Безопасность информационных систем в современном мире Андрей Крючков Microsoftandreykr@microsoft.com. - презентация

1 Безопасность информационных систем в современном мире Андрей Крючков

2 О чем мы сегодня поговорим Почему вопросам безопасности уделяется большое внимание Почему вопросам безопасности уделяется большое внимание Основные источники угроз информационным системам и методы борьбы с ними Основные источники угроз информационным системам и методы борьбы с ними Стратегия Microsoft в области обеспечения безопасности Стратегия Microsoft в области обеспечения безопасности Продукты и технологии Microsoft для управления безопасностью Продукты и технологии Microsoft для управления безопасностью

3 Безопасность Почему вопросам безопасности уделяется большое внимание

4 Когда-то очень давно жизнь была гораздо проще «Большие ЭВМ» Доступ с терминалов Доступ с терминалов Стеклянный домСтеклянный дом Физическая безопасность, ограниченный доступ Физическая безопасность, ограниченный доступ

5 Потом стало чуть сложнее, но все равно достаточно просто… Клиент-Сервер Компьютеры объединены в ЛВС Компьютеры объединены в ЛВС Серверы печати и файлы Серверы печати и файлы Ограниченный доступ извне Ограниченный доступ извне

6 Но сегодня Мы уже более не в Канзасе, Тото*… Когда мир становится сложным и большим… Пришел Интернет Всегда включено Всегда включено Почта, сообщения Почта, сообщения Веб Веб Интернет *Прошу прощения у L. Frank Baum The Wizard of Oz

7 Что говорят факты Хакеры Хакеры 44% Веб-узлов были атакованы при наличии межсетевых экранов 44% Веб-узлов были атакованы при наличии межсетевых экранов Внутренние нарушители Внутренние нарушители до 80% взломов происходит изнутри до 80% взломов происходит изнутри Отказ в обслуживании Отказ в обслуживании 2000 г.: Yahoo, CNN, Amazon 2000 г.: Yahoo, CNN, Amazon Вирусные атаки Вирусные атаки I love You: ущерб составил до 1 млрд. дол. I love You: ущерб составил до 1 млрд. дол. Source : CSC Peat Marwick Published October 2000.

8 Определение безопасности? Что защищено? Что защищено? От кого защищено? От кого защищено? От чего защищено? От чего защищено? Как долго защищено? Как долго защищено? Пример: Интернет-банк может быть защищен от подложенной бомбы, но насколько он защищен от работающего в нем программиста с криминальными наклонностями? Нельзя говорить о безопасности не определяя контекст самого слова защита

9 Реальна ли угроза? По данным * 2002 данные по третий квартал Рост числа угроз

10 Безопасность сегодня Обеспечение безопасности - это процесс управления рисками (через управление людьми и средствами защиты) Обеспечение безопасности - это процесс управления рисками (через управление людьми и средствами защиты) Системы безопасности включают: Системы безопасности включают: Людей (культура и знания) Людей (культура и знания) Процессы (процедуры, регламенты, правила) Процессы (процедуры, регламенты, правила) Технологии (технические средства защиты) Технологии (технические средства защиты) Надежность одного элемента защиты не обеспечивает безопасности системы в целом Надежность одного элемента защиты не обеспечивает безопасности системы в целом Технологии не являются единственным и достаточным решением Технологии не являются единственным и достаточным решением

11 Круговорот не имеет конца Дизайнпродукта Новые угрозы Процесс: Обнаружить, Разработать На будущее: Включить в новый продукт Обновление: Доставить Модель появления новых угроз развивается в соответствии законам Мура и Меткалфа Программисты тоже люди и им тоже свойственно ошибаться

12 Люди Процесс Технологии Технологии, Процесс, Люди Что бросает вызов безопасности? В продуктах не хватает функций для безопасности В продуктах не хватает функций для безопасности Продукты содержат ошибки Продукты содержат ошибки Многие проблемы не решают техническими стандартами Многие проблемы не решают техническими стандартами Сложно поддерживать современное состояние Сложно поддерживать современное состояние Неверное распределение ролей и ответственности Неверное распределение ролей и ответственности Отсутствие аудита, мониторинга и реагирования Отсутствие аудита, мониторинга и реагирования Отсутствие процедур поддержания системы в актуальном состоянии Отсутствие процедур поддержания системы в актуальном состоянии Недостаток знаний Недостаток знаний Недостаток ответственности Недостаток ответственности Человеческие ошибки Человеческие ошибки

