Блог 

Комплексный аудит информационной безопасности предприятия (Часть 1)

Сегодня с уверенностью можно сказать, что нет ни одной организации, не столкнувшейся с вопросами обеспечения безопасности информации в том или ином разрезе данного предмета. Вопросы информационной безопасности тесно переплетены с вопросами экономической безопасности, обеспечения непрерывности деятельности учреждений, безопасностью труда и многими другими сферами деятельности и технологическими процессами работы организаций в целом.
Обеспечение информационной безопасности учреждения (организации) сегодня выходит далеко за рамки рассмотрения в разрезе обеспечения информационной безопасности и технической защиты информации (далее — ИБиТЗИ) объектов информатизации, подлежащих защите в соответствии с требованиями нормативно-правовых актов РФ, методических документов ФСТЭК и ФСБ России. Кроме того законодательством РФ сегодня предусмотрены мероприятия касающиеся обеспечения безопасности информации без преувеличения каждого учреждения – это мероприятия по защите общедоступной информации в системах общего пользования и обеспечения деятельности, персональных данных и систем управления технологическими процессами, защита в кредитно-платёжных системах, защита государственных (муниципальных) информационных ресурсов.

В современных условиях обеспечение ИБиТЗИ – это комплекс мер, многие из которых не описаны (часть из них только планируется) в нормативно-методических документах регуляторов. Это и меры противодействия инсайду (с помощью пакета правовых инструментов, DLP систем, применения психологодиагностического оборудования в отношении тестирования персонала), меры по анализу, оценке и устранению рисков ИБ в процессе всей деятельности учреждения и по отношению ко всем активам организации, меры противодействия социальной инженерии.
На вопросы обеспечения ИБ объектов защиты, которые не изолированы от всех процессов жизнедеятельности учреждения, влияют все без исключения факторы и рабочие процессы: организация режимных мер и охраны, вопросы работоспособности СКУД, пожарной и охранной сигнализаций, вопросы системы менеджмента, вопросы связанные с развитием и эксплуатацией инженерных систем учреждения (и не только локально-вычислительных сетей), использованием информационных технологий в целом (программного обеспечения, сетей связи общего пользования и т.д.), в любом месте и в любое время вопросы ремонта и техобслуживания средств вычислительной техники, СКС, инженерных коммуникаций здания.
Учитывая данный факт, большой объём нормативно-методической документации,  многоаспектность обеспечения ИБ учреждений, существенные различия между самими учреждениями в части технологии обработки информации, используемого перечня средств вычислительной техники и программного обеспечения сегодня мероприятия способные охватить все указанные абзацем выше вопросы являются сложнейшей задачей с привлечением специалистов различных квалификаций и направлений, а результат решения этой задачи кардинально отличается от результатов стандартных аудитов в области защиты информации и информационной безопасности.
Структура аудита ИБ
(техническое задание на составление программы и методик проведения аудита ИБ)
Этап 1. Определение направлений и состава аудита
1.1. Определение активов учреждения, подлежащих защите и определение перечня информации, воздействующей на данные активы и подлежащей защите. Осуществляется определение перечня защищаемой  информации и критериев, необходимых для обеспечения её безопасности.
1.2. Определение состава защищаемой информации применительно к каждому необходимому критерию безопасности:
— перечень информации, которой необходимо обеспечить конфиденциальность.
— перечень информации, которой необходимо обеспечить целостность.
— перечень информации, которой необходимо обеспечить доступность.
1.3. Категорирование информации из определённого выше перечня с целью определения для каждой категории набора требований нормативно-правовых и нормативно-методических документов (далее НПА и НМД), действующих в РФ, а также составления аналитическо-экономического обоснования набора мер безопасности информации для каждой категории. Из определённой к защите информации могут выделяться следующие категории: коммерческая тайна, служебная тайна, персональные данные, государственные информационные ресурсы, государственная тайна, общедоступная информация, воздействующая на активы учреждения.
1.4. Определение защищаемых объектов информатизации (далее ЗОИ), обрабатывающих выделенную защищаемую информацию: ключевые системы информационной инфраструктуры (далее КСИИ), государственные и муниципальные информационные системы (далее ГИС (МИС), информационные системы персональных данных (далее ИСПДН), объекты вычислительной техники (далее ОВТ), защищаемые помещения (далее ЗП), технические помещения, безопасность которых влияет на ИБ организации в целом или на ИБ и ТЗИ конкретных ОИ.
1.5. Определение перечня лиц, обрабатывающих и получающих в ходе деятельности защищаемую информацию.
1.6. Определение процессов (рабочих, бизнес процессов), которые воздействуют на безопасность данной информации.
Этап 2. Аудит процессов и систем влияющих на ИБ учреждения
2.1. Аудит организационных, административных, правовых аспектов деятельности учреждения, влияющих на ИБ.
Рассматриваются следующие вопросы:
— вопросы менеджмента ИБ: процедуры вовлечения персонала в процессы ИБ, участие и роль руководства, анализ и оценка штатной структуры учреждения в целом и подразделений, задействованных в вопросах обеспечения безопасности информации и влияния их на ИБ;
— порядок взаимодействия между подразделениями в ходе выполнения рабочих задач, имеющих влияние на ИБ учреждения, координация деятельности подразделений;
— состояние политик ИБ (регламентов, инструкций, процедур).
Это достаточно большая и важная часть аудита. Программа и методики аудита по данному вопросу содержат подробное описание проверяемых процедур, правил и политик. Оценка качества политик ИБ учреждения предусматривает детальную оценку каждого документа Заказчика и аналитическое обоснование его работоспособности, актуальности и соответствия НМД в области защиты информации в зависимости от категории информации и объекта информатизации. Итогом аудита данного направления является выдача детальных рекомендаций в отношении как  имеющейся политики ИБ учреждения, так  и по созданию и внедрению  новых организационно-распорядительных, правовых и административных инструментов. По выбору заказчика оценка может проводиться на соответствие политик безопасности нормативно-методическим документам России, СМИБ (ГОСТ ИСО), отраслевым стандартам (ЦБР СТО БР ИББС и др.). Не маловажным является демонстрация по итогам анализа последствий отсутствия политик ИБ (либо наоборот демонстрация работоспособности политик и правил в части устранения реальных угроз безопасности информации);
— состояние документооборота: наличие, ведение закрытого (ограниченного) документооборота и правила работы с ним, рекомендации по организации такого документооборота, приём и передача документов ограниченного распространения, порядок уничтожения носителей, внутренний электронный документооборот, его роль и место в ИБ учреждения;
— оценка возможности сертификации учреждения в системе менеджмента информационной безопасности.
2.2. Обследование состояния ИТ инфраструктуры и инженерных систем:
— аудит процессов использования средств вычислительной техники, в том числе:
аудит безопасности домена на основе службы каталогов MS Active Directory, аудит FSMO ролей, позволит минимизировать негативные последствия выхода из строя контроллера домена с последующей разработкой рекомендаций по размещению FSMO-ролей, аудит объектов групповой политики в части аутентификации, авторизации, аудита (Group Policy Object, GPO), при  помощи шаблонов безопасности позволит упростить выполнение задач администрирования, поскольку обеспечивает приведение к единой конфигурации безопасности заданного множества компьютеров в рамках одного домена, с последующей разработкой рекомендаций по настройке шаблонов GPO, аудит установленных обновлений ОС Microsoft (позволит выяснить установлены ли последние обновления безопасности и какие системы в них нуждаются, с последующей разработкой рекомендаций по установке и настройке Службы обновления Windows Server – Windows Server Update Services (WSUS), что позволит ИТ-администраторам централизованно развёртывать новейшие обновления продуктов Microsoft на компьютерах, работающих под управлением операционных систем семейства Windows), обследование Web и Почтового серверов; проверка настроек политики безопасности на серверах; обследование всех рабочих станций в офисе на предмет соблюдения правил информационной безопасности и возможности их использования инсайдерами в качестве инструмента атак;
— проверка возможности перехвата сетевых пакетов в локальной сети:
— построение актуальной «Карты» сети, обнаружение конфигураций «по умолчанию», обнаружение модемов, обнаружение других не задекларированных устройств.
Данная часть аудита позволит выдать следующие рекомендации:
рекомендации по нейтрализации уязвимостей (снижению возможного ущерба от их использования злоумышленниками);
рекомендации по изменению конфигурации и настроек компонентов АС, используемых защитных механизмов;
рекомендации по установке необходимых обновлений (patches, hot-fixes) установленного программного обеспечения;
рекомендации по изменению политик безопасности на Серверах и Рабочих станциях, в настройках файрволла.
— оценка установленного порядка обслуживания СКС (ЛВС);
— анализ состава и уязвимостей используемого штатного прикладного программного обеспечения:
— функции и процедуры, относящиеся к разным прикладным программам и несовместимые между собой (не функционирующие в одной операционной среде) из-за конфликтов, связанных с распределением ресурсов системы;
— функции, процедуры, изменение определенным образом параметров которых позволяет использовать их для проникновения в операционную среду ИСПДн и вызова штатных функций операционной системы, выполнения несанкционированного доступа без обнаружения таких изменений операционной системой;
— фрагменты кода программ («дыры», «люки»), введенные разработчиком, позволяющие обходить процедуры идентификации, аутентификации, проверки целостности и др., предусмотренные в операционной системе;
— отсутствие необходимых средств защиты (аутентификации, проверки целостности, проверки форматов сообщений, блокирования несанкционированно модифицированных функций и т.п.);
— ошибки в программах (в объявлении переменных, функций и процедур, в кодах программ), которые при определенных условиях (например, при выполнении логических переходов) приводят к сбоям, в том числе к сбоям функционирования средств и систем защиты информации, к возможности несанкционированного доступа к информации;
— анализ использования ССОП Интернет, определение точек подключения к Internet;
— оценка уровня безопасности при использовании корпоративной почты;
— обнаружение сетевых узлов: ping-сканирование, traceroute;
— определение сетевых приложений: сканирование портов, захват заголовков (network application banner grabbing);
— использование SNMP для профилирования целей и определения возможного местонахождения скрытых подключений к сети;
— тестирование защиты сетевых приложений:
службы каталогов и поиска: DNS, DHCP, LDAP, Finger, удаленные сеансы: Telnet, SSH, R-команды, X-Windows, совместное использование файлов: FTP, TFTP, SMB, NFS, отказ в обслуживании: сетевые лавины (network flooding), лавины пакетов установления соединения (SYN floods), распределенные атаки типа отказ в обслуживании (Distributed Denial of Service, DDoS),
— тестирования Web-сайтов:
локализация Web-серверов,идентификация Web-серверов, сканирование защиты Web-сайта при помощи сканеров Web-приложений,
— тестирования сетевых устройств;
— тестирования межсетевых экранов и защиты периметра:
— рассмотрение демилитаризованной зоны/периметра и конфигураций политики межсетевого экрана, локализация узлов в областях демилитаризованной зоны/периметра цели, профилирование и тестирование фильтрующего маршрутизатора;
— анализ уязвимостей ЭД, почтовых приложений;
— вопросы технического обслуживания, ремонта и т.п. имеющегося парка СВТ и создаваемые в ходе данных работ угрозы и уязвимости;
— оценка общего состояния ИТ инфрастуктуры и воздействие на критерии безопасности информации
— анализ схемы построения ЛВС, схем выхода в ССОП, структуры ЛВС, СКУД, ОПС
— состояние работы по использованию имеющихся в учреждении инструментов (ЛВС, СКУД, АТС и т.д.) для борьбы с инсайдом
—  работа СКУД, правила и порядок работы с СКУД, ПС и ОС персонала
— угрозы, создаваемые применением УПАТС, ГТС, мобильных устройств.
2.3. Аудит деятельности основных подразделений учреждения и их сотрудников, задействованных в обеспечении информационной безопасности учреждения:
— подразделения или ответственного за ИБ (ТЗИ)
— ИТ подразделения и администраторов баз данных и специализированных приложений
— подразделения разработки и внедрения ПО
— подразделения делопроизводства
— подразделения режима и охраны
— подразделения кадровой работы
Методики оценки деятельности основаны на СМИБ (ГОСТ ИСО), оценке реальных показателей выполнения требований НМД и НПА РФ в области ИБ, знаний НПА и НМД в области ИБ (в том числе с использованием квалификационных справочников минтруда), количественных показателей в работе (в соответствии с методиками минтруда). Оценку осуществляют самые опытные специалисты Исполнителя, преподаватели согласованных с ФСТЭК и ФСБ России курсов повышения квалификации в области защиты информации и имеющие специализированное образование в области ИБ.
Рассматривается большой объём вопросов касающихся полномочий сотрудников, контроля за деятельностью сотрудников значительно влияющих на вопросы обеспечения ИБ, вопросы организации и планирования труда, вопросы работы сотрудников с инцидентами (в том числе с помощью разработанной совместно с заказчиком модели  реальных инцидентов ИБ в том числе нештатных ситуаций и форс мажоров). Работы проводятся квалифицированными сотрудниками, разработавшими более сотни политик ИБ.
Аудит подверженности инсайдерской деятельности и социальной инженерии:
— оценка работы кадровых подразделений и руководителей подразделений;
— работа с сотрудниками учреждения с использованием полиграфа (детектора лжи) и метода компьютерного психосемантического анализа, основанного на способе психозондирования и реализуемого с помощью аппаратно-программного комплекса MinReader 2.0. В ходе данной работы проводится оценка по следующим направлениям:
— принадлежность кандидатов к определенным криминальным кругам;
 — наличие или отсутствие недозволенных связей с конкурентами;
 — степень лояльности к организации и руководству;
 — использования служебного положения в корыстных целях, наносящих ущерб компании: сговор с клиентом, «откаты» и тому подобное;
 — патологические мотивы (алкоголизация, наркомания, игровая зависимость, стремление к мести, склонность к неоправданному риску и т.п.);
 — наличие личных проблем (неадекватное отношение к охраняемому лицу, долги, неадекватное отношение к оружию, проблемы с законом, семейные проблемы и т.п.);
 — криминальные намерения кандидата.
— социальные пентесты (реальное моделирование  проведения атак социальной инженерии на сотрудников учреждения по согласованным и описанным в программе и методиках сценариям)
Share on VKShare on Google+Share on FacebookTweet about this on TwitterShare on LinkedInEmail this to someone

Комментарии

    1. Собственно в этом материале написано, что делаем.
      Основной инструмент — голова 🙂 и те ресурсы, что в ней))..
      Конечно используется и специальное программное обеспечение и специализированная информация об уязвимостях и угрозах.
      Направлений также несколько. Из них — сетевой уровень (здесь и инструментов достаточно доступных и вариантов у опытных специалистов много), социальные пентесты особняком стоят, ну и серьёзный результат (в определённых случаях) дает программный (прикладной) уровень. В последнем есть «неподражаемый» в своём роде сотрудник, для которого нет «закрытых дверей» :).. Его уровень работы характеризует уровень интересующихся Заказчиков со всей России !

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *