Автоматизация процессов по защите программного обеспечения от несанкционированного использования для минимизации экономических потерь (на примере" ООО "Корабли и Люди")

Выводы

Разнообразие защитных механизмов программного обеспечения порождает большое количество схем их обхода, которые так или иначе реализуются злоумышленником. В ходе работы над данным разделом были рассмотрены современные средства защиты программного обеспечения на разных уровнях. Были выделены ключевые особенности, достоинства и недостатки способов защиты. Данный материал будет полезен в дальнейшей при выборе направления развития особенностей обеспечения информационной безопасности на предприятии ООО «Корабли и люди».

Раздел 2. Проектирование комплекса защиты программного обеспечения на примере" ООО "Корабли и Люди")

2.1 Обзор предметной области: структура и деятельность ООО "Корабли и Люди"

2.1.1 Краткое описание деятельности ООО "Корабли и Люди"

Компания работает на рынке с 1995 года, с 1 февраля 2003 года - как "Ships&People" - " Корабли И Люди ".

Предмет деятельности - все, что связано с морем и пароходами.

Специализация - экспертиза технического состояния и оценка рыночной стоимости судов, расследование аварийных случаев и диспашерские услуги.

Центральный офис компании - в Санкт-Петербурге, представители компании - во всех портах России, портах Каспия и Прибалтики.

Компания осуществляет оказание следующих услуг:

1) Все виды сюрвейерских осмотров грузов и судов.

2) Освидетельствование грузов при возникновении страховых случаев: определение характера, размера и причин повреждений, оценка убытка.

3) Расследование морских происшествий и несчастных случаев на борту.

4) ISM / ISPS аудит.

5) Экспертиза состояния речных и морских судов.

6) Контроль объема и стоимости судового ремонта, проверка ремонтных ведомостей.

7) Оценка стоимости морских и речных судов.

8) Оценка и распределение убытков (диспашерские услуги) при простое, пожаре, авариях.

9) Оценка риска и консультации по предотвращению убытков.

10) Оценка рыночной стоимости судов.

2.1.2 Организационно-функциональная модель ООО "Корабли и Люди"

Организационно-функциональная модель строится по заданной миссии и целям компании на основе функциональной схемы компании. На данной схеме (рис.2.1) показываются ресурсы, необходимые компании для получения результата, выходной продукт - услуги, который получается после переработки ресурсов с помощью компонентов производственного цикла. Целями компании является получение прибыли, удовлетворенность клиентов, развитие персонала. Для достижения этих целей используются стратегии ведения бизнеса, среди которых стратегия диверсифицированного роста и портфельная стратегия.

Стратегия диверсифицированного роста подразумевает развитие нескольких направлений, слабо или совсем не связанных. В ООО «Корабли и Люди» - это морское направление (оценка судов, грузов, качества перевозки, страховых случаев) и не-морское направление.

Рис.2.1 - Функциональная схема компании

В случае с портфельной стратегией у компании «Корабли и люди» ассортимент услуг взаимно дополняет друг друга, создавая их высокую общую стоимость. Обе стратегии активно используют компоненты менеджмента (маркетинг, коммуникации, экономическую политику) и компоненты обеспечения менеджмента (вклады в ИТ-инфраструктуру, систему оплаты труда).

Детализированная модель позволяет провести детализацию учетных регистров на более глубоких уровнях и создать Положение об организационной структуре (рис. 2.2).

Организационные звенья - это отделы компании, непосредственно занятые в процедурах обеспечения услуг, отделы компании, обеспечивающие функционирование бизнеса и администрация предприятия.

Рис 2.2 - Схема создания внутрифирменного регламента - Положения об организационной структуре ООО «Корабли и Люди»

Существует 3 базовых типа классификаторов модели предметной области:

- базовые группы услуг и ресурсов компании;

- необходимые для обеспечения деятельности ресурсы;

- функции, поддерживаемые в компании;

Матрица проекций создается на основе распределения функций между разными отделами предприятия для 3 перечисленных типов подразделений.

Ниже в таблице показано распределение функций между отделами предприятия:

Таблица 2.1. Схема распределения функций по подразделениям ООО «Корабли и люди»

Функциональная область

Корпоративное управление

Финансы

Персонал

Материальные ресурсы

Заказы

Основные услуги

Разработка Док-ции

Планирование

Снабжение/закупки

Качество

Сбыт/продажи

Администрация

Х

Х

Х

Х

Х

Х

Х

Х

Бухгалтерия

Х

Х

Х

Х

Х

Х

Х

Х

Отдел работы с клиентами

Х

Х

Х

Х

Х

Х

Технический отдел

Х

Х

Х

2.1.3 Информационно-техническая модель ООО "Корабли и Люди"

В 2017 году кибератаки показали уязвимость в навигационных и других информационных системах на судах и в портах. Например: имело место вмешательство в системы автоматической идентификации и электронные карты, глушение глобальных систем позиционирования и манипулирование системами управления грузами и судами, в том числе, путем внедрения вредоносных программ, программ-вымогателей и вирусов.

На сегодняшний день международные правила кибербезопасности для морской отрасли еще не приняты. При этом руководящие принципы ИМО по управлению рисками кибербезопасности в морских портах содержат рекомендации высокого уровня в отношении защиты международного судоходства от существующих и потенциальных угроз в сфере кибербезопасности. Эти рекомендации позволяют снизить сопряженную с ними уязвимость. Принципы ИМО содержат пять функциональных элементов для эффективного управления рисками в морской отрасли, а именно: выявить, защитить, обнаружить, отреагировать и восстановить. Для эффективности эти элементы должны быть включены во все аспекты операций судоходной компании и управления персоналом. В настоящее время вопросы культуры безопасности разрабатываются в рамках Международного кодекса по управлению безопасностью (МКУБ).

Основная цель Кодекса заключается в создании международного стандарта по безопасному управлению и эксплуатации судов и предотвращению загрязнения окружающей среды. В нем установлены цели управления безопасностью, а также предписано, чтобы судовладелец или любой другой управомоченный (например: оператор или фрахтователь по бербоут-чартеру, принявший на себя ответственность за эксплуатацию судна), создал систему управления безопасностью и установил соответствующую политику для достижения целей безопасности. В соответствии с Резолюцией Комитета ИМО по безопасности на море № 428(98) в вопросе управления кибер-рисками в системах управления безопасностью, администрация обязуется обеспечить учет кибер-рисков в информационных системах, определенных в Кодексе, не позднее первой ежегодной проверки после 1 января 2021 года.

В состав информационно-технической модели входят:

- файловый сервер, хранящий внутренние электронные документы предприятия;

- сервер баз данных сотрудников и клиентов предприятия;

- контроллер домена Active Directory, реализующий политику безопасности аутентификационных данных;

- локальные политики безопасности конечных компьютеров;

- VPN-туннель для удаленных компьютеров филиалов компаний;

Данная модель показана на рисунке ниже (рис. 2.2). Клиентский компьютер через локальную или корпоративную сеть имеет доступ к корпоративным ресурсам на файловом сервере - внутренней документации, скан-копиям экспедиционных документов, выкладываемых филиалами портов. Чтобы организовать персонифицированный доступ, в зависимости от должности сотрудника, используется расширенная система политик безопасности, использующая объединение пользователей в группы. Для доступа к корпоративной базе данных предприятия используется обычное подключение к Internet, безопасность обеспечивается встроенными средствами СУБД.

Рис. 2.2. - Информационно-техническая модель предприятия

2.2 Краткая характеристика ПО, применяемого компанией.

В компании ООО «Корабли и Люди» применяется как широко используемое ПО общего назначения, так и специализированное ПО. Для распределенной работы с документами используется пакет G-Suite.

G Suite (ранее Google Apps for Work) - это комплексный пакет, который объединяет все знакомые инструменты Google для повышения производительности и совместной работы и объединяет их под одной программой. Список доступных приложений состоит из Календаря, Диска, Gmail, Google Hangouts, Google+ и Сайтов, а также Документов Google, листов, форм, слайдов и Google Vault. Самое замечательное в G Suite заключается в том, что можно иметь полный контроль над всеми этими приложениями через консоль администратора Google.

Консоль администратора Google позволяет добавлять пользователей, управлять устройствами и настраивать параметры безопасности для корпоративных данных. При этом можно создавать группы, добавлять этапы проверки и использовать единый вход (SSO) в одной консоли. Это надежная функция безопасности, которая включает управление мобильными устройствами, позволяя применять политики безопасности BYOD на устройствах iOS и Android. С помощью Google Vault также можно выполнять все виды административных задач, включая архивирование данных, а также поиск и экспорт сообщений электронной почты / записей компании для отчетности и аудита.

Новая функция Team Drive позволяет организациям создавать группы с собственными файлами на Google Диске. Это изменение по сравнению с предыдущим дизайном, когда каждый документ должен был принадлежать одному человеку. Это изменение действительно важно для организаций, которые хотят более легко управлять файлами, поскольку люди, как правило, перемещаются по группам. Новый дизайн означает, что у команд может быть своя собственная папка внутри Drive, и они могут владеть всеми файлами внутри нее.

К поддерживаемым устройствам относятся Android, iPhone-iPad, iPhone, iPad, Mac, Windows, веб-интерфейс и Windows Phone.

Поддерживаемые языки включают китайский (упрощенный), чешский, датский, голландский, английский, финский, французский, немецкий, венгерский, итальянский, японский, корейский, норвежский, польский, португальский, русский, испанский, шведский, тайский, турецкий и украинский.

Поддерживаемые страны включают Австралию, Канаду, Европу, Германию, Индию, Латинскую Америку, Ближний Восток и Африку, Великобританию и Соединенные Штаты.

G Suite использует модель цен по подписке, с тарифами от $ 5,00 в месяц. Доступна бесплатная пробная версия (кредитная карта не требуется). Планы G Suite начинаются с 5 долларов на пользователя в месяц или 50 долларов на пользователя в год плюс налог. G Suite также предлагает безлимитный план хранения и хранилища по цене от 10 долларов на пользователя в месяц или 120 долларов на пользователя в год плюс налог.

С G Suite бизнес может получить доступ ко всем приложениям Google в любое время и из любого места, с настольного или портативного компьютера, планшета или мобильного телефона. Консоль администратора позволяет легко управлять всеми данными компании, мобильными устройствами, адресами электронной почты и настройками безопасности. Фактически, широкий набор функций в G Suite охватывает все аспекты повседневной деятельности.

