Анализ уязвимостей корпоративной сети

1. Анализ уязвимостей корпоративной сети Дмитрий Снопченко D.Snopchenko@yug.com.ua ЗАО «Объединение ЮГ» http:// www.yug.com.ua

2. ВОПРОСЫ ОБ АУДИТЕИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ • Что такое аудит и цель его проведения? • Как проводится аудит? • Какими средствами проводить аудит?

3. ЧТОТАКОЕ АУДИТ? Аудит информационной безопасности – это системный процесс получения объективных оценок текущего состояния информационной безопасности организации (предприятия) в соответствии с определенными критериями информационной безопасности, который включает комплексное обследование различных сред функционирования ИТС, проведения тестирования на уязвимости ИТС, анализ и оценку защищенности ИТС, формирование отчёта и разработку соответствующих рекомендаций.

4. ЦЕЛЬ АУДИТА Основной целью аудита информационной безопасностиИТС является оценка текущего состояния информационной безопасности учреждения или предприятия, а также подготовка исходных данных для формирования требований к комплексной системе защиты информации (КСЗИ) ИТС.

5. КАК ПРОВОДИТСЯ АУДИТ? Соответствующие требования и рекомендации по проведению аудита (обследования) информационной безопасности отражены в международных, государственных стандартах, нормативно-правовых базе Украины в сфере защиты информации: • ISO/IEC:17799 «Информационные технологии. Управление информационной безопасностью»; • ISO/IEC 27001:2005 «Информационные технологии. Методы обеспечения безопасности. Системы управления информационной безопасностью. Требования»; • ДСТУ 3396.1-96 «Защита информации. Техническая защита информации. Порядок проведения работ», а также в законодательной базе Украины в сфере защиты информации. • НД ТЗІ 3.7-003-05 «Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі». • НД ТЗІ 2.5-004-99 «Критерії оцінки захищеності інформації в комп’ютерних системах від несанкціонованого доступу» и др.

6. Подготовка к проведению аудита (обследования) ИТС: • формирование требований к проведению аудита; • создание совместной комиссии по аудиту. КОМПЛЕКСНОЕ ОБСЛЕДОВАНИЕ ИТС Обследование вычислительной системы ИТС Обследование физической среды ИТС Тестирование на уязвимости ИТС Обследование информационной среды ИТС Обследование среды пользователей АНАЛИЗ ЗАЩИЩЕННОСТИ ИТС Идентификация полученных уязвимостей Анализ и систематизация полученных результатов обследования ИТС Оценка уровня защищённости ИТС Создание отчёта и разработка соответствующих рекомендаций ЭТАПЫ ПРОВЕДЕНИЯ АУДИТА

7. ОБСЛЕДОВАНИЕ ВЫЧИСЛИТЕЛЬНОЙ СИСТЕМЫ ИТС • Проверка наличия документации на ИТС и ее предварительный анализ. • Проверка наличия распорядительных документов на ИТС и их предварительный анализ. • Сбор сведений об общей структурной схеме ИТС, ее компонентах – состав оборудования, технических и программных средств, их связи, особенности конфигурации, архитектуры и топологии, программные и программно-аппаратные средства защиты информации, взаимное размещение средств. • Сбор сведений информации о видах каналов связи, их характеристики. • Сбор сведений о особенностях взаимодействия отдельных компонентов ИТС. • Анализ полученной информации.

8. ОБСЛЕДОВАНИЕИНФОРМАЦИОННОЙ СРЕДЫ ИТС • Сбор сведений о технологии обработки информации в ИТС. • Сбор сведений о информационных потоках ИТС. • Сбор сведений о предъявляемых в организации требований к защите информации в ИТС. • Сбор сведений о режиме доступа к информационным ресурсам ИТС; • Сбор сведений о информационных носителях и правилах работы с ними. • Анализ полученной информации.

9. ОБСЛЕДОВАНИЕ ФИЗИЧЕСКОЙ СРЕДЫ ИТС • Проверка наличия документации на компоненты физической среды ИТС и ее предварительный анализ. • Собор сведений о территориальном размещении компонентов ИТС. • Сбор сведений о наличии охраняемой территории и пропускного режима на объекте. • Сбор сведений о наличии на объекте или объектах категорированных помещений. • Сбор сведений о наличии на объекте или объектах охранной, пожарной сигнализации, систем видеонаблюдения и контроля доступа. • Сбор сведений о режиме доступа к компонентам физической среды ИТС. • Сбор сведений о наличии в помещениях, где функционирует ИТС, элементов коммуникаций, систем жизнеобеспечения и связи, имеющих выход за пределы контролируемой территории. • Сбор сведений о наличии системы заземления оборудования ИТС и ее технических характеристик. • Сбор сведений о условиях хранения магнитных, оптико-магнитных, бумажных и других носителей информации. • Анализ полученной информации.

10. ОБСЛЕДОВАНИЕ СРЕДЫ ПОЛЬЗОВАТЕЛЕЙ • Проверка наличия документов, регламентирующих деятельность персонала организации по обеспечению безопасности информации в ИТС и их предварительный анализ. • Анализ функционального и количественного состава пользователей и их обязанностей; • Анализ функций и полномочий подразделения защиты информации; • Анализ категорий пользователей по уровню полномочий.

11. ТЕСТИРОВАНИЕ НА УЯЗВИМОСТИ ИТС Проведение сканирования всех компонентов ИТС на уязвимости как изнутри, так и снаружи.

12. Сетевой сканер безопасности нового поколения как средство проведения аудита безопасности XSpider 7.5

13. Пример сканирования

14. Список уязвимостей Определение ОС Список портов TCP портс идентифицированным сервисом, подверженный критической уязвимости Уязвимость или нет?... TCP портс идентифицированным сервисом, подверженный некритической уязвимости Общая информация

15. Описание уязвимостей

16. Описание уязвимостей

17. Описание уязвимостей

18. Описание уязвимостей

19. Описание уязвимостей

20. Описание уязвимостей

21. Описание уязвимостей

22. Возможности сканирования

23. Возможности сканирования

24. Возможности сканирования

25. АНАЛИЗ ЗАЩИЩЕННОСТИ ИТС Анализ и систематизация полученных результатов обследования ИТС Идентификация полученных уязвимостей Оценка уровня защищённости ИТС

26. СОЗДАНИЕ ОТЧЁТА И РАЗРАБОТКА СООТВЕТСТВУЮЩИХ РЕКОМЕНДАЦИЙ Отчёт дает полную картину состояния защищенности ИТС организации, а также рекомендации по устранению уязвимостей.

27. ЗАКЛЮЧЕНИЕ Таким образом, мы видим, что проведение аудита информационной безопасности предприятия (организации) – это не просто «инвентаризация» ИТС, а тщательная и всесторонняя работа по исследованию ИТС, которая дает наиболее полную картину состояния защищенности и позволяет сформировать требования к комплексной системе защите информации в ИТС организации. Проведение квалифицированного аудита информационной безопасности и исполнение комплекса мер по защите информационных ресурсов по рекомендациям, выработанным в результате такого аудита, дает уверенность в защищенности ИТС на определенный период времени. Уверенность в защищенности Ваших информационных ресурсов может быть только тогда обоснована, когда она подтверждена.

28. Благодарю за внимание ! ЗАО «Объединение ЮГ» 03040 г. Киев-40, Проспект 40-летия Октября, 88 тел./факс: +38(044) 257-41-45,+38(044) 257-87-28,+38(044) 536-12-92 http:// www.yug.com.ua,info@yug.com.ua