Реферат: Введение. 5 Структура Операций Microsoft (mof) 6 Добейтесь безопасности и оставайтесь в безопасности 7

Глава 1. Введение. 5

Структура Операций Microsoft (MOF) 6

Добейтесь безопасности и оставайтесь в безопасности 7

Добейтесь безопасности. 7

Оставайтесь в безопасности. 7

Область применения данного руководства. 7

Краткое описание глав. 10

Глава 2. Определение угрозы безопасности. 10

Глава 3. Управление безопасностью при помощи групповой политики Windows 2000. 10

Глава 4: Защита серверов, в зависимости от выполняемой ими роли. 10

Глава 5: Управление патчами 10

Глава 6: Аудит и обнаружение вторжения. 11

Глава 7: Реакция на инциденты. 11

Заключение. 11

Дополнительная информация. 11

Глава 2. Определение угрозы безопасности 12

^ Управление рисками 12

Ресурсы. 13

Угрозы. 13

Уязвимое место. 13

Эксплойт. 14

Взаимодействие между угрозами, уязвимыми местами и рисками. 14

Контрмеры 15

^ Многоуровневая защита (глубокая защита, Defense in Depth) 15

Защита данных. 16

Защита приложений. 17

Защита хостов. 17

Сетевая защита. 17

Защита периметра. 18

Физическая Безопасность. 18

Политики и процедуры 19

^ Обычные способы нападения и меры предотвращения 20

Сбор информации. 20

Ограничение способности сканировать и получать ценную информацию 21

Использование технически уязвимых мест 24

Отказ в обслуживании. 26

Атаки через черный ход (Backdoor Attacks). 27

Злонамеренный код 27

Заключение 28

Дополнительная информация: 29

^ Глава 3. Управление безопасностью при помощи групповой политики Windows 2000 30

Значение использования групповой политики 30

Установка групповой политики 30

Структура групповой политики 32

Тестовая среда 33

Проверка доменной среды 34

Проверка конфигурации DNS 34

Репликация контроллеров доменов 34

Централизация шаблонов безопасности 35

Конфигурация времени 35

^ Разработка политики и ее внедрение 36

Роли сервера 37

Структура Active Directory для поддержки ролей серверов 37

Поддерживание настроек групповой политики в безопасности. 42

События в журнале регистрации событий (Log File) 42

Проверка политики с использованием локальной политики безопасности ММС 43

Проверка политики с использованием утилит командной строки 43

Аудит групповой политики 44

^ Отладка групповой политики 44

Утилиты из Resource Kit (Resource Kit Tools) 44

Ошибки системного журнала групповой политики 46

Резюме. 46

Дополнительная информация 46

^ Глава 4. Защита серверов в зависимости от выполняемой ими роли 48

Политика домена 48

Политика паролей 49

Политика блокировки учетных записей (Lockout) 49

^ Базовая политика рядовых серверов. 50

Базовая групповая политика для рядовых серверов 50

Ключевые сервисы, которые не входят в Базовый уровень рядового сервера 59

^ Политика базового уровня контроллера доменов 60

Аудит базового уровня контроллера домена и политика опций защиты 60

Политика сервисов базового уровня контроллеров доменов 61

Ключевые сервисы, не внесенные в политику базового уровня контроллера домена 61

Другие задачи безопасности базового уровня 62

^ Защита каждой отдельной серверной роли 64

Роль сервера приложений для Windows 2000 65

Роль сервера файлов и печати для Windows 2000 65

Роль сервера инфраструктуры для Windows 2000 65

Роль IIS сервера для Windows 2000 65

^ Изменения в рекомендуемой среде 68

Изменения в администрировании 68

Модификации безопасности, если не используется HFNETCHK 69

Резюме 70

Дополнительная информация 70

Глава 5. Управление патчами 71

Терминология 71

Сервисные пакеты 71

Hotfixes или QFEs 72

«Патчи» безопасности 72

^ Управление «патчами» в вашей организации 72

Оценка вашей текущей среды 73

Системы обновления безопасности 74

Связь 74

Управление «патчами» и управление изменениями 74

Пакет утилит Microsoft Security 74

^ Процессы управления «патчами» 75

Проверка среды на предмет недостающих «патчей» 76

План 81

Тестирование «патчей» 82

Внедрение «патчей» 84

Мониторинг 86

Просмотр 86

^ Управление «патчами» со стороны клиента 87

Обновление Windows 87

Корпоративная редакция обновления Windows 87

Базовый анализатор безопасности Microsoft (Miscrosoft Baseline Security Analyzer) 87