G Suite не только дает возможность создавать онлайн-документы, электронные таблицы, опросы / формы и презентации, но также предоставляет компании средства для совместного использования, совместной работы и комментирования текстовых документов, презентаций и электронных таблиц с помощью Google Диска. Используя сотни готовых шаблонов, также можно создавать несколько проектов. С помощью G Suite также можно более эффективно организовывать встречи, планируя события в общем календаре. При этом можно отправлять напоминания в Gmail, участвовать в видеоконференциях с видеовстречами и делиться своими презентациями со слайдами.

Для повседневной работы используется пакет программ, который типичен для любой компании малого и среднего бизнеса:

1) Пакет офисных программ Microsoft Office 2010.

2) Антивирус DrWeb.

3) Acrobat Reader DC.

4) Web-браузер Google Chrome.

Все компьютеры работают под управлением операционной системы ОС Windows 7, работающей с самыми новыми обновлениями. В качестве контроллера домена используется операционная система Windows Server 2008. Остальные сервисы компании (корпоративный Web-сайт, электронная почта) используют в своей реализации внешние ресурсы.

2.2.1 Исследование существующих бизнес-процессов и поиск готового комплекса задач автоматизации

Среди всего комплекса задач, которые подлежат автоматизации и входят в рамки существующих бизнес-процессов компании, следует выделить систему приема и обработки заявок клиентов, удаленное хранилище данных, систему доступа к корпоративным ресурсам. Ниже на рисунке показана концептуальная схема бизнес-процессов, которые автоматизированы в компании ООО «Корабли и люди».

Рис. 2.3 - Комплекс задач, автоматизированных в ООО «Корабли и люди»

Данные задачи используют в основном уже готовые решения, которые описаны в предыдущем подразделе. Для обработки заявок используется программный комплекс IBM Lotus Notes, адаптированный для системы заявок.

Для внутреннего электронного документооборота используется несколько программных продуктов, среди которых ABBYY Fine Reader, сервер MySQL, программный комплекс G-Suite.

Таким образом, можно выделить следующие процессы:

1) Администрирование IP-телефонии (установка и настройка программного обеспечения, проектирование линий связи с региональными офисами компании, апгрейд техники).

2) Поддержание работоспособности ИС компании.

3) Администрирование сетевых ресурсов, контроль и управление доступом в Internet, распределение прав на ресурсы, доступные в сети.

4) Техническая поддержка сотрудников компании (особенно работающих в удаленных филиалах компании).

Исходя из анализа информации предыдущих разделов и подразделов, приоритетной задачей защиты информации является задача защиты внутреннего сервера баз данных документации и файлового сервера от несанкционированного доступа извне. Возможный ущерб от нарушения конфиденциальности доступа к информации, представляющей коммерческую тайну, во много раз больше, чем ущерб от остальных видов угроз - целостности и доступности.

2.2.2 Обозначение места проектируемого функционала в комплексе задач автоматизации, описание задачи защиты от несанкционированного использования информационных систем в ООО "Корабли и Люди"

Качественное построение системы защиты зависит не только от применяемых программных продуктов, но и от правильной их настройки, когда администрирование локальных и сетевых ресурсов зависит от продуманной модели злоумышленника и конкретизации угроз, которые он может причинить.

Опыт эксплуатации информационных систем показал, что средства и методы потенциальных злоумышленников не стоят на месте, что они тоже постоянно совершенствуются и умеют обходить защиту. Так, атака вируса WannaCry показала, что классические схемы защиты пользователей тоже могут приносить пользу - данному типу вируса успешно противостоял такой прием, как использование понижения прав пользователей до обычного пользователя.

Таким образом, сочетание классического подхода и инновационных подходов, выработанных в последние годы (2010 - 2019) может снизить вероятность нарушения конфиденциальности до приемлемого уровня.

Наиболее уязвимой остается система обработки заявок в ООО «Корабли и Люди», к тому же она содержит персональные данные сотрудников компании, как минимум фамилию, имя и отчество и контактные телефон и E-Mail. Чтобы минимизировать вероятность утечки персональных данных с компьютера или ноутбука сотрудника, предлагается ввести аутентификацию в компьютер с помощью смарт-карт с паролем, известным только пользователю. Таким образом, функционал системы аутентификации и будет тем самым функционалом, который необходимо усовершенствовать. В комплексе задач автоматизации такой подход будет занимать ключевую роль, поскольку аутентифицируемый пользователь будет выполнять под своей учетной записью все задачи: от подписывания электронного документа до сканирования документа в сетевую папку отдела.

2.2.3 Обоснование необходимости улучшения существующей в ООО "Корабли и Люди" материально-технической базы и ее программного обеспечения

Применение аутентификации с помощью смарт-карт подразумевает проведение следующих подготовительных работ:

1) Апгрейд старых компьютеров, чтобы они могли использовать Windows 7 - приобретение модулей памяти, процессоров, материнских плат.

2) Приобретение считывателей смарт-карт.

3) Донастройку операционных систем с целью заведения в домен Active Directory компьютеров со смарт-картами.

4) Доработку программного обеспечения для возможности входа по смарт-карте в почтовый клиент, на файловый сервер, в облачное хранилище.

Данный комплекс мероприятий потребует капитальных вложений на каждом из этапов и поэтому необходимо будет провести приблизительную калькуляцию каждого из предложенных этапов.

