ВКР (814093), страница 9

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 9)

4.1 Основные аспекты информационной безопасности

Под информационной безопасностью понимают такое состояние защищенности информации, при котором обеспечиваются такие ее характеристики, как конфиденциальность, целостность и доступность.

Информационная безопасность предприятия – это состояние защищённости корпоративных данных, при которой обеспечивается их конфиденциальность, целостность, аутентичность и доступность [7].

Право на поиск, получение, передачу, производство и распространение информации, а также применение информационных технологий и обеспечение защиты информации, предусмотрены в федеральном законе 27.07.2006 № 149 – ФЗ «Об информации, информационных технологиях и о защите информации» (с изм. и доп., вступ. в силу 01.01.2017) [7].

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

– обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

– соблюдение конфиденциальности информации ограниченного доступа;

– реализацию права на доступ к информации [39].

В качестве стандартной модели безопасности часто приводят модель из трёх категорий.

Категории безопасности представлены на рисунке [7].

РРисунок 4.1 – Модель категорий безопасности

Выделяют и другие не всегда обязательные категории модели безопасности:

– неотказуемость или апеллируемость - невозможность отказа от авторства;

– подотчётность - обеспечение идентификации субъекта доступа и регистрации его действий;

– достоверность - свойство соответствия предусмотренному поведению или результату;

– аутентичность или подлинность - свойство, гарантирующее, что субъект или ресурс идентичны заявленным [39].

Основные цели достижения высокого уровня информационной безопасности – это обеспечение конфиденциальности, целостности, доступности, подлинности и неотказуемости информации [14].

Чтобы обеспечить конфиденциальность информации ее необходимо:

– закрыть, т.е. разграничить доступ и запретить неавторизированным пользователям, процессам и устройствам использовать информацию;

– скрыть, например, методами стенографии сделать неизвестным сам факт существования информации;

– зашифровать, т.е. привести в нечитаемый вид для тех, кто не имеет специального ключа;

– раздробить, т.е. разделить на части таким образом, чтобы знание одной части не давало возможности восстановить информацию.

Целостность особенно важна в тех случаях, когда информация представляет большую ценность и не должна быть потеряна, а также когда данные могут быть намеренно изменены в целях дезинформации получателя. Как правило, от стирания информацию защищают методами, обеспечивающими конфиденциальность, и резервным копированием, а отсутствие искажений проверяют с помощью хеширования [39].

Типичными случаями нарушения доступности являются сбой в работе программных или аппаратных средств, и распределенная атака таких, как «отказ в обслуживании» (далее - DDoS). От сбоев информационную систему защищают устранением причин сбоев, а от DDoS-атак – отсечением паразитного трафика.

Подлинность или аутентичность – возможность однозначно идентифицировать автора или источник информации. Подлинность электронных данных часто удостоверяется таким средством, как электронно-цифровая подпись.

Неотказуемость – неотрекаемость от авторства информации, а также факта её отправки или получения. Неотказуемость можно гарантировать электронно-цифровой подписью и другими криптографическими средствами, и протоколами. Неотказуемость актуальна, например, в системах электронных торгов, где она обеспечивает ответственность друг перед другом продавцов и покупателей [7,14].

Обеспечение информационной безопасности предполагает осуществление многомерной деятельности, носящей систематический и комплексный характер. При ее осуществлении важно иметь в виду те задачи, которые выдвигаются перед сторонами, заинтересованными в информационной безопасности [27].

Все многообразие выделяемых задач может быть сведено к нескольким основным, а именно:

– обеспечение доступности информации, что подразумевает возможность за приемлемое время получить требуемую информационную услугу, а также предотвращение несанкционированного отказа в получении информации;

– обеспечение целостности информации, предусматривающее предотвращение несанкционированной модификации или разрушение информации;

– обеспечение конфиденциальности информации, что связано с предотвращением несанкционированного ознакомления с информацией [10].

4.2 Информационная безопасность в Комсомольском центре организации работ железнодорожных станций

Информационная безопасность (далее – ИБ) на Комсомольском регионе ОАО «РЖД» обеспечивается региональным центром безопасности (далее – РЦБ).