Другие утилиты 88

Резюме 89

Дополнительная информация 89

Ссылки 90

^ Глава 6. Аудит и обнаружение вторжения 91

Аудит 91

Как включить аудит. 92

Определение настроек системного журнала 92

Какие события подвергаются аудиту 93

Защита системных журналов событий 105

^ Мониторинг событий вторжения и безопасности 110

Значение синхронизации времени 110

Пассивные методы обнаружения 110

Методы активного обнаружения 118

Оценка уязвимости 125

Резюме 126

Дополнительная информация 126

Глава 7. Реагирование на инциденты 128

^ Сведение к минимуму числа случаев нарушения безопасности и потенциального ущерба. 128

Создание команды реагирования на случаи нарушения компьютерной безопасности 130

^ Определение плана ответных действий на инцидент 132

Проведение начальной оценки 133

Оценка серьезности вмешательства 135

Защита доказательств 137

Уведомление внешних агентств 138

Системы восстановления 138

Составление и организация документации об инциденте 139

Оценка ущерба и затрат, вызванных вторжением 139

Просмотр политик реагирования и обновления 139

^ Пример: Урегулирование инцидента в компании Northwind Traders 140

Резюме. 142

Смежные темы 142

Дополнительная информация 142
^

Глава 1. Введение.
Вас приветствует руководство по безопасности для операционной системы Windows 2000 Server. Мир с каждым днем становится все больше и больше «связанным», все ближе тот момент, когда информация будет доступна откуда угодно, когда угодно и практически с любого устройства. Компании и клиенты доверят подобной среде хранение своих данных только в том случае, если будут уверены в их полной защищенности.

По данным Службы безопасности и компьютерных преступлений Института компьютерной безопасности (CSI) и Федерального бюро расследований (ФБР) США, 85% крупных компаний и правительственных агентств зарегистрировали в 2001 году взлом своих систем компьютерной безопасности. Среднегодовые потери отдельной компании составили около 2 миллионов долларов США. За последние месяцы был зарегистрирован целый поток нападений на компьютерные системы, многие из которых были совершены через Интернет и нацелены на решения, работающие под управлением операционных систем Microsoft® Windows®. Однако это лишь самая общая информация по проблемам безопасности, с которыми сегодня сталкиваются компании. В настоящем руководстве будут рассмотрены множество различных видов угроз безопасности компьютерным системам и самые эффективные способы защиты от них.

Вне зависимости от организации вашей информационной среды, рекомендуется как можно серьезней отнестись к вопросу обеспечения ее безопасности. Многие организации ошибаются в понимании истинной ценности среды своих информационных технологий (IT), недооценивая возможные косвенные (непрямые) затраты. Убытки от серьезного нападения могут превысить стоимость всей вашей компании. К примеру, в ходе нападения будет «слегка» изменен веб-сайт компании, в результате чего на нем появятся выдуманные негативные новости, которые приведут к резкому снижению стоимости акций вашей компании. При оценке затрат на безопасность вы должны включить как косвенные затраты, связанные непосредственно с нападением, так и затраты, вызванные простоями и утратой функциональности информационной среды.

Наиболее безопасные компьютерные системы в мире – те которые полностью изолированы от пользователей или других систем. Тем не менее, в реальной жизни нам требуются функциональные компьютерные системы, объединенные в сеть и часто использующие общественные сети. Данное руководство поможет вам определить риски, свойственные сетевой среде, разработать тот уровень безопасности, который наиболее соответствует вашей информационной среде, расскажет о действиях, необходимых для достижения соответствующего уровня безопасности. Нацеленное в основном на корпоративного клиента, данное руководство будет полезно организациям любого размера и профиля.


