Защита информации в корпоративных информационных системах

Корпоративные информационные системы прочно вошли в нашу жизнь. В современном мире достаточно сложно представить себе успешно развивающееся предприятие, управляемое без участия такой системы.

В связи с тем, что в корпоративных информационных системах хранится информация, нарушение целостности или конфиденциальности которой может привести к краху целого предприятия остро стоит вопрос о защите информации в корпоративных информационных системах.

Данная работа ставит перед собой несколько целей. Одной из них является анализ структуры корпоративных информационных систем. На основе этого анализа будет проведена их классификация. Также одной из целей данной работы является исследование механизмов защиты данных в различных классах корпоративных информационных систем. Кроме того, ставится цель исследовать существующие угрозы корпоративных информационных систем и проанализировать методы их минимизации или полного устранения. В связи с этим будет проведено исследование существующих способов разграничения доступа и анализ их применимости тех или иных условиях.

1. Классификация корпоративных информационных систем

Термин корпорация происходит от латинского слова corporatio — объединение. Корпорация обозначает объединение предприятий, работающих под централизованным управлением и решающих общие задачи. Как правило, корпорации включают предприятия, расположенные в разных регионах и даже в различных государствах (транснациональные корпорации).

Корпоративные информационные системы (КИС) — это интегрированные системы управления территориально распределенной корпорацией, основанные на углубленном анализе данных, широком использовании систем информационной поддержки принятия решений, электронных документообороте и делопроизводстве.

Причины внедрения корпоративных информационных систем:

· оперативный доступ к достоверной и представленной в удобном виде информации;

· создание единого информационного пространства;

· упрощение регистрации данных и их обработки;

· избавление от двойной регистрации одних и тех же данных;

· регистрация информации в режиме реального времени;

· снижение трудозатрат, их равномерное распределение на всех участников системы учета, планирования и управления;

· автоматизация консолидации данных для распределенной организационной структуры.

Все корпоративные информационные системы можно разделить на две большие подгруппы. Одна из них включает единую систему, собранную по модульному принципу и имеющую высокий уровень интеграции. Другая — представляет собой набор хоть и интегрированных между собой при помощи сервисов и интерфейсов, но все же разнородных приложений.

К первому классу в основном относятся современные ERP системы.

ERP-система (англ. Enterprise Resource Planning System — Система планирования ресурсов предприятия) — корпоративная информационная система, предназначенная для автоматизации учёта и управления. Как правило, ERP-системы строятся по модульному принципу, и в той или иной степени охватывают все ключевые процессы деятельности компании.

Исторически концепция ERP стала развитием более простых концепций MRP (Material Requirement Planning — Планирование материальных потребностей) и MRP II (Manufacturing Resource Planning — Планирование производственных ресурсов). Используемый в ERP-системах программный инструментарий позволяет проводить производственное планирование, моделировать поток заказов и оценивать возможность их реализации в службах и подразделениях предприятия, увязывая его со сбытом.

В основе ERP-систем лежит принцип создания единого хранилища данных, содержащего всю корпоративную бизнес-информацию и обеспечивающего одновременный доступ к ней любого необходимого количества сотрудников предприятия, наделенных соответствующими полномочиями. Изменение данных производится через функции (функциональные возможности) системы.

Основные функции ERP систем:

— ведение конструкторских и технологических спецификаций, определяющих состав производимых изделий, а также материальные ресурсы и операции, необходимые для их изготовления;

— формирование планов продаж и производства;

— планирование потребностей в материалах и комплектующих, сроков и объемов поставок для выполнения плана производства продукции;

— управление запасами и закупками: ведение договоров, реализация централизованных закупок, обеспечение учета и оптимизации складских и цеховых запасов;

— планирование производственных мощностей от укрупненного планирования до использования отдельных станков и оборудования;

— оперативное управление финансами, включая составление финансового плана и осуществление контроля его исполнения, финансовый и управленческий учет;

— управления проектами, включая планирование этапов и ресурсов.

Они обычно обладают ядром, состоящим из нескольких ключевых модулей, без которых невозможна работа системы. Помимо прочих в это набор включена и система безопасности, которая берёт на себя большинство функций, связанных с защитой информации во всей системе в целом и в каждом из встраиваемых модулей в частности. Такой подход весьма удобен сразу по нескольким причинам:

· Механизмы обеспечения конфиденциальности, целостности и доступности данных в такой системе максимально унифицированы. Это позволяет администраторам избежать ошибок при настройке различных модулей системы, которые могли бы привести к образованию брешей в безопасности.

· Система имеет высокий уровень централизации и позволяет легко и надёжно управлять защитой корпоративной информационной системы.

К достоинствам таких систем можно отнести:

· Использование ERP системы позволяет использовать одну интегрированную программу вместо нескольких разрозненных.

· Реализуемая в ERP-системах система разграничения доступа к информации, предназначена (в комплексе с другими мерами информационной безопасности предприятия) для противодействия как внешним угрозам (например, промышленному шпионажу), так и внутренним (например, хищениям).

