытьинициирован только с определенного места или компьютерного терминала. Встроенный или подсоеди­ненный к терминалу идентификатор может использоваться для определения, разрешено ли этому кон­кретному терминалу инициировать или получать определенные сообщения. Может быть необходимымприменение физической защиты терминала для обеспечения безопасности его идентификатора.Существуют другие методы, которые можно использовать для аутентификации пользователей (9.4,3).9.5.2 Процедуры регистрации с терминалаДоступ к информационным сервисам должен быть обеспечен путем использования безопаснойпроцедуры входа в систему (способ регистрации).

Процедуру регистрации в компьютерной системе сле­дует проектировать так, чтобы свести к минимуму возможность неавторизованного доступа и не оказы­вать помощи неавторизованному пользователю. Правильно спланированная процедура регистрациидолжна обладать следующими свойствами:а) не отображать наименований системы или приложений, пока процесс регистрации небудет успешно завершен;б) отображать общее уведомление, предупреждающее, что доступ к компьютеру могут полу­чить только авторизованные пользователи;в) не предоставлять сообщений-подсказок в течение процедуры регистрации, которые мог­ли бы помочь неавторизованному пользователю;г) подтверждать информацию регистрации только по завершении ввода всех входных дан­ных.

В случае ошибочного ввода система не показывает, какая часть данных является правильной илинеправильной;д) ограничивать число разрешенных неудачных попыток регистрации (рекомендуется три) ипредусматривать:1) запись неудачных попыток;2) включение временной задержки прежде, чем будут разрешены дальнейшие попытки регис­трации, или отклонение любых дальнейших попыток регистрации без специальной авториза­ции;3) разъединение сеанса связи при передаче данных;е) ограничивать максимальное и минимальное время, разрешенное для процедуры регис­трации.

Если оно превышено, система должна прекратить регистрацию;ж) фиксировать информацию в отношении успешно завершенной регистрации:1) дату и время предыдущей успешной регистрации;2) детали любых неудачных попыток регистрации, начиная с последней успешной регистра­ции.9.5.3 Идентификация и аутентификация пользователяНеобходимо, чтобы все пользователи (включая персонал технической поддержки, т. е.

операто­ров, администраторов сети, системных программистов и администраторов базы данных) имели уни­кальный идентификатор (пользовательский ID) для их единоличного использования с тем, чтобы ихдействия могли быть проанализированы ответственным лицом, Пользовательский ID не должен содер­жать признаков уровня привилегии пользователя (9.2.2), например, менеджера, контролера.Для выполнения особо важных работ допускается использовать общий идентификатор для группыпользователей или для выполнения определенной работы. В таких случаях необходимо соответствую­щим образом оформленное разрешение руководства.

Кроме того, для обеспечения безопасности сис­темы от неавторизованного доступа в этих случаях может потребоваться применение дополнительныхмер обеспечения информационной безопасности.Существуют различные процедуры аутентификации, которые могут использоваться для доказа­тельства заявленной идентичности пользователя. Пароли (9.3.1) — очень распространенный способобеспечения идентификации и аутентификации (I&A), основанный на использовании пароля, которыйзнает только пользователь. То же самое может быть достигнуто средствами криптографии и протокола­ми аутентификации.Специальные физические устройства доступа с памятью (token) или микропроцессорные карты(смарт-карты), которыми пользуются сотрудники, могут также использоваться для идентификации иаутентификации. Биометрические методы аутентификации, которые основаны на уникальности харак34теристик (особенностей) индивидуума, могут также использоваться для аутентификации пользователя.Сочетание различных технологий и методов обеспечивает более надежную аутентификацию.9.5.4 Система управления паролямиПароли — одно из главных средств подтверждения полномочия пользователя, осуществляющегодоступ к компьютерным сервисам.

В системах управления паролем должны быть предусмотреныэффективные интерактивные возможности поддержки необходимого их качества (9.3.1).Для некоторых бизнес-приложений требуется назначение пользовательских паролей независи­мым должностным лицом. В большинстве же случаев пароли выбираются и поддерживаются пользова­телями,Система управления паролями должна:- предписывать использование индивидуальных паролей для обеспечения установления ответ­ственности;- позволять пользователям выбирать и изменять их собственные пароли, а также включать под­тверждающую процедуру для учета ошибок ввода при необходимости;- предписывать выбор высококачественных паролей в соответствии с 9,3.1;- там, где пользователи отвечают за поддержку своих собственных паролей, принуждать их к изме­нению паролей (9.3.1);- там, где пользователи выбирают пароли, обеспечивать изменение временных паролей при пер­вой регистрации (9.2.3);- поддерживать хранение истории предыдущих пользовательских паролей (за предыдущий год) ипредотвращать их повторное использование;- не отображать пароли на экране при их вводе;- хранить файлы паролей отдельно отданных прикладных систем;- хранить пароли в зашифрованной форме, используя односторонний алгоритм шифрования;- обеспечивать смену паролей поставщика, установленных по умолчанию, после инсталляции про­граммного обеспечения.9.5.5 Использование системных утилитНа большинстве компьютеров устанавливается, по крайней мере, одна программа — системнаяутилита, которая позволяет обойти меры предотвращения неавторизованного доступа к операционнымсистемам и бизнес-приложениям.

Использование системных утилит должно быть ограничено и тща­тельным образом контролироваться. Для этого необходимо использование следующих мероприятий поуправлению информационной безопасностью:- использование процедур аутентификации системных утилит;- отделение системных утилит от прикладных программ;- ограничение использования системных утилит путем выбора минимального числа доверенныхавторизованных пользователей, которым это необходимо;- авторизация эпизодического использования системных утилит;- ограничение доступности системных утилит (только на время внесения авторизованных измене­ний);- регистрация использования всех системных утилит;- определение и документирование уровней авторизации в отношении системных утилит;- удаление всех ненужных утилит из системного программного обеспечения.9.5.6 Сигнал тревоги для защиты пользователей на случай, когда они могут стать объектомнасилияЖелательно предусматривать сигнал тревоги на случай, когда пользователь может стать объек­том насилия.

Решение об обеспечении такой сигнализацией следует принимать на основе оценки рис­ков. При этом необходимо определить обязанности и процедуры реагирования на сигнал такой тревоги.9.5.7 Периоды бездействия терминаловТерминалы, размещенные в местах повышенного риска, например в общедоступных местах иливне сферы контроля процесса управления безопасностью организации, обслуживающие системы высо­кого риска, должны отключаться после определенного периода их бездействия для предотвращениядоступа неавторизованных лиц. Механизм блокировки по времени должен обеспечивать очистку экранатерминала, а также закрытие работы сеансов приложения и сетевого сеанса терминала после опреде­ленного периода времени его бездействия.

Характеристики

Список файлов учебной работы