Организация службы безопасности. Беспроводная корпоративная сеть

    Важно иметь в виду, что описание области  сертификации необходимо выполнить  максимально подробно, то есть требуется  точно определить все активы, входящие в область сертификации.

    3.2.1 Инвентаризация активов компании

    Стандарт  ISO 17799 выделяет следующие виды активов:

1. Информационные ресурсы (базы и файлы данных, контракты и соглашения, системная документация, научно-исследовательская информация, документация, обучающие материалы и пр.);
2. Программное обеспечение;
3. Материальные активы (компьютерное оборудование, средства телекоммуникации и пр.);
4. Сервисы (сервисы телекоммуникации, системы обеспечения жизнедеятельности и др.);
5. Сотрудники компании, их квалификация и опыт;
6. Нематериальные ресурсы (репутация и имидж компании).

    3.2.2 Категорирование активов компании

    В процессе категорирования активов  необходимо оценить критичность  активов для бизнес-процессов  компании. Данный процесс вызывает наибольшую сложность, т.к. ценность активов определяется на основе экспертных оценок их владельцев. Оценка критичности активов выполняется по трем параметрам: конфиденциальности, целостности и доступности.

    3.2.3 Оценка защищенности информационной  системы компании

    В процессе оценки защищенности информационной системы определяются угрозы, действующие на активы, а также уязвимости информационной системы, в которой обрабатываются активы и которые могут привести к реализации угроз. Угрозы и уязвимости рассматриваются только вместе друг с другом.

    Угрозы, уязвимости, а также их вероятности  определяются в результате проведения технологического аудита защищенности информационной системы компании. Такой  аудит может быть выполнен как  специалистами компании (так называемый, внутренний аудит), так и сторонними консультантами (внешний аудит).

    3.2.4 Оценка информационных рисков

    Оценка  информационных рисков заключается  в расчете рисков, который выполняется  с учетом сведений о критичности  активов, а также вероятностей реализации уязвимостей.

    Классическая  формула оценки рисков , где

     - информационный риск;

     - критичность актива (ущерб);

     - вероятность реализации уязвимости.

    3.2.5 Обработка информационных рисков

    Обработка информационных рисков - это этап, в  процессе которого определяется, какие  действия по отношению к рискам требуется  выполнить в компании.

    Основными способами обработки рисков являются принятие рисков, уклонение от рисков, передача рисков, снижение рисков.

    3.2.6 Положение о применимости

    По  результатам оценки и обработки  рисков разрабатывается Положение  о применимости. Наличие этого  документа обязательно для прохождения  сертификации. Положение о применимости содержит все требования Приложения А к стандарту ISO 27001 с описанием, выполняются ли данные требования в компании. Если требования не выполняются, необходимо описать причину невыполнения (такой причиной могут быть результаты оценки рисков). Если требования выполняются, следует перечислить документы, которым должно соответствовать их выполнение.

    В Приложении А к стандарту ISO 27001 перечислены  все требования к обеспечению  безопасности, которые должны выполняться  в компании. Следовательно, Положение  о применимости является итоговым решением относительно снижения информационных рисков компании.

    Систему управления ИБ можно считать внедренной и эффективно функционирующей на практике тогда, когда все ее процедуры  хотя бы один раз пройдут этапы  модели PDCA, когда будут найдены  и решены проблемы, возникающие при внедрении процедур [2]. 

    4 Wi-Fi. Меры защиты. Организация корпоративной сети на основе технологии Wi-Fi

    Технологии  беспроводных сетей широко используется во всем мире, привлекая внимание пользователей  относительно невысокими экономическими затратами и простотой развертывания, удобством использования и гибкой архитектурой. Бесспорным лидером на рынке беспроводных сетей, является оборудование, отвечающее спецификациям семейства стандартов 802.11.

    Одним из основных сегментов рынка оборудования беспроводных сетей является решение для так называемых «офисных или корпоративных» сетей. Характерная особенность такого решения — создание непрерывной зоны покрытия в пределах офисного здания. Данное решение часто требует размещения достаточно большого количества точек доступа. И в таком случае, актуальной становится задача мониторинга и управления беспроводной сетью. Следовательно, уже на этапе проектирования необходимо заложить в решение использование средств централизованного управления и мониторинга состояния сети.

    Другим  основным вопросом при построении беспроводных сетей, безусловно, является вопрос обеспечения  требуемого уровня безопасности информации, циркулирующей в сети. И чтобы  подступиться к решению этого  вопроса, необходимо определить доступные нам меры и средства, позволяющие сделать беспроводную сеть как можно более безопасной. Итак, нам необходимо:

1. Уменьшить зону радиопокрытия (разумеется, до минимально приемлемой). В идеале, зона радиопокрытия сети не должна выходить за пределы контролируемой территории;
2. Изменить пароль администратора, установленный по умолчанию;
3. Активизировать фильтрацию по MAC-адресам;
4. Запретить широковещательную рассылку идентификатора сети (SSID), то есть использование режима скрытого идентификатора сети (ESSID);
5. Изменить идентификатор сети (SSID), установленный по умолчанию;
6. Активизировать функции WEP или WPA;
7. Периодически изменять WEP/WPA-ключи;
8. Использовать протокол аутентификации (802.1x, RADIUS, EAP)
9. Выполнить соответствующие настройки фильтрации трафика на телекоммуникационном оборудовании и межсетевых экранах;
10. Обеспечить резервирование оборудования, входящего в состав беспроводной сети;
11. Осуществлять периодический мониторинг состояния защищенности беспроводной сети с помощью специализированных средств анализа защищенности для беспроводных сетей.

    Назовем комплекс вышеперечисленных мер  защиты «начальным» уровнем, ниже которого опускаться категорически нельзя при  проектировании корпоративной беспроводной сети.

    Допустим, весь комплекс мер реализован, но, увы, учитывая известные технические  и технологические проблемы протокола WEР, и как следствие, низкий уровень  сложности взлома подобной сети, беспроводную сеть с «начальным» уровнем безопасности лучше всего рассматривать как далеко небезопасную сеть.

    Итак, осознание проблем протокола WEP пришло не вчера, поэтому уже сегодня  на рынке есть решения, позволяющие  сделать использование протокола WEP более безопасным. Например:

1. Использование некоторых протоколов стандарта 802.1х, позволяет решить проблему динамической смены ключей шифрования для беспроводных устройств;
2. Протокол MIC (Message Integrity Check) позволяет защитить WEP-пакеты от их изменения и подделки, в процессе передачи (в реализации протокола WPA);
3. Протокол TKIP (Temporal Key Integrity Protocol), также разработанный с целью улучшения ситуации с безопасностью протокола WEP (в реализации протокола WPA), предполагает использование уникальной ключевой последовательности для каждого устройства, а также обеспечивает динамическую схему ключа каждые 10 000 пакетов. Однако, также как и WEP, протокол TKIP использует для шифрования криптографический алгоритм RC4. Отметим, что для использования протокола TKIP нет необходимости отказываться от имеющегося оборудования 802.11, достаточно лишь обновить программное обеспечение.

    Теперь  обратимся к вопросам обеспечения  безопасного информационного взаимодействия пользователей беспроводной сети с  ресурсами корпоративной сети. Для  решения этой задачи, нам потребуются  реализовать авторизацию пользователей беспроводной сети (в протоколе WEP проверка аутентичности пользователя не реализована совсем), а также использовать более сильные методы защиты, способные обеспечить требуемый уровень конфиденциальности и целостности информации. Один из таких методов — установка сервера контроля доступа, использующего протоколы стандарта EAP/802.1х (LEAP; PEAP; EAP-TLS; EAP-TTLS), с целью усиленной аутентификации абонентов беспроводной сети.

    Наиболее популярные серверы доступа на сегодняшний день — Cisco Secure Access Control Server и Internet Authentication Service (IAS).

    Очевидно, что после аутентификации абонента беспроводной сети ему будет необходимо присвоить соответствующую его  категории политику безопасности. Одной  из возможных реализаций подобного подхода является использование технологии, определенной стандартом 802.1q и позволяющей поместить авторизованных абонентов беспроводной сети в различные VLAN с определенной ранее политикой безопасности для каждого из этих VLAN-ов.

    Оптимальное решение взаимодействия пользователей беспроводной сети с ресурсами корпоративной сети является использование технологии защищенных частных виртуальных сетей (VPN).

    Не  смотря на то, что сама по себе технология защищенных частных виртуальных  сетей способна обеспечить жесткую авторизацию пользователя по его цифровому сертификату формата Х.509, ее не следует рассматривать как альтернативу решениям на базе протокола 802.1х. Это взаимодополняющие решения. Поскольку средства VPN обеспечивают защиту на сетевом уровне, а использование решений на базе протокола 802.1х позволяет предотвратить несанкционированный доступ к беспроводной сети на более раннем этапе. Подобное решение позволяет построить многоэшелонированную защиту: авторизуя пользователей по протоколу 802.1х мы убеждаемся, что имеем дело с легальным пользователем нашей беспроводной сети, а реализуя дополнительную авторизацию средствами VPN мы убеждаемся, что допускаем к работе с конфиденциальными ресурсами пользователей, которые имеют на это право. Кроме этого, использование функций межсетевого экранирования на устройстве VPN-шлюз, позволит нам назначать различные права доступа внутри группы пользователей, имеющих доступ к конфиденциальной информации. Необходимо также заметить, что сам протокол 802.1х имеет ряд уязвимостей к атакам типа «человек по середине» и «перехват сеанса». Поэтому, не лишним будет повторить, что использование технологии VPN позволяет создать внешнюю защитную оболочку беспроводной сети передачи данных. Топология описанной выше сети показана в приложении № 3. 

    5 Заключение

    Использование новых разнообразных технологии передачи и обработки данных на предприятии  ведет к тому, что защиту активов  компании необходимо планировать на самых ранних этапах работы. Поэтому  при организации службы информационной безопасности необходимо учитывать модель PDCA, которая поможет в выявлении и предотвращении в будущем инцидентов связанных с информацией.

    Организационные меры по защите информации являются первоочередными  и предполагают более меньшие  затраты на безопасность. Но при разрастании информационной инфраструктуры предприятия необходимо вводить технические меры организации информационной безопасности, которые в свою очередь увеличат затраты на обслуживание данной системы. Технические и организационные меры должны работать вместе, что обеспечит более большую защищенность активов компании, чем их работа в отдельности. Как было сказано ранее, такие системы должны быть сертифицированными. Что дает компании и ее поставщикам и клиентам уверенность в защищенности их информации. Тем самым повышает репутацию компании и дает возможность выхода на рынок более высокого уровня, например, на государственный уровень (работа с государственными структурами) или выход на международный уровень.