^ Структура Операций Microsoft (MOF)
Для того, чтобы действия в вашей информационной среде были максимально эффективными, вы должны научиться ими эффективно управлять. Для этого компания Microsoft разработала Структуру Операций Microsoft (Microsoft Operations Framework, MOF). По существу это совокупность действий, принципов и моделей, помогающих вам в руководстве операциями. Следование руководству MOF поможет вам выполнить поставленную задачу, и ваши рабочие системы будут надежными, доступными, безопасными и управляемыми при использовании продуктов Microsoft.

Модель процесса MOF разделена на четыре взаимосвязанных сектора:

Изменения

Операции

Поддержка

Оптимизация

Вместе эти стадии формируют спиральный цикл (см. рис 1.1), который может быть применен как к отдельному приложению, так и ко всей операционной среде с многочисленными центрами данных. В данном случае вы будете использовать MOF в качестве операций защиты.


Представить новые сервисные решения, технологии, системы, приложения, аппаратное обеспечение и процессы

Отслеживать и оперативно разрешать инциденты, проблемы и жалобы


Рисунок 1.1

Модель процесса MOF

Модель процесса поддерживается двадцатью сервисными функциями управления (SMF), а также интегрированной командной моделью и моделью риска. Каждый сектор поддерживается соответствующим обзором управления операциями (известным как обзорный указатель), в котором оценена эффективность каждого SMF-сектора.

Не обязательно быть экспертом по MOF, чтобы понять и использовать данное руководство, однако правильное понимание принципов MOF поможет вам управлять информационной средой, обеспечить ее надежность, доступность и устойчивую работу.

Если вы желаете подробнее узнать о том, как MOF может помочь вам в работе, зайдите на веб-сайт MOF (см. раздел «Дополнительная информация» в конце главы).
^ Добейтесь безопасности и оставайтесь в безопасности
В октябре 2001 года Microsoft запустил Стратегическую программу защиты технологий (Strategic Technology Protection Program, STPP). Цель данной программы заключается в объединении продуктов и услуг Microsoft с поддержкой безопасности. Microsoft заключает процесс поддержания безопасности среды в две взаимосвязанные фазы: «Добейтесь безопасности» и «Оставайтесь в безопасности».
^ Добейтесь безопасности.
Чтобы помочь вашей организации достичь соответствующего уровня безопасности следуйте рекомендациям раздела «Добейтесь безопасности» в Наборе инструментов Microsoft по безопасности (Microsoft Security Tool Kit), который доступен в онлайновом режиме (Подробнее см. раздел «Дополнительная информация»).
^ Оставайтесь в безопасности.
Вторая фаза известна под названием «Оставайтесь в безопасности». Одно дело создать среду, которая изначально в безопасности. Другое дело, что когда ваша информационная среда переходит к действию, ее безопасность необходимо постоянно поддерживать, предпринимать превентивные действия против угроз и, в случае если угрозы появились, эффективно на них реагировать.
Область применения данного руководства.
Данное руководство в основном ориентировано на действия, направленные на создание и поддержку безопасной среды на серверах, работающих под управлением ОС Windows 2000. Минимальные системные требования для работы ОС Windows 2000 Server:

Процессор: 133 MHz и выше Pentium-совместимый процессор

Память: рекомендуемый минимум 256 MB RAM [минимально поддерживается 128 MB, максимально поддерживается 4 GB]

^ Жесткий диск: 2 GB при 1.0 GB свободного места на диске (Дополнительное свободное место на диске требуется в случае установки системы по локальной сети)

Поддержка многопроцессорной работы: Windows 2000 Server поддерживает до четырех процессоров, установленных на одной машине

В данном руководстве мы рассматриваем определенные возможности серверов, но в целях безопасности не показываем в деталях как использовать отдельные приложения.

При внедрении безопасности существует множество областей, которые вы должны спроектировать и применить. Диаграмма показывает широкий спектр этих областей, заштрихованные области описываются в настоящем руководстве.

Разработка IT-политики безопасности




Разработка и внедрение глубинной стратегии защиты




Разработка и внедрение блокировки сервера (Server Lockdown)




Разработка и внедрение антивирусной стратегии






















Разработка и внедрение стратегии резервирования и восстановления




Стратегия управления патчами




Разработка и внедрение стратегии аудита и стратегии обнаружения взлома




Разработка плана реакции на происшествие

Рисунок 1.2

Зоны безопасности

Диаграмма показывает шаги, необходимые для достижения безопасности сервера («Добейтесь безопасности»), и чтобы обеспечить его работу в том же направлении («Оставайтесь в безопасности»). Также она показывает, каким образом главы данного руководства помогут вам достигнуть этих целей.

^ Рисунок 1.3 (Блок-схема процедуры защиты)



Примечание: Данная диаграмма не показывает каждое действие, которое включено в процедуру «Оставайтесь в безопасности», к примеру запуск антивирусных программ ими создания резервных копий. Вместо этого здесь показаны задачи, подробно описанные в данном руководстве.

Данное руководство используется как часть вашей общей стратегии безопасности, но не как руководство, охватывающее все аспекты создания и поддержки безопасной среды.
Краткое описание глав.
Данное руководство состоит из следующих глав, каждая из которых проводит вас через составляющие процесса обеспечения безопасности. Согласно вашим нуждам, каждую главу можно изучать полностью или частично.
Глава 2. Определение угрозы безопасности.
Прежде, чем вы сможете обезопасить вашу среду, вы должны понять возможные угрозы, уязвимые места и необходимые контрмеры в области IT-защиты. В этой главе дается описание вышеупомянутых проблем и исследуются технические и бизнес-решения, которые помогут вам более эффективно управлять рисками безопасности в вашей среде.
Глава 3. Управление безопасностью при помощи групповой политики Windows 2000.
Множество параметров настройки защиты определены в Windows 2000 при помощи групповой политики и нацелены на управление поведением объектов на отдельном компьютере и в обслуживании каталога Active Directory™. Важно убедиться, что эта политика соответствующим образом настроена, и что вы можете быть уверены, что настройки не изменены без соответствующего разрешения. В этой главе подробно рассматривается управление безопасностью при использовании групповой политики.
Глава 4: Защита серверов, в зависимости от выполняемой ими роли.
Сервер приложений, файловый сервер и web-сервер требуют разных параметров настройки, чтобы максимизировать защиту. В этой главе рассмотрены контроллеры домена и множество различных ролей сервера, а также описаны шаги, которым вы должны следовать, чтобы убедиться, что каждая из этих функций максимально защищена.

Примечание: Данное руководство предполагает, что серверы исполняют определенные роли. Если ваши серверы не выполняют эти функции, или у Вас многоцелевые серверы, вы должны использовать описанные здесь параметры настройки как руководство для создания ваших собственных шаблонов защиты, чтобы добиться необходимых вам функциональных возможностей. Тем не менее, вы должны иметь в виду, что чем больше функций выполняет каждый из ваших серверов, тем больше он уязвим для нападения.
Глава 5: Управление патчами
Один из основных способов защиты от нападения состоит в том, чтобы обеспечить вашей программной среде современные обновления со всеми необходимыми патчами защиты. Патчи могут быть необходимы как для сервера, так и для подключаемых к нему компьютеров. В этой главе показано, как вовремя получить информацию о новых патчах, быстро и надежно применить их внутри всей вашей организации, и проследить, чтобы они были установлены повсюду.
Глава 6: Аудит и обнаружение вторжения.
Не все нападения очевидны. Иногда самые незначительные нападения более опасны, потому что они проходят незамеченными и трудно определить, какие изменения были сделаны. В этой главе показано, как отслеживать вашу среду, чтобы предоставить вам лучшие возможности определения нападения. Также описывается система обнаружения вторжения - программное обеспечение, разработанное специально для того, чтобы зафиксировать действие, указывающее на то, что происходит нападение.
Глава 7: Реакция на инциденты.
Независимо от того, насколько безопасной является ваша среда, риск подвергнуться атаке остается. Любая разумная стратегия безопасности должна включать в себя положения, которыми будет руководствоваться Ваша организация, отвечая на различные типы нападений. В этой главе раскрыты лучшие варианты реакции на различные типы нападения, а также показаны шаги, необходимые для того, чтобы эффективно сообщить об инцидентах. Сюда также включено исследование, показывающее типичные реакции на инцидент.
Заключение.
Эта глава познакомила вас с настоящим руководством и дала описание остальных глав книги. Помимо этого вы ознакомились с Стратегической программой защиты технологий (STTP). Теперь, когда вы поняли структуру настоящего руководства, вы можете решить, стоит ли читать его от начала до конца, либо ограничиться отдельными частями. Помните, что эффективные, успешные действия по обеспечению безопасности требуют усилий во всех областях, а не только усовершенствований в одной, так что рекомендуем вам прочитать все главы.
Дополнительная информация.
Компания Symantec создала аналогичное руководство, показывающее, как использовать их средства, наиболее эффективно выполнить действия, описанные в данном руководстве:

http://securityresponse.symantec.com/avcenter/security/Content/security.articles/security.fundamentals.html

Более подробно о том, как MOF может помочь в вашем предприятии:

http://www.microsoft.com/business/services/mcsmof.asp

Наборе инструментов Microsoft по безопасности (Microsoft Security Tool Kit):

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/stkintro.asp

Веб-сайт Стратегической программы защиты технологий:

http://microsoft.com/security/mstpp.asp

Информация о Службе уведомления безопасности Microsoft:

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/notify.asp
Глава 2. Определение угрозы безопасности
Одновременно с развитием IT систем развиваются и угрозы безопасности, с которыми им приходится сталкиваться. Если вы собираетесь эффективно защищать вашу среду от нападения, вы должны четко понимать те опасности, с которыми вы, вероятно, столкнетесь.

При определении угрозы безопасности вы должны обратить внимание на два основных фактора: 1) Типы нападений, с которыми вы, вероятно, столкнетесь, и 2) Где эти нападения могут произойти. Большинство организаций пренебрегают вторым фактором, предполагая что серьезное нападение может происходить только извне (в основном через соединение с Интернет). В исследовании Службы безопасности и компьютерных преступлений, совместно проведенном Институтом компьютерной безопасности (CSI) и Федеральным Бюро Расследований США 31 % респондентов отметили свои внутренние системы как наиболее частый объект нападения. Тем не менее, множество компаний могут просто не осознавать, что нападения изнутри происходят, главным образом потому, что их никто не отслеживает и не контролирует.

В этой главе, мы рассматриваем типы нападений, с которыми вы можете столкнуться. Также будут рассмотрены некоторые шаги, как делового так и технического характера, следуя которым вы сможете минимизировать угрозу вашей среде.
Управление рисками
Не существует такой вещи, как полностью безопасная и одновременно работоспособная IT-среда. Когда вы исследуете вашу среду, вы должны оценить риски, с которыми сталкиваетесь, определить приемлемый уровень риска и сохранить его на этом уровне или ниже. Риски уменьшаются путем увеличения степени безопасности вашей среды.

Общее правило: чем выше уровень безопасности в организации, тем дороже она обходится, и тем более вероятно, что функциональные возможности будут сокращены. Оценив потенциальные угрозы, вам вероятно захочется снизить ваш уровень безопасности в пользу увеличения функциональных возможностей и понижения стоимости.

В качестве примера рассмотрим компанию по обслуживанию кредитных карточек, которая применить систему защиты от мошенничества. Если мошенничество стоит компании 3 миллиона долларов в год, а внедрение и обслуживание системы предотвращения мошенничества стоит 5 миллионов долларов в год, не существует никакой прямой финансовой выгоды в установке системы. Тем не менее, компания может нести косвенные потери, стоящие гораздо больше, чем 3 миллиона, например потеря репутации и доверия клиента. Поэтому, на самом деле, вычисления гораздо более сложные.

Иногда дополнительные уровни безопасности оборачиваются более сложными системами для пользователей. Онлайновый банк может использовать многочисленные уровни идентификации для своих пользователей каждый раз, когда они хотят получить доступ к своему счету. Однако, если идентификационный процесс является слишком сложным, некоторые клиенты не захотят использовать систему, которая потенциально могла стоить больше, чем нападения, которым мог подвергнуться банк.

Чтобы понять принципы управления рисками, вы должны уяснить некоторые ключевые термины, используемые в процессе управления рисками. Они включают в себя: ресурсы, угрозы, уязвимые места, эксплуатации и контрмеры.
Ресурсы.
Ресурс - это любой объект вашей среды, который вы пытаетесь защитить. Это могут быть данные, приложения, серверы, почтовые программы и даже люди. Цель защиты состоит в том, чтобы предотвратить ваши ресурсы от нападения.

Важная часть управления рисками заключается в том, чтобы оценить значимость ваших ресурсов – ведь вы бы не стали использовать стандартные дверные замки и домашнюю сигнализацию, чтобы охранить королевские драгоценности. Точно так же ценность ваших ресурсов может определить соответствующий уровень безопасности.
Угрозы.
Угроза - это человек, место или вещь, которые имеют возможность получить доступ к ресурсам и причинить вред. В таблице показаны различные типы угроз с примерами.


Таблица 2.1: Угрозы компьютерной среде
Тип угрозы Примеры
Природная и физическая

Огонь, вода, ветер, землетрясение

Сбой электропитания

Непреднамеренные


Неинформированные сотрудники

Неинформированные клиенты

Намеренные

Атакующие

Террористы

Промышленные шпионы

Правительства

Злонамеренный код


Уязвимое место.
Уязвимое место - это место, где ресурс наиболее восприимчив к нападению, слабости определенного рода. Категории уязвимости показаны в следующей таблице

Таблица 2.2: Уязвимые места в компьютерной среде.
Вид уязвимого места Примеры
Физические

Незапертые двери

Природные

Неисправная система пожаротушения

Оборудование и программное обеспечение

Устаревшая антивирусная программа

Носители

Электрическое воздействие

Связь

Незашифрованные протоколы

Человек

Незащищенные процедуры службы поддержки

Примечание: Так как все организации разные, вышеперечисленные примеры угроз и уязвимых мест могут быть неприменимы к вашей организации,.
Эксплойт.
Ресурс, может оказаться доступным для угрозы, использующей уязвимость в вашей окружающей. Данный тип нападения известен как "эксплуатация". Эксплуатация ресурсов может быть достигнута многими способами. Наиболее распространенные примеры приведены в следующей таблице.

Таблица 2.3: Эксплуатация в компьютерной среде.
Тип эксплойта Примеры
Эксплойты технической уязвимости

Нападение при помощи грубой силы

Переполнение буфера

Заведомо неверная конфигурация

Атаки воспроизведения (Replay Attacks)

Атака сессии (Session Hijacking)

Сбор информации

Идентификация адреса

Идентификация операционной системы

Сканирование портов

Зондирование сервиса и приложения

Сканирование уязвимых мест

Анализ ответа

Подсчет пользователей

Утечка при беспроводной связи

Социотехника (обманное получение паролей)


Отказ в обслуживании

Физические повреждения

Изъятие ресурсов

Модификация ресурсов

Насыщение ресурса

Когда потенциальная угроза использует уязвимые места нападения на ресурс, последствия могут быть очень серьезными. Нижеследующая таблица показывает некоторые из результатов эксплуатации, с которыми вы можете столкнуться, и их примеры.

Таблица 2.4: Результаты эксплойтов.
Результат эксплойтов Примеры
Потеря конфиденциальности

Неразрешенный доступ

Повышение прав

Заимствование прав или кража идентификации

Потеря целостности

Повреждение данных

Дезинформация

Потеря доступа

Отказ в обслуживании
Взаимодействие между угрозами, уязвимыми местами и рисками.
Каждая угроза и уязвимое место, обнаруженные в пределах вашей организации, должны быть квалифицированы и ранжированы по типу: низкая, средняя или высокая. Ранжирование может различаться как между организациями, так и в пределах одной организации. Например, угроза землетрясений выше для офисов, находящихся возле эпицентра, чем где-либо в другом месте. Точно так же уязвимость физического повреждения оборудования будет очень высока для организации, производящей высокочувствительную и хрупкую электронику, в то время как строительная компания может иметь более низкий уровень уязвимости.

Примечание: Помощь в работе 1: Таблица анализа угрозы может быть использована, чтобы помочь вам оценить угрозы и степень их возможного воздействия на вашу организацию.

Уровень риска в вашей организации увеличивается с уровнем угрозы и уязвимости. Это показано в следующей диаграмме.

Рисунок 2.1

Матрица риска
Контрмеры
Контрмеры применяются с целью противодействия угрозам и уязвимости, сокращая риск вашей среды. Например, организация, производящая хрупкую электронику для обеспечения безопасности может применить физические контрмеры: улучшение фундамента здания или добавление смягчающих удар механизмов. Эти контрмеры уменьшают вероятность, что землетрясение может причинить физический ущерб их оборудованию. Остаточный риск состоит в том то, что остается после того, как все контрмеры применены, чтобы уменьшить угрозу и уязвимость.
^ Многоуровневая защита (глубокая защита, Defense in Depth)
Чтобы уменьшить риск в вашей среде и защитить свои ресурсы от внешних и внутренних угроз, вы должны использовать стратегию «глухой обороны». Термин «глухая оборона» (иногда также используют «глубокая защита», «глубокая безопасность» или «многослойная безопасность»), заимствован из военной терминологии и используется для описания иерархического построения мер безопасности, формирования взаимосвязанной среды безопасности без единого недостатка. Слои безопасности, которые формируют вашу стратегию «глухой обороны», должны включать развернутые защитные меры на протяжении всего пути от вашего внешнего источника к вашим ресурсам, и всех пунктов, находящихся между ними.

Развертывая многократные слои безопасности, вы можете быть уверены, что, в случае если один слой пробит, другие слои обеспечат безопасность необходимую для защиты ваших ресурсов. Например, прохождение сквозь защиту организации не должно обеспечить нападавшему свободный доступ к наиболее важным данным организации. В идеале каждый слой защиты должен обеспечить разные формы контрмер, чтобы предотвратить использование того же самого метода проникновения в нескольких слоях.

Диаграмма показывает эффективную стратегию глубокой защиты.



Рисунок 2.2

Стратегия глубокой защиты.

Важно помнить, что ваши ресурсы это не только данные, а все в вашей среде, что может быть объектом нападения. Как часть вашей стратегии управления рисками, вы должны исследовать ресурсы, которые вы защищаете, и определять, имеете ли вы достаточную степень защиты для каждого из них. Конечно, степень безопасности, которую вы можете применить, будет зависеть от вашей оценки риска, а также анализа стоимости и выгод развертывания контрмер. Однако, необходимо убедиться в том, что нападающий будет также нуждаться в подобном знании, времени и ресурсах, чтобы обойти все контрмеры и получить доступ к вашим ресурсам.

Примечание: То, как вы развертываете многослойную защиту, будет напрямую зависеть от специфических особенностей вашей среды. Если ваша среда изменяется, убедитесь в том, что вы заново переоценили вашу стратегию глубокой защиты.

Стоит подробнее рассмотреть каждый слой стратегии глухой обороны.
^ Защита данных.
Для многих компаний один из их наиболее ценных ресурсов - это данные. Если эти данные попадут в руки конкурентов, или окажутся поврежденными, могут возникнуть серьезные неприятности.

На клиентском уровне, данные, хранящиеся отдельно, особенно уязвимы. Если портативный компьютер украден, данные могут быть скопированы, восстановлены и прочтены, даже если преступник неспособен подключиться к системе.
^ Защита приложений.
Защита приложения является необходимой частью любой модели безопасности. Система безопасности Windows 2000 содержит механизмы защиты приложений, однако, ответственность разработчика заключается в том чтобы правильно реализовать и использовать эти механизмы в приложении. Приложение существует в пределах операционной системы, так что вы должны всегда рассматривать защиту всей вашей среды при рассмотрении защиты приложений.

Каждое приложение, используемое в вашей организации, должно быть тщательно проверено на безопасность в испытательной среде прежде, чем вы позволите этому приложению работать в системах компании.
^ Защита хостов.
Вы должны оценить каждый подключаемый компьютер в вашей среде и выработать политику, которая ограничивает каждый сервер только теми задачами, которыми он должен заниматься. Таким образом, создается еще один барьер защиты, который придется обходить взломщику, прежде чем нанести вам какой-либо ущерб. Глава 4, "Защита серверов исходя из исполняемой роли" рассказывает о политиках, которые увеличивают защиту для пяти общих ролей серверов Windows 2000.

Первый шаг в достижении этого состоит в том, чтобы создать индивидуальную политику, основанную на классификации и типе данных, содержащихся на каждом сервере. Например, в политике организации может быть предусмотрено, что все Web-серверы предназначены для общественного использования и, поэтому, могут содержать только информацию для общественного пользования. Их сервера с базами данных обозначены как конфиденциальные, что означает, что информация должна быть защищена любой ценой. Это отражено в классификациях, приведенных в таблице на следующей странице.

