Разработка и внедрение модулей защиты информации от несанкционированного копирования в информационную систему

В любой информационной системе современной компании всегда присутствует информация, утечка которой может повлечь финансовые потери или иные негативные последствия: различные проекты, разработки, клиентские базы и т. п. Такие данные в любом случае представляют материальную ценность для злоумышленников, потому что подобную информацию можно использовать в своих целях вплоть до продажи конкурентам.

Как правило, такая информация хранится в открытом виде на компьютерах пользователей и на файловом сервере, доступ к которому есть у большинства сотрудников предприятия. А антивирусы и межсетевые экраны никак не могут обеспечить защиту от пресловутого «человеческого фактора». Часть утечек информации происходит из-за халатности, невнимательности или незнания основных правил безопасности сотрудников, часть — по собственной инициативе сотрудников, которые тем или иным образом хотят извлечь для себя дополнительную выгоду. Из вышесказанного сам собой напрашивается вывод о необходимости применения каких-то средств защиты, которые устранят возможность несанкционированного копирования информации, представляющей материальную ценность для компании.

Цель дипломного проекта — разработать и внедрить модули защиты информации от несанкционированного копирования в информационную систему ЗАО «Орбита». Первый модуль — это программное обеспечение, предназначенное для управления пользователями, имеющими доступ к защищаемой информации, а так же для управления настройками защиты, второй — пользовательский модуль, предоставляющий доступ к защищаемой информации.

В первой главе проекта рассматривается организационная структура и основные направления деятельности ЗАО «Орбита». Далее, во второй главе анализируются возможности потенциальных инициаторов утечки информации.

Затем рассматривается перечень потенциальных угроз информации в информационной системе ЗАО «Орбита», выявляются актуальные. Для формирования требований к разрабатываемой системе защиты составляется модель информационной системы ЗАО «Орбита», где отмечаются актуальные угрозы в местах их возможной реализации. После этого формируются требования к разрабатываемой системе защиты.

В третьей главе диплома описывается принцип функционирования разрабатываемого программного обеспечения, а так же описывается непосредственно разработка программных модулей и проектируются необходимые таблицы базы данных. Также в третьей главе происходит формирование модели информационной системы с внедренной системой защиты информации, разрабатывается режим работы пользователей. Затем сформированная модель анализируется на предмет выполнения всех требований, сформированных во второй главе.

В четвертой главе приведено руководство пользователей и администратора по установке и настройке разработанного программного обеспечения.

В пятой главе рассмотрены общие требования безопасности при работе на ПЭВМ, требования организации рабочих мест операторов, их освещенности и т. д.

В шестой главе определяется трудоемкость разработки программы, сравнение стоимости ее внедрения со стоимостью внедрения программных аналогов других фирм и оценка технико-экономической эффективности проекта.

Для разработки программного обеспечения, реализующего необходимый функционал, выбрана среда разработки Borland Delphi 7.

программный угроза модуль информация

1. ОРГАНИЗАЦИОННАЯ СТРУКТУРА И ОСНОВНЫЕ НАПРАВЛЕНИЯ ДЕЯТЕЛЬНОСТИ ЗАО «ОРБИТА»

1.1 Анализ организационной структуры и основных направлений деятельности ЗАО «Орбита»

Компания «Орбита» образована 7 сентября 2000 года в г. Краснодаре.

Офисы ЗАО «Орбита» расположены в Москве, Краснодаре, Ростове-на-Дону, Ставрополе, Волгограде, Сочи, Владикавказе, Воронеже, Саратове.

Штат компании — более 700 сотрудников, из которых 11 — кандидаты технических наук, 470 — дипломированные инженеры, имеющие сертификаты CCNP, CCDA, CISSP и др.

Для реализации дипломного проекта был выбран Ставропольский филиал ЗАО «Орбита». На рисунке 1.1 представлена организационная его организационная структура.

Рисунок 1.1 — Организационная структура Ставропольского филиала ЗАО «Орбита»

Все отделы тесно взаимодействуют между собой, благодаря чему все производственные процессы проходят полный всесторонний контроль. Внутри отделов и между ними циркулирует большое количество информации: клиентские базы, разрабатываемые проекты в самых различных областях, сметы закупаемых средств защиты и др.

Внутренний распорядок деятельности организации регламентируется Уставом организации, следовать предписаниям которого обязан каждый работник.

Основные направления деятельности компании:

— информационные системы;

— телекоммуникационные системы;

— информационная безопасность;

— инженерно-технические системы охраны;

— жизнеобеспечение зданий;

— строительство зданий и сооружений.

Специалисты компании предоставляют полный спектр услуг:

— аудит информационных систем;

— научно-исследовательские и опытно-конструкторские работы;

— проектирование систем защиты информации;

— монтажные и пуско-наладочные работы;

— аутсорсинг информационно-телекоммуникационных систем;

— выдача сертификатов ключей электронной цифровой подписи (ЭЦП) Удостоверяющим центром ЗАО «Орбита»;

— передача отчетности в контролирующие органы по каналам связи;

— защита государственной и коммерческой тайны, конфиденциальной информации, в т. ч. персональных данных;

— специальные обследования выделенных (защищенных) помещений;

— специальные исследования и специальные проверки технических средств;

— осуществление мероприятий и (или) оказание услуг по защите государственной тайны сторонним организациям;

— осуществление мероприятий и (или) оказание услуг по защите персональных данных сторонним организациям;

— разработка и применение системы мероприятий по обеспечению режима секретности;

— конфиденциальное уничтожение документов;

— техническая поддержка;

— ремонт и техническое обслуживание оборудования Сервисным центром ЗАО «Орбита».

