Преподаватель который помогает студентам и школьникам в учёбе.

ЗАЩИТА СЕТЕВОЙ ИНФРАСТРУКТУРЫ ПРЕДПРИЯТИЯ ( Анализ нормативных требований для защищенности сетевой инфраструктуры предприятия )

Содержание:

ВВЕДЕНИЕ

На сегодняшнее время информация является одним из основных ресурсов каждой страны.

Нарастающее соперничество около информационного ресурса, состязание за достижение превосходства в области информации начинает занимать очень весомое место в геополитическом соперничестве наиболее развитых стран планеты. В новейшем историческом этапе, когда экстенсивный рост за счет получения новых ресурсов методом силового овладения территориями и всеми богатствами соседних стран оказались неактуальными и малоэффективными, поднялся вопрос о нахождении новых методов геополитической борьбы в сфере информации.

Стает ясно, что глобализация сферы информации эффективной национальной системы обеспечения безопасности информации становится очень влиятельным фактором в политике любого субъекта геополитической борьбы. И, наоборот, неэффективная система безопасности информации становится фактором, который может привести к полномасштабным катастрофам, последствия этих катастроф могут вызывать неорганизованность управления государствами и обрушение финансовых систем стран.

Основной идеей защиты информации как общественного явления является установление и реализация организационных, морально-этических и нормативно правовых взаимоотношений между людьми, которые обеспечивают сбалансирование интересов человека, государства и общественности в сфере информации.

Суть безопасности информации многие специалисты рассматривают как исключение нанесения вреда защищаемому объекту, его работе или свойствам. В главном документе в сфере защиты информации – Доктрине информационной безопасности российской федерации – под безопасностью информации «понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства».

Объектом исследования в нашей работе выступает среднее предприятие, предметом исследования - процесс организации защиты сетевой инфраструктуры предприятия.

Целью данной работы является разработка мер и средств для защиты сетевой инфраструктуры предприятия и реализация на конкретном примере.

Для достижения заданной цели в работе необходимо выполнить следующие задачи:

- провести анализ нормативных документов и требований, которые они предъявляют до организации защиты сетевой инфраструктуры предприятий;

- рассмотреть аспекты политики безопасности предприятия и основные организационные меры для защиты его сетевой инфраструктуры;

- провести теоретический обзор основных аспектов в анализе рисков и уязвимостей предприятия;

- навести практический пример реализации защиты сетевой инфраструктуры предприятия и выбора административно-технических мер для него.

При написании работы были применены такие методы научного исследования, как изучение научной литературы по теме исследования, нормативно-правовой базы, аналитический и сравнительный методы.

Глава 1. Теоретические и нормативные требования по защите сетевой инфраструктуры предприятия

1.1 Анализ нормативных требований для защищенности сетевой инфраструктуры предприятия

Правовые отношения субъектов в сфере информации определяют разными подзаконными, правовыми и нормативными актами. Для каждого из них определена различный уровень приоритетности выполнения.

Из числа документов, которые составляют нормативно правовую базу соблюдения безопасности информации выделяют такие документы, которые формируют правовое поле взаимоотношений субъектов и документы, которые устанавливают комплекс, требований, норм и правил к составляющим информационных систем.

Документы, которые ориентированы на правовое обеспечение используются для определения обязанностей, статуса и прав, пределов ответственности субъектов при обеспечении безопасности информации.

Документы, которые направлены на нормативно-техническое обеспечение используются для определения уровней обеспечения безопасности информации и разработке определенных технических требований к составляющим информационных систем.

Нормативно-правовая база включает в себя такие группы документов, которые учтены при соблюдении безопасности информации:

Международное правовое обеспечение, составленное международными нормативными актами, которые ратифицированы РФ, и международные договоры, инициированные РФ.
Международное нормативно-техническое обеспечение, которое составляют международные Стандарты, Рекомендации, Регламенты в информационной сфере и сфере информационной безопасности.
Национальное правовое обеспечение, которое составляют нормативные акты Российской Федерации (Конституция РФ, Федеральные законы, Указы Президента РФ), подзаконные акты (Постановления и Распоряжения Правительства РФ, нормативные акты уполномоченных федеральных органов государственной власти), а также нормативные и подзаконные акты субъектов Российской Федерации.
Национальное нормативно-техническое обеспечение, которое составляют действующие в Российской Федерации технические регламенты, стандарты (государственные, отраслевые), руководящие документы, а также подзаконные акты уполномоченных федеральных органов государственной власти в основном нормативно-технического характера.

Документы I группы (международное правовое обеспечение) имеют преимущественное право при обеспечении информационной безопасности в сетях связи третьего поколения, если иного не предусмотрено законодательством Российской Федерации.

В этих документах затрагивается ряд важных и характерных, также, для российского национального законодательства вопросов, таких, как:

общие цели безопасности;
требования к системе безопасности;
требования, связанные с управлением доступом;
требования управления безопасностью.
идентификация ситуации и вовлеченных сторон;
оценка угроз и рисков, связанных с каждой угрозой,
определение механизмов обнаружения и противодействия потенциальным угрозам и восстановления нормального функционирования информационной системы;
механизмы аутентификации: с симметричным ключом, с асимметричным ключом, с "нулевым знанием";
механизмы анонимности: временные идентификаторы с симметричным ключом; секретность подлинности с использованием асимметричного ключа; анонимный доступ;
механизмы конфиденциальности: блочное шифрование, потоковое шифрование;
не криптографические механизмы безопасности: верификация пользователя, регистрация пользователя, подсчет вызовов;
механизмы обеспечения целостности: шифрование с добавлением избыточности, симметричный ключ, асимметричный ключ;
механизмы неотказуемости: цифровая подпись;
механизмы управления безопасностью: распределение ключей, управление версиями;
и многие другие.

Национальное правовое обеспечение составляют конституционные и федеральные законы Российской Федерации, указы Президента Российской Федерации, Постановления и Распоряжения Правительства РФ, распоряжения и приказы федеральных министерств (Мининформсвязи России, Минпромэнерго России), служб (ФСТЭК России, ФСБ России, Россвязьнадзор) и агентств (Росинформтехнологии, Россвязь) по вопросам обеспечения безопасности информации, региональные нормативные акты субъектов Российской федерации в области формирования, использования и защиты информационных ресурсов. Документы этой группы носят обязательный характер для всех участников правоотношений на территории Российской Федерации, независимо от их национальной принадлежности и имеют наивысший приоритет при определении требований по обеспечению безопасности в них. Исключение составляют нормативные акты субъектов РФ, которые носят локальный характер и действуют в пределах границ субъекта Российской Федерации.

Национальное нормативно-техническое обеспечение составляют Технические регламенты, разработанные в соответствии с Федеральным законом «О техническом регулировании», действующие государственные (Ростехрегулирование), в том числе и разработанных на основе международных стандартов, ведомственные стандарты, руководящие документы и технические нормы уполномоченных федеральных органов государственной власти (ФСТЭК России, ФСБ России, Россвязьнадзор, Ростехрегулирование), направленные на техническую поддержку решения проблемы безопасности информации. Документы этой группы, как правило носят обязательный характер при организации защиты информации, составляющей государственную тайну и рекомендательный характер при организации защиты других видов информации.

Одной из основных целей обеспечения информационной безопасности предприятия является необходимость предотвращения или снижение уровня ущерба, интересы которых затрагиваются при проведении атак на объекты защиты, материального, морального и иного случайного или преднамеренного ущерба из-за нарушения конфиденциальности, целостности, достоверности, подконтрольности и доступности защищаемой информации.

К объектам защиты относятся информационные ресурсы, обрабатываемые в рамках инфраструктуры сети, а также информационные ресурсы самой инфраструктуры сети, влияющие на эффективность обеспечения информационной безопасности.

Основными задачами обеспечения информационной безопасности на предприятии являются:

формирование единой политики в области обеспечения информационной безопасности информационной системы при ее создании, развитии и эксплуатации;
выявление и прогнозирование внутренних и внешних угроз информационной безопасности, разработка и осуществление комплекса адекватных и экономически обоснованных мер по их предупреждению и нейтрализации.

Основными направлениями обеспечения информационной безопасности на предприятии являются:

исключение или существенное затруднение несанкционированного доступа к объектам сети, к обрабатываемой или хранящейся в технических средствах информации;
предотвращение перехвата информации, передаваемой по каналам связи с помощью технических средств;
предотвращение утечки информации по техническим каналам, возникающей при эксплуатации технических средств, ее обработки, хранении и передачи;
предотвращение бесконтрольного развития эпидемий самораспространяющегося вредоносного кода (мобильных или компьютерных червей);
ограничение и контроль выхода конфиденциальной информации за пределы сети;
предотвращение специальных программно-технических воздействий, вызывающих разрушение, уничтожение, искажение информации или сбои в работе информационной системы.

Система защиты информации должна строиться в соответствии с результатами анализа угроз, обусловленных наличием потенциального нарушителя, и уязвимостей объектов защиты, на которые эти угрозы распространяются.

Угрозами информационной безопасности являются нарушения конфиденциальности, целостности, достоверности, подконтрольности и доступности информационных ресурсов, вследствие воздействия нарушителя на информационную сферу сети, включающую в себя:

информационные ресурсы (передаваемая по сети информация пользователей, управляющая информация, базы данных и т.д.);
информационную инфраструктуру (программное обеспечение, интерфейсы, протоколы управления);
информационные технологии, технические средства и архитектуру построения, реализующие информационные процессы.

1.2 Организационно-административная основа создания системы обеспечения информационной безопасности и защиты информации

Основными организационными мерами является усовершенствование политик безопасности, разработкой документов, конкретизирующих меры соблюдения безопасности информации по определенным угрозам и вопросам.

Политика безопасности информации – очень важный документ в системе управления информационной безопасностью (СУИБД), который является одним из ключевых механизмов защиты информации.

Соответствуя ISO 17799 документы политики безопасности информации должны говорить о лояльности руководства и регулировать подход к управлению безопасностью информации, давать определение понятию информационной безопасности, ее основных целях и областях действий, включать основные положения, определяющие цели и механизмы контроля, определяя структуру оценки и управления рисками и т.д.

Соответственно ISO 27001 политика безопасности информации – это составляющее большего документа – политики системы управления информационной безопасностью, которая также включает в себя основные положения, определяющие цели системы управления информационной безопасностью и устанавливает общее развитие и принцип работы в отношении безопасности информации, учитывая все требования бизнеса, нормативной или законодательной баз, условия контрактов, устанавливает требования для оценки рисков и многое другое.

Таким образом, основной организационной мерой должна стать разработка политики информационной безопасности, ознакомление с ее положениями всех сотрудников и строгое им следование.

В состав политики безопасности должны входить документы, регламентирующие работу следующих подсистем (рисунок 1).

Рисунок 1. Состав политики безопасности

На основании данных требований необходимо разработать основные требования по обеспечению информационной безопасности в предприятии, включающие в себя следующие частные документы:

Регламент использования системы электронного документооборота;
Правила парольной защиты;
Правила защиты от вирусов и злонамеренного программного обеспечения.

Кроме того, для определения правил работы с персоналом в случае приема на работу и увольнения с нее, а также в случае возникновения нештатных ситуаций, разработана инструкция по работе с персоналом, включающая:

Инструкцию по приему на работу и допуску новых сотрудников к работе в АС и наделения их необходимыми полномочиями по доступу к ресурсам системы.
Инструкцию по увольнению работников и лишения их прав доступа в систему.
Инструкцию по действиям различных категорий персонала, включая сотрудников отдела безопасности информации, по ликвидации последствий кризисных (аварийных или нештатных) ситуаций, в случае их возникновения.

1.3 Анализ угроз и уязвимостей сетевой инфраструктуры предприятия

Информационные активы – информационные ресурсы или средства обработки информации организации.

Ресурсы информации должны идентифицироваться как массивы и базы данных, документы и массивы документов и так далее, учитывая выявленные сведения о их использованию и владению.

Выделим характеристики применения:

- в прикладных сервисах автоматизированных систем и автоматизированных задачах функциональных подсистемах, решение которых невозможно без информации из этих объектов информации;

- в служебных подразделениях, автоматизированные задачи которых решаются в их же интересах;

- в удаленных объектах информации;

Уровень конфиденциальности – это основной характеристический показатель ОИ.

Распределение информационных активов по категориям – это очень нужное составляющее организации работы по соблюдению безопасности информации предприятия, целями которого есть:

- проектирование нормативно-методической составляющей для разностороннего подхода к защите ресурсов автоматизированных систем предприятия;

- разработка решений по обеспечению организационных мер и распределению программно-аппаратных средств защиты для различных категорий рабочих станций автоматизированной системы предприятия.

Активы предприятия можно разделить на две категории:

- аппаратные ресурсы;

- информационные ресурсы.

Для выделения активов информации в качестве исходных данных используются: перечень сведений составляющих государственную, ведомственную и коммерческую тайны; перечень источников информации в организации. Структурирование информации производится путем классификации информации в соответствии со структурой, функциями и задачами организации с привязкой элементов информации к ее источникам.

К конфиденциальной информации относятся:

сведения о клиентах предприятия;
сведения о деятельности предприятия;
сведения о системе безопасности предприятия;
служебная информация о финансовом положении предприятия;
переговоры с клиентами.

Уязвимость информационных активов представляет собой тот или другой минус, следствием которого становится не желательное воздействие на актив со стороны злоумышленников, не квалифицированных работников или вредоносного кода.

Уязвимости системы информации предприятия можно определить некоторыми методами. Их может описать сотрудник фирмы основываясь на собственный опыт. Помимо этого, можно пригласить посторонних специалистов для того, чтобы провести технологический аудит информационной системы и выявить все уязвимости.

На рассмотренном предприятии оценивание уязвимостей активов выполняется соответственно с требованиям ГОСТ Р ИСО/МЭК ТО 13335-3-2007 «Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий» на основании применения общего подхода. При выполнении этого применяются такие критерии оценки ущерба от потери конфиденциальности, целостности или доступности активов:

нарушение закона и/или подзаконных актов;
уменьшение эффективности бизнеса;
снижение престижа компании;
нарушение безопасности личной информации;
необеспеченность личной безопасности;
отрицательный эффект с точки зрения обеспечения правопорядка;
нарушение безопасности коммерческой тайны;
нарушение общественного порядка;
финансовые потери;
нарушение деловых сделок;
угроза охране окружающей среды.

Результаты оценки уязвимостей формируются в виде списка, где напротив каждой уязвимости приводится назначенная ей оценка риска ИБ, вероятности реализации угроз, оценка стоимости актива.

Наиболее важными источниками угроз безопасности в рассмотренном предприятии информации есть:

угрозы по каналам утечки вещественной информации;
угрозы утечки информации по техническим каналам;
угрозы несанкционированного доступа к информации, которая обрабатывается в ЛВС.

Угрозы утечки информации по техническим каналам состоят из:

угрозы утечки акустической информации;
угрозы утечки видовой информации;
угрозы утечки информации по каналу ПЭМИН.

Основные угрозы безопасности информации для предприятия есть:

нарушение безопасности информации, которая является служебной или коммерческой тайной, а также личной информации;
нарушение функционирования компонентов информационной системы, ограничения доступа к информации, нарушение технологических процессов, невозможность решения задач вовремя;
нарушение целостности информации, программных и других ресурсов, а также подделка документов.

Оценка рисков в рассматриваемой организации организуется в соответствии с требованиями ГОСТ Р ИСО/МЭК ТО 13335-3-2007 «Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий» на основе использования общего подхода.

Для проведения оценки рисков нарушения ИБ выполняются следующие процедуры.

Процедура 1. Определение перечня типов информационных активов, для которых выполняются процедуры оценки рисков нарушения ИБ (далее — область оценки рисков нарушения ИБ).
Процедура 2. Определение перечня типов объектов среды, соответствующих каждому из типов информационных активов области оценки рисков нарушения ИБ.
Процедура 3. Определение источников угроз для каждого из типов объектов среды, определенных в рамках выполнения процедуры 2.
Процедура 4. Определение СВР угроз ИБ применительно к типам объектов среды, определенных в рамках выполнения процедуры 2,3.
Процедура 5. Определение СТП нарушения ИБ для типов информационных активов области оценки рисков нарушения ИБ.
Процедура 6. Оценка рисков нарушения ИБ.

Результаты оценки рисков предоставляются в виде перечня рисков, каждому из которых определен ранг.

Выводы по главе

В данной главе был проведен анализ нормативных документов и требований, которые они предъявляют до организации защиты сетевой инфраструктуры предприятий, рассмотрены аспекты политики безопасности предприятия и основные организационные меры для защиты его сетевой инфраструктуры; проведен теоретический обзор основных аспектов в анализе рисков и уязвимостей предприятия.

Для дальнейшего закрепления рассмотренного материала необходимо навести практический пример реализации защиты сетевой инфраструктуры предприятия и выбора административно-технических мер для него, для этого необходимо провести анализ существующих средств защиты и провести оценку рисков на предприятии, после чего провести обзор существующих систем защиты инфраструктуры предприятия и выбрать необходимую для нашего рассматриваемого предприятия.

Глава 2. Практическая реализация защиты сетевой инфраструктуры на примере конкретного предприятия

2.1 Анализ и оценка рисков сетевой инфраструктуры конкретного предприятия

Рассмотрим защиту рабочих мест среднего предприятия на примере Управления Федерального агентства по государственным резервам по Центральному федеральному округу - это территориальный орган Федерального агентства по государственным резервам, который осуществляет функции Росрезерва в сфере управления государственным материальным резервом, координирует и контролирует деятельность организаций, которые подведомственные Росрезерву.

Структурная схема технической архитектуры предприятия представлена на рисунке 2.

В качестве рабочих станций используются модель OLDI Office 110 со следующей конфигурацией: процессор Intel® Celeron 430 (Conroe-L,1.80 ГГц, FSB800MHz, 512Kb L2,Socket 775), оперативная память DDR II 1Гб, жесткий диск 250Gb (SATA II), видеокарта Интегрирована в чипсет iG31, сетевая карта 10/100/1000 Мбит/с, звуковая карта 6-канальная, размеры 420 мм х 180 мм х 380 мм.

Из числа серверов в предприятии используются только файл–сервер и сервер базы данных. В качестве аппаратной основы серверов используются Office Server TX 3000R15 со следующими техническими характеристиками: процессор Intel® Core™5 750 (Lynnfield, 2.66ГГц, 8Мб, LGA1156), чипсет Intel 3420, оперативная память DDR3 4096 Mb (pc-10660) 1333MHz, жесткий диск 1000Gb (SATA II, 7200rpm, 32Mb), видеокарта XGI® Z9s (32MB DDR2), оптические накопители DVD±RW, тип корпуса Full Tower, сетевая карта 4х10/100/1000 Мбит/с.

Рисунок 2. Схема технической архитектуры предприятия

Пользовательские сегменты и сервера объединены в сеть при помощи маршрутизатора 3Com13701-ME. Внутри пользовательских сегменов в качестве коммутаторов используются 3COM Gigabit Switch 8 3CGSU08. Оба типа коммутаторов оснащены программными брандмауерами.

Телефонная сеть организована с использованием АТС Panasonic KX-TEM824. В качестве оконечных устройств используются офисные телефоны Panasonic KX-T7710.

В качестве среды передачи данных используется кабель витая пара 5 категории (100BASE-ТX) со скоростью передачи до 100 мбит/сек. В комплекте с каждой рабочей станцией имеется МФУ Xerox Phaser 3100MFP/Х.

Программная архитектура информационной системы наглядно представлена на рисунке 3.

Рисунок 3. Программная архитектура предприятия

На всех компьютерах установлен стандартный пакет программного обеспечения: операционная система Windows7 Pro; пакет MS Office 2007; Avira AntiVir Premium Security Suite; Браузер Mozilla Firefox; Adobe Acrobat 9.0 Professional.

С учетом специфики деятельности отделов персональные компьютеры предприятия имеют следующие дополнительные программные обеспечения (персональные пакеты ПО для отделов): 1С Бухгалтерия:8 (бухгалтерия); Radmin Viewer 3, Remote Administrator v2.2, Total Commander (отдел IT).

Для обеспечения информационной безопасности в предприятии используются RAID-массивы и резервное копирование информации. Для создания RAID-массива используется 8 дисков Seagate ST3600057SS. Это серверные диски с повышенной надежностью и максимальным объемом, и скоростью вращения шпинделя для подобных дисков 600гигабайт при 15 000 обор\м вращение шпинделя. Эти диски объединены в 4 раздела Raid 1. Также предусмотрен план резервного копирования базы данных, в котором созданы следующие этапы: FULL – Полное резервное копирование базы + регламентные задания; DIFF – Дифференцируемый бекап; TL – Бекап Лога.

В предприятии также используется система видеонаблюдения «ForeView», система пожарной сигнализации, охранной сигнализации, система контроля и управления доступом «Elsys». В системе видеонаблюдения используются цветные купольные видеокамеры CNB-DP257.

На основании анализа используемых программных и аппаратных средств обеспечения безопасности произведен анализ выполнения задачи по обеспечению информационной безопасности предприятия, результаты которого приведены в таблице 1.

Таблица 1

Анализ выполнения основных задач по обеспечению информационной безопасности

Основные задачи по обеспечению информационной безопасности	Степень выполнения, %
Обеспечение информационной безопасности при ведении делопроизводства и осуществлении документооборота	54
Обеспечение информационной безопасности при обработке информации в ИС	45
Обеспечение безопасности конфиденциальных переговоров	43
Обеспечение информационной безопасности при осуществлении взаимодействия с деловыми партнерами и клиентами	66
Обеспечение сохранности персональных данных сотрудников и клиентов	23
Обеспечение сохранности коммерческой тайны	56

Как видно из приведенной таблицы, ни одна из задач обеспечения информационной безопасности в компании не выполняется полностью.

Результаты оценки рисков приведены в таблице 2.

Таблица 2

Результаты оценки рисков информационным активам организации

Риск	Актив	Ранг риска
Превышение допустимой нагрузки	Финансовые отчеты компании	3
	Персональные данные сотрудников	3
	Система обеспечения безопасности компании	3
	Сведения о схемах размещения систем безопасности	3
Сбои и отказы программных средств	Внутренняя бухгалтерская документация	3
	Сведения о достигнутых соглашениях и договоренностях	3
	Сведения о PR-компаниях	3
	Финансовые отчеты компании	3
Недобросовестное исполнение обязанностей	Персональные данные сотрудников	3
	Система обеспечения безопасности компании	3
	Сведения о схемах размещения систем безопасности	3
Выполнение вредоносных программ	Внутренняя бухгалтерская документация	3
Выполнение вредоносных программ	Сведения о достигнутых соглашениях и договоренностях	3
Использование информационных активов не по назначению	Сведения о PR-компаниях	2
	Финансовые отчеты компании	2
	Персональные данные сотрудников	2
	Система обеспечения безопасности компании	2
Нарушения персоналом организационных мер по обеспечению ИБ	Сведения о схемах размещения систем безопасности	2
	Внутренняя бухгалтерская документация	2
	Сведения о достигнутых соглашениях и договоренностях	2
Действия неавторизованного субъекта	Сведения о PR-компаниях	2
	Финансовые отчеты компании	2
	Персональные данные сотрудников	2
Неконтролируемая модификация информационного актива	Система обеспечения безопасности компании	1
Неконтролируемая модификация информационного актива	Сведения о схемах размещения систем безопасности	1
Несанкционированный доступ	Внутренняя бухгалтерская документация	1
	Сведения о достигнутых соглашениях и договоренностях	1
	Сведения о PR-компаниях	1

2.2 Выбор защитных мер

Организационные меры защиты инфраструктуры предприятия были описаны в первой главе работы.