Исследование вузов союзного государства, в основном государственных, показало, что в самой автоматизированной области, финансах, 42% из них либо используют, лишь офисные приложения, либо по старинке — бумагу. Но даже там, где уровень автоматизации относительно высок, модули, как правило, никак не связаны между собой. А таких подсистем должно быть порядка десяти: финансовое планирование, управление недвижимостью, проектами, качеством, отчетность, инструментальная среда и т. п. При разработке каждой из них только на оплату труда уйдет, по самым скромным оценкам, примерно 25 тыс. долл. Если учесть, что на разработку идет 25−40% всех затрат на создание программного продукта, полученную оценку необходимо увеличить минимум в 2,5−4 раза. Поддержка внедренной системы обойдется еще в 140−240 тыс. долл. ежегодно. Так что мнение, будто собственная разработка обходится дешево — это иллюзия, возникающая в отсутствие эффективных средств контроля затрат.

Современные ERP системы могут быть вполне успешно адаптированы и к работе учебно-образовательных учреждений. Однако стоит отметить, что при внедрении таких систем необходимо учитывать некоторые особенности, присущие информационным системам таких учреждений.

· Наличие нескольких специализированных подсистем, решающих достаточно самостоятельные задачи. Данные, используемые каждой из подсистем, являются в большой степени специализированными, т. е. независимыми от других приложений информационной системы. Например, в рамках ВУЗа можно выделить подсистемы бухгалтерии, библиотеки, редакционно-издательского отдела, приложения обработки учебного процесса и т. д. С другой стороны, все подсистемы находятся в одном информационном пространстве и связаны между собой (единая система справочных данных, результат работы одного приложения служит основой для функционирования другого и т. д.).

· Требование публикации значительной части информации ИС, с предоставлением интерфейсов доступа к данным корпоративной информационной системы для сторонних пользователей.

Второй класс систем, на мой взгляд, гораздо более подвержен образованию пробелов в безопасности, вызванных ошибками при конфигурации системы безопасности приложения. Как уже отмечалось, несмотря на свою некоторую интегрированность, такие системы, по сути, являются набором отдельных независимых продуктов. Соответственно каждый из них использует свои подходы к обеспечению целостности, конфиденциальности и доступности данных и требует отдельной конфигурации. Если учесть так же тот факт, что части такой системы не всегда совместимы друг с другом, становится очевидным, что для совместной работы приложений иногда приходится жертвовать безопасностью. Децентрализованность таких систем часто не позволяет администраторам следить за разграничением прав доступа в системе.

2. Угрозы корпоративных информационных систем

Прежде чем рассмотреть уязвимости корпоративной информационной системы введём несколько определений.

Под доступом к информации понимается ознакомление с информацией, ее обработка, в частности копирование, модификация или уничтожение информации.

Различают санкционированный и несанкционированный доступ к информации.

Санкционированный доступ к информации - это доступ к информации, не нарушающий установленные правила разграничения доступа.

Правила разграничения доступа служат для регламентации права доступа субъектов доступа к объектам доступа.

Несанкционированный доступ к информации характеризуется нарушением установленных правил разграничения доступа. Лицо или процесс, осуществляющие несанкционированный доступ к информации, являются нарушителями правил разграничения доступа. Несанкционированный доступ является наиболее распространенным видом компьютерных нарушений.

Конфиденциальность данных - это статус, предоставленный данным и определяющий требуемую степень их защиты. По существу конфиденциальность информации — это свойство информации быть известной только допущенным и прошедшим проверку (авторизированным) субъектам системы (пользователям, процессам, программам). Для остальных субъектов системы эта информация должна быть неизвестной.

Субъект - это активный компонент системы, который может стать причиной потока информации от объекта к субъекту или изменения состояния системы.

Объект - пассивный компонент системы, хранящий, принимающий или передающий информацию. Доступ к объекту означает доступ к содержащейся в нем информации.

Целостность информации обеспечивается в том случае, если данные в системе не отличаются в семантическом отношении отданных в исходных документах, т. е. если не произошло их случайного или преднамеренного искажения или разрушения.

Целостность компонента или ресурса системы — это свойство компонента или ресурса быть неизменными в семантическом смысле при функционировании системы в условиях случайных или преднамеренных искажений или разрушающих воздействий.

Доступность компонента или ресурса системы — это свойство компонента или ресурса быть доступным' для авторизованных законных субъектов системы.

Под угрозой безопасности корпоративной информационной системы понимаются возможные воздействия на неё, которые прямо или косвенно могут нанести ущерб безопасности такой системы.

Ущерб безопасности подразумевает нарушение состояния защищенности информации, содержащейся и обрабатывающейся в корпоративных информационных системах. С понятием угрозы безопасности тесно связано понятие уязвимости корпоративных информационных систем.

Уязвимость корпоративной информационной системы — это некоторое свойство системы, которое делает возможным возникновение и реализацию угрозы.

Атака на компьютерную систему — это действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости системы. Таким образом, атака-это реализация угрозы безопасности.

Противодействие угрозам безопасности является целью защиты систем обработки информации.

Безопасная или защищенная система - это система со средствами защиты, которые успешно и эффективно противостоят угрозам безопасности.

Комплекс средств защиты представляет собой совокупность программных и технических средств, создаваемых и поддерживаемых для обеспечения информационной безопасности корпоративной информационной системы. Комплекс создается и поддерживается в соответствии с принятой в данной организации политикой безопасности.

Политика безопасности - это совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты корпоративной информационной системы от заданного множества угроз безопасности.

2.1 Классификация угроз

Корпоративная информационная система, как и любая информационная система подвержена угрозам безопасности. Классифицируем эти угрозы.

1. нарушение конфиденциальности информации в корпоративных информационных системах

2. нарушение целостности информации в корпоративных информационных системах.

3. отказ в обслуживании корпоративных информационных системах Рассмотрим данные угрозы несколько подробнее.

Угрозы нарушения конфиденциальности направлены на разглашение конфиденциальной или секретной информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ. В терминах компьютерной безопасности угроза нарушения конфиденциальности имеет место всякий раз, когда получен несанкционированный доступ к некоторой закрытой информации, хранящейся в компьютерной системе или передаваемой от одной системы к другой.

Угрозы нарушения целостности информации, хранящейся в компьютерной системе или передаваемой по каналу связи, направлены на ее изменение или искажение, приводящее к нарушению ее качества или полному уничтожению. Целостность информации может быть нарушена умышленно злоумышленником, а также в результате объективных воздействий со стороны среды, окружающей систему. Эта угроза особенно актуальна для систем передачи информации, компьютерных сетей и систем телекоммуникаций. Умышленные нарушения целостности информации не следует путать с ее санкционированным изменением, которое выполняется полномочными лицами с обоснованной целью (например, таким изменением является периодическая коррекция некоторой базы данных).

Угрозы нарушения работоспособности (отказ в обслуживании) направлены на создание таких ситуаций, когда определенные преднамеренные действия либо снижают работоспособность КИС, либо блокируют доступ к некоторым ее ресурсам. Например, если один пользователь системы запрашивает доступ к некоторой службе, а другой предпринимает действия по блокированию этого доступа, то первый пользователь получает отказ в обслуживании. Блокирование доступа к ресурсу может быть постоянным или временным.

Угрозы могут быть классифицированы по нескольким параметрам

· по величине принесенного ущерба:

o предельный, после которого фирма может стать банкротом;

o значительный, но не приводящий к банкротству;

o незначительный, который фирма за какое-то время может компенсировать.

· по вероятности возникновения:

o весьма вероятная угроза;

o вероятная угроза;

o маловероятная угроза.

· по причинам появления:

o стихийные бедствия;

o преднамеренные действия.

· по характеру нанесенного ущерба:

o материальный;

o моральный;

· по характеру воздействия:

o активные;

o пассивные.

· по отношению к объекту:

o внутренние;

o внешние.

· Источниками внешних угроз являются:

o недобросовестные конкуренты;

o преступные группировки и формирования;

o отдельные лица и организации административно-управленческого аппарата.

· Источниками внутренних угроз могут быть:

o администрация предприятия;

o персонал;

o технические средства обеспечения производственной и трудовой деятельности.

Соотношение внешних и внутренних угроз на усредненном уровне можно охарактеризовать так:

· 82% угроз совершается собственными сотрудниками фирмы при их прямом или опосредованном участии;

· 17% угроз совершается извне — внешние угрозы;

· 1% угроз совершается случайными лицами.

Наиболее опасной с точки зрения размера нанесённого ущерба в большинстве случаев является именно нарушение конфиденциальности информации. Рассмотрим возможные способы таких нарушений.

Разглашение — это умышленные или неосторожные действия с конфиденциальными сведениями, приведшие к ознакомлению с ними лиц, не допущенных к ним. Разглашение выражается в сообщении, передаче, предоставлении, пересылке, опубликовании, утере и в других формах обмена и действий с деловой и научной информацией. Реализуется разглашение по формальным и неформальным каналам распространения информации. К формальным коммуникациям относятся деловые встречи, совещания, переговоры и тому подобные формы общения: обмен официальными деловыми и научными документами средствами передачи официальной информации (почта, телефон, телеграф и т. д.).

Неформальные коммуникации включают личное общение (встречи, переписка), выставки, семинары, конференции и другие массовые мероприятия, а также средства массовой информации (печать, газеты, интервью, радио, телевидение). Как правило, причиной разглашения конфиденциальной информации является недостаточное знание сотрудниками правил защиты коммерческих секретов и непонимание (или недопонимание) необходимости их тщательного соблюдения. Тут важно отметить, что субъектом в этом процессе выступает источник (владелец) охраняемых секретов.

Следует отметить информационные особенности этого действия. Информация содержательная, осмысленная, упорядоченная, аргументированная, объемная и доводится зачастую в реальном масштабе времени. Часто имеется возможность диалога. Информация ориентирована в определенной тематической области и документирована. Для получения интересующей злоумышленника информации последний затрачивает практически минимальные усилия и использует простые легальные технические средства (диктофоны, видеомониторинг).

Утечка - это бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена.