Компания «Орбита» предлагает современные индивидуальные решения и реализует комплексные проекты, способствующие повышению управляемости и конкурентоспособности бизнеса наших заказчиков.

Потенциал отдела инженерно-технических систем, проектного департамента, специального научно-технического отдела и технического центра компании позволяет глубоко изучить все возможные варианты решений, детально проработать архитектуру будущей информационной системы.

Опираясь на использование универсальных линеек продуктов, поставляемых стратегическими партнерами компании, сотрудники ЗАО «Орбита» обеспечивают для заказчиков перспективу дальнейшего расширения информационной системы и возможность ее качественной модернизации. Предлагаемые компанией решения имеют централизованную систему управления и характеризуются высоким уровнем производительности, защищенности и надежности.

Компания ведет крупные и значимые проекты таких заказчиков, как:

— Федеральная служба безопасности России;

— Министерство внутренних дел России;

— Федеральная налоговая служба России;

— Центральный банк России;

— Центральная избирательная комиссия РФ;

— ГК «Росатом»;

— Полномочное представительство Президента РФ в ЮФО;

— Управления Федерального Казначейства;

— Управления Федеральной миграционной службы;

— Управления Судебного департамента;

— Управление Президента и Правительства Карачаево-Черкесской Республики;

— части СКВО Министерства обороны;

— Администрация Ростовской области;

— Администрация Краснодарского края;

— Департамент по финансам, бюджету и контролю Краснодарского края;

— Правительство Ставропольского края;

— Министерство финансов Ставропольского края и Кабардино-Балкарской Республики;

— таможни Южного таможенного управления;

— отделения Пенсионного фонда РФ;

— территориальные органы Росстата;

— подразделения Фонда обязательного медицинского страхования РФ;

— отделения Сбербанка России;

— ОАО «МТС»;

— ЗАО «Мобиком-Кавказ»;

— ОАО «ЮТК»;

— ОАО «Кубаньэнерго».

Свою деятельность компания осуществляет на основании лицензий, аттестатов и свидетельств Федеральной службы по техническому и экспортному контролю РФ, ФСБ России, МЧС России, Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций, Министерства обороны Российской Федерации, Федеральной службы по надзору в сфере защиты прав потребителей и благополучия человека, Федеральной службы по надзору за соблюдением законодательства в области охраны культурного наследия, Саморегулируемой организации НП «Межрегиональное объединение строительных организаций «ОборонСтрой», Саморегулируемой организации НП «Межрегиональное объединение специального проектирования», НП Саморегулируемой организации инженеров-изыскателей «СтройПартнер» и Органа по сертификации «ГазИнфоСерт». Компания «Орбита» аккредитована в качестве испытательной лаборатории (ИЛ) на проведение сертифицированных испытаний средств криптографической защиты информации и средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну. Система менеджмента качества ЗАО «Орбита» сертифицирована на соответствие требованиям ГОСТ Р ИСО 9001−2008 (ИСО (9001:2008), а также на соответствие требованиям военных стандартов ГОСТ РВ 15.002−2003 и комплекса стандартов СРПП ВТ. Полный перечень имеющихся лицензий, свидетельств и сертификатов приведен ниже.

Лицензии, выданные Федеральной службой безопасности России:

— на осуществление мероприятий и (или) оказание услуг по защите государственной тайны (лицензия № 832 от 26.10.2009 г.);

— на осуществление работ, связанных с созданием средств защиты информации, содержащей сведения, составляющие государственную тайну (лицензия рег. № 9639 С от 28.10.2010 г.);

— на осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны (лицензия рег. № 9640 М от 28.10.2010);

— на осуществление разработки и (или) производства средств защиты конфиденциальной информации (лицензия рег. № 4638К от 15.10.2007);

— на осуществление деятельности по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (лицензия рег. № 4541 В от 21.09.2007 г.);

— на осуществление работ с использованием сведений, составляющих государственную тайну (лицензия рег. № 728 от 04.02.2008 г.);

— на осуществление разработки, производства шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем (лицензия рег. № 5077П от 07.02.2008);

— на право осуществлять деятельность по распространению шифровальных (криптографических) средств (лицензия рег. № 719/Р от 27.12.2007 г.);

— на право осуществлять деятельность по техническому обслуживанию шифровальных (криптографических) средств (лицензия рег. № 719/Т от 27.12.2007 г.);

— на право осуществлять предоставление услуг в области шифрования информации (лицензия рег. № 719/У от 27.12.2007 г.);

— аттестат аккредитации в «Системе сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну» РОСС RU. 0003.01БИ00 в качестве испытательной лаборатории (ИЛ) на проведение сертификационных испытаний продукции № СЗИ.RU.ЛИ0016 от 4 октября 2008 г.;

— аттестат аккредитации в «Системе сертификации средств криптографической защиты информации» РОСС RU. 0001.30 001 на соответствие требованиям, предъявляемым к испытательным лабораториям и техническую компетентность, рег. № АФ — 081 от 4 октября 2008 г.;

Лицензии, выданные Федеральной службой по техническому и экспортному контролю России:

— на проведение работ, связанных с созданием средств защиты информации (лицензия рег. № 1715 от 18.05.2008 г.);

— на осуществление мероприятий и (или) оказание услуг в области защиты гос. тайны (в части технической защиты информации, лицензия рег. № 1714 от 18.05.2008 г.);

— на деятельность по разработке и (или) производству средств защиты конфиденциальной информации (лицензия рег. № 0338 от 27.07.2007 г.);

— аттестат аккредитации органа по аттестации от 31 мая 2006 г. № СЗИ RU.1714.В129.232;

— на деятельность по тех защите конфиденциальной информации (лицензия рег. № 0055 от 20.02.2003 г.);

Лицензии, выданные Министерством чрезвычайных ситуаций России:

— на производство работ по монтажу, ремонту и обслуживанию средств обеспечения пожарной безопасности зданий и сооружений (лицензия № 8−2/2 098 от 14.09.2010 г.).