13 Уровень безопасности, цена или функционал? Всегда есть баланс между безопасностью, ценой решения и функционалом (удобство использования, производительность) Всегда есть баланс между безопасностью, ценой решения и функционалом (удобство использования, производительность) Определите адекватную степень безопасности: Определите адекватную степень безопасности: Угрозы с которыми вы сталкиваетесь Угрозы с которыми вы сталкиваетесь Степень риска с которой можно жить Степень риска с которой можно жить Стоимость ваших данных Стоимость ваших данных Не забудьте посчитать стоимость административных затрат и стоимость потерь от потери удобства использования и производительности Не забудьте посчитать стоимость административных затрат и стоимость потерь от потери удобства использования и производительности Абсолютная безопасность недостижима Абсолютная безопасность недостижима В идеале: В идеале: Только те, кому это положено получают доступ к нужной им информации в любое время с максимальной производительностью с минимальными затратами Безопасность Функции Цена

14 Объекты для защиты Данные Номера кредиток Номера кредиток Маркетинговые планы Маркетинговые планы Исходные коды Исходные коды Финансовую информацию Финансовую информацию Сервисы Веб узлы Веб узлы Доступ в Интернет Доступ в Интернет Контроллеры доменов Контроллеры доменов ERP системы ERP системы Сети Логины Логины Платежные транзакции Платежные транзакции Почта Почта

15 Из чего состоит атака Угроза + Мотив + Метод + Уязвимость = АТАКА!

16 Рассмотрим по отдельности Основные источники угроз для информационных систем и как с ними бороться Основные источники угроз для информационных систем и как с ними бороться Мотивы Мотивы Методы Методы Уязвимости Уязвимости

17 Источники угроз Ошибка обычного пользователя может быть фактором опасности и планировать защиту от ошибок нужно так же, как и защиту от хакеров Ошибка обычного пользователя может быть фактором опасности и планировать защиту от ошибок нужно так же, как и защиту от хакеров Существуют подходы к решению задач борьбы с отказами технических средств и природными катаклизмами, но данные вопросы лежат вне сегодняшней темы Существуют подходы к решению задач борьбы с отказами технических средств и природными катаклизмами, но данные вопросы лежат вне сегодняшней темы

18 Рассмотрим по отдельности Угрозы Угрозы Мотивы, которые толкают людей на преступление Мотивы, которые толкают людей на преступление Методы Методы Уязвимости Уязвимости

19 Какие мотивы? Личные Самоутверждение Самоутверждение Политические заявления или терроризм Политические заявления или терроризм Шутка Шутка Просто потому что могу Просто потому что могу Корыстные Украсть информацию Украсть информацию Шантаж Шантаж Финансовые махинации Финансовые махинации Хулиганство Изменение, уничтожение или повреждение информации Изменение, уничтожение или повреждение информации Отказ в обслуживании Отказ в обслуживании Порча общественного имиджа компании Порча общественного имиджа компании

20 Портрет хакера? Типичный стереотип: Типичный стереотип: Тинэйджер или молодой человек около двадцати лет Тинэйджер или молодой человек около двадцати лет Собственная субкультура и сообщество Собственная субкультура и сообщество Много времени, но мало денег Много времени, но мало денег Узкий крут настоящих специалистов -- разработчиков утилит, знаний и руководств по взлому Узкий крут настоящих специалистов -- разработчиков утилит, знаний и руководств по взлому Большинство пользуются готовыми скриптами «script kiddies» Большинство пользуются готовыми скриптами «script kiddies» Престиж среди своих Престиж среди своих Мотивация скорее личное любопытство нежели корысть Мотивация скорее личное любопытство нежели корысть Плюс к этому хакером может стать: «обиженный» сотрудник, конкурент, обычный преступник, кибер- террорист Плюс к этому хакером может стать: «обиженный» сотрудник, конкурент, обычный преступник, кибер- террорист

21 Рассмотрим по отдельности Угрозы Угрозы Мотивы Мотивы Методы используемые для осуществления атак Методы используемые для осуществления атак Уязвимости Уязвимости

22 Методики атак (нарушений) Подбор/взлом паролей Подбор/взлом паролей Вирусы Вирусы Троянские кони Троянские кони Черви Черви Атаки на отказ в обслуживании Атаки на отказ в обслуживании Подмена адреса Подмена адреса Перлюстрация Перлюстрация Проигрывание записи сетевых пакетов Проигрывание записи сетевых пакетов Модификация перехваченных сетевых пакетов Модификация перехваченных сетевых пакетов Просмотр сетевого трафика Просмотр сетевого трафика Методы социальной инженерии Методы социальной инженерии Атаки по сети Атаки по сети Подмена сетевых адресов Подмена сетевых адресов Перехват сессий Перехват сессий Существует огромное количество разно- образных методов осуществления атак. На слайде наиболее часто встречающиеся.