^ Таблица 2.5: Классификация серверов.
Назначение Определение
Для общественного использования

Распространение этого материала не ограничено. Туда включена маркетинговая информация, коммерческие материалы и информация, предназначенная для общественного пользования. Данные общественных серверов Интернет должны быть для общественного использования.

Только для внутреннего использования

Раскрытие этой информации безопасно для внутреннего распределения, но, будучи опубликованной, может нанести значительный ущерб организации. По меньшей мере, один межсетевой экран должен существовать между этой информацией и Интернет.

Конфиденциально

Раскрытие этой информации принесло бы серьезный ущерб организации в целом. По своей природе эта информация самая чувствительная, и предоставляется только при необходимости. По меньшей мере, два межсетевых экрана должны быть помещены между этой информацией и Интернет.
^ Сетевая защита.
В вашей организации может быть несколько сетей, и вы должны оценить каждую из них индивидуально, чтобы гарантировать, что они защищены соответствующим образом. Если успешно атакован маршрутизатор, это может означать отказ всех сегментов сети.

Вы должны отслеживать все разрешенные действия в ваших сетях и блокировать любой трафик, который не разрешен. Вы можете также рассмотреть возможность использования протокола IPSec, чтобы зашифровать пакеты в ваших внутренних сетях, и протокола SSL для внешней связи. Вы также должны контролировать анализаторы пакетов, которые должны использоваться в сети только под жестким контролем.
^ Защита периметра.
Защита периметра вашей сети - наиболее важный аспект в предотвращении нападения снаружи. Если ваш периметр в безопасности, ваша внутренняя сеть защищена от внешних нападений. Ваша организация должна иметь определенное устройство, защищающее каждый доступ в сеть. Каждое устройство должно быть оценено, определены разрешенные типы трафика, после чего должна быть разработана модель безопасности, блокирующая любой другой трафик.

Системы сетевой защиты - важная часть защиты периметра. Вам понадобится одна или несколько систем сетевой защиты, чтобы минимизировать нападения извне, наряду с аудитом и обнаружением вторжения, чтобы удостовериться, что вы в курсе нападений, если таковые происходят. Для получения более подробной информации об аудите и обнаружении вторжения см. Главу 6, "Аудит и обнаружение вторжения".

Вы также должны помнить, что для сетей, поддерживающих удаленный доступ, периметр может включать портативные компьютеры персонала и даже домашние ПК. Вы должны убедиться, что эти компьютеры отвечают вашим требованиям безопасности прежде, чем они смогут входить в сеть.
^ Физическая Безопасность.
Любая среда, где неправомочные пользователи могут получить физический доступ к компьютерам, очень опасна. Самое эффективное упреждение нападения отключение сервера от электричества или снятие жестких дисков. Кража данных (и отказ в обслуживании) может произойти, если кто-либо украдет сервер или ноутбук.

Вы должны рассматривать физическую безопасность как фундамент для вашей общей стратегии безопасности. Первым приоритетом является физическое обеспечение безопасного месторасположения сервера. Это может быть специальная комната для сервера в пределах вашего здания, или же целый информационный центр.

Также вы должны обратить внимание на доступ в помещения вашей организации – если кто-то может получить несанкционированный доступ в здание, он сможет начать атаку, даже не имея возможности войти в систему через сеть. Это может быть:

отказ от обслуживания (к примеру, подключение ноутбука к сети, использующей DHCP сервер или отключение питания сервера)

кража данных (к примеру, кража ноутбука или анализ пакетов во внутренней сети)

запуск вредоносного кода (к примеру, запуск червя изнутри организации)

кража информации, критически важной для обеспечения безопасности (к примеру, кассет с резервными копиями, руководств по эксплуатации и сетевых диаграмм)

Частью вашей стратегии управления рисками является определение уровня физической безопасности, соответствующего вашей среде. Возможные физические меры безопасности включают в себя некоторые из нижеследующих.

Физическая охрана всех помещений здания (может включать в себя электронные карточки доступа, биометрич