Предисловие (стр. 94 )

Описание позиции организации. В этом разделе необходимо ясно описать характер ресурсов ИС, перечень допущенных к ресурсам ИС лиц и процессов и порядок получения доступа к ресурсам ИС.

Применимость. В разделе может быть уточнен порядок доступа к данным ИС, определены ограничения или технологические цепочки, применяемые при реализации политики безопасности.

Роли и обязанности. В разделе определяются ответственные должностные лица и их обязанности в отношении разработки и внедрения различных элементов политики. Обычно определяются обязанности администратора безопасности данных (отвечает за содержательную сторону предоставления доступа к ресурсам ИС), администратора баз данных (определяет техническую реализацию механизмов разграничения доступа), администратора локальной сети, операторов.

Соблюдение политики. В разделе описываются права и обязанности пользователей ИС. Необходимо явное описание и документированное знакомство пользователей с перечнем недопустимых действий при осуществлении доступа к информационным ресурсам организации и наказания за нарушения режимных требований. Должна быть ясно определена технология фиксации фактов нарушения политики безопасности и применения административных мер воздействия к нарушителям.

Для эффективной реализации политика безопасности должна быть понятной всем пользователям ИС. Возможна подготовка презентаций и проведение семинаров с разъяснением основных положений и практических технологий реализации политики безопасности. Новые сотрудники организации должны быть ознакомлены или обучены конкретным правилам и технологиям доступа к ресурсам ИС, реализованным в соответствии с принятой политикой безопасности. Целесообразно проводить контрольные проверки действий сотрудников с обсуждением результатов.

Эффективное проведение политики безопасности возможно только, если она  согласована с существующими приказами и общими задачами организации. Основным способом координации политики безопасности с действующими нормами организации  является ее согласование с заинтересованными подразделениями в ходе разработки.

Комплект документов, представляющий основные решения организации  по реализации политики безопасности должен включать:

• документацию, определяющую используемые подходы к оцениванию и управлению рисками для организации в целом и при необходимости конкретных подразделений;

• обоснование принятых решений по выбору средств защиты для рассматриваемой ИС;

• формальное описание процедуры определения допустимого уровня остаточного риска;

• директиву, определяющую процедуру проверки режима информационной безопасности и журналов, в которых фиксируются результаты проверки (документы необходимы для осуществления проверки эффективности реализации средств обеспечения информационной безопасности, осуществления их контроля качества и правильности использования);

• документацию, регламентирующую процессы обслуживания и администрирования ИС;

• документацию по подготовке периодических проверок по оцениванию и управлению рисками;

• документ «Ведомость соответствия», включающий сведения по организации системы управления информационной безопасностью и регистрации средств управления безопасностью;

• контрмеры для противодействия выявленным рискам.

Успех проведения в жизнь политики безопасности больше зависит от усилий и опытности людей, реализующих политику, чем от сложных программно-технических средств контроля.

19.2.2. Технологии идентификации и аутентификации (подтверждения подлинности)

Получение доступа к ресурсам информационной системы предусматривает выполнение трех процедур: идентификации, аутентификации и авторизации.

Сущность процедуры идентификации состоит в назначении пользователю, то есть объекту – потребителю ресурсов сервера баз данных – имени. Имя пользователя – это некоторая уникальная метка, соответствующая принятым соглашениям именования и обеспечивающая однозначную идентификацию объекта реального мира в пространстве отображаемых объектов. С позиций ИС источники, предъявившие иден­ти­фикатор, неразличимы. То есть, хотя пользователем мо­жет быть как реальный человек, сидящий за терминалом, так и прикладной процесс, для системы оба объекта тож­де­ст­венны.

Сущность процедуры аутентификации состоит в подтверждении подлинности пользователя, представившего идентификатор.

Сущность процедуры авторизации состоит в определении перечня конкретных информационных ресурсов, с которыми аутентифицированному пользователю разрешена работа. В процессе авторизации устанавливается и набор возможных операций с данными, которые может осуществлять пользователь. Заметим, что в ИС должна храниться  информация, необходимая для осуществления процедуры авторизации. Эта информация должна быть надежно защищена, поскольку ясно, что она в первую очередь является объектов устремления злоумышленника.

Процедуры идентификации, аутентификации и авторизации являются обязательными для любой защищенной ИС.

Фундаментальный принцип построения защищенных систем состоит в том, что процесс доступа к информации основан на предварительном определении субъекта, запрашивающего доступ к информации и определении объекта, к которому запрашивается доступ. Процедуры идентификации и аутентификации являются обязательными технологическими процедурами, обеспечивающими первую линию защиты любой автоматизированной системы, в том числе ИС предприятия. Часто процедуры идентификации и аутентификации в автоматизированных системах называют Login-процедурами.

