Система защищенного электронного документооборота

Передача в электронных сообщениях графических, видео- и звуковых файлов, которые, как правило, имеют большой объем, приводит к значительной перегрузке сети и, соответственно, к дополнительным финансовым затратам на се обслуживание. Избежать этого, а значит добиться значительной экономии средств организации, поможем так называемая отложенная доставка сообщений. Сообщения больших объемов доставляются в то время, когда загрузка сети не имеет критического значения (например, в ночное время, в выходные дни и т.д.).

К засорению трафика ведет также рассылка спама. Как правило, это сообщения, содержащие навязчивые предложения самых разнообразных услуг, товаров и др. Такого рода сообщения являются "группой риска" с точки зрения переноса вирусов. Большое количество ненужных сообщений загружает каналы, "замусоривает почтовые ящики, отнимает время на удаление ненужных сообщений и повышает вероятность случайного удаления нужных.

Использование списков рассылки, в которые могут входить все пользователи одной сети, и получение ими одновременно сообщений рекламного характера грозит организации снижением производительности се сетевых ресурсов. Блокировка спама в первую очередь связана с контекстным анализом сообщений, т.е. с проверкой электронных сообщений на наличие ключевых слов и выражений, которые обычно употребляются в сообщениях рекламного характера.

Переписка с внешними корреспондентами представляет наибольшую угрозу из-за особенностей СЭС: невозможностью контролировать маршрут передачи сообщений, а также их копирование и перенаправление, осуществлять аутентификацию отправителя/получателя возвращать сообщения после их отправления. Невозможен либо затруднен контроль количества отправляемых копий сообщения. Содержимое сообщения может быть прочитано в процессе передачи его по Интернету, поскольку заголовки и содержимое часто передаются в открытом виде.

Другой проблемой, связанной с особенностями СЭС, является то, что система допускает неконтролируемое накопление информации в архивах и "почтовых ящиках" и практически неуничтожима. В противоположность бытующему мнению о том, что удалить электронное сообщение легко, сделать это непросто. Резервные копии сообщений могут оставаться на персональных компьютерах отправителя и получателя или в сети организации, где они работают. Если электронное сообщение отправлено через коммерческую службу или Интернет, то оно будет передаваться через несколько различных серверов. Каждый сервер в цепочке между отправителем и получателем может сохранить копию сообщения в своих архивах. Методичное выяснение местонахождения каждой копни электронного сообщения с последующим его удалением не дает никакой гарантии того, что сообщение не осталось на жестком диске компьютера или сервера. С помощью широко доступного программного обеспечения рядовой пользователь сможет восстановить сообщение после того, как его якобы удалили.

Все эти особенности, а также простота копирования электронного сообщения и невозможность проконтролировать данную операцию приводят к тому, что сотрудник может передать информацию любому количеству людей как внутри организации, так и за ее пределами анонимно и без соответствующего разрешения, сразу или по истечении какого-либо времени. При этом такая информация может составлять служебную тайну организации: тексты договоров, сведения о планируемых торгах, пароли, системные данные, исходные коды программ или другую конфиденциальную информацию. Это, в конечном счете, грозит нарушением конфиденциальности и может привести к отрицательным для организации последствиям.

В отличие от бумажной корреспонденции электронное сообщение легко неумышленно отправить по неверному адресу. Причиной этого может быть как неумелое использование адресных книг, так и ошибка в указании адреса получателя или случайный выбор опции, предусматривающей рассылку сообщения большой группе пользователей. в го время как сообщение является конфиденциальным.

Чтобы обеспечить защиту от утечки конфиденциальной информации из сети, необходимо обеспечить контроль адресатов, фильтрацию передаваемых данных на наличие в текстах сообщений или в прикрепленных к ним файлах слов и выражений, имеющих отношение к закрытой тематике, разграничение доступа различных категорий пользователей к архивам системы электронных сообщений и т.д.

Одно из основных отличий системы электронных сообщений состоит в формальном к ней отношении (по сравнению с другими видами коммуникаций). Большинство пользователей относятся к СЭС как к чему-то временному, т.е. поступают с ней по принципу "прочитал и выкинул". При таком отношении существует угроза случайного удаления значимой информации. Кроме того, существует опасность потерн переписки с партнерами. Формальное отношение к СЭС приводит к тому, что из-за кажущейся недолговечности электронных сообщений люди часто используют их для того, чтобы выразить чувства и мнения в выражениях, которые они никогда не позволили бы себе употребить в традиционных письмах. Публикация таких сообщений в сети может нанести серьезный ущерб репутации организации или явиться причиной юридических исков к ней.

Еще одна область, связанная с возможностью привлечения к юридической ответственности организации и ее сотрудников, - нарушение авторского права. Защищенные этим правом материалы могут содержаться или в электронном сообщении, или в присоединенных файлах. К подобным материалам относятся графическая, аудио, видео и различная текстовая информация, т.е. любая информация, которая может быть представлена в электронном виде и передана по компьютерным сетям. Копирование или распространение этих материалов без предварительного согласия автора или владельца авторских прав является нарушением закона. Если организация допускает, чтобы материалы СЭС, защищенные авторским правом, использовались сотрудниками, не имеющими на это полномочии, то организация может быть привлечена к ответственности за пособничество нарушению авторского права.

Все эти проблемы решаются путем создания в организации архива СЭС.

8.3 Защита системы электронных сообщений

Учитывая угрозы, связанные с использованием СЭС, организациям необходимо принять соответствующие защитные меры. Подход к защите должен быть всесторонним и комплексным необходимо сочетать организационные меры с использованием соответствующих технических средств.

К организационным мерам относятся разработка и внедрение d организации политики использования системы электронных сообщений. Технические средства должны обеспечить выполнение данной политики за счет, как мониторинга почтового трафика, так и адекватного реагирования на нарушения.

Порядок использования СЭС первичен по отношению к средствам сс реализации, поскольку составляет основу для формирования комплекса мер по защите АИС от угроз. Вначале необходимо сформулировать политику, составить правила использования СЭС, определить, как созданная система должна реагировать на определенные нарушения этих правил и только затем переводить их на компьютерный язык того средства, с помощью которого контролируется выполнение положений использования СЭС.

К техническим средствам относится специальное программное обеспечение, называемое "Система контроля содержимого СЭС". В функции системы входят контроль трафика и ведение архива переписки. К данной системе предъявляются следующие требования:

· проведение текстового анализа;

· фильтрация передаваемых данных - по размеру и объему данных; количеству вложений в сообщения электронной почты; типу файлов, вложенных в электронное сообщение; адресу электронного сообщения:

· контроль использования почтовых ресурсов и разграничение доступа к ним различных категорий пользователей:

· отложенная доставка электронных сообщений по расписанию:

· ведение полнофункционального архива системы электронных сообщений.

Выполнение данных требований обеспечивается применением в средствах защиты определенных механизмов. К таким механизмам могут относиться: рекурсивная декомпозиция (специальный алгоритм, применяемый для разбора электронных сообщений на составляющие компоненты с последующим анализом их содержимого); эвристическое определение кодировок текстов; определение тина файлов по сигнатуре; полнотекстовый поиск по архиву системы электронных сообщений и т.д.

8.4 Средства реализации правил использования системы электронных сообщений

Внедрение политики использования СЭС требует от руководства организации понимания того, что наличие только документально оформленных правил не гарантирует ее выполнения. Необходимо создание соответствующих условий их реализации. При этом важным условием является наличие программно-технических средств контроля за выполнением положений и требований правил. К таким средствам относятся системы контроля содержимого СЭС - программное обеспечение, способное анализировать содержание сообщений по различным компонентам и структуре в целях реализации правил их использования. Отмстим также особенности данного программного обеспечения. как:

· применение при анализе содержания специально разработанных правил использования СЭС;

· способность осуществлять "рекурсивную декомпозицию" электронных сообщений;

· возможность распознавания реальных форматов файлов вне зависимости от способов их маскировки (искажение расширения файлов. архивирование файлов и т.д.);

· анализ множества параметров электронных сообщений;

· веление архива системы электронных сообщений;

· анализ содержимого электронного сообщения и прикрепленных файлов на наличие запрещенных к использованию слов и выражений.

Спектр возможностей всех категорий систем контроля содержимого СЭС достаточно широк и существенно меняется в зависимости от производителя. Однако ко всем системам предъявляются следующие наиболее общие требования, которые позволяют решать задачи, связанные с контролем почтового трафика.

Полнота. Это способность систем контроля обеспечить наиболее глубокую проверку - сообщений. Это предполагает, что фильтрация должна производиться по всем компонентам электронного сообщения. При этом ни один из объектов, входящих в структуру электронного сообщения, не должен быть "оставлен без внимания. Условия проверки сообщений должны учитывать все проблемы, риски и угрозы, которые могут существовать в организации, использующей систему электронных сообщений.

Адекватность. Это способность систем контроля содержимого как можно более полно воплощать словесно сформулированную политику использования СЭС, иметь все необходимые средства реализации написанных людьми правил в понятные системе условия фильтрации.

Текстовый анализ (анализ ключевых слов и выражений с помощью встроенных словарей). Позволяет обнаружить и своевременно предотвратить утечку конфиденциальной информации, установить наличие непристойного или запрещенного содержания, остановить рассылку спама, а также передачу других запрещенных материалов. При этом качественный анализ текста должен предполагать морфологический анализ слов, т. е. система должна иметь возможность генерировать и определять всевозможные грамматические конструкции слова. Эта функция приобретает большое значение в связи с особенностями русского языка, в котором слова имеют сложные грамматические конструкции.

Контроль отправителей и получателей электронных сообщений. Позволяет фильтровать почтовый трафик, тем самым реализуя некоторые функции межсетевого экрана в системе.

Разбор электронных сообщений на составляющие их компоненты (MIME-заголовки, тело сообщения, прикрепленные файлы и т.п.). Устранение "опасных" вложений и последующий отбор компонентов сообщения воедино, причем с возможностью добавлять к сообщению необходимые для администраторов безопасности элементы (например, предупреждения о наличии вирусов или запрещенного текста в содержании сообщения).

Блокировка или задержка сообщений большого размера до того момента, когда канал связи будет менее всего загружен, например п нерабочее время. Циркуляция в СЭС организации таких сообщений может привести к перегрузке сети, а блокировка или отложенная доставка позволят этого избежать.

Распознавание графических, видео- и звуковых файлов. Как правило. такие файлы имеют большой размер, и их циркуляция может привести к потере производительности сетевых ресурсов. Поэтому способность распознавать и задерживать данные типы файлов позволяет предотвратить снижение эффективности работы организации.

Обработка сжатых/архивных файлов. Дает возможность проверять сжатые файлы на содержание в них запрещенных материалов.

Распознавание исполняемых файлов. Как правило, такие файлы имеют большой размер и редко относятся к деятельности организации. Кроме того, они являются основным источником заражения вирусами, передаваемыми с электронными сообщениями. В связи с этим способность распознавать и задерживать данные тины файлов позволяет предотвратить снижение эффективности работы организации и избежать заражения АИС.

Контроль и блокирование спама. Циркуляция спама приводит к перегрузке сети и потере рабочего времени сотрудников. Функция контроля и блокирования спама позволяет сберечь сетевые ресурсы и предотвратить снижение эффективности работы организации. Основными способами защиты от спама являются: проверка имен доменов и IP-адресов источников рассылки спама по спискам, запрос на указанный адрес отправителя (блокировка в случае отсутствия ответа), текстовый анализ спам-сообщения на наличие характерных слов и выражений в заголовках, проверка заголовков на соответствие спецификации и тд.

Способность определять число вложений в электронных сообщениях. Пересылка электронного сообщения с большим количеством вложений может привести к перегрузке сети, поэтому контроль за соблюдением определенных политикой информационной безопасности ограничений на количество вложений обеспечивает сохранение ресурсов сети.

Контроль и блокирование программ-закладок, вредоносного мобильного кода (Java, ActiveX, JavaScript, VBScript и т.д.) а также файлов, осуществляющих автоматическую рассылку (так называемые Automatic Mail-to). Эти виды вложений являются опасными и приводят к утечке конфиденциальной информации из сети и систем электронного документооборота.

Категоризация ресурсов системы электронных сообщений организации: управленческий, кадровый, финансовый и т.д. и разграничение доступа сотрудников к различным категориям ресурсов сети (в том числе и в зависимости от времени суток).

Реализация различных вариантов реагирования, в том числе: удаление или временная блокировка сообщения, задержка сообщения и помещение его в карантин для последующего анализа, лечение зараженного вирусом файла, уведомление администратора безопасности или любого другого адресата о нарушении информационной безопасности и тд.

Возможность модификации данных; которая предусматривает, например, удаление неприемлемых вложений в замену их на тексты заданного содержания. Такая возможность позволит администратору удалять из сообщений прикрепленные файлы, тип которых запрещен. К таким типам могут относиться исполняемые, видео- и звуковые файлы, имеющие отношения к деятельности организации. В конечном счете, это позволит избежать заражения сети и систем ВЭД и МЭД вирусами и добиться от сотрудников продуктивного использования СЭС.

Ведение полнофункционального архива СЭС, способного обеспечить хранение в режиме on-line большого количества электронных сообщений с высоким уровнем доступности данных. На основании хранящейся в архиве информации можно проводить дальнейший анализ информационного потока электронных сообщений организации, корректировать работу системы, осуществлять анализ инцидентов, связанных со злоупотреблением сотрудниками СЭС, и др.

Схема обработки сообщения, как правило, включает в себя следующие этапы: рекурсивную декомпозицию электронного сообщения: анализ содержимого электронного сообщения: "категоризацию" сообщения (отнесение к определенной категории): действие над сообщением по результатам присвоения категории.

Каждое попадающее в систему электронное сообщение должно проверяться на соответствие заданным условиям. При этом, по меньшей мере должны выполняться следующие условия отбора сообщений:

· на заголовки сообщений:

· на структуру сообщения (наличие, количество и структура вложений):

· на типы вложений (MS Office, исполняемые, архивы и т.д.):

· на содержимое (текст) сообщений и вложений:

· на результат обработки сообщения.

Кроме того, система должна позволять анализировать сообщения по всем их составляющим: атрибутам конверта, заголовкам сообщения. MIME-заголовкам, телу сообщения, присоединенным файлам.

Следует отметить, что гибкость при фильтрации сообщений особенно необходима, когда это касается такой проблемы, как спам. Одним из главных критериев выбора системы контроля содержимого электронных сообщений в настоящее время является как раз ее способность как можно более качественно справляться с данной проблемой. Существуют четыре основные методики определения того, какое сообщение относится к спаму, а какое нет.

Первая методика используется в антиспамных фильтрах, реализующих способ выявления спама по наличию в сообщении определенных признаков, таких как наличие ключевых слов или словосочетаний, характерное написание темы сообщения, например все заглавные буквы и большое количество восклицательных знаков, а также специфическая адресная информация.

Вторая методика связана с определением адреса отправителя и его принадлежности к так называемым - черным спискам" почтовых серверов (Open Relay Black List - ORBL). В эти списки заносятся тс серверы, которые замечены в массовых рассылках спама. Вообще не принимать и не транслировать сообщения, исходящие с этих серверов.

Третья методика включает обе перечисленные, но по продуктивности мало чем отличается от двух первых. Некачественное разделение спама и обычных сообщений обусловлено, в том числе и некоторой "однобокостью" стандартных фильтров. При отбраковке сообщений учитываются "плохие" признаки и не учитываются "хорошие". характерные для полезной переписки.

Этих недостатков лишена четвертая методика, которая позволяет автоматически настроить фильтры согласно особенностям индивидуальной пере писки, а при обработке учитывает признаки как - плохих". так и "хороших" фильтров. Методика основывается на теории вероятностей. По имеющимся оценкам, этот метод борьбы со спамом является весьма эффективным.

Таким обратом, системы контроля содержимого электронных сообщений, которые в своем составе имеют модули фильтрации спама, основанные на четвертой методике, являются в настоящее время наиболее эффективными и отвечающими современным требованиям по борьбе с рассылками рекламного характера. А это, в конечном счете, и явится еще одним критерием при выборе системы контроля содержимого электронных сообщений.

Требование полного разбора письма следует дополнить требованием устойчивости.

Структура сообщения подчиняется определенным правилам. Разбор сообщения на составляющие основан на применении этих правил к конкретному электронному сообщению.

Система должна надежно определять типы файлов-вложений. Под надежностью имеется в виду определение, не основанное на имени файла, а также на информации, вписываемой в сообщение клиентом при прикреплении файла (mimе-typе). Такая информация может быть недостоверной в результате либо сознательных попыток обмануть систему контроля, либо неправильных настроек программы электронных сообщений отправителя. Запрещать пересылку файлов типа JPEG бессмысленно, если файл picture.jpg после переименования Bpage.txt пройдет незамеченным.

Значение для системы имеет полнота проводимых проверок, т.е. количество и разнообразие критериев анализа электронных сообщений. При этом система должна осуществлять фильтрацию по любым атрибутам сообщений: объему сообщений и вложенных файлов: количеству и типу вложений: глубине вложенности, а также уметь анализировать содержимое прикрепленных файлов вне зависимости от того, являются ли эти файлы сжатыми или архивными. Существенным преимуществом многих продуктов является возможность создания собственного сценария обработки сообщений.

По его результатам сообщение будет отнесено к какой-нибудь категории: безопасное, важное, неразрешенное и др. Если такая категоризация проведена, то можно говорить о каких-либо действиях по отношению к проанализированному сообщению, например, доставить его адресату, заблокировать и т.д. Другими словами, необходима возможность задавать системе правила, по которым она обрабатывает сообщения. Любое правило можно представить себе как связку "условие + действие".

