Курсовая работа: Информационная защита системы 1С:Бухгалтерия 8.0
Внутренние угрозы:
Физический доступ к серверу и активному оборудованию. Сервер может быть противоправными действиями выведен из строя: отключен, поврежден, украден, и.т.д. Активное оборудование так же может быть подвержено противоправным действиям.
Физический доступ к ЭВМ конечных пользователей. Противоправными действиями третьих лиц, может быть так же нанесен материальный ущерб оборудованию, или незаконный доступ к информации с рабочего места пользователя при включенном компьютере.
Физический доступ к принтеру. Разные отделы работают с информацией разного уровня конфиденциальности. Например, информация бухгалтерии и кадрового отдела, является наиболее конфиденциальной. Соответственно, используемые ими средства печати должны быть соответствующе защищены. Перехват трафика внутри сети.Несанкционированный доступ к системе.
Внешние угрозы:
Угроза внешней атаки из Интернета, по средством: сетевой атаки, заражения вирусом, или взломом через программы “трояны”.
Несанкционированный доступ к данным при обмене конфиденциальными данными между удаленным пользователем и сетью.
4.2. Меры по устранению угроз безопасности сети
По требованиям ГосТехКомиссии для класса “1Г”, руководство компании обязаны обеспечить охрану сервера и активного оборудования. При этом понимается выделение отдельного помещения, в котором должны быть проведены все ремонтные работы и помещение должно быть также оборудовано в соответствии с ГОСТами РФ по электроснабжению, пожаротушению и вентиляции.
По требованиям ГосТехКомиссии для класса “1Г”, руководство так же должно обеспечить физическую охрану помещений, в которых работают пользователи. Причем такие меры не должны ограничиваться только тем временем суток, когда сотрудников нет на рабочих местах. В рабочее время, ответственность за охрану рабочих мест должна относится на самих сотрудников, и руководителей соответствующих отделов. В рамках данной системы, ответственными за охрану рабочих мест в рабочее время отвечают Главный бухгалтер (бухгалтерия), Старший расчетчик (отдел кадров).
Системный блок каждого компьютера пользователя должен быть отпечатан за подписью начальника отдела и системного администратора. Кроме того, каждый такой компьютер не должен содержать механизмов обмена данными (например, устройства для работы с CD-дисками, и дискетами, устройства обмена данными через интерфейс USB).
Сгруппировать сотрудников по группам. Первую группу составят бухгалтерия и отдел кадров. В кабинете одного из отделов установить их специализированный принтер. Доступ в данные отделы уже ограниченны. Вторую группу составляют сотрудники отделов маркетинга и информационного. В распоряжение данной группы предоставить иной принтер. Далее, необходимо произвести настройки сетевых ресурсов, так, чтобы сотрудники отделов могли осуществить печать только на “отведенных” для них устройствах печати.
Не использовать устройства типа Hub. Использовать специализированные коммутаторы, где пакеты идут по специализированному маршруту, конкретно заданной машины.
Как известно слабость системы определяется по самому слабому участку этой системы, а не всей системы в целом. Соответственно, организация идентификации должна осуществляться с уровня ОС. При этом, на изменение параметров Bios уже должен быть выставлен пароль. Система должна быть защищена на всех уровнях (звеньях) – клиент, сервер-приложение, СУБД.
При этом должны выполнятся все требования, предъявляемые к паролю: “не принимать в качестве паролей коротких последовательностей символов, меньше 8-10; максимально использовать предоставляемые системой возможности и вводить парольные последовательности в 15-20 символов; обязательно использовать в пароле не только буквы и цифры, но и спецсимволы (!”№;%:?*{[<>& и т.п.) и изменение регистра символов. Не следует понимать, что достаточно набирать в качестве пароля на клавиатуре, включенной в режим латинского шрифта, фразу на русском языке, ориентируясь на русскую раскладку. К сожалению, существуют уже словари для программ-взломщиков паролей, ориентированных и на такие хитрости;” ([1] – с.135.)
Следует осуществить настройку таким образом, чтобы пользователь в принудительном порядке менял пароля в установленный промежуток времени. Лучше, не реже, чем 1 месяц. При этом последние пароли (5-10 штук) не должны повторятся.
Ограничить использование Интернета, только по мере необходимости. Так, например, Интернет необходим для специалистов отделов маркетинга, управленцев, и частично бухгалтерии. Электронной почтой пользуются все.
Точка выхода в глобальную сеть из данной сети должна быть одна – маршрутизатор, подключенный в сеть через сетевой коммутатор. Обязательными мероприятиями должны стать установка на маршрутизатор специализированного ПО: firewall и антивирус. Для данного ПО должен быть установлен период времени, когда базы сигнатур должны быть пополнены.
Использование технологии VPN (virtualprivatenetwork). В ЛВС предприятия VPN реализуется программно-аппаратно. На мобильном компьютере Директора, устанавливается только клиентская часть VPN.
5. Вертикальная модель сети
В предыдущей главе данной работы была рассмотрена горизонтальная модель сеть, отличающая от вертикальной тем, что она затрагивает лишь анализ угроз, которые возникают в сети на некотором одном уровне. Это уровень среды функционирования системы, в которой “обитают” конечные пользователи, системные администраторы, программы.
Однако, угрозы для системы могут обнаружится и на разных уровнях, соответствующих семиуровневой сетевой модели (OSI – OpenSystemInterconnection).
“…построение механизмов защиты должно также носить многоуровневый характер. Проще это пояснить на примерах. Если нас интересует только защита конфиденциальности и целостности данных в приложениях, то, обычно, этот вопрос можно решить на верхних уровнях (приложениях или представлениях данных). Если встает вопрос об обеспечении надежности доставки – акценты смещаются к транспортному уровню. Если обмен информацией между системами должен скрывать внутреннюю сетевую структуру систем, то речь идет о сетевом уровне. Если необходимо учесть опасность широковещательных сообщений (например, угрозы использования пассивного прослушивания сегмента), следует говорить о канальном уровне. Физический уровень обычно затрагивается, когда речь идет о защите от побочных электромагнитных излучениях или возможности физического внедрения злоумышленника в канал связи” ([1]-c.107.).
Рассмотрим каждый уровень семиуровневой сетевой модели применив для Системы.
5.1. Физический уровень
Данный уровень отвечает за кодирование передаваемых сигналов в среде передачи данных. На этом уровне происходит преобразование поступающих со всех остальных уровней битов (0 и 1) в электрические сигналы. В соответствии с этим, для избегания воздействия различных электромагнитных наводок, которые могут привести к искажению передаваемой информации, необходимо использовать для передачи данных специальные экранированные провода.
Также вокруг проводов передачи данных образуется электромагнитное поле, которое обеспечивает возможность считывания передаваемой информации с помощью специальных устройств. С целью устранения такой угрозы кабели необходимо прокладывать как можно дальше от окон (желательно по центральному коридору). В результате этого злоумышленники не смогут считать передаваемые данные, находясь за пределами здания.
Рекомендуемая топология сети – звезда, где для подключения каждого узла выделен отдельный кабельный сегмент.
5.2. Канальный уровень
Так как на данном уровне семиуровневой модели OSI происходит работа с MAC-адресами сетевых интерфейсов (адресами сетевых карт), то с целью устранения такой угрозы, как подмена рабочего места пользователя, необходимо произвести привязку MAC-адресов к конкретным портам активного оборудования, например, коммутатора.
Привязка MAC-адресов будет выглядеть примерно следующим образом:
[привязать MAC - 1 к порту Port - 1]
После выполнения такой операции к порту 1 коммутатора будут иметь доступ только компьютеры с адресами сетевых интерфейсов MAC-1. Устройства с другими сетевыми картами уже не смогут получить доступ к портам данного коммутатора.
5.3. Сетевой уровень