Исходим из примерной оценки, что апгрейд необходим будет для 50 из 100 компьютеров - дозакупка 50 модулей памяти DDR2 1 Гб: S₁=50*400=20000 p.

Приобретение 100 считывателей смарт-карт: S₂=100*250=25000 р.

Донастройка ОС для заведения в домен: S₃=100*100=10000 р.

Доработка программного обеспечения для работы с модулями почтового клиента: S₄=40000 р.

Суммарная стоимость проекта:

S₁+S₂+S₃+S₄=20000+25000+10000+40000=95000 р.

Рис. 2.4. - Область применения смарт-карт

2.3 Анализ состояния информационной безопасности в компании

2.3.1 Параметризация предприятия по видам угроз, возможных из-за несовершенства существующей системы информационной безопасности

Зададим для модели угроз следующие входные параметры:

1) Структура информационной системы - Распределенная информационная система.

2) Технологии, применяемые в составе системы:

- беспроводной доступ;

- облачные технологии;

- автоматизация технологических процессов;

- мобильные устройства;

3) Архитектурные свойства:

- файл-серверная система;

- система с удаленным доступом пользователей;

- система с разными типами операционных систем;

4) Взаимодействие со внешними системами:

- взаимодействует;

5) Подключение к сети:

- присутствует;

6) Подключение системы к сетям общего пользования:

- подключена;

7) Размещение компонентов системы по отношению к контролируемой зоне:

- в пределах одной контролируемой зоны;

8) Режим обработки информации в системе:

- многопользовательский;

9) Разграничиваются ли права доступа к системе:

- разграничиваются;

10) Разделение функций по управлению системой:

- для администрирования используются отдельные сетевые адреса;

11) Сегментирована ли информационная система

- не сегментирована;

12) Источники угроз:

- внешние субъекты (физические лица);

- административный, обслуживающий персонал, охрана;

- пользователи информационной системы;

- администраторы информационной системы и администраторы безопасности;

- конкурирующие организации;

- разработчики, производители, поставщики ПО и технических средств;

13) Уровень ущерба от нарушения конфиденциальности информации:

- высокий;

уровень ущерба от возможного нарушения целостности информации:

- средний;

уровень ущерба от возможного нарушения доступности информации:

- средний

После применения модели получится следующая оценка ущерба от каждой конкретной угрозы:

Таблица 2.1. Степень ущерба от разного вида угроз

№	Тип угрозы	Степень ущерба
1.	Угроза анализа криптографических алгоритмов и их реализации	высокий
2.	Угроза аппаратного сброса пароля BIOS	средний
3.	Угроза внедрения кода или данных	высокий
4.	Угроза воздействия на программы с высокими привилегиями	высокий
5.	Угроза восстановления аутентификационной информации	высокий
6.	Угроза восстановления предыдущей уязвимой версии BIOS	высокий
7.	Угроза деавторизации санкционированного клиента беспроводной сети	средний
8.	Угроза деструктивного изменения конфигурации/среды окружения программ	высокий
9.	Угроза деструктивного использования декларированного функционала BIOS	средний
10.	Угроза длительного удержания вычислительных ресурсов пользователями	средний
11.	Угроза доступа к защищаемым файлам с использованием обходного пути	высокий
12.	Угроза загрузки нештатной операционной системы	высокий
13.	Угроза заражения DNS-кеша	высокий
14.	Угроза злоупотребления возможностями, предоставленными потребителям облачных услуг	высокий
15.	Угроза злоупотребления доверием потребителей облачных услуг	высокий
16.	Угроза избыточного выделения оперативной памяти	средний
17.	Угроза изменения компонентов системы	средний
18.	Угроза изменения системных и глобальных переменных	высокий
19.	Угроза искажения вводимой и выводимой на периферийные устройства информации	средний
20.	Угроза использования альтернативных путей доступа к ресурсам	высокий
21.	Угроза использования информации идентификации/аутентификации, заданной по умолчанию	высокий
22.	Угроза использования механизмов авторизации для повышения привилегий	высокий
23.	Угроза использования поддельных цифровых подписей BIOS	средний
24.	Угроза использования слабостей кодирования входных данных	средний
25.	Угроза использования слабостей протоколов сетевого/локального обмена данными	высокий
26.	Угроза исследования механизмов работы программы	высокий
27.	Угроза исследования приложения через отчёты об ошибках	высокий
28.	Угроза исчерпания запаса ключей, необходимых для обновления BIOS	средний
29.	Угроза конфликта юрисдикций различных стран	средний
30.	Угроза нарушения доступности облачного сервера	средний
31.	Угроза нарушения изоляции среды исполнения BIOS	высокий
32.	Угроза нарушения целостности данных кеша	средний
33.	Угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания	средний
34.	Угроза невозможности управления правами пользователей BIOS	высокий
35.	Угроза недобросовестного исполнения обязательств поставщиками облачных услуг	высокий
36.	Угроза незащищённого администрирования облачных услуг	высокий
37.	Угроза некачественного переноса инфраструктуры в облако	высокий
38.	Угроза некорректного задания структуры данных транзакции	средний
39.	Угроза некорректного использования функционала программного обеспечения	высокий
40.	Угроза некорректной реализации политики лицензирования в облаке	средний
41.	Угроза неопределённости в распределении ответственности между ролями в облаке	высокий
42.	Угроза неопределённости ответственности за обеспечение безопасности облака	высокий
43.	Угроза неправомерного ознакомления с защищаемой информацией	высокий
44.	Угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением	высокий
45.	Угроза неправомерных действий в каналах связи	высокий
46.	Угроза непрерывной модернизации облачной инфраструктуры	средний
47.	Угроза несанкционированного восстановления удалённой защищаемой информации	высокий
48.	Угроза несанкционированного выключения или обхода механизма защиты от записи в BIOS	высокий
49.	Угроза несанкционированного доступа к аутентификационной информации	высокий
50.	Угроза несанкционированного доступа к системе по беспроводным каналам	высокий
51.	Угроза несанкционированного изменения аутентификационной информации	средний
52.	Угроза несанкционированного использования привилегированных функций BIOS	высокий
53.	Угроза несанкционированного копирования защищаемой информации	высокий
54.	Угроза несанкционированного редактирования реестра	высокий
55.	Угроза несанкционированного создания учётной записи пользователя	высокий
56.	Угроза несанкционированного удаления защищаемой информации	средний
57.	Угроза несанкционированного управления буфером	высокий
58.	Угроза несанкционированного управления синхронизацией и состоянием	средний
59.	Угроза несанкционированного управления указателями	высокий
60.	Угроза несогласованности политик безопасности элементов облачной инфраструктуры	высокий
61.	Угроза обнаружения открытых портов и идентификации привязанных к нему сетевых служб	высокий
62.	Угроза обнаружения хостов	высокий
63.	Угроза обхода некорректно настроенных механизмов аутентификации	высокий
64.	Угроза общедоступности облачной инфраструктуры	высокий
65.	Угроза опосредованного управления группой программ через совместно используемые данные	средний
66.	Угроза определения типов объектов защиты	высокий
67.	Угроза определения топологии вычислительной сети	высокий
68.	Угроза отключения контрольных датчиков	средний
69.	Угроза перебора всех настроек и параметров приложения	средний
70.	Угроза передачи данных по скрытым каналам	высокий
71.	Угроза передачи запрещённых команд на оборудование с числовым программным управлением	средний
72.	Угроза перезагрузки аппаратных и программно-аппаратных средств вычислительной техники	средний
73.	Угроза переполнения целочисленных переменных	высокий
74.	Угроза перехвата вводимой и выводимой на периферийные устройства информации	высокий
75.	Угроза перехвата данных, передаваемых по вычислительной сети	высокий
76.	Угроза перехвата привилегированного потока	высокий
77.	Угроза перехвата привилегированного процесса	высокий
78.	Угроза повреждения системного реестра	средний
79.	Угроза повышения привилегий	высокий
80.	Угроза подбора пароля BIOS	высокий
81.	Угроза подделки записей журнала регистрации событий	средний
82.	Угроза подключения к беспроводной сети в обход процедуры аутентификации	высокий
83.	Угроза подмены беспроводного клиента или точки доступа	высокий
84.	Угроза подмены действия пользователя путём обмана	высокий
85.	Угроза подмены доверенного пользователя	высокий
86.	Угроза подмены резервной копии программного обеспечения BIOS	средний
87.	Угроза подмены содержимого сетевых ресурсов	высокий
88.	Угроза подмены субъекта сетевого доступа	высокий
89.	Угроза получения предварительной информации об объекте защиты	высокий
90.	Угроза получения сведений о владельце беспроводного устройства	высокий
91.	Угроза потери доверия к поставщику облачных услуг	высокий
92.	Угроза потери и утечки данных, обрабатываемых в облаке	высокий
93.	Угроза потери управления собственной инфраструктурой при переносе её в облако	высокий
94.	Угроза преодоления физической защиты	высокий
95.	Угроза приведения системы в состояние «отказ в обслуживании»	средний
96.	Угроза привязки к поставщику облачных услуг	средний
97.	Угроза приостановки оказания облачных услуг вследствие технических сбоев	средний
98.	Угроза программного выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации	средний
99.	Угроза программного сброса пароля BIOS	высокий
100.	Угроза пропуска проверки целостности программного обеспечения	средний
101.	Угроза сбоя обработки специальным образом изменённых файлов	высокий
102.	Угроза сбоя процесса обновления BIOS	средний
103.	Угроза удаления аутентификационной информации	высокий
104.	Угроза усиления воздействия на вычислительные ресурсы пользователей при помощи сторонних серверов	средний
105.	Угроза установки уязвимых версий обновления программного обеспечения BIOS	высокий
106.	Угроза утраты вычислительных ресурсов	средний
107.	Угроза утраты носителей информации	высокий
108.	Угроза физического выведения из строя средств хранения, обработки и (или) ввода/вывода/передачи информации	средний
109.	Угроза форматирования носителей информации	средний
110.	Угроза хищения средств хранения, обработки и (или) ввода/вывода/передачи информации	высокий
111.	Угроза эксплуатации цифровой подписи программного кода	высокий
112.	Угроза перехвата исключения/сигнала из привилегированного блока функций	высокий
113.	Угроза распространения состояния «отказ в обслуживании» в облачной инфраструктуре	высокий
114.	Угроза включения в проект не достоверно испытанных компонентов	высокий
115.	Угроза внедрения системной избыточности	средний
116.	Угроза заражения компьютера при посещении неблагонадёжных сайтов	высокий
117.	Угроза «кражи» учётной записи доступа к сетевым сервисам	высокий
118.	Угроза наличия механизмов разработчика	высокий
119.	Угроза неправомерного шифрования информации	средний
120.	Угроза скрытного включения вычислительного устройства в состав бот-сети	средний
121.	Угроза распространения «почтовых червей»	высокий
122.	Угроза нарушения технологического/производственного процесса из-за временнымх задержек, вносимых средством защиты	средний
123.	Угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью	средний
124.	Угроза несанкционированного использования системных и сетевых утилит	высокий
125.	Угроза несанкционированной модификации защищаемой информации	средний
126.	Угроза отказа подсистемы обеспечения температурного режима	средний
127.	Угроза перехвата одноразовых паролей в режиме реального времени	средний
128.	Угроза физического устаревания аппаратных компонентов	средний
129.	Угроза перехвата управления автоматизированной системой управления технологическими процессами	средний
130.	Угроза агрегирования данных, обрабатываемых с помощью мобильного устройства	высокий
131.	Угроза несанкционированного изменения параметров настройки средств защиты информации	высокий
132.	Угроза внедрения вредоносного кода через рекламу, сервисы и контент	средний
133.	Угроза несанкционированного воздействия на средство защиты информации	высокий
134.	Угроза подмены программного обеспечения	высокий
135.	Угроза маскирования действий вредоносного кода	средний
136.	Угроза внедрения вредоносного кода за счет посещения зараженных сайтов в сети Интернет	высокий
137.	Угроза внедрения вредоносного кода в дистрибутив программного обеспечения	высокий
138.	Угроза использования уязвимых версий программного обеспечения	высокий
139.	Угроза утечки информации за счет применения вредоносным программным обеспечением алгоритмов шифрования графика	высокий

2.3.2 Выделение компонентов системы, подверженных несанкционированному доступу извне

Таким образом, исходя из данных, полученных в результате анализа, можно выделить следующие компоненты, которые находятся под внешним воздействием:

- подсистема распределенного хранения оцифрованных документов;

- подсистема электронной почты;

- подсистема личного кабинета на корпоративном Веб-сайте;

- подсистема электронного документооборота;

2.4 Формирование требований к комплексу защиты ПО от несанкционированного использования, выбор концепции автоматизации «Как должно быть»

2.4.1 Обзорный анализ уже готовых решений для автоматизации задачи

Среди готовых систем обеспечения безопасности можно выделить три направления:

1) Направление развития инфраструктуры на базе компонент операционной системы (Active Directory, BitLocker).

2) Приобретение готовых коммерческих продуктов обеспечения безопасности и конфиденциальности данных.

3) Модификация и адаптация средств с открытым исходным кодом под выполняемые предприятием бизнес-задачи.

Каталог доменов Active Directory - встроенный в операционную систему набор служб.

Active Directory (AD) - это служба каталогов, разработанная корпорацией Майкрософт для доменных сетей Windows. Она- входит в большинство операционных систем Windows Server в виде набора процессов и служб.[1] [2] первоначально Active Directory отвечала только за централизованное управление доменами. Однако начиная с Windows Server 2008 служба Active Directory стала общим названием для широкого круга служб, связанных с удостоверениями на основе каталогов.[3]

Сервер, на котором работает доменная служба Active Directory (AD DC), называется контроллером домена. Он выполняет проверку подлинности и авторизацию всех пользователей и компьютеров в сети типа домена Windows, назначая и применяя политики безопасности для всех компьютеров и устанавливая или обновляя программное обеспечение. Например, когда пользователь входит в компьютер, являющийся частью домена Windows, служба каталогов Active Directory проверяет отправленный пароль и определяет, является ли пользователь системным администратором или обычным пользователем.[4] Кроме того, он позволяет управлять и хранить информацию, обеспечивает механизмы проверки подлинности и авторизации, а также создает основу для развертывания других связанных служб: служб сертификации, служб федерации Active Directory, служб облегченного доступа к каталогам и служб управления правами.[5]

Active Directory использует облегченный протокол доступа к каталогам (LDAP) версий 2 и 3, версию Microsoft Kerberos и DNS.

Службы Active Directory

Службы Active Directory состоят из нескольких служб каталогов. Наиболее известны доменные службы Active Directory, обычно сокращенные как AD DS или просто AD.[12]

Доменные службы

Доменные службы Active Directory (AD DS) являются краеугольным камнем каждой доменной сети Windows. Он хранит информацию о членах домена, включая устройства и пользователей, проверяет их учетные данные и определяет их права доступа. Сервер, на котором работает эта служба, называется контроллером домена. С контроллером домена связываются, когда пользователь входит в систему устройства, получает доступ к другому устройству по сети или запускает приложение бизнес-стиля Metro, загруженное на устройство.

Другие службы Active Directory (за исключением LDS,), а также большинство серверных технологий Microsoft используют доменные службы; примеры включают групповую политику, шифрование файловой системы, BitLocker, службы доменных имен, службы удаленных рабочих столов, Exchange Server и SharePoint Server.

Облегченные службы каталогов

Службы Active Directory Lightweight Directory Services (AD LDS), ранее известные как Active Directory Application Mode (ADAM), [13] представляют собой облегченную реализацию служб AD DS.[14] AD LDS работает как служба на Windows Server. AD LDS совместно использует базу кода с AD DS и предоставляет те же функциональные возможности, включая идентичный API, но не требует создания доменов или контроллеров домена. Он предоставляет хранилище данных для хранения данных каталога и Службу каталогов с интерфейсом службы каталогов LDAP. Однако в отличие от служб AD DS на одном сервере может выполняться несколько экземпляров AD LDS.

Службы сертификации

Службы сертификации Active Directory (AD CS) устанавливают локальную инфраструктуру открытых ключей. Он может создавать, проверять и отзывать сертификаты открытого ключа для внутреннего использования организации. Эти сертификаты могут использоваться для шифрования файлов (при использовании с шифрованием файловой системы), электронной почты (по стандарту S/MIME) и сетевого трафика (при использовании виртуальных частных сетей, протокола безопасности транспортного уровня или протокола IPSec).

AD CS предшествует Windows Server 2008, но его имя было просто службы сертификации.[15]

Регистрация сертификатов инфраструктуры ad ДС.[16]

Службы Федерации

Службы Федерации Active Directory (AD FS)-это Служба единого входа. При наличии инфраструктуры AD FS пользователи могут использовать несколько веб-служб (например, интернет-форум, блог, интернет-магазины, веб-почту) или сетевые ресурсы, используя только один набор учетных данных, хранящихся в центральном расположении, в отличие от необходимости предоставления выделенного набора учетных данных для каждой службы. Назначение AD FS-это расширение AD DS: последнее позволяет пользователям проходить проверку подлинности и использовать устройства, входящие в одну сеть, используя один набор учетных данных. Первый позволяет им использовать один и тот же набор учетных данных в другой сети.

Как следует из названия, AD FS работает на основе концепции Федеративной идентификации.

Для AD FS требуется инфраструктура AD DS, хотя ее партнер по Федерации может этого не делать.[17]

Услуги по управлению правами

Службы управления правами Active Directory (AD RMS, известные как Службы управления правами или службы управления правами до Windows Server 2008) - это серверное программное обеспечение для управления правами на доступ к данным, поставляемое вместе с Windows Server. Он использует шифрование и форму выборочного отказа функциональности для ограничения доступа к документам, таким как корпоративные электронные письма, документы Microsoft Word и веб-страницы, и операции, которые авторизованные пользователи могут выполнять на них.

BitLocker-это функция шифрования целого раздела, включенная в версии Microsoft Windows (Pro и Enterprise only), начиная с Windows Vista. Она предназначена для защиты данных, обеспечивая шифрование для целых томов. По умолчанию используется алгоритм шифрования AES в режиме cipher block chaining (CBC) или XTS[1] с 128-битным или 256-битным ключом.[2] [3] CBC не используется на всем диске; он применяется к каждому отдельному сектору.[4]

Первоначально графический интерфейс BitLocker в Windows Vista мог шифровать только том с операционной системой. Начиная с Windows Vista с пакетом обновления 1 и Windows Server 2008, тома, отличные от тома операционной системы, могут быть зашифрованы с помощью графического средства. Тем не менее, некоторые аспекты BitLocker (например, включение или выключение автоблокировки) должны были управляться с помощью средства командной строки под названием manage-bde.wsf.[14]

Версия BitLocker, включенная в Windows 7 и Windows Server 2008 R2, добавляет возможность шифрования съемных дисков. В Windows XP или Windows Vista доступ только для чтения к этим дискам можно получить с помощью программы BitLocker To Go Reader, если используются файловые системы FAT16, FAT32 или exFAT.[15] кроме того, новый инструмент командной строки под названием manage-bde заменил старый manage-bde.wsf.[16]

Начиная с Windows Server 2012 и Windows 8, Microsoft дополнила BitLocker спецификацией Microsoft Encrypted Hard Drive, которая позволяет разгружать криптографические операции шифрования BitLocker на аппаратное обеспечение устройства хранения.[17] [18] Кроме того, BitLocker теперь можно управлять с помощью Windows PowerShell.[19] Наконец, Windows 8 представила Windows To Go в своей корпоративной версии, которую BitLocker может защитить.[20]

Шифрование устройства

Windows Mobile 6.5, Windows RT и core edition Windows 8.1 включают шифрование устройств, функциональную версию BitLocker, которая шифрует всю систему.[21] [22] [23] Вход с учетной записью Майкрософт с правами администратора автоматически запускает процесс шифрования. Ключ восстановления хранится либо в учетной записи Майкрософт, либо в Active Directory, что позволяет извлекать его с любого компьютера. В то время как шифрование устройства предлагается на всех версиях 8.1, в отличие от BitLocker, шифрование устройства требует, чтобы устройство соответствовало спецификациям InstantGo (ранее подключенный режим ожидания), [23] который требует твердотельных дисков, несъемной оперативной памяти (для защиты от атак холодной загрузки) и чипа TPM 2.0.[21] [24]

Начиная с Windows 10 1703, требования к шифрованию устройства изменились, потребовав модуль TPM 1.2 или 2.0 с поддержкой PCR 7, UEFI Secure Boot и что устройство соответствует современным требованиям к резервному режиму или проверке HSTI.[25]

Режимы шифрования

Существует три механизма аутентификации, которые можно использовать в качестве стандартных блоков для реализации шифрования BitLocker: [26]

Прозрачный режим работы: этот режим использует возможности аппаратного обеспечения TPM 1.2 для обеспечения прозрачного пользовательского интерфейса-пользователь включается и входит в Windows в обычном режиме. Ключ, используемый для шифрования диска, запечатан (зашифрован) чипом доверенного платформенного модуля и будет выпущен только в код загрузчика ОС, если ранние загрузочные файлы не будут изменены. Компоненты предварительной ОС BitLocker достигают этого путем реализации статического корня измерения доверия-методологии, заданной группой доверенных вычислений (TCG). Этот режим уязвим для атаки с холодной загрузкой, так как позволяет злоумышленнику загружать выключенную машину. Он также уязвим к атаке сниффером, так как ключ шифрования тома передается в виде обычного текста от доверенного платформенного модуля к процессору во время успешной загрузки.

Режим проверки подлинности пользователя: этот режим требует, чтобы пользователь предоставил некоторую проверку подлинности в предзагрузочной среде в виде ПРЕДЗАГРУЗОЧНОГО PIN-кода или пароля.

Режим ключа USB: пользователь должен вставить USB-устройство, содержащее ключ запуска в компьютер, чтобы иметь возможность загружать защищенную ОС. Обратите внимание, что этот режим требует, чтобы BIOS на защищенной машине поддерживал чтение USB-устройств в среде до ОС. Ключ также может быть предоставлен CCID для чтения криптографической смарт-карты. Использование CCID обеспечивает дополнительные преимущества помимо простого хранения файла ключа на внешнем флэш-накопителе USB, поскольку протокол CCID скрывает закрытый ключ с помощью криптографического процессора, встроенного в смарт-карту; это предотвращает кражу ключа, просто считывая его с носителя, на котором он хранится.

Поддерживаются следующие комбинации вышеуказанных механизмов аутентификации, все с дополнительным ключом восстановления escrow:

Только TPM[27]

TPM + PIN[28]

TPM + PIN + USB-ключ[29]

TPM + USB-ключ[30]

USB-ключ[31]

Только пароль[32]

2.4.2 Выбор оптимальной стратегии автоматизации задачи

В существующей схеме планирования задач выделяются несколько этапов. Первый этап - анализ стратегии развития бизнеса.

В условиях конкуренции выигрывают те предприятия, чьи стратегии в бизнесе объединяются со стратегиями в области информационных технологий. Поэтому реальной альтернативой варианту выбора автоматизированной системы является подбор некоторого набора пакетов различных поставщиков, которые удовлетворяют наилучшим образом той или иной функции ИС управления (подход mix-and-match). Такой подход смягчает некоторые проблемы при внедрении и привязке программных средств, а ИТ оказывается максимально приближенной к функциям конкретной индивидуальности предметной области.

В последнее время все большее число организаций, предприятий, фирм предпочитает покупать готовые пакеты и технологии, а если необходимо, добавлять к ним свое программное обеспечение, так как разработка собственных ИС и ИТ связана с высокими затратами и риском. Эта тенденция привела к тому, что поставщики систем изменили ранее существовавший способ выхода на рынок. Как правило, разрабатывается и предлагается теперь базовая система, которая адаптируется в соответствии с пожеланиями индивидуальных клиентов. При этом пользователям предоставляются консультации, помогающие минимизировать сроки внедрения систем и технологий, наиболее эффективно их использовать, повысить квалификацию персонала [9].

Бизнес будет развиваться эффективно при хорошо организованной и отлаженной работе всех отделов предприятия.

Следующим этапом в этом процессе является поиск и обработка всей отчетной информации, полученной по телекоммуникационным каналам связи.Далее производится конкретный подход к каждой поставленной задаче для снижения нагрузки на сотрудника. Затем результаты решения этих задач передаются руководителю ООО. На этом этапе возможна корректировка работы.

Система должна быть оптимальна для использования, и иметь формы, которые выполняют следующие функции:

- получение данных;

- обработка, анализ, сохранение и печать данных.

Существует четыре варианта стратегии автоматизации: кусочная (хаотичная) автоматизация, автоматизация по участкам, автоматизация по направлениям и комплексная автоматизация.

Кусочная автоматизация предполагает под собой приобретение предприятием без конкретного стратегического плана отдельных фрагментов информационной системы, которые не способны оказать реальной пользы предприятию в целом. Дальнейшее развитие информационной системы предприятия связано с новыми, значительными затратами.

Автоматизация по участкам предусматривает автоматизацию отдельных производственных участков, объединенных по набору выполняемых функций. Этот способ автоматизации выбирается при условии, если существуют участки, где применение автоматизированных систем дает значительный экономический эффект, например за счет сокращения персонала.

Автоматизация по направлениям подразумевает под собой автоматизацию отдельных направлений деятельности предприятия [2].

В нашем случае будет выбрана стратегия автоматизации по участкам. Вследствие этого предприятие сможет автоматизировать деятельность по работе с клиентами, получив при этом экономический эффект.

Для рассматриваемой фирмы разработка стратегии реализации проекта будет такой:

· Анализ области деятельности предприятия;

· Анализ стратегии дальнейшего развития предприятия;

...