Утечка информации осуществляется по различным техническим каналам. Известно, что информация вообще переносится или передается либо энергией, либо веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги (написанный текст) и др. С учетом этого можно утверждать, что по физической природе возможны следующие пути переноса информации: световые лучи, звуковые волны, электромагнитные волны, материалы и вещества. Соответственно этому классифицируются и каналы утечки информации на визуально-оптические, акустические, электромагнитные и материально-вещественные. Под каналом утечки информации принято понимать физический путь от источника конфиденциальной информации к злоумышленнику, посредством которого последний может получить доступ к охраняемым сведениям. Для образования канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также наличие на стороне злоумышленника соответствующей аппаратуры приема, обработки и фиксации информации.

Несанкционированный доступ - это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым секретам. Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного сотрудничества, выражающегося в активном стремлении «продать» секреты, до использования различных средств проникновения к коммерческим секретам. Для реализации этих действий злоумышленнику приходится часто проникать на объект или создавать вблизи него специальные посты контроля и наблюдения — стационарных или в подвижном варианте, оборудованных самыми современными техническими средствами. Если исходить из комплексного подхода к обеспечению информационной безопасности, то такое деление ориентирует на защиту информации, как от разглашения, так и от утечки по техническим каналам и от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. Такой подход к классификации действий, способствующих неправомерному овладению конфиденциальной информацией, показывает многогранность угроз и многоаспектность защитных мероприятий, необходимых для обеспечения комплексной информационной безопасности.

С учетом изложенного остается рассмотреть вопрос, какие условия способствуют неправомерному овладению конфиденциальной информацией.

По статистике это:

· разглашение (излишняя болтливость сотрудников) — 32%;

· несанкционированный доступ путем подкупа и склонения к сотрудничеству со стороны конкурентов и преступных группировок — 24%;

· отсутствие на фирме надлежащего контроля и жестких условий обеспечения информационной безопасности — 14%;

· традиционный обмен производственным опытом — 12%;

· бесконтрольное использование информационных систем — 10%;

· наличие предпосылок возникновения среди сотрудников конфликтных ситуаций — 8%;

Приведённые статистики говорят о том, что наиболее уязвимым местом в системе безопасности корпоративной информационной системы являются сами сотрудники, вольно или невольно совершающие нарушения безопасности информационной системе.

2.2 Меры предотвращения угроз

По способам воздействия все меры по минимизации угроз подразделяют на:

· правовые (законодательные);

· морально-этические;

· административные;

· физические;

· аппаратно-программные.

Перечисленные меры безопасности КИС можно рассматривать как последовательность барьеров или рубежей защиты информации. Для того чтобы добраться до защищаемой информации, нужно последовательно преодолеть несколько рубежей защиты. Рассмотрим их подробнее.

Первый рубеж защиты, встающий на пути человека, пытающегося осуществить НСД к информации, является чисто правовым. Этот аспект защиты информации связан с необходимостью соблюдения юридических норм при передаче и обработке информации. К правовым мерам защиты информации относятся действующие в стране законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией ограниченного использования и ответственности за их нарушения. Этим они препятствуют несанкционированному использованию информации и являются сдерживающим фактором для потенциальных нарушителей.

Второй рубеж защиты образуют морально-этические меры. Этический момент в соблюдении требований защиты имеет весьма большое значение. Очень важно, чтобы люди, имеющие доступ к компьютерам, работали в здоровом морально-этическом климате.

К морально-этическим мерам противодействия относятся всевозможные нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения компьютеров в стране. Эти нормы большей частью не являются обязательными, как законодательно утвержденные, но их несоблюдение обычно ведет к падению престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаными (например, общепризнанные нормы честности, патриотизма и т. д.), так и оформленными в некий свод правил или предписаний. Например, «Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США» рассматривает как неэтичные действия, которые умышленно или неумышленно:

· нарушают нормальную работу компьютерных систем;

· вызывают неоправданные затраты ресурсов (машинного времени, памяти, каналов связи и т. п.);

· нарушают целостность информации (хранимой и обрабатываемой);

· нарушают интересы других законных пользователей и т. п.

Третьим рубежом, препятствующим неправомочному использованию информации, являются административные меры. Администраторы всех рангов с учетом правовых норм и социальных аспектов определяют административные меры защиты информации.

Административные меры защиты относятся к мерам организационного характера. Они регламентируют:

· процессы функционирования КИС;

· использование ресурсов КИС;

· деятельность ее персонала;

· порядок взаимодействия пользователей с системой, с тем чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.

Административные меры включают:

· разработку правил обработки информации в КИС;

· совокупность действий при проектировании и оборудовании вычислительных центров и других объектов КИС (учет влияния стихии, пожаров, охрана помещений и т. п.);

· совокупность действий при подборе и подготовке персонала (проверка новых сотрудников, ознакомление их с порядком работы с конфиденциальной информацией, с мерами ответственности за нарушение правил ее обработки; создание условий, при которых персоналу было бы невыгодно допускать злоупотребления и т. д.);

· организацию надежного пропускного режима;

· организацию учета, хранения, использования и уничтожения документов и носителей с конфиденциальной информацией;

· распределение реквизитов разграничения доступа (паролей, полномочий и т. п.);

· организацию скрытого контроля над работой пользователей и персонала КИС;

· совокупность действий при проектировании, разработке, ремонте и модификации оборудования и программного обеспечения (сертификация используемых технических и программных средств, строгое санкционирование, рассмотрение и утверждение всех изменений, проверка на удовлетворение требованиям защиты, документальная фиксация изменений и т. п.).

Важно отметить, что, пока не будут реализованы действенные меры административной защиты ЭВМ, прочие меры будут, несомненно, неэффективны. Административно-организационные меры защиты могут показаться скучными и рутинными по сравнению с морально-этическими и лишенными конкретности по сравнению с аппаратно-программными. Однако они представляют собой мощный барьер на пути незаконного использования информации и надежную базу для других уровней защиты.

Четвертым рубежом являются физические меры защиты. К физическим мерам защиты относятся разного рода механические, электрои электронно-механические устройства или сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации.

Пятым рубежом являются аппаратно-программные средства защиты. К ним относятся различные электронные устройства и специальные программы, которые реализуют самостоятельно или в комплексе с другими средствами следующие способы защиты:

· идентификацию (распознавание) и аутентификацию (проверка подлинности) субъектов (пользователей, процессов) КИС;

· разграничение доступа к ресурсам КИС;

· контроль целостности данных;

· обеспечение конфиденциальности данных;

· регистрацию и анализ событий, происходящих в КИС;

· резервирование ресурсов и компонентов КИС.

По способу осуществления все меры по предотвращению угроз корпоративной информационной системы можно разделить следующим образом.

Таблица 1.? Преимущества и недостатки различных мер борьбы с угрозами КИС

Контроль в чистом виде, к сожалению, тем менее применим, чем больше информационная система. Кроме того, сразу же встает вопрос о целесообразности сбора этих данных, т.к. своевременно обработать их практически невозможно, или это требует создания отдельного отдела, занимающегося именно этой работой. Нельзя забывать и о том, что большинство данных актуально совсем непродолжительное время.

Запрет — очень негибкий инструмент. Запрет на использование отчуждаемых носителей информации может породить новые проблемы, связанные с тем, половина подразделений использовала их для общения с внешним миром: электронная почта налагает ограничения на размер пересылаемых файлов, налоговые органы принимают отчеты бухгалтерии только на дискетах и т. д. Кроме того, нельзя забывать о таком вопросе, как элементарная комфортность работы. Сотрудники, чувствующие за собой постоянный контроль, испытывающие жесткие ограничения при работе с компьютером, Интернетом, почтой или, к примеру, с телефонными переговорами, становятся нервными, раздражительными, копят внутри себя недовольство. Естественно, рано или поздно, это приведет к потере ценного сотрудника, или же к желанию сотрудника попробовать обойти эти ограничения и запреты.

Из всего вышесказанного можно сделать вывод, что контролировать и ограничивать, ставя все мыслимые и не мыслимые запреты, не имеет смысла. Лучше определить круг людей, которые по роду своей работы имеют доступ к конфиденциальной информации, и далее грамотно настроить систему разграничения прав доступа, несмотря на то, что обслуживание такой системы будет требовать кропотливой настройки и аккуратного сопровождения.

Таким образом, становится понятным, что одним из главных шагов на пути к обеспечению конфиденциальности информации является разграничение доступа сотрудников к ресурсам корпоративной информационной системы с целью ограничить спектр информации доступной тому или иному сотруднику пределами, необходимыми для исполнения им должностных обязанностей.

3. Механизмы разграничения доступа

Рассмотрим наиболее актуальные механизмы разграничения доступа.

3.1 Дискреционная модель разграничения доступа

Дискреционная модель разграничения доступа определяется двумя свойствами:

· все субъекты и объекты идентифицированы;

· права доступа субъектов на объекты системы определяются на основании некоторого внешнего по отношению к системе правила.

Основным элементом систем дискреционного разграничения доступа является матрица доступов. Матрица доступов — матрица размером S х , строки которой соответствуют субъектам, а столбцы соответствуют объектам. При этом каждый элемент матрицы доступов M[s, о] с R определяет права доступа субъекта s на объект о, где R — множество прав доступа.

· При использовании дискреционного механизма управления доступом к нему предъявляются следующие требования:

· Система защиты должна контролировать доступ наименованных субъектов (пользователей) к наименованным объектам (файлам, программам, томам и т. д.).

· Для каждой пары (субъект — объект) в средстве вычислительной техники (СВТ) должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (читать, писать и т. д.), т. е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу СВТ (объекту).

· Система защиты должна содержать механизм, претворяющий в жизнь дискреционные правила разграничения доступа.

· Контроль доступа должен быть применим к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов).

· Механизм, реализующий дискреционный принцип контроля доступа, должен предусматривать возможности санкционированного изменения правил или прав разграничения доступа (ПРД), в том числе возможность санкционированного изменения списка пользователей СВТ и списка защищаемых объектов.

· Право изменять ПРД должно предоставляться выделенным субъектам (администрации, службе безопасности и т. д.).

· Должны быть предусмотрены средства управления, ограничивающие распространения прав на доступ.

К достоинствам дискреционной политики безопасности можно отнести относительно простую реализацию системы разграничения доступа. Этим обусловлен тот факт, что большинство распространенных в настоящее время компьютерных систем обеспечивают выполнение требований именно данной политики безопасности.

К недостаткам дискреционной политики безопасности относится статичность определенных в ней правил разграничения доступа. Данная политика безопасности не учитывает динамику изменений состояний компьютерной системы. Кроме того, при использовании дискреционной политики безопасности возникает вопрос определения правил распространения прав доступа и анализа их влияния на безопасность компьютерной системы. В общем случае при использовании данной политики безопасности перед системой защиты, которая при санкционировании доступа субъекта к объекту руководствуется некоторым набором правил, стоит алгоритмически неразрешимая задача — проверить, приведут ли его действия к нарушению безопасности или нет.

В то же время имеются модели компьютерных систем, реализующих дискреционную политику безопасности, которые предоставляют алгоритмы проверки безопасности.

Тем не менее, в общем случае дискреционная политика разграничения доступа не позволяет реализовать ясную и четкую систему защиты информации в компьютерной системе. Этим обусловливается поиск других, более совершенных политик безопасности.

3.2 Мандатная (полномочная) модель разграничения доступа

Мандатная (полномочная) модель разграничения доступа основана на мандатном разграничении доступа (Mandatory Access Control), которое определяется четырьмя условиями:

· все субъекты и объекты системы однозначно идентифицированы;

· задана решетка уровней конфиденциальности информации;

· каждому объекту системы присвоен уровень конфиденциальности, определяющий ценность содержащейся в нем информации;

· каждому субъекту системы присвоен уровень доступа, определяющий уровень доверия к нему в компьютерной системе.

Основная цель мандатной политики безопасности — предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т. е. противодействие возникновению в компьютерной системе неблагоприятных информационных потоков сверху вниз.

Во многом целью её разработки являлось устранение недостатков матричных моделей. Были разработаны так называемые многоуровневые модели защиты. Они предполагают формализацию процедуры назначения прав доступа посредством использования, так называемых меток конфиденциальности или мандатов, назначаемых субъектам и объектам доступа. Так, для субъекта доступа метки, например, могут определяться в соответствии с уровнем допуска лица к информации, а для объекта доступа (собственно данные) — признаками конфиденциальности информации. Признаки конфиденциальности фиксируются в метке объекта. Права доступа каждого субъекта и характеристики конфиденциальности каждого объекта отображаются в виде совокупности уровня конфиденциальности и набора категорий конфиденциальности. Уровень конфиденциальности может принимать одно из строго упорядоченного ряда фиксированных значений, например: конфиденциально, секретно, для служебного пользования, несекретно и т. п.

Основу реализации управления доступом составляют:

· Формальное сравнение метки субъекта, запросившего доступ, и метки объекта, к которому запрошен доступ.

· Принятие решений о предоставлении доступа на основе некоторых правил, основу которых составляет противодействие снижению уровня конфиденциальности защищаемой информации.

Таким образом, многоуровневая модель предупреждает возможность преднамеренного или случайного снижения уровня конфиденциальности защищаемой информации. То есть эта модель препятствует переходу информации из объектов с высоким уровнем конфиденциальности и узким набором категорий доступа в объекты с меньшим уровнем конфиденциальности и более широким набором категорий доступа.

· Требования к мандатному механизму состоят в следующем:

· Каждому субъекту и объекту доступа должны сопоставляться классификационные метки, отражающие их место в соответствующей иерархии (метки конфиденциальности). Посредством этих меток субъектами объектам должны назначаться классификационные уровни (уровни уязвимости, категории секретности и т. п.), являющиеся комбинациями иерархических и неиерархических категорий. Данные метки должны служить основой мандатного принципа разграничения доступа.

· Система защиты при вводе новых данных в систему должна запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном занесении в список пользователей нового субъекта ему должны назначаться классификационные метки. Внешние классификационные метки (субъектов, объектов) должны точно соответствовать внутренним меткам (внутри системы защиты).

· Система защиты должна реализовывать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:

— субъект может читать объект, только если иерархическая классификация в классификационном уровне субъекта не меньше, чем иерархическая классификация в классификационном уровне объекта. При этом иерархические категории в классификационном уровне субъекта должны включать в себя все иерархические категории в классификационном уровне объекта;

— субъект осуществляет запись в объект, только если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации. При этом все иерархические категории в классификационном уровне субъекта должны включаться в иерархические категории в классификационном уровне объекта.

· Реализация мандатных ПРД должна предусматривать возможность сопровождения, изменения классификационных уровней субъектов и объектов специально выделенными субъектами.

· В СВТ должен быть реализован диспетчер доступа, т. е. средство, во-первых, осуществляющее перехват всех обращений субъектов к объектам, а во-вторых, разграничивающее доступ в соответствии с заданным принципом разграничения доступа. При этом решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и дискреционными, и мандатными ПРД. Таким образом, должны контролироваться не только единичный акт доступа, но и потоки информации.

Практика показывает, что многоуровневые модели защиты находятся гораздо ближе к потребностям реальной жизни, нежели матричные модели, и представляют собой хорошую основу для построения автоматизированных систем разграничения доступа. Причем, так как отдельно взятые категории одного уровня равнозначны, то, чтобы их разграничить наряду с многоуровневой (мандатной) моделью, требуется применение матричной модели. С помощью многоуровневых моделей возможно существенное упрощение задачи администрирования. Причем это касается как исходной настройки разграничительной политики доступа (не требуется столь высокого уровня детализации задания отношения субъект-объект), так и последующего включения в схему администрирования новых объектов и субъектов доступа.

3.3 Модель разграничения информационных потоков

Модель разграничения информационных потоков основана на разделении всех возможных информационных потоков между объектами системы на два непересекающихся множества: множество благоприятных информационных потоков и множество неблагоприятных информационных потоков. Цель реализации модели разграничения информационных потоков состоит в том, чтобы обеспечить невозможность возникновения в компьютерной системе неблагоприятных информационных потоков.

Модель разграничения информационных потоков в большинстве случаев используется в сочетании с механизмами другого вида, например с моделями дискреционного или мандатного разграничения доступа. Реализация модели разграничения информационных потоков, как правило, на практике является трудной для решения задачей, особенно, если необходимо обеспечить защиту компьютерной системы от возникновения неблагоприятных информационных потоков по времени.

3.4 Модель ролевого разграничения доступа

Ролевое разграничение доступа является развитием политики дискреционного разграничения доступа; при этом права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли.

Задание ролей позволяет определить более четкие и понятные для пользователей компьютерной системы правила разграничения доступа. Ролевое разграничение доступа позволяет реализовать гибкие, изменяющиеся динамически в процессе функционирования компьютерной системы правила разграничения доступа. На основе ролевого разграничения доступа, в том числе, может быть реализовано мандатное разграничение доступа.

3.5 Модель изолированной программной среды

Целью реализации модели изолированной программной среды является определение порядка безопасного взаимодействия субъектов системы, обеспечивающего невозможность воздействия на систему защиты и модификации ее параметров или конфигурации, результатом которых могло бы стать изменение реализуемой системой защиты политики разграничения доступа.

Модель изолированной программной среды реализуется путем изоляции субъектов системы друг от друга и путем контроля порождения новых субъектов таким образом, чтобы в системе могли активизироваться только субъекты из предопределенного списка. При этом должна контролироваться целостность объектов системы, влияющих на функциональность активизируемых субъектов.

4. Система разграничения прав доступа к корпоративным ресурсам БГУ

корпоративный информационный защита доступ Корпоративная информационная среда Белорусского государственного университета состоит из нескольких десятков приложений и сервисов, написанных в разное время. Большая часть из них представляет собой объекты ActiveX, оставшиеся — web-приложения. Все они в большинстве случаев независимы и не имеют встроенных средств для организации взаимодействия. В данном случае, очевидным является выбор ролевой модели доступа, которая является развитием дискреционной модели разграничения доступа. Реализация какой-либо другой модели в условиях корпоративной информационной системы Белорусского государственного университета является почти невозможной.

Разграничение доступа к столь разнородным и слабоинтегрированным системам может быть построено путём выделения пользователем прав на доступ к тем или иным приложением на основании их членства в соответствующих группах на контроллере домена, а также прав на исполнение хранимых процедур на серверах баз данных, с использованием которых работают все компоненты информационной системы.

Сравнивая представленные системы, можно сказать, что в ERP система берёт на себя всю полноту ответственности за аутентификацию и авторизацию пользователей. Кроме традиционной парольной аутентификации, она предлагает широкий спектр других механизмов, предоставляемых различными моделями корпоративной информационной системы.

Система безопасности слабоинтегрированной информационной системы возлагает процедуры аутентификации и авторизации на встроенные средства контроллера домена Microsoft Windows, чем значительно уменьшает затраты на свою эксплуатацию и обеспечивает достаточно надёжное функционирование. Однако средства управления пользователями Microsoft Windows не ориентированы на такое использование, поэтому являются не вполне удобными при контроле за распределением доступа, что негативно влияет на безопасность корпоративной информационной системы.

Из вышесказанного следует, что приложение, которое сможет централизованно управлять правами пользователей на доступ к тем или иным приложениям существенно упростит работу администраторов корпоративной информационной системы БГУ, а также позволит более тщательно отслеживать права пользователя на доступ к данным различных приложений. Что в свою очередь, очевидно, приведёт к существенному улучшению работы системы безопасности.

Таким образом, передо мной стояла задача создания такой системы. Рассмотрим подробнее особенности решения такой задачи.

При проектировании такой системы необходимо учесть некоторые особенности, необходимые для нормального функционирования как самого приложения в частности, так и всей корпоративной информационной системы в целом.

Поскольку система управления пользователями в Windows Active Directory может использоваться не только для предоставления доступа к ресурсам корпоративной информационной системы БГУ, поэтому в работе приложения стоит учитывать это, чтобы пользователи не потеряли права, которые им действительно необходимы и не получили лишних полномочий. Для этого в системе организован механизм хранения априорных прав пользователя, которые были присвоены ему не данной системой управления доступом, а при использовании средств Windows Active Directory.

Похожая ситуация складывается и в разделе управления пользователями на SQL серверах. Однако, как говорилось выше, механизм разграничения прав доступа БГУ при доступе к ресурсам SQL сервера построена по ролевому признаку, а значит, нет необходимости хранить данные о правах доступа пользователя к каждому из объектов того или иного SQL сервера. Все эти данные хранятся в правах группы на сервере. Таким образом, системе управления доступом достаточно хранить только такие поля как название сервера, название самой базы данных, а так же название роли пользователя.

Обратимся подробнее к системе распределения доступа.

Данная система представляет собой web-приложение, реализованное средствами ASP.NET 1.1 и использующее сервер баз данных Microsoft SQL Server 2000 SP3.

База данных состоит из следующих таблиц:

· Основные таблицы

o Users — хранит идентификатор объекта пользователя, имя пользователя, его логин и, если это необходимо, дополнительную текстовую информацию.

o Applications — хранит в себе идентификатор приложения, его название и, если это необходимо, дополнительную текстовую информацию.

o WinADGroups — хранит идентификатор объекта группы, её название, и, если это необходимо, дополнительную текстовую информацию.

o SQLGroups — хранит идентификатор группы, её название, имя сервера, базы данных, а также роль, которые сопоставлены данной группе и, если это необходимо, дополнительную текстовую информацию.

· Вспомогательные таблицы

o Users2Apps

o SQLGroups2Apps

o WinGroups2Apps

o UsersPriorSQLGroups

o UsersPriorWinGroups

Основные таблицы хранят в себе данные о пользователях, приложения и группах на контроллере домена, а также роля на различных SQL серверах. Вспомогательные таблицы обеспечивают связи «многие-ко-многим», которые имеются в системе.

Обращения к таблицам производятся при помощи нескольких десятков хранимых процедур. Использование хранимых процедур, а также SQL-параметров позволяет эффективно защитить приложение от SQL инъекций, которые являются одним из главных путей для взлома web-приложений использующих базы данных, в последнее время. Схема базы данных представлена на рисунке.

Приложение состоит из 8 aspx страниц предназначенных для управления доступом. Обратимся к работе приложения подробнее.

Страница WinGroupsAdd. aspx служит для добавления в систему идентификаторов групп на контроллере домена. Пользователь вводит имя группы. Система производит поиск групп на контроллере домена и предоставляет список похожих по названию групп. Пользователь выбирает нужную группу, если это необходимо вводит текстовое описание этой группы и нажимает на клавишу сохранить. Данные о группе сохраняются в базе данных приложения.

С использованием страницы WinGroupsEdit. aspx пользователь может отредактировать раннее введённую информацию о группе, а именно, её текстовое описание. Кнопка удалить удаляет всю информацию о группе в системе, а также производит механизм удаления пользователей из данной, при условии, что они были добавлены туда данной системой. Для проверки служит таблица UserPriorWinGroups.

Страница SQLGroupsAdd. aspx служит для добавления в систему данных для использования групп на SQL сервере. Пользователь вводит имя сервера, название базы данных и роли, в соответствующей базе данных. Если это необходимо, пользователь вводит текстовое описание этой группы и нажимает на клавишу сохранить. Данные о группе сохраняются в базе данных приложения.

С использованием страницы SQLGroupsEdit. aspx пользователь может отредактировать раннее введённую информацию о группе, а именно, её текстовое описание. Остальные поля недоступны для редактирования поскольку для внесения таких изменений необходимо создание новой группы пользователей. Кнопка удалить удаляет всю информацию о группе в системе, а также производит механизм удаления пользователей из данной, при условии, что они были добавлены туда данной системой. Для проверки служит таблица UserPriorSQLGroups.

Страница ApplicationAdd. aspx служит для добавления приложений в систему. На данной странице пользователь может ввести название приложения, его текстовое описание, а также выбрать необходимые для работы с этим приложение группы как на SQL серверах, так и на контроллере домена. Выбор производится из соответствующих списков групп, имеющихся в базе данных системы. Кнопка сохранить запомнит соответствующие данные в системе, а кнопка отменить вернёт вас на эту же страницу без выполнения каких либо действий. Только очистит все введённые данные.

Используя ApplicationEdit. aspx, вы можете изменить описание приложения, а также набор нужных для его использования групп. При нажатии кнопки сохранить. Система обновит данные в своей базе данных, а также изменит соответствующим образом права пользователей, имеющих доступ к данному приложению.

Страница UserAdd. aspx предназначена для добавления пользователей в систему. Этот процесс происходит следующим образом. Пользователь вводит полностью или частично имя пользователя, который должен быть добавлен в систему. Производится поиск на контролере домена. После чего пользователю выдаётся список подходящих вариантов имён пользователей. Выбирается искомый пользователь домена и для него выбираются нужные приложения. Кнопка сохранить запомнит соответствующие данные в системе, а кнопка отменить вернёт вас на эту же страницу без выполнения каких либо действий. Только очистит все введённые данные.

Используя UserEdit. aspx пользователь может добавить или удалить право доступа к тем ли и иным приложением, а также удалить пользователя из базы данных приложения.

Заключение

В данной работе проведён анализ корпоративных информационных систем: их структуры и механизмов обеспечения безопасности. Все корпоративные информационные системы были разделены на 2 класса: сильноинтегрированные системы, яркими представителями которых являются ERP системы, а также слабоинтегрированные системы выстроенные из нескольких десятков отдельных, иногда совершенно не связанных приложений. Управление доступом в абсолютном большинстве из них построено на основе ролевой дискреционной модели разграничения прав пользователей с централизованным управлением доступом.