Отнесение сообщения к определенной категории уже может рассматриваться как неявное действие. Жесткая категоризация как основа для принятия решений по электронному сообщению оказывается непрактичной. Например, выделили категорию "сообщение, отправленное на запрещенный адрес" для того, чтобы блокировать сто доставку. С другой стороны, категория "сообщения руководства организации" говорит о том. что его надо, безусловно, отправлять. Такая "свободная категоризация" позволит системе гибко реагировать на самые различные комбинации данных, содержащихся в сообщениях.

В последнее время большое значение для обеспечения информационной безопасности АИС приобрело наличие в организации архива электронных сообщений. Некоторые разработчики систем контекстного анализа предусматривают прикрепление к своим продуктам специальных модулей архивирования. Именно наличие архива определяет в настоящее время полнофункциональность продуктов этой категории. При этом ведение архива - это не просто автоматическая архивация сообщений в файл, а способность регистрации сообщений и учета необходимой информации на протяжении всего жизненного цикла сообщения, возможность получения любых выборок и статистики из архива по запросам, созданным с использованием любых критериев.

Кроме того, долговременный архив не только предоставляет возможность ретроспективного анализа информационных потоков электронных сообщений и позволяет найти виновных в нарушении принятых в организации правил по прошествии определенного времени. но и даст материал для построения объективных и обоснованных правил использования СЭС.

Отличительным признаком средств контекстного анализа является способность накопления статистики и генерации отчетов. Многие продукты имеют в своем арсенале только встроенные формы отчетов, другие способны осуществлять лишь просмотр статистики работы конкретного пользователя СЭС. Вероятно, наиболее совершенными являются системы, которые способны обеспечить получение любых выборок и статистики из архива по запросам, создание специфических запросов, генерацию любых видов отчетов для анализа эффективности использования почтового сервиса организации.

Существуют несколько систем контроля содержимого СЭС с открытой архитектурой. В стандартный комплект поставки таких систем, как правило, входят несколько модулей, каждый из которых обеспечивает защиту от определенного вида угроз или решает отдельную задачу безопасности функционирования системы электронных сообщений. Например, в состав системы может входить модуль ЭЦП и шифрования, который обеспечивает конфиденциальность и контроль целостности пересылаемой информации.

Большое значение для систем контроля содержимого имеет удобство администрирования системы, что предполагает наличие русскоязычного интерфейса, возможности разделения функций управления и администрирования системы, т.е. разграничения доступа различных категории пользователей к средствам управления системой.

В настоящее время деятельность организаций, государственных и негосударственных структур все больше - зависит от СЭС. Однако нельзя не упитывать проблемы, которые возникают в связи с ее неконтролируемым использованием. Сейчас существуют средства реализации серьезных преимуществ СЭС, которые помогают устранить угрозы надежности, конфиденциальности и продуктивности организации - это системы контроля содержимого СЭС.

Системы контроля, помимо основной своей задачи мониторинга почтового трафика, способны выполнять и другие функции. Практика показала, что в настоящее время такие системы используются в качестве:

· основы систем ВЭД и МЭД:

· средств управления потоком сообщений:

· средств управления доступом;

· средств администрирования и хранения СЭС.

· средств аудита контента, важнейшую функцию которого осуществляет архив электронных сообщений.

В заключение следует отметить, что необходимость систем контроля содержимого электронных сообщений подтверждается "Специальными требованиями и рекомендациями по технической защите конфиденциальной информации", разработанными Гостехкомиссией при Президенте Российской Федерации в 2001 г. (СТР-К). В ст. 6.3.11.5 этого документа определено; "В целях контроля за правомерностью использования абонентских пунктов и выявления нарушения требований по защите информации осуществлять анализ принимаемой из Сети и передаваемой в Сеть информации, в том числе на наличие вирусов. Конни исходящей электронной почты и отсылаемых в Сеть файлов следует направлять в адрес защищенного архива абонентских пунктов для последующего анализа со стороны администратора (службы безопасности)".

Таким образом, все перечисленные выше факты еще раз указывают на необходимость применения в системах информационной безопасности сетей систем контроля содержимого СЭС, или, иными словами, системы электронной почты, которые способны не только обеспечить защиту системы электронных сообщений и стать эффективным элементом управления информационным потоком, но и значительно повысить эффективность деятельности организации.

Размещено на Allbest.ru