В рассматриваемой организации уже применяются такие средства инженерно-технической защиты, как система видеонаблюдения, система охранной сигнализации. В комплекс инженерно-технических мер также входит система контроля и управления доступом. Так как информационные активы в основном представлены в виде бумажных документов и файлов на магнитных дисках, то разумным будет внедрить систему защищенного электронного документооборота.

Проведем краткое сравнение существующих систем, позволяющих организовать безопасный обмен документами внутри организации (таблица 3).

ViPNet CUSTOM ориентирован на организацию защищенного взаимодействия клиент-клиент, в то время как большинство VPN -решений других производителей обеспечивают только соединения уровня сервер-сервер или сервер-клиент. Это дает возможность реализовать любую необходимую политику разграничения доступа в рамках всей защищенной сети, а также снизить нагрузку на VPN -серверы, так как в общем случае при взаимодействии клиент-клиент VPN -сервер не задействован в операциях шифрования трафика между этими клиентами.

Большое внимание в ViPNet CUSTOM уделено решению проблемы функционирования в условиях наличия разнообразного сетевого оборудования и программного обеспечения, реализующего динамическую или статическую трансляцию адресов/портов (NAT / PAT ), что существенно облегчает процесс интеграции системы защиты в существующую инфраструктуру сети. В большинстве случаев ручной настройки клиентского ПО ViPNet Client вообще не потребуется.

Таблица 3

Сравнение средств защиты

Решение	Алгоритмы шифрования	Протоколы передачи данных	Сетевая среда	Скорость шифрования	Поддерживаемые операционные системы
Программно-аппаратный комплекс «ФПСУ-IP»	ГОСТ 28147-89	IP v. 4, Протокол VPN — © AMICON.	Ethernet, TCP-IP	До 270 Мбит/c на	Собственная, функционально замкнутая, 32-разрядная.
Программно-аппаратный VPN-агент «КРИПТОН IP Mobile»	ГОСТ 28147-89	Ethernet/Fast Ethernet, TCP/IP	Ethernet/Fast Ethernet	До 80 Мбит/с	Windows 2000/2003/XP, Linux
Широкополосный аппаратный IP-шифратор «Заслон»	ГОСТ 28147-89	IP v. 4	Основанная на протоколе IP	180 Мбит/с	Любые
Аппаратно-программный комплекс шифрования «Континент»	ГОСТ 28147-89	Собственный, на основе ГОСТ 28147-89		До 80 Мбит/с	Аппаратно-программная реализация. Собственная ОС на базе FreeBSD Windows 98/NT/2000/XP
VPN-шлюз Тропа-Джет	ГОСТ 28147-89 Хэш ГОСТ Р 34.11-94	IPsec, UDP	TCP/IP	До 100 Мбит/с	Solaris SPARC и x86
Программный комплекс ViPNet	ГОСТ 28147-89	TCP/IP	Ethernet	До 100 Мбит/с	Windows 98/ME/NT/2000/2003/XP, Linux, Solaris 8
ИСЗ «ПАНЦИРЬ»	криптопровайдер «КриптоПро CSP» версий 3.0 и 3.6	TCP/IP	Ethernet	До 100 Мбит/с	Windows 2000/XP/2003/Vista
Многоуровневый криптомаршрутизатор DioNIS FW/KM	ГОСТ 28147-89	TCP/IP, TCP/IP over X.25	TCP/IP, X.25	100 Мбит/с	Собственная, DOS
VPN-клиент CSPVPNClient(Шлюз безопасности CSP VPN Gate)	Возможность встроить любую внешнюю криптобиблиотеку	Протоколы защиты информации: IPsec	Ethernet 10/100/1000 BaseT	До 230 Мбит/с	Windows 2000/XP (Solaris 8, 9/Linux)

В ViPNet CUSTOM реализована раздельная фильтрация открытого и шифруемого трафиков, что позволяет даже среди доверенных сетевых узлов ограничивать возможность работы через несанкционированные порты, протоколы и еще выше поднимать уровень безопасности защищенной сети.