Эффективность процедур идентификации и аутентификации существенным образом влияют на эффективность системы безопасности в целом. Процедура идентификации начинается с установления соединения пользователя с системой. Пользователь должен идентифицировать себя и представить системе некоторые параметры процедуры аутентификации. Если подсистема аутентификации принимает предъявленные значения параметров, то Login-процесс завершается успешно и устанавливается сессия взаимодействия пользователя с ИС.

Для защищенных ИС подсистема аудита обязана регистрировать как успешные, так и неуспешные Login-процессы.

Можно выделить три типа принципов, лежащих в основе конкретных процедур аутентификации:

Аутентификация, основанная на знании (пользователь обладает некоторым конфиденциальным знанием);

Аутентификация, основанная на наличии (пользователь обладает некоторым конфиденциальным предметом);

Аутентификация, основанная на проверке характеристик (пользователь предъявляет некоторые уникальные характеристики).

В реальной защищенной информационной системе целесообразно использовать несколько механизмов аутентификации, основанных на различных принципах.

Достоинством процедур аутентификации, основанной на знании, является ее простота. Соответствующие процедуры с давних пор применялись в неавтоматизированном контуре. Например, взаимное опознавание с помощью пароля и отзыва в военных и пограничных караулах. Принципиальным недостатком таких процедур является простота дублирования. Причем пароль может быть не только украден, подсмотрен, перехвачен и т. д., но и угадан.

В парольных системах защиты в качестве общего секрета пользователя и системы обычно выступает последовательность длиной от 6 до 10 знаков алфавита, которую пользователь в состоянии запомнить. Для того чтобы получить доступ к ресурсу информационной системы (например, базе данных, принтеру и т. д.), пользователь представляет свой идентификатор и пароль, и прямо или косвенно определяет необходимый ресурс. При этом идентификатор пользователя выступает как заявка на идентификацию, а пароль — как подтверждение этой заявки.

Простейшей атакой противника на систему с фиксированными паролями является перебор всех возможных вариантов до тех пор, пока истинный пароль не будет найден. Особенно опасна эта атака в режиме off-line, поскольку в этом случае не требуется непосредственного контакта доказывающего с проверяющим, и поэтому число безуспешных попыток проверки пароля в единицу времени не может быть ограничено, как это обычно делается при проверке в режиме on-line.

Эффективность указанной атаки впрямую зависит от числа попыток до обнаружения первого пароля, обеспечивающего доступ в систему или к ее ресурсу, а также от временной сложности реализации каждой из таких попыток.

В число угроз данной схемы аутентификации, допускающих возможность проникновения в систему, входят раскрытие пароля и перехват информации с линий связи (внутри системы).

Для того чтобы увеличить неопределенность используемых паролей и вместе с тем не нарушить такое их важное качество, как возможность запоминания человеком, часто используются парольные фразы. В этом случае в качестве пароля используется целое предложение вместо короткого слова. Парольные фразы хешируются до фиксированной длины и играют ту же роль, что и обычные пароли. Идея этого метода состоит в том, что человеку легче запомнить фразу, чем случайную последовательность букв или цифр. Парольные фразы обеспечивают большую безопасность, чем короткие пароли, но требуют большего времени для ввода.

Широкое использование процедур первого типа также связано преимуществом, заключающемся в простоте изменения значения параметра аутентификации (пароля). Пароль легко может быть изменен при наличии подозрения в его компрометации. Во многих информационных системах регулярное изменение паролей является обязательным требованием

Аутентификация, основанная на наличии, хорошо знакома каждому из повседневного опыта. Простейшим вариантом является металлический ключ от замка (квартиры, автомобиля и т. п.). В период зарождения подобных систем аутентификации их надежность базировалась на сложности воспроизведения физического предмета. Несмотря на то, что технология воспроизведения физических предметов в настоящее время существенно продвинулась, технология по-прежнему используется для аутентификации. В качестве предметов, аутентифицирующих владельца используются смарт-карты и электронные ключи.

Основная проблема, возникающая при использовании аутентификации, основанной на владении, состоит в том, что аутентифицирующий предмет может быть похищен или потерян. Поэтому, обычно в информационных системах используется комплексная процедура, состоящая из двух этапов. На первом этапе пользователь системы предъявляет предмет: электронный ключ, смарт-карту или специализированную микросхему (токен), которые вводятся в соответствующее устройство считывания. На втором этапе пользователь вводит свой персональный идентификационный номер (PIN) для доказательства того, что он является действительным владельцем предмета и имеет право доступа к определенным информационным ресурсам.