На полигоне Дальневосточной железной дороге (далее – ДВЖД) выполняются следующие требования корпоративной безопасности в области ИБ ОАО «РЖД».

Утвержден годовой план проведения проверок состояния и организации защиты информации, составляющей коммерческую тайну на 2017 г. (в соответствии с Приказом ОАО «РЖД» № 240 от 27.12.2004 г. «О порядке обращения с информацией, составляющей коммерческую тайну») [8].

В 2017 году проведено 15 проверок соблюдения режима «Коммерческая тайна» выявлено 102 нарушения, из них 98 устранены (основные нарушения, это не корректное ведения конфиденциального делопроизводства и не актуальные распорядительные документы на предприятиях). За нарушения требований нормативных документов ОАО «РЖД» в области ИБ за 2017 год привлечено 73 сотрудника ОАО «РЖД» к дисциплинарной ответственности.

Утверждена политика ИБ ДВЖД, в которой включены требования по работе в интернете, парольная и антивирусная защита, а также требования к пользователям и администраторам при работе на персональном компьютере (далее – ПК).

Вся входящая электронная почта проходит последовательную проверку на вредоносные вложения и ссылки при помощи антивирусных продуктов (KasperskySecurityforLinuxMailServer и TrendMicroInterscanMessagingSecurityVirtualAppliance). Все получаемые из интернета вложения проходят проверку при помощи антивируса KasperskyAntyTargetedAttackPlatform. На всех ПК и серверах установлен антивирус Kaspersky Endpoint Security 10. События из этих систем антивирусной защиты собираются в единой системе корреляции событий ИБ.

С использованием программно-технического комплекса «ПОТОК» Центром ежедневно проводится работа по выявлению пересылки документов с грифом «Коммерческая тайна» по незащищённым каналам системы передачи данных ОАО «РЖД». За 2017 год было выявлено 2 факта (за 2016 год – 39 фактов) пересылки по электронной почтовой системе документов с грифом «Коммерческая тайна».

Проводиться мероприятия по противодействию вредоносному программному обеспечению:

– на почтовых шлюзах запрещены письма с исполняемыми вложениями (*.exe, *.cmd, *.vbs, *.js и т.п.);

– СПАМ письма помещаются в карантин;

– входящий веб-трафик проверяется на наличие вредоносного кода, нежелательных ссылок, непроизводственных приложений при помощи TrendMicroInterscanWebSecurityVirtualAppliance, скачивание исполнимых файлов разрешено только для ограниченного круга ИТ-специалистов;

– в настоящее время на всех ПК ОАО «РЖД» поэтапно внедряется унифицированный процесс своевременного обновления безопасности прикладного и системного программного обеспечения, установка обновлений формализована на серверах и сетевом оборудовании ИТ-инфраструктуры ОАО «РЖД»;

– на всех ПК домена ДВЖД реализован механизм разграничения прав по принципу минимально необходимых полномочий, пользователи не обладают административными правами на своих ПК;

– антивирусное сканирование критических областей выполняется на всех ПК и серверах 1 раз в неделю, полное сканирование – 1 раз в месяц;

– при подключении внешних носителей автоматически выполняется антивирусная проверка.

Благодаря данным мероприятиям на полигоне ДВЖД значительно снизилась количество вирусных заражений, поступающих из внешней сети «Интернет», так в 2016 году было зафиксировано 312 вирусных заражений, а за прошедший период 2017 года было зафиксировано 2 факта.

Обеспечение ИБ электронной почты:

– отправка писем за пределы организации разрешена только для группы лиц, ограниченной установленным порядком;

– запрещена отправка и прием писем, не принадлежащих домену dvgd.ru;

– используемые программно-аппаратные комплексы поддерживают использование защищенного соединения TLS с внешними серверами, однако, в централизованном проекте почтовой системы использование этих протоколов не предусмотрено, рассмотрение возможности включения TLS для отправки почты будет включено в планы на 2017 год;

– внешние почтовые шлюзы dvgd.ru настроены на проверку легитимности серверов ЭПС по различным технологиям (SPF, DKIM, DMARK).

Обеспечение ИБ серверов:

- Хабаровский Информационный вычислительный центр (далее – ИВЦ) является владельцем зоны dvgd.ru. Определены ответственные лица за сопровождение серверов;

- запрещены рекурсивные запросы из сети интернет;

- запрещены из сети интернет запросы имен, не принадлежащих домену dvgd.ru;

- на сетевом оборудовании включена защита от спуфинг - атак;

- фильтрация на сетевом оборудовании осуществляется межсетевыми экранами следующего поколения PaloAlto, что позволяет идентифицировать сетевое приложение вплоть до 7 уровня модели OSI и пропускать только трафик приложения DNS;

- для защиты от трафика bot-сетей на межсетевых экранах PaloAlto реализован механизм sinkhole, перенаправляющий вредоносный трафик на несуществующий IP-адрес.

Обеспечение ИБ ресурсов, доступных из сети интернет:

- межсетевыми экранами PaloAlto разрешен трафик только ограниченного перечня приложений;

- удаленное администрирование осуществляется с использованием СКЗИ ограниченным кругом лиц.

Обеспечение ИБ при использовании криптографических протоколов SSL и TLS.

Для выпуска сертификатов SSL/TLS в Хабаровском ИВЦ используется подчиненный удостоверяющий центр, интегрированный в службу каталогов MSActiveDirectory. Корневой выпускающий сервер использует самоподписанный сертификат. Сертификаты корневого и промежуточных выпускающих серверов распространяются автоматически на все ПК и серверы домена. Определены ответственные лица за настройку веб-приложений для работы с корпоративным удостоверяющим центром.

В сертификатах веб-приложений используются доменные имена субъектов доступа.

Текущая реализация выпускающего центра поддерживает только хеш-функцию SHA-1 (ограничение WindowsServer 2003). Переход на SHA-2 (WindowsServer 2008) запланирован на 1 квартал 2017г.

Для выпуска сертификатов настроены шаблоны с минимальной длиной открытого ключа 2048 бит.

Учебным центром ГВЦ ведутся переговоры с ЗАО «Лаборатории Касперского» по организации удаленного обучения работников ОАО «РЖД» и повышения их осведомленности в области ИБ.

Парольная политика:

- требования к обеспечению парольной защиты утверждены в Типовой политике информационной безопасности ОАО «РЖД» и Политике информационной безопасности Дальневосточной железной дороги, так для учетных записей пользователей определено: минимальная длина пароля 7 символов, периодичность смены не чаще 1 раза в неделю и не реже 1 раза в 3 месяца, хранить историю из 10 последних паролей, используемые наборы символов строчные и прописные символы английского алфавита, цифры и специальных символы;

- разрабатываются требования к критичным учетным записям (привилегированные учетные записи для запуска служб, доступа к ПК по сети в автоматическом режиме и др.): длина пароля не менее 24 символов, при генерации использовать случайную последовательность символов.

Существует Политика информационной безопасности Дальневосточной железной дороги (далее - Политика) (утв. начальником Дальневосточной железной дороге – филиала ОАО «РЖД» Заиченко М.М.). Она основывается на принципах, закрепленных в «Доктрине информационной безопасности Российской Федерации» (2000г.), «Политике корпоративной информатизации ОАО «РЖД» (2006г.), стандарте ОАО «РЖД» «Управление информационной безопасностью. Общие положения» (СТО РЖД 1.18.002-2009).

Политика сформирована на основе Типовой Политики информационной безопасности дорожного уровня (утв. от 22 декабря 2009 года вице-президентом ОАО «РЖД» Бобрешовым А.С.).

Политика направлена на достижение главных целей обеспечения информационной безопасности ОАО «РЖД»:

- обеспечение приемлемого уровня рисков или экономического и других видов ущерба при нарушении безопасности информации компании (конфиденциальности, целостности, доступности);

- поддержание высокого уровня безопасности движения, грузовых и пассажирских перевозок в условиях динамично развивающейся информатизации на железнодорожном транспорте;

Характеристики

Список файлов ВКР