Инструментальный контроль несанкционированного доступа

Эту статью я решил посвятить проведению инструментального контроля защиты информации от несанкционированного доступа (далее по тексту – ИК НСД).

И так! Что же это такое?

Под ИК НСД подразумевается проведение проверки выполнения требований руководящих документов ФСТЭК. То есть, к Вашей автоматизированной системе (имеющий акт классификации) предъявляются определенные требования по защите от НСД. Обычно такая проверка проводится при аттестации объектов информатизации.

Требований на самом деле великое множество. В качестве примера давайте рассмотрим требования РД «Средства вычислительной техники.Защита от несанкционированного доступа к информации.Показатели защищенности от несанкционированного доступа к информации» к классу «2Б». Я выбрал этот класс, потому что из своей практики могу сказать, что он наиболее распространен.

Требования к классу автоматизированных систем «2Б» следующие:

Подсистема управления доступом:

должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов.

Подсистема регистрации и учета:

должна осуществляться регистрация входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения автоматизированной системы (АС).

В параметрах регистрации указываются:

• дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;
• результат попытки входа: успешная или неуспешная (при НСД);
• должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку).

Подсистема обеспечения целостности:

должна быть обеспечена целостность программных средств системы защиты информации от несанкционированного доступа (СЗИ НСД), обрабатываемой информации, а также неизменность программной среды.

При этом:

• целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ;
• целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации;
• должна осуществляться физическая охрана СВТ (устройств и носителей информации), предусматривающая контроль доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения АС и хранилище носителей информации, особенно в нерабочее время;
• должно проводиться периодическое тестирование функций СЗИ НСД при изменении программной среды и персонала АС с помощью тест - программ, имитирующих попытки НСД;
• должны быть в наличии средства восстановления СЗИ НСД, предусматривающие ведение двух копий программных средств СЗИ НСД и их периодическое обновление, и контроль работоспособности.

Все выше названные требования должны быть реализованы в Вашей АС средствами СЗИ НСД или же средствами операционной системы (ОС).

После всех манипуляций с настройками СЗИ НСД или ОС, Вы готовы отдать на растерзание настроенную систему специалистам по защите информации.

Чем они будут терзать Вашу систему? Приведу краткий обзор наиболее распространенных средств ИК НСД.

«ФИКС»

Основное назначение программы “ФИКС 2.0.1” – получение контрольных сумм заданных файлов и формирование соответствующих отчетов, а также выполнение ряда сервисных функций, основанных на использовании контрольных сумм.

Средствами данного ПО, мы выбираем каталог СЗИ НСД, и фиксируем контрольную сумму всех файлов находящихся в данном каталоге. По окончании проверки программа формирует отчет, который в последствии будет приложен к протоколу ИК НСД.

Возможности предыдущей версии:

• фиксация исходного состояния программного комплекса;
• контроль исходного состояния программного комплекса;
• фиксация и контроль каталогов;
• контроль различий в заданных файлах (каталогах);
• возможность работы с длинными именами файлов и именами, содержащими символы кириллицы.

Отличие новой версии от предыдущей:

программа сертифицирована по третьему уровню контроля.

Дополнительные возможности:

• добавлена возможность контрольного суммирования, контроля целостности и сравнения записей реестра;
• добавлен алгоритм контрольного суммирования, обеспечивающий получение контрольной сумм длиной от 32 бит до 256 бит;
• добавлен режим периодического контроля целостности заданной группы файлов и записей реестра, обеспечивающий возможность обнаружения факта нарушения целостности любых файлов и записей реестра, происходящего во время работы системы;
• добавлен режим запоминания и восстановления конфигурации программы;
• расширены возможности контроля наличия файлов, добавленных в зафиксированный ранее каталог;
• обеспечена возможность работы программы только в режиме фиксации (без выполнения собственно контрольного суммирования);
• доработан пользовательский интерфейс и расширены сервисные функции.

Выглядит окно программы вот так:

Окно управления программой “ФИКС”

А так выглядит отчет:

ОТЧЁТ
о фиксации исходного состояния

При следующей проверке (периодической), специалисты будут сравнивать контрольные суммы файлов СЗИ НСД сделанные первый раз с теми, что получились при периодическом контроле.

Следующий программный продукт, это – «Terrier 3.0»
Программа «Terrier» версия 3.0 представляет собой инструментальное средство для проведения аттестационных испытаний, предназначеное для поиска и гарантированного уничтожения информации на дисках. Поиск и уничтожение информации производится по ключевым словам.