Каждый компонент ViPNet CUSTOM содержит встроенный сетевой экран и систему контроля сетевой активности приложений, что позволяет получить надежную распределенную систему межсетевых и персональных сетевых экранов.

Для разрешения возможных конфликтов IP -адресов в локальных сетях, включаемых в единую защищенную сеть, ViPNet CUSTOM предлагает развитую систему виртуальных адресов. Во многих случаях это позволяет упростить настройку прикладного ПО пользователя, так как наложенная виртуальная сеть со своими виртуальными адресами будет скрывать реальную сложную структуру сети.

ViPNet CUSTOM поддерживает возможность межсетевого взаимодействия, что позволяет устанавливать необходимые защищенные каналы связи между произвольным числом защищенных сетей, построенных с использованием ViPNet CUSTOM.

ViPNet CUSTOM обеспечивает защиту информации в современных мультисервисных сетях связи, предоставляющих услуги IP-телефонии и аудио- и видеоконференцсвязи. Поддерживается приоритезация трафика и протоколы H.323, Skinny.

По сравнению с обычными VPN -решениями ViPNet CUSTOM предоставляет целый ряд дополнительных возможностей по защищенному обмену информацией: встроенные службы мгновенного обмена сообщениями (чат и конференция), файлами, собственная защищенная почтовая служба с элементами автоматизации обмена письмами и поддержкой механизмов ЭЦП.

Дополнительные сетевые возможности комплекса ViPNet CUSTOM, такие как контроль сетевой активности приложений, строгий контроль доступа к Интернет, механизмы аварийной перезагрузки и защиты от вторжений на этапе загрузки операционной системы, позволяют защититься от большинства сетевых атак и минимизировать затраты на систему безопасности в целом.

ViPNet CUSTOM является самодостаточным программным комплексом, поэтому нет необходимости приобретать дополнительные элементы вроде баз данных, почтовых серверов и специализированных серверных платформ. ViPNet CUSTOM не несет скрытых затрат - Вы платите только за те компоненты ViPNet CUSTOM , которые Вам необходимы.

Так как ViPNet CUSTOM является программным комплексом, то его установка и настройка не требует приобретения специализированного оборудования и может быть произведена на уже существующем компьютерном парке заказчика. В большинстве случаев также не требуется переконфигурация сетевого оборудования.

Гибкое ценообразование и возможность пополнения лицензии на компоненты ViPNet CUSTOM по необходимости, позволяют формировать оптимальное ценовое решение для каждого конкретного заказчика. Вы платите ровно за то, что Вам нужно сейчас, остальное можно купить позже.

Компания Инфотекс проводит на регулярной основе учебные курсы по подготовке администраторов защищенной сети, построенной с использованием комплекса ViPNet CUSTOM . Обучив собственных специалистов, можно существенно сэкономить на работах по установке и настройке защищенной сети.

2.3 Контрольный пример реализации проекта

С учетом необходимых мер схема программного обеспечения системы информационной защиты организации приведена на рисунке 4.

Рисунок 4. Схема программного обеспечения информационной системы Управления Федерального агентства по государственным резервам по Центральному федеральному округу после внедрения выбранных мер

Схема аппаратного обеспечения системы информационной защиты компании приведена на рисунке 5.

Рисунок 5. Схема аппаратного обеспечения информационной системы Управления Федерального агентства по государственным резервам по Центральному федеральному округу после внедрения выбранных мер

Выводы по главе

В данной главе наведен практический пример реализации защиты сетевой инфраструктуры предприятия и выбора административно-технических мер для него, для этого проведен анализ существующих средств защиты и проведена оценка рисков на предприятии, после чего проведен обзор существующих систем защиты инфраструктуры предприятия и выбрана необходимая для нашего рассматриваемого предприятия.

Разработана политика безопасности организации, предложено внедрить систему защиты от утечек информации, в качестве мер инженерно-технической защиты рекомендовано применение систем защиты электронного документооборота. После изучения наиболее востребованных на российском рынке автоматизированные системы документационного обеспечения управления, было установлено, что единственный разработчик системы электронного документооборота, необходимый именно для нашей организации это компания «VipNet».

ЗАКЛЮЧЕНИЕ

Одной из главных сдерживающих причин применения информационных систем и коммуникационных и информационных технологий в области бизнеса и экономики есть их принципиальная уязвимость от разных видов угроз. Безопасность информации в компьютерных системах, которая рассматривается как состояние защищенности от влияний деструктивного типа, на сегодняшний день есть одна из самых влиятельных причин, при этом их воздействие с увеличение масштаба применения компьютерной техники только возрастает. Но отсутствие требуемого уровня навыков, знаний и умений в сфере информационной безопасности компьютерных систем влечет плохие последствия при эксплуатации ИКТ в области бизнеса и экономики, поскольку основной причиной их применения есть принципиальная уязвимость от разного вида угроз безопасности информации. Чрезвычайная важность, множество аспектов и сложности для пользователей ИКТ проблемы информационной безопасности компьютерных систем нуждаются в комплексном и систематическом подходе к их исследованию.

Понятие безопасности является очень сложным явлением с чертами единичного, общего и особенного. Безопасность в более глобальном виде – это состояние защищенности государства, личности и общества от множества составляющих, которые базируются на деятельности мирового сообщества, людей, государства и общества по изучению, ослаблению, предупреждению, исключению угроз и различных опасностей, которые могут навредить им и привести значительный ущерб.

В этой работе были проанализированы угрозы, возникающие во время деятельности Управления Федерального агентства по государственным резервам по Центральному федеральному округу, и определены главные административные, программные и аппаратные факторы обеспечения. Разработана политика безопасности организации, предложено внедрить систему защиты от утечек информации, в качестве мер инженерно-технической защиты рекомендовано применение систем защиты электронного документооборота.

Внедрение системы защиты электронного документооборота должно способствовать ускорению и упрощению документационных процессов внутри организации.

После изучения наиболее востребованных на российском рынке автоматизированные системы документационного обеспечения управления, было установлено, что единственный разработчик системы электронного документооборота, необходимый именно для нашей организации это компания «VipNet».

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

Бабаш, А.В. Информационная безопасность. Лабораторный практикум: Учебное пособие / А.В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. - М.: КноРус, 2013. - 136 c.
Партыка, Т.Л. Информационная безопасность: Учебное пособие / Т.Л. Партыка, И.И. Попов. - М.: Форум, 2012. - 432 c.
Петров, С.В. Информационная безопасность: Учебное пособие / С.В. Петров, И.П. Слинькова, В.В. Гафнер. - М.: АРТА, 2012. - 296 c.
Шаньгин, В.Ф. Информационная безопасность компьютерных систем и сетей: Учебное пособие / В.Ф. Шаньгин. - М.: ИД ФОРУМ, НИЦ ИНФРА-М, 2013. - 416 c.
Корпоративный VPN простым языком. http://hideme.ru/articles/simple-vpn.htm
Базовые понятия и классификация VPN. http://hideme.ru/articles/bazovye-ponjatija-i-klassifikacija-vpn.htm
Подключение Xbox 360 через VPN сервер. http://hideme.ru/articles/podkljuchenie-xbox-360-cherez-vpn-server.htm
Руководящий документ Ростехкомиссии РФ «Классификация автоматизированных систем и требования по защите информации»
Руководящий документ Ростехкомиссии РФ «Критерии оценки безопасности информационных технологий»
Руководящий документ Ростехкомиссии РФ «Средства вычислительной техники. межсетевые экраны.защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»
Руководящий документ Ростехкомиссии РФ «Средства защиты информации. Специальные и общие технические требования, предъявляемые к сетевым помехоподавляющим фильтрам»
Стандарт ЦБ РФ "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения", (принят и введен в действие распоряжением ЦБ РФ от 18 ноября 2004 г. N Р-609).
Федеральный закон Российской Федерации № 152-ФЗ «О персональных данных» от 27 июля 2006 года
Анатольев А.Г. Сетевые технологии. Программное обеспечение компьютерных сетей - Омск: ОмГТУ, 2012. — 217 с.
Бабич А.В. Организация информационных сетей – Тюмень: Издательство Тюменского государственного университета, 2012. – 144 с.
Дубинин В.Н., Сетевые модели распределенных систем обработки, хранения и передачи данных – Пенза: Приволжский Дом знаний, 2013. – 452 с.
Манза Н.Н. Компьютерные сети нового поколения / под редакцией Лавриенка Я.С. – Днепропетровск.: Изд-во Манлав, 2014. – 896 с.
Комагоров В.П. Архитектура сетей и систем телекоммуникаций: Учебное пособие – Томск: Изд-во Томского политехнического университета, 2012. – 151 с.
Платунова С.М. Администрирование вычислительных сетей на базе MS Windows Server 2008 R2 ─ СПб: НИУ ИТМО, 2013. ─ 127 с.
Хахаев И.А. Вычислительные машины, сети и системы телекоммуникаций в таможенном деле – СПб: Университет ИТМО, 2015. – 86 с.
Шевченко А.В. Компьютерные, сетевые и информационные технологии - СПб.: Изд-во СПбГЭТУ «ЛЭТИ», 2013. - 64 с.
Кульгин М. «Технология корпоративных сетей. Энциклопедия». СПб, Питер, 2011
Олифер В.Г., Олифер Н.А. «Компьютерные сети. Принципы, технологии, протоколы, 2-е изд» СПб, Питер-пресс, 2012