23 Рассмотрим по отдельности Угрозы Угрозы Мотивы Мотивы Методы Методы Уязвимости и из причины Уязвимости и из причины

24 Что такое уязвимость? Ошибки проектирования (продукты не имеют встроенных защитных механизмов) Ошибки проектирования (продукты не имеют встроенных защитных механизмов) Ошибки реализации (программы содержат ошибки) Ошибки реализации (программы содержат ошибки) Ошибки при эксплуатации (многие бреши не могут быть закрыты с помощью технологии Ошибки при эксплуатации (многие бреши не могут быть закрыты с помощью технологии «Трещины в крепостной стене» Уязвимость (слабость) – любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы

25 Комплекс защитных мер Данные Сервисы Сети Предупреждение Обнаружение Реакция Технологии План-ие, политики & процедуры Человеческий фактор

26 Комплекс защитных мер Предупреждение Предотвращение проблем до их проявления Предотвращение проблем до их проявления Проактивный подход к работе над проблемами Проактивный подход к работе над проблемами Защита от атак (нарушений), которые можно предсказать Защита от атак (нарушений), которые можно предсказать Технологии (средства защиты) наиболее полезны на данном этапе защиты Технологии (средства защиты) наиболее полезны на данном этапе защиты Пример: Пользователь должен пользоваться магнитной карточкой чтобы попасть в офис Пример: Пользователь должен пользоваться магнитной карточкой чтобы попасть в офис Предупреждение

27 Комплекс защитных мер Обнаружение Обнаружить атаки через бреши в защите, которые не смогли заранее перекрыть Обнаружить атаки через бреши в защите, которые не смогли заранее перекрыть Оценка известных и неизвестных проблем и брешей в безопасности Оценка известных и неизвестных проблем и брешей в безопасности Может работать как реакция на событие или быть проактивной Технологии обнаружения атак могут сильно помочь, но этот этап требует повышенного интеллектуального потенциала Может работать как реакция на событие или быть проактивной Технологии обнаружения атак могут сильно помочь, но этот этап требует повышенного интеллектуального потенциала Важно документировать все действия, чтобы в дальнейшем обоснованно привлекать к ответственности Важно документировать все действия, чтобы в дальнейшем обоснованно привлекать к ответственности Пример: Сотрудники должны носить бедж с фотографией поверх одежды все время, пока они находятся в офисе Пример: Сотрудники должны носить бедж с фотографией поверх одежды все время, пока они находятся в офисе Обнаружение

28 Комплекс защитных мер Реакция Обнаружение без реагирования не имеет смысла! Обнаружение без реагирования не имеет смысла! Пресечение нарушения Пресечение нарушения Восстановление данных и/или сервисов в штатный режим Восстановление данных и/или сервисов в штатный режим Выявление и наказание виновного Выявление и наказание виновного Изучение опыта и улучшение безопасности Изучение опыта и улучшение безопасности Пример: Каждого, кого обнаружат без беджа в офисе охрана выводит из офиса для выяснения личности и т.п. Пример: Каждого, кого обнаружат без беджа в офисе охрана выводит из офиса для выяснения личности и т.п. Реакция

29 Как планировать риски Для каждой системы Для каждой системы Для каждого фактора/ мотива и метода Для каждого фактора/ мотива и метода Разработка планов предотвращения, обнаружения и реагирования Разработка планов предотвращения, обнаружения и реагирования Анализ результатов для повышения уровня безопасности Анализ результатов для повышения уровня безопасности

30 Эшелонированная оборона Всегда планируйте как минимум два уровня защиты Всегда планируйте как минимум два уровня защиты Защита должна работать последовательно, а не параллельно; атакующий должен преодолеть A и B – а не A или B Защита должна работать последовательно, а не параллельно; атакующий должен преодолеть A и B – а не A или B Безопасность коммуникаций К банковской системе нельзя подключиться по Интернет/модему Физическая безопасность Система требует ключа/смарт- карты для работы Безопасность логики Список доступа ограничивает кто может переводить деньги Организацион- ная безопас-ть Все переводы более рублей должны подтверждаться менеджером Пример:

31 Ров / Главные ворота Оборона внешнего периметра крепости Арсенал (Последнее здание в крепости для сдачи) Внутренний периметр Высокие, крепкие стены создают дополнительную зону защиты крепости Оборона Крепости