При аттестационных испытаниях, одним из требований предъявляемых к СЗИ является – гарантированное уничтожение информации.

Данное ПО позволяет проверить выполнение данного требования.

Создается документ в текстовом редакторе. В документ вносится любой текст, содержащий слово “конфиденциально”. Далее этот файл удаляется с компьютера.

После запуска ПО «Terrier», в поле поиска указываем слово “конфиденциально”. Целью является нахождение остаточной информации созданного нами документа. Если остаточная информация имеется, то, используя специальное ПО, есть возможность восстановить документ или его часть. Если искомое слово не найдено, тестирование считается успешным, а СЗИ подтверждает работоспособность функции гарантированного уничтожения информации. По окончании проверки, ПО формирует отчет, который в последствии так же будет приложен к протоколу контроля НСД.

Реализуемые функции:

• выбор диска для поиска ключевых слов;
• просмотр содержимого текущего диска;
• просмотр параметров текущего диска;
• сохранение фрагмента текущего диска в файл;
• копирование фрагмента текущего диска в буфер обмена;
• печать фрагмента текущего диска на принтере;
• сохранение образа текущего диска в файл;
• подключение образа диска, сохраненного в файл;
• формирование списков ключевых слов;
• выбор параметров поиска ключевых слов;
• поиск ключевых слов на диске;
• выборочное гарантированное уничтожение найденных ключевых слов;
• формирование отчета по результатам поиска;
• поиск файла, содержащего найденное ключевое слово;
• просмотр журнала событий программы;
• просмотр параметров лицензии программы.

Отчет программы «Terrier»:

«TERRIER 3.0»
Отчет о проверке функции очистки и поиска
остаточной информации на дисках

Пользователь admin
Текущее время 13/01/2009 10:43
Информация о диске C:, Логический диск, FAT, 9.77GB
Найдено слов 0
Сектор Смещение Данные Тип Регистр Кодировка

Пользователь admin
Текущее время 13/01/2009 12:15
Информация о диске D:, Логический диск, FAT, 18.08GB
Найдено слов 0
Сектор Смещение Данные Тип Регистр Кодировка

Следующее ПО используется в паре. Это Ревизор 1XP и Ревизор 2XP
Данные два программных продукта предназначены для тестирования правильности разграничения прав пользователей, к защищаемым ресурсам.

ПО Ревизор 1 ХР предназначен для формирования матрицы доступа. С помощью данного ПО, формируется список защищаемых ресурсов, список пользователей, и права каждого пользователя относительно каждого защищаемого ресурса. По окончании ПО Ревизор 1ХР формирует отчет, который в дальнейшем прилагается к протоколу контроля НСД.

Ревизор 2ХР предназначен для проверки соответствия выполненных настроек прав пользователей сформированной матрице доступа. Для тестирования используется матрица доступа, сформированная в ПО Ревизор 1ХР. По окончанию тестирования, ПО Ревизор 2ХР формирует отчет, в котором указывается соответствие или несоответствие настроек СЗИ матрице доступа. Данные отчет так же прилагается к протоколу контроля НСД.

Ревизор 1 ХР" – средство создания модели разграничения доступа.
Реализуемые функции:

• автоматическое сканирование локальных логических дисков, а также доступных сетевых папок. Выбор ресурсов для сканирования осуществляется администратором АРМ;
• автоматическое считывание установленных прав доступа файловой системы NTFS (для АРМ под управлением ОС семейства Windows NT);
• построение по результатам сканирования дерева ресурсов, соответствующего структуре ресурсов АРМ и ЛВС;
• автоматическое получение списка локальных и доменных пользователей (для АРМ под управлением ОС семейства Windows NT);
• ручная регистрация в ПРД пользователей и установка их уровней доступа;
• установка прав доступа пользователей к объектам доступа, а также грифов секретности объектов доступа;
• отображение всей информации, содержащейся в ПРД, в удобной форме;
• создание отчетов на основе информации о субъектах и объектах доступа.

"Ревизор 2 ХР" – программа контроля полномочий доступа к информационным ресурсам.
Реализуемые функции:

• отображение всей информации, содержащейся в ПРД (возможен только просмотр);
• сравнение структуры ресурсов АРМ, описанной в ПРД, с реальной структурой ресурсов;
• создание отчета по результатам сравнения;
• построение плана тестирования объектов АРМ;
• проверка реальных прав доступа пользователей к объектам доступа;
• создание отчета по результатам тестирования.

Окна программных продуктов выглядят так:

"Ревизор 1ХР"

"Ревизор 2ХР"

А их отчеты вот так:

Ревизор 1 XP

Отчет

Пользователи

Ресурсы

Ревизор 2 XP

Отчет по результатам тестирования

Пользователь: Пользователь
Время проведения тестирования: 13.01.2009 10:46:42

И последний программный продукт, который можно использовать для ИК НСД, это - Ревизор Сети
Если АС состоит из нескольких АРМ, объединенных между собой в локальную вычислительную сеть, то необходимо так же проверить защищенность АРМ от возможных сетевых атак, и уязвимостей.

Сетевой сканер Ревизор Сети предназначен для использования администраторами и службами информационной безопасности вычислительных сетей, а также органами по аттестации объектов информатизации в целях обнаружения уязвимостей установленного сетевого программного и аппаратного обеспечения, использующего протоколы стека TCP/IP.

Объектами исследования сетевого сканера являются ПЭВМ, сервера, коммутационное оборудование, межсетевые экраны и другие узлы сети, имеющие IP-адреса.

Ревизор сети устанавливается на один из АРМ в сети. После этого, выбирается список параметров, тестирование которых нужно провести. Как и во всех других случаях, по окончании тестирования ПО формирует отчет с результатами тестирования. Данный отчет прилагается к протоколу контроля НСД.

В "Ревизоре Сети" реализованы различные категории проверок, функционально относящиеся к одному из двух основных режимов работы сканера: сбор информации о тестируемой сети и сканирование уязвимостей сети. Наборы проверок позволяют проводить тестирование наиболее распространенных сервисов (WEB, Mail, FTP, SNMP, RPC и пр.), подбор паролей, определение типов ОС, проверки типа "отказ в обслуживании", проверки учетных записей и системного реестра Windows и многие другие.
Сканер позволяет осуществлять параллельное многопоточное сканирование узлов сети, имеет развитый графический пользовательский интерфейс.

Сетевой сканер "Ревизор Сети" версии 2.0 представляет собой существенно обновленную модификацию сертифицированного ФСТЭК России сетевого сканера "Ревизор Сети" версии 1.2.1.0.

"Ревизор Сети" версии 2.0 включает в свой состав следующие новые возможности:

• реализован уникальный механизм проверки установленных дистрибутивов семейства Linux (Mandriva, Gentoo, Red Hat, Slackware, Fedora Core, Debian, SUSE), а также ОС FreeBSD и Solaris на предмет наличия уязвимостей в программном обеспечении на основе уведомлений, выпускаемых производителями соответствующих дистрибутивов и ОС. При этом база уязвимостей постоянно обновляется с сайтов производителей дистрибутивов и ОС;
• добавлен модуль анализа HTTP-серверов – проводится детальный анализ структуры и контента WEB-сайта на предмет наличия разного рода уязвимостей;
• реализована возможность взаимодействия с известным сетевым сканером Nmap в части идентификации сервисов, сетевых устройств и типов операционных систем; «Ревизор Сети» версии 2.0 функционирует на базе операционной системы Windows 2000/XP/2003.

Отчет программы выглядит так:

Результаты проверки узлов сети

Общая информация

192.168.0.11 (АРМ 10)

Порты TCP

Пользователи

Уязвимости

Возможна авторизация через SMB

Разрешено использование нуль-сессии

192.168.0.12 (АРМ 9)

Порты TCP

Порты UDP

Пользователи

Общие ресурсы

Уязвимости

Возможна авторизация через SMB

Разрешено использование нуль-сессии

Возможно получение списка служб с использованием нуль-сессии.

Возможно получение списка общих ресурсов

Пользователь имеет право на запись в общие папки

Возможно получение списка обзора хоста через нуль-сессию

И вот после всех этих манипуляций, специалисты скажут Вам о степени выполнения требований РД. И если всё хорошо, то Вы получите Аттестат соответствия, дающий право работать на данном рабочем месте.

Думаю не нужно напоминать, что все вышеприведенные отчеты не имеют никакой ценности и могут служить лишь примером для работы.

Вот, собственно и всё! Вся суть ИК НСД. Если есть вопросы - пишите, отвечу!

Читайте еще

Проблемы информационной безопасности: заморское решение	Значение конфиденциальной делопроизводства для обеспечения эффективности и совершенствования управленческой деятельности в бизнесе	О безопасности облачных сервисов

defi - 11:02:52 05-12-2014

Автор, каким образом я могу с вами связаться для того чтобы задать вопрос, касательно этой статьи.

kira - 11:08:13 05-12-2014

Воспользуйтесь обратной связью по ссылке /feedback/