Лицензии, выданные Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций:

— на оказание услуг связи по передаче данных, за исключением услуг связи по передачи данных для целей передачи голосовой информации (лицензия № 38 854 от 16.02.2006 г.);

— на телематические услуги связи (лицензия № 58 665 от 07.05.2008);

— на услуги связи по передаче данных за исключением услуг связи по передаче данных с целью передачи голосовой информации (лицензия № 64 760 от 26.12.2008).

Лицензии, выданные Министерством обороны Российской Федерации:

— на деятельность в области создания средств защиты информации (лицензия рег. № 668 от 03.08.2010 г.);

Свидетельства, выданные саморегулируемой организацией НП «Межрегиональное объединение специального проектирования»:

— свидетельство о допуске к работам, которые оказывают влияние на безопасность объектов капитального строительства (Регистрационный номер № 076.03−2009;2 309 072 734-П-076 от 22 февраля 2011 года.).

Свидетельства, выданные саморегулируемой организацией НП «Межрегиональное объединение строительных организаций «ОборонСтрой»:

— свидетельство о допуске к работам, которые оказывают влияние на безопасность объектов капитального строительства (Регистрационный номер № С-03−0304−2 309 072 734−2011 от 11 апреля 2011 года.).

Лицензии, выданные Федеральной службой по надзору за соблюдением законодательства в области охраны культурного наследия:

— на осуществление деятельности по реставрации объектов культурного наследия (памятников истории и культуры) (Лицензия рег.№ РОК 1 233 от 09.04.2010 г.).

Лицензии, выданные Федеральной службой по надзору в сфере защиты прав потребителей и благополучия человека:

— на осуществление деятельности в области использования источников ионизирующего излучения (генерирующих)(лицензия рег. № 23.КК.08.002.Л.127.08.07 от 23.08.2007 г.).

Сертификаты, выданные Органом по сертификации систем менеджмента качества «Связь-Сертификат»:

— система менеджмента качества сертифицирована в соответствии с требованиями ГОСТ Р ИСО 9001−2008 (сертификат соответствия №РОСС RU. ИС79.К81 от 31.05.2010).

Сертификаты, выданные Органом по сертификации систем менеджмента качества «ВоенИнфо»:

— система менеджмента качества сертифицирована в соответствии с требованиями ГОСТ РВ 15.002−2003, комплекса стандартов СРПП ВТ, ГОСТ Р ИСО 9001−2008 (сертификат соответствия № ВР 28.1.3218−2010 от 31.05.2010).

Свидетельства, выданные Федеральной службой по экологическому, технологическому и атомному надзору:

— свидетельство о регистрации электролаборатории ЗАО «Орбита» (Регистрационный номер № 642/15 от 11 апреля 2011).

Сертификаты, выданные Органом по сертификации продукции, работ (услуг) «ГазИнфоСерт» :

— на услуги (работы) по разработке проектов промышленных процессов и производств, относящихся к электронной технике, машиностроению, а также в области промышленного строительства, системотехники и техники безопасности (сертификат соответствия № ГО00.RU.1327.У13 от 27.09.2010);

— на производство общестроительных работ по прокладке местных линий связи (сертификат соответствия № ГО00.RU.1327.Р14 от 30.09.2010);

— на производство электромонтажных работ: монтаж систем электросвязи (сертификат соответствия № ГО00.RU.1327.Р15 от 30.09.2010).

В компании функционируют Научно-технический и Учебный центры, Сервисный центр и Call-центр, обрабатывающий до 4500 звонков в день. ЗАО «Орбита» имеет собственную базу специального оборудования и техники, 10 200 кв.м. производственных площадей, в том числе Логистический центр в пригороде Краснодара, собственный автопарк.

Компания «Орбита» является членом Ассоциации документальной электросвязи (АДЭ), Евро-азиатской ассоциации производителей товаров и услуг в области информационной безопасности (ЕВРААС), Ассоциации защиты информации (АЗИ), Сообщества ABISS, Ассоциации инженеров АВОК и Союза Строителей (работодателей) Кубани.

Компания имеет статусы: Сертифицированный Премьер-партнер Cisco Systems; Платиновый партнер Aladdin и ООО «Код Безопасности» ГК «Информзащита»; Торговый партнер Microsoft и IBM; Официальный партнер ОАО «ИнфоТеКС», Dr. Web, ГК «Натекс», ITV; Золотой партнер APC, Oracle, Aquarius; Preferred Partner HP; Авторизованный партнер 3СОМ, ЗАО «Лаборатория Касперского», RIT Technologies, NEC, EUROLAN; Официальный дилер ЗАО «Вокорд Телеком» и НПО Специальных материалов, ООО «Лаборатория ППШ».

По итогам рейтингов C-News и РА Эксперт ЗАО «Орбита» вошла в сотню крупнейших ИТ-компаний России, заняла 5 место в сфере информационной безопасности среди крупнейших ИТ-компаний России и стала первой в ЮФО.

Для компании таких масштабов защита информации от утечки жизненно необходима, т.к. ее утечка напрямую может сказаться на материальном положении организации. А учитывая большое количество различных департаментов, утечка может произойти с большой долей вероятности.

1.2 Выявление проблемной области при обработке информации в ЗАО «Орбита»

При анализе организационной структуры Ставропольского филиала ЗАО «Орбита» было выявлено несколько проблемных областей, среди которых:

— большое количество звеньев прохождения информации при постановке задач персоналу;

— высокие материальные затраты на обеспечение работоспособности информационной системы;

— низкая защищенность информационных ресурсов предприятия от внутренних злоумышленников.

Последняя проблемная область была отмечена, как наиболее важная. Руководством организации было замечено, что после замены кадров в некоторых отделах происходили неоднократные утечки информации. Уволенные (по собственному желанию в том числе) сотрудники, переходя на работу в другую фирму, то и дело используют на новом месте информацию из ЗАО «Орбита», будь то проекты, выполняемые ими, или базы заказчиков.

Таким образом, информация, используемая для получения прибыли ЗАО «Орбита», начинает приносить доход другим фирмам, а ЗАО «Орбита» при этом несет серьезные материальные потери.

1.3 Выводы

1. Проанализирована организационная структура Ставропольского филиала ЗАО «Орбита».

2. Выявлены проблемные области при обработке информации в ЗАО «Орбита», среди которых:

— большое количество звеньев прохождения информации при постановке задач персоналу;

— высокие материальные затраты на обеспечение работоспособности информационной системы;

— низкая защищенность информационных ресурсов предприятия от внутренних злоумышленников.

3. Наиболее важной проблемной областью является низкая защищенность информационных ресурсов предприятия от внутренних злоумышленников, т.к. она напрямую связана с материальными потерями предприятия.

2. ИССЛЕДОВАНИЕ ВОЗМОЖНЫХ КАНАЛОВ УТЕЧКИ ИНФОРМАЦИИ В ИНФОРМАЦИОННОЙ СИСТЕМЕ ЗАО «ОРБИТА» И ФОРМИРОВАНИЕ ТРЕБОВАНИЙ ЗАЩИТЫ ДЛЯ ИХ ИСКЛЮЧЕНИЯ

2.1 Исследование возможностей потенциальных инициаторов утечки информации

Главную угрозу любым конфиденциальным данным представляют вовсе не вирусы/трояны и не хакеры, организующие DDoS-атаки. На первом месте по числу инцидентов, связанных с утечкой и/или уничтожением ценной информации, находятся инсайдеры. Инсайдер — член какой-либо группы людей, имеющей доступ к информации, недоступной широкой публике.

Общепризнанный факт: в наши дни одной из главных угроз информационной безопасности любой компании стали инсайдеры — остальные угрозы (хакеры, вирусы и т. п.) более-менее успешно нейтрализуются специализированным софтом и сотрудниками IT-отделов. Именно на совести инсайдеров большинство громких утечек конфиденциальной информации, зафиксированных по всему миру в последние годы. Чаще всего к инсайдерам относят:

— сотрудников, сознательно работающих на конкурентов (нанятых или предварительно трудоустроенных ими);

— сотрудников, прямо или косвенно связанных с криминальными структурами;

— просто недобросовестных сотрудников, ставящих свои интересы заведомо выше интересов фирмы;

— сотрудников, обиженных на начальство и по этой причине скрытно вредящих, не получая от этого какой-либо выгоды.

Помимо этого инсайдерами так же становятся другие лица, с которыми компания может в процессе работы обмениваться соответствующими сведениями. Такими лицами могут быть, например, адвокаты, финансовые консультанты, банкиры и пр.

Как показывает статистика, в половине случаев инсайдеры используют мобильные устройства переноcа данных — ноутбуки, КПК, USB-флэшки, CD/DVD-диски). Тут на руку злоумышленнику оказывается компактность мобильных устройств: внутренние нарушители легко прячут маленький носитель и выносят данные с рабочего места.

Второй по распространенности канал утечек — это интернет. Он, в отличие от мобильных носителей, не позволяет быстро передавать большие объемы данных, зато не требует от инсайдера даже отлучаться с рабочего места. Разнообразие средств передачи данных через интернет само по себе в большой степени расширяет возможности инсайдера. Здесь могут использоваться личная электронная почта, зарегистрированная на любом из бесплатных почтовых сервисов в Интернет, либо программы быстрого обмена сообщениями (ICQ, mail-агент и т. п.). Системный администратор в данном случае не сможет отследить передачу информации, потому что злоумышленнику ничего не стоит создать архив, защитить его паролем, дать ему безобидное имя, не вызывающее подозрений, и просто передать файл на сторону.

Кроме того, на любом предприятии используются сетевые принтеры, доступ к которым есть у всех сотрудников, и любой из них благодаря этому может вынести информацию на бумажном носителе. При этом опять-таки никто не отследит, кто, какую информацию и на каком принтере (если их больше одного) распечатал.

Из сказанного выше понятно, что инсайдер — это потенциальный инициатор утечки защищаемой информации предприятия, ему ничего не мешает продать важную информацию конкурентам, либо использовать в собственных целях, например, для открытия собственного дела. Вероятность успеха реализации утечки в этом случае максимальна.

В отдельную группу потенциальных вариантов утечки информации предприятия можно выделить утечку из IT-отдела. Об этом обычно не задумываются даже сотрудники отделов безопасности, но очень часто информация «утекает» через сотрудников IT-отделов. Дело в том, что по самой специфике своей работы сотрудники it-отдела получают доступ абсолютно ко всем информационным потокам, включая и самую конфиденциальную информацию. При этом многие «айтишники» признаются, что время от времени используют свои администраторские пароли для доступа к сведениям, которые им, в принципе, по долгу службы знать не положено.

Далее, даже в технологически весьма «продвинутых» фирмах уделяется слишком мало внимания вопросам защиты информации. В частности, администраторские пароли меняются реже, чем пользовательские, либо не меняются вообще. А половине системных администраторов даже не требуется авторизация для доступа к привилегированным аккаунтам.

Вероятность утечки информации через IT-отдел при таком отношении к информационной безопасности так же весьма велика.

К информации, представляющей ценность для внутренних злоумышленников, относятся:

— базы заказчиков;

— исполнительная документация;

— проекты организации;

— технические решения организации;

— регламенты выполнения тех или иных видов работ.

Перечисленные пункты являются коммерческой тайной. Ее утечка может повлечь за собой материальные последствия для организации, потерю клиентов. Поэтому эта информация требует защиты от утечки. Для определения степени информационной защищенности и формирования требований к разрабатываемой системы защиты необходим анализ модели информационной системы ЗАО «Орбита» и выявление актуальных угроз информационной безопасности.

2.2 Анализ информационной системы Ставропольского филиала ЗАО «Орбита»

Информационная система ЗАО «Орбита» представляет собой совокупность рабочих станций и серверов, объединенных в единую локальную сеть. Данные хранятся и обрабатываются как на рабочих станциях, так и на файловом сервере. В сети присутствует контроллер домена Microsoft Windows Active Directory, все рабочие станции и сервера введены в единый домен. Модель информационной системы Ставропольского филиала ЗАО «Орбита» представлена на рисунке 2.1.

На всех рабочих станциях и серверах осуществляется антивирусная защита посредством сертифицированного ФСТЭК России средства антивирусной защиты «Dr. Web». Межсетевое экранирование от сетей связи общего пользования информационной системы ЗАО «Орбита» осуществляется на proxy-сервере с помощью программного обеспечения «Microsoft ISA Server 2006». Для защищенного обмена данными с филиалами ЗАО «Орбита» используется vpn-решение на основе программного комплекса «ViPNet Custom 3.1». На каждой рабочей станции установлен vpn-клиент «ViPNet Client 3.1», для связи в единую защищенную сеть в ЛВС присутствует рабочая станция с установленным на ней «ViPNet Coordinator 3.1».

В организации присутствуют так же средства физической защиты от несанкционированного доступа: система контроля управления доступом на основе радиочастотной идентификации. У всех сотрудников есть персональные смарт-карты для входа в помещения организации.

Сервера располагаются в отдельном помещении, доступ в которое контролируется, и ведется постоянное видеонаблюдение.

Так же в ЗАО «Орбита» действует строгий регламент работы, наиболее важными пунктами в области защиты данных которого являются запрет использования незарегистрированных носителей информации, запрет выноса средств обработки информации из помещений организации, запрет доступа в серверные помещения лицами, не имеющими на это прав.

Рисунок 2.1 — Модель информационной системы Ставропольского филиала ЗАО «Орбита»

В модель, представленную на рисунке 2.1, входят:

— автономные рабочие места пользователей под управлением операционной системы Microsoft Windows 7 Enterprise; темной заливкой помечены те рабочие станции, на которые будут установлены разрабатываемые модули;

— файловый сервер под управлением серверной операционной системы Microsoft Windows 2008, информация на котором хранится в открытом виде и доступна для всех отделов в соответствии с должностными полномочиями;

— сервер с установленным программным продуктом ViPNet Coordinator 3.1 для объединения рабочих станций в единую защищенную сеть и для связи с филиалами ЗАО «Орбита»;

— прокси-сервер MS ISA 2006, выполняющий роль межсетевого экрана от сетей связи общего пользования, а так же разграничения доступа пользователей к сети Интернет;

— сервер приложений, на котором функционируют различные сервисы, необходимые пользователям для работы;

— сетевой принтер, доступ к которому имеется из всех отделов организации;

— сетевое оборудование, включающее в себя управляемые коммутаторы Cisco System Inc.

Файловый сервер предназначен для обмена между сотрудниками различного рода информацией. В частности, это:

— конструкторская и технологическая документация;

— проектная документация;

— технические решения организации;

— клиентские базы;

— другая научно-техническая информация, связанная с деятельностью предприятия.

Разглашение такой информации может привести к негативным последствиям для организации, таким как ущерб материальному состоянию, деятельности и престижу организации, потеря стратегически важных заказчиков.

Для оценки защищенности циркулирующей в информационной системе информации и формирования требований к разрабатываемой системе защиты необходимо составить и проанализировать модель угроз информационной безопасности.

2.3 Анализ модели угроз безопасности и оценка защищенности информационной системы Ставропольского филиала ЗАО «Орбита»

Для оценки защищенности необходимо составить модель актуальных угроз информационной безопасности и определить места их возможной реализации. Для этого необходимо сначала определить перечень актуальных угроз.

Актуальность каждой угрозы определяется на основе двух критериев: возможности реализации угрозы и показателя опасности реализации угрозы, выбираемых экспертным путем на основании ценности хранимой информации для организации и имеющихся в организации средств защиты или введенных организационных мер. Далее, оценив для конкретной угрозы оба критерия, по правилам, представленным в таблице 2.1, вычисляется непосредственно актуальность.

Таблица 2.1 — Правила отнесения угрозы безопасности информации к актуальной

На основе правил, представленных в таблице 2.1 был составлен перечень актуальных угроз безопасности информации, циркулирующей в информационной системе ЗАО «Орбита» и представлен в таблице 2.2.

Таблица 2.2 — Перечень потенциальных угроз с их актуальностью

Угрозы утечки информации по техническим каналам являются неактуальными, потому что применение технических средств для снятия информации в этом случае неоправданно.

Угрозы, реализуемые с помощью межсетевого взаимодействия, и угрозы программно-математических воздействий также неактуальны, так как они устраняются применением специализированного программного обеспечения («Антивирус Dr. Web», «ViPNet Custom», «Microsoft ISA Server 2006»).

Угрозы несанкционированного физического доступа к техническим средствам являются неактуальными, так как их реализацию делают невозможными введенные в организации организационные и режимные меры.

Неактуальные угрозы далее не рассматриваются.

Интерес представляют угрозы неправомерных действий со стороны лиц, имеющих право доступа к информации. Данный вид угроз нельзя устранить с помощью имеющегося программного обеспечения, либо с помощью организационных мер, потому что антивирусы и межсетевые экраны не запретят пользователю скопировать весь массив защищаемой информации на личный flash-накопитель и унести домой. Не воспрепятствуют этому и организационные меры. Именно поэтому угрозы последнего типа являются актуальными, и необходимо выполнить ряд требований для их устранения.

Рассмотрим модель угроз информационной безопасности, на которой отображены информационные потоки и места возможной реализации актуальных угроз утечки информации (рис. 2.2).

Из рисунка 2.2 видно, что информация из отделов беспрепятственно может через интернет, либо путем выноса личных внешних или бумажных носителей за пределы предприятия попасть в руки несанкционированного получателя, либо из-за превышения своих служебных полномочий сотрудниками IT-отдела. Актуальные угрозы также отмечены на рисунке 2.2 в местах их возможной реализации.

Можно разработать множество схем утечки информации в такой ситуации. Но суть у них будет одна и та же — ничто реально не препятствует копированию информации на любой носитель информации, в том числе бумажный, либо передаче информации несанкционированному получателю через Интернет.

Рисунок 2.2 — Модель угроз информационной безопасности

Проанализировав приведенную выше модель, можно сформировать набор требований к разрабатываемой системе защиты.

2.4 Формирование требований к разрабатываемым модулям предотвращения утечки информации

Исходя из перечня актуальных угроз, можно сформировать список требований, которым должна удовлетворять разрабатываемая система предотвращения утечки информации (рис. 2.3).

Рисунок 2.3 — Формирование требований к разрабатываемой системе защиты

Рассмотрим каждое требование более детально.

Реализация защищенной среды хранения и обработки информации, копирование информации в которой невозможно, является основным требованием к системе защиты. Создание такой среды не должно повлиять на работу пользователей. Выполнение этого требования исключит большую часть возможных причин попадания защищаемой информации к злоумышленнику.

Еще одним требованием так же является реализация системы администрирования, с помощью которой будет ограничен круг лиц, имеющих доступ к защищаемой информации предприятия. Для пользователей, допущенных к работе с информацией, необходимо разработать гибкую систему разграничения прав доступа, чтобы возможности пользователей не превышали исключительно необходимых в работе. База данных пользователей с их паролями и правами должна храниться в преобразованном виде, для того, чтобы исключить возможность несанкционированного ее изменения с целью доступа к защищаемой информации. Так же необходимо внедрить систему резервного копирования базы данных пользователей и функцию ведения журнала работы защищенной среде. Доступ пользователей к защищаемой информации должен осуществляться на основе парольной идентификации, которая может быть дополнена идентификацией по персональному аппаратному идентификатору.

Приведем ниже полный перечень необходимых для создания системы защиты персональных данных требований:

1. Создание защищенной среды работы с информацией. Копирование файлов из защищенной среды на какие-либо носители и в область, не входящую в защищенную среду.

2. Создание модуля администрирования для управления пользователями, которым необходим доступ к защищаемой информации.

3. Криптографическое преобразование базы данных пользователей информации, обрабатываемой в защищенной среде для исключения несанкционированного ее изменения.

4. Выдача персональных аппаратных идентификаторов пользователям, в служебной деятельности которых необходима работа с защищенной средой.

5. Разграничение прав доступа пользователей в защищенной среде на основе необходимых в их работе функций.

6. Резервное копирование базы данных пользователей.

7. Ведение журнала работы пользователей в защищенной среде.

2.5 Выводы

1. Проанализированы возможности потенциальных инициаторов утечки защищаемой информации.

2. Проанализирована модель информационной системы Ставропольского филиала ЗАО «Орбита».

3. Определен перечень актуальных угроз информационной безопасности — с учетом имеющихся в информационной системе средств защиты актуальными являются только угрозы неправомерных действий со стороны лиц, имеющих право доступа к защищаемой информации.

4. Составлена модель угроз информационной безопасности ЗАО «Орбита» с отображением информационных потоков и точек возможной реализации актуальных угроз информационной безопасности.

5. Сформированы требования к разрабатываемой системе защиты.

6. Полученной информации достаточно для разработки системы защиты.

3. ПРОЕКТИРОВАНИЕ И РАЗРАБОТКА МОДУЛЕЙ ПРЕДОТВРАЩЕНИЯ УТЕЧКИ ИНФОРМАЦИИ ОТ ВНУТРЕННИХ ЗЛОУМЫШЛЕННИКОВ И ВНЕДРЕНИЕ В ИНФОРМАЦИОННУЮ СИСТЕМУ ЗАО «ОРБИТА»

3.1 Проектирование архитектуры модулей предотвращения утечки информации от внутренних злоумышленников и принцип их функционирования

В процессе проектирования было принято решение архитектурно разделить разрабатываемую систему на два взаимосвязанных модуля. Первый — модуль администрирования — предназначен для управления учетными записями пользователей и настройками защиты системы. Второй — пользовательский модуль — служит непосредственно для организации работы пользователей в защищенной среде.

Для взаимосвязи модулей необходимо использовать базу данных, в которых будет храниться информация о зарегистрированных пользователях, а также настройки программы: адрес защищенной среды, данные учетной записи администратора и т. д.

Схема работы модулей представлена на рисунке 3.1.

Рисунок 3.1 — Взаимосвязь пользовательского и администраторского модулей с базой данных пользователей и настроек программы

Из рисунка видно, как модули обмениваются информацией между собой. Так, модуль администрирования записывает в базу данных необходимые данные о пользователях и их правах. В свою очередь пользовательский модуль считывает информацию из базы и на основе полученных прав получает доступ к защищенной среде (локальной и сетевой).

Для защиты файлов от несанкционированного копирования используется так называемая защищенная среда. Это директория на жестком диске, которая контролируется программой защиты от несанкционированного копирования. Данная директория не видна из операционной среды компьютера, к ней также нельзя получить доступ, просто введя в адресную строку путь. Нельзя получить доступ и к файлам, хранящимся в этой директории. Разрабатываемая система защиты информации от несанкционированного копирования служит для создания защищенной среды и работы внутри нее. Программой контролируются все действия, производимые внутри защищенной среды: создание, удаление, переименование файлов и директорий, редактирование содержимого файлов, попытки копирования. Последние пресекаются программой при попытке скопировать файл из защищенной среды в открытую область жесткого диска, либо на внешний носитель. Копировать текст из документов, обрабатываемых в защищенной среде, можно только в документы, также хранящиеся в защищенной среде. Также контролируется печать документов из защищенной среды. В случае, если печать запрещена администратором, программа не даст напечатать документ.

Защищенная среда делится на две части: первая — локальная защищенная среда — директория на жестком диске рабочей станции конкретного пользователя. В локальной защищенной среде пользователь может производить любые действия над файлами (но не копировать их в открытую область). Пользователь может добавлять любые файлы в свою локальную защищенную среду, но не может копировать файлы из защищенной среды в открытую область или на внешний носитель. Вторая часть защищенной среды — сетевое хранилище — директория на каком-либо компьютере в локальной сети, выполняющем роль файлового сервера. В этой части защищенной среды права пользователя ограничены и настраиваются администратором. Сетевая часть защищенной среды предназначена для закрытого обмена информацией между сотрудниками.

В следующем разделе необходимо сформулировать задачи, решаемые каждым модулем в отдельности.

3.2 Постановка задач для разрабатываемых модулей предотвращения утечки информации от внутренних злоумышленников

Каждый из двух модулей решает собственный перечень задач, необходимых для выполнения требований, предъявляемых к системе защиты.

Схематично структура решаемых модулем администрирования задач представлена на рисунке 3.2.

Здесь решаются четыре важные задачи.

Первая задача — управление учетными записями пользователей. Включает в себя создание учетных записей, их редактирование и удаление. Для каждой учетной записи необходимо задавать такие параметры, как логин и пароль. Помимо этого необходима возможность присвоения пользователям персонального идентификатора для входа в защищенную среду, а также присвоение каждому пользователю необходимых в его рабочей деятельности прав доступа к защищенной среде.

Вторая задача — управление настройками защиты. Рассмотрим подробнее подзадачи, входящие в эту задачу:

— управление учетной записью администратора: заключается в возможности смены пароля и смены персонального аппаратного идентификатора администратора;

— управление защитой базы данных пользователей и настроек: возможность смены ключа криптографического преобразования базы;

Рисунок 3.2 — Структура задач, решаемых модулем администрирования

— выбор месторасположения сетевой защищенной среды: указание месторасположения сетевой защищенной среды при начальной настройке программы, а также возможность смены ее в дальнейшем;

— управление настройками журнала работы в защищенной среде: выбор событий, которые необходимо записывать в журнал.

Третья задача — это собственно ведение журнала работы в защищенной среде, т. е. запись событий, отмеченных для аудита, в файл журнала, а также возможность просмотра журнала, сохранения его в отдельный файл и печати на бумажном носителе.

Четвертая задача — защита от несанкционированного изменения настроек и учетных записей пользователей. Необходимо реализовать механизм входа администратора в модуль администрирования на основе ввода пароля и предъявления аппаратного идентификатора, доступных только администратору.

Пользовательский модуль, также должен решать ряд задач. Рассмотрим структуру задач пользовательского модуля (рис. 3.3).

Рисунок 3.3 — Структура задач, решаемых пользовательским модулем

Здесь решаются две важные задачи. Собственно, предотвращение утечки информации путем решения нескольких подзадач:

— идентификация пользователей для работы в защищенной среде на основе ввода пароля и предъявления аппаратного идентификатора, предоставляемых администратором;

— запрет копирования любой информации из защищенной среды (локальной или сетевой) в любую область, отличную от нее, в том числе открытые области жесткого диска, внешние носители, и т. п.;

— запрет передачи информации из защищенной среды по интернет: любая попытка передать какой-либо файл из защищенной среды любыми средствами по интернет (электронная почта, ICQ, другие средства), будет пресечена программой;

— возможность запрета печати из защищенной среды: тем пользователям, которым в рабочей деятельности нет необходимости распечатывать какие-то документы, можно запретить печать из защищенной среды (только из сетевой, только из локальной, либо и из сетевой, и из локальной);

— возможность запрета снятия скриншотов в защищенной среде: позволяет программно запретить снятие скиншотов любой информации, хранимой в защищенной среде.

Вторая важнейшая задача, решаемая пользовательским модулем, — организация работы с информацией в защищенной среде. Включает в себя возможность добавления файлов в защищенную среду, создания их непосредственно в защищенной среде, управления файлами, редактирования, удаления и т. д. Помимо этого необходима возможность обмена файлами с сотрудниками организации — для этого должна быть решена задача копирования файлов из локальной сетевой среды в сетевую и наоборот.

Постановка задачи выполнена. Для реализации программных модулей необходимо сначала выбрать среду разработки и СУБД для хранения необходимых данных.

3.3 Выбор средств разработки для реализации системы

Для выбора среды разработки был произведен анализ нескольких распространенных сред:

— Borland Delphi 7:

— Borland C++ Builder;

— Microsoft Visual Studio;

Рассмотрим подробнее каждую среду.

Borland Delphi 7 — визуальная среда программирования, в которой используется язык программирования Object Pascal. Имеет в своем составе множество визуальных компонентов, позволяющих создавать полноценные windows-приложения. Каждая написанная программа на языке Delphi состоит из заголовка программы (program NewApplication;), поля используемых модулей Uses (к примеру, Uses Windows, Messages, SysUtils и т. д.), который может не входить в саму структуру, а также блоков описания и исполнения (начинаются составным оператом begin и заканчиваются end.). Достоинством этой среды разработки является простота написания кода и быстрота его компиляции и выполнения. Недостатком является то, что Delphi 7 был разработан уже достаточно давно, и на данный момент некоторые его компоненты устарели как по функционалу, так и внешне.

Borland C++ Builder — программный продукт, инструмент быстрой разработки приложений (RAD), интегрированная среда программирования (IDE), система, используемая программистами для разработки программного обеспечения на языке C++. C++ Builder объединяет в себе комплекс объектных библиотек (STL, VCL, CLX, MFC и др.), компилятор, отладчик, редактор кода и многие другие компоненты. Цикл разработки аналогичен Delphi. Большинство компонентов, разработанных в Delphi, можно использовать и в C++ Builder без модификации, но обратное утверждение не верно. К достоинствам C++ Builder относится широта его возможного применения. Недостатком является повышенная сложность языка программирования.

Microsoft Visual Studio — линейка продуктов компании Майкрософт, включающих интегрированную среду разработки программного обеспечения и ряд других инструментальных средств. Данные продукты позволяют разрабатывать как консольные приложения, так и приложения с графическим интерфейсом, в том числе с поддержкой технологии Windows Forms, а также веб-сайты, веб-приложения, веб-службы как в родном, так и в управляемом кодах для всех платформ, поддерживаемых Microsoft Windows, Windows Mobile, Windows CE, .NET Framework, .NET Compact Framework и Microsoft Silverlight. Visual Studio включает в себя редактор исходного кода с поддержкой технологии IntelliSense и возможностью простейшего рефакторинга кода. Встроенный отладчик может работать как отладчик уровня исходного кода, так и как отладчик машинного уровня. Остальные встраиваемые инструменты включают в себя редактор форм для упрощения создания графического интерфейса приложения, веб-редактор, дизайнер классов и дизайнер схемы базы данных. Visual Studio позволяет создавать и подключать сторонние дополнения (плагины) для расширения функциональности практически на каждом уровне, включая добавление поддержки систем контроля версий исходного кода (как например, Subversion и Visual SourceSafe), добавление новых наборов инструментов (например, для редактирования и визуального проектирования кода на предметно-ориентированных языках программирования или инструментов для прочих аспектов цикла разработки программного обеспечения (например, клиент Team Explorer для работы с Team Foundation Server). К достоинствам среды относится ее современность, широта применения, удобство разработки. Недостаток — слабая интеграция с приложениями, разработанными в других средах.

В ЗАО «Орбита» функционирует множество приложений, разработанных в среде Borland Delphi 7, поэтому для возможной дальнейшей интеграции разрабатываемой системы с этими приложениями была выбрана как раз среда Borland Delphi 7. Для хранения учетных записей пользователей и настроек программы была выбрана СУБД Paradox 7, взаимодействие с которой предусмотрено в среде Borland Delphi 7. Недостаток Delphi 7, заключающийся в устаревших компонентах, решается применением библиотеки расширенных компонентов RX Library, включающей более чем 60 визуальных компонентов, по функционалу превосходящих стандартные компоненты Delphi 7. Для оформления внешнего вида разрабатываемой программы был выбран пакет оболочек SUIPack 6.4. Таким образом, проблема устаревших компонентов была решена.

3.4 Разработка модуля администрирования для управления учетными записями и настройками защиты

Программное обеспечение администратора информационной безопасности представляет собой программный модуль, позволяющий управлять учетными записями пользователями защищенной среды: создавать, удалять, редактировать данные пользователей, назначать им права доступа. Помимо этого в модуле администратора регистрируются персональные идентификаторы пользователей, производится шифрование базы данных пользователей, настраивается месторасположение сетевого хранилища защищенной среды, а так же настраивается резервное копирование базы и ведется лог работы в защищенной среде.

Данный модуль использует таблицу users. db для хранения данных пользователей, таблицу settings.db для хранения настроек защиты и таблицу identificators. db для хранения информации об аппаратных идентификаторах пользователей. Структуры таблиц представлены в таблицах 3.1, 3.2 и 3.3 соответственно. Для хранения журнала работы пользователей в защищенной среде используется файл journal.log.

Таблица 3.1 — Структура таблицы users. db