32 Противодействие Применяйте все способы противодействия – технологические, организационные, человеческий фактор Применяйте все способы противодействия – технологические, организационные, человеческий фактор Процессы Люди Библиотеки антивирусного ПО постоянно обновляются. Трафик и производительность постоянно анализируются Сотрудники обучены безопасной работе с почтовыми клиентами и уведомлены о риске, связанном с открытием вложенных файлов Технологии На почтовых серверах и клиентах установлено антивирусное ПО. На клиентах реализован запрет запуска исполняемых файлов- вложений и доступ к адресной книге

33 Стратегия Microsoft в области обеспечения безопасности информационных систем

34 Microsoft и безопасность – слухи и мифы IIS «полон дыр в безопасности» IIS «полон дыр в безопасности» Microsoft не занимается безопасностью Microsoft не занимается безопасностью Другие платформы лучше Другие платформы лучшеПоэтому: Если мы уйдем от IIS, все проблемы с безопасностью решаться сами собой Если мы уйдем от IIS, все проблемы с безопасностью решаться сами собой Gartner FirstTake, 9/19/01, John Pescatore Enterprises …should start to investigate less- vulnerable Web server products.

35 IIS (сам сервер) не более уязвим чем любая другая платформа ОС или веб-сервер IIS (сам сервер) не более уязвим чем любая другая платформа ОС или веб-сервер CERT advisories for 2001 CERT advisories for 2001 DataReturn proof point DataReturn proof point Microsoft занимается безопасностью Microsoft занимается безопасностью Ничего не скрывает Ничего не скрывает Поправки выпускаются максимально быстро Поправки выпускаются максимально быстро Другие не обязательно лучше Другие не обязательно лучше Почитаем прессу: кто помнит sadmindили CARKO? Недавний вирус под Apache показал, что на 75% серверов под UNIX не были установлены поправки, Два известных брандмауэра и такой продукт как OpenView имели проблемы с безопасностью Почитаем прессу: кто помнит sadmindили CARKO? Недавний вирус под Apache показал, что на 75% серверов под UNIX не были установлены поправки, Два известных брандмауэра и такой продукт как OpenView имели проблемы с безопасностью Это системная, а не «платформенная» проблема Это системная, а не «платформенная» проблема И это то, на что нацелена программа Программа Стратегической Защиты Технологий И это то, на что нацелена программа Программа Стратегической Защиты Технологий Microsoft и безопасность – реальность

36 CERT Advisories* CERT Advisories* Больше уязвимостей в UNIX-серверах чем в IIS Больше уязвимостей в UNIX-серверах чем в IIS Две уязвимости в брандмауэрах Две уязвимости в брандмауэрах Выдержки из списка ошибок Bugtraq в 2001 Выдержки из списка ошибок Bugtraq в 2001 Mandrake Linux 7.2 – 33 (v7.1 еще 27) Mandrake Linux 7.2 – 33 (v7.1 еще 27) Red Hat Linux 7.0 – 28 Red Hat Linux 7.0 – 28 Sun Solaris 8.0 – 24 (v7.0 еще 24) Sun Solaris 8.0 – 24 (v7.0 еще 24) Windows 2000 – 24 Windows 2000 – 24 Отчет Netcraft uptime Отчет Netcraft uptime *For more info/details see *For more info/details see **(as of 10/01) CERT-ифицированные факты

37 Уязвимости в разных ОС Недостаточно хорошо Источник: Security Focus

38 Почему вопросы безопасности так важны для Microsoft? Атаки становятся все более частыми Атаки становятся все более частыми Простои и потери данных обходятся все дороже Простои и потери данных обходятся все дороже Microsoft играет важную роль в электронной коммерции (более 50% сайтов с SSL в Интернет), а это требует инвестиций и действий Microsoft играет важную роль в электронной коммерции (более 50% сайтов с SSL в Интернет), а это требует инвестиций и действий Microsoft хочет быть лидером Microsoft хочет быть лидером Code Red и Nimda дорого обошлись заказчикам, которые не были к ним готовы Code Red и Nimda дорого обошлись заказчикам, которые не были к ним готовы Заказчики ждут руководства к действию от Microsoft Заказчики ждут руководства к действию от Microsoft Установка из коробки нацелена на удобство использования, а не на высокую безопасность Установка из коробки нацелена на удобство использования, а не на высокую безопасность Это уязвимость номер один Это уязвимость номер один Важно донести эту идею до заказчиков и помочь им исправить положение Важно донести эту идею до заказчиков и помочь им исправить положение

39 Защищенные информационные системы Trustworthy Computing Стратегическая программа защиты технологий Strategic Technology Protection Program Инициатива «обеспечение безопасности Windows» Secure Windows Initiative Стратегия Microsoft по обеспечению безопасности

40 Обязательство Microsoft перед заказчиками: Делать все возможное, чтобы быть уверенными, что каждый заказчик может безопасно работать и обмениваться информацией через Интернет

41 Инициатива «обеспечение безопасности Windows»Создано с мыслью о безопасности Цель: Устранить уязвимости системы до начала продаж продукта ЛюдиПроцессТехнологии

42 Инициатива «обеспечение безопасности Windows» Люди Курсы повышения квалификации в области безопасности для каждого разработчика, тестера и менеджера для создания более безопасных продуктов Процесс Выделение проблем безопасности в качестве критического фактора при разработке, кодировании и тестировании любого продукта Microsoft Просмотр кода и дизайна другими людьми Анализ угроз по каждой спецификации на разработку Специальная «Красная Команда» тестирует код Не только поиск переполнения буферов Цикл работы над ошибками и подписания кода Изучение кода и тестирование сторонними консультантами Технологии Разработка автоматизированных инструментов для улучшения качества кода там, где это возможно Гарантированное обнаружение переполнение буферов Новые компиляторы и отладчики Стресс-тесты

43 Инициатива «обеспечение безопасности Windows» Сертификация безопасности Испытания по FIPS для подсистемы криптографии Cryptographic Service Provider (CSP) – Завершены Испытания по FIPS для подсистемы криптографии Cryptographic Service Provider (CSP) – Завершены Реализация базовых крипто алгоритмов в Windows проверено государственными органами США Реализация базовых крипто алгоритмов в Windows проверено государственными органами США Международная сертификация Common Criteria– Завершена! Международная сертификация Common Criteria– Завершена! Исследование исходного кода Windows по международным критериям безопасности кода для получения международного сертификата Исследование исходного кода Windows по международным критериям безопасности кода для получения международного сертификата Передача ключевых компонент третьим лицам для исследования, изучения Передача ключевых компонент третьим лицам для исследования, изучения Исходные коды лицензированы более чем для 80 университетов, лабораторий и правительственных агентств Исходные коды лицензированы более чем для 80 университетов, лабораторий и правительственных агентств

44 Инициатива «обеспечение безопасности Windows» Сертификация Windows 2000 по Common Criteria for Information Technology Security Evaluation (ISO-IEC 15408) Сертификацией Windows 2000 занималась специализирующаяся в области тестирования независимая компания Science Applications International Corporation (SAIC) Сертификацией Windows 2000 занималась специализирующаяся в области тестирования независимая компания Science Applications International Corporation (SAIC) Соответствие по профилю защиты Controlled Access Protection Profile уровню Evaluation Assurance Level 4 (EAL4) + ALC FLR 3 (Systematic Flaw Remediation) Соответствие по профилю защиты Controlled Access Protection Profile уровню Evaluation Assurance Level 4 (EAL4) + ALC FLR 3 (Systematic Flaw Remediation) В России стандарт ГОСТ Р ИСО/МЭК 15408–2002 В России стандарт ГОСТ Р ИСО/МЭК 15408–2002

45 Government Security Program 14 января 2003 года корпорация Microsoft объявила новую программу GSP (Government Security Program) 14 января 2003 года корпорация Microsoft объявила новую программу GSP (Government Security Program) Задача программы – повышения доверия к технологиям Microsoft с точки зрения информационной безопасности Задача программы – повышения доверия к технологиям Microsoft с точки зрения информационной безопасности Программа адресована национальным правительствам и международным организациям Программа адресована национальным правительствам и международным организациям В рамках программы GSP Microsoft предоставляет доступ к исходному коду Windows и другой технической информации, необходимой для создания защищенных систем на платформе Microsoft Windows В рамках программы GSP Microsoft предоставляет доступ к исходному коду Windows и другой технической информации, необходимой для создания защищенных систем на платформе Microsoft Windows

46 Программа GSP в России Россия – первая страна, в которой подписано Соглашение в рамках программы GSP Россия – первая страна, в которой подписано Соглашение в рамках программы GSP Программа GSP предполагает долгосрочное сотрудничество в области информационной безопасности Программа GSP предполагает долгосрочное сотрудничество в области информационной безопасности В Соглашении учтены все требования российской стороны В Соглашении учтены все требования российской стороны

47 Инициатива «обеспечение безопасности Windows» В настоящее время Фокус на безопасности Windows Фокус на безопасности Windows Мобилизованы ВСЕ Мобилизованы ВСЕ Обязательные курсы по безопасности Обязательные курсы по безопасности Фокусировка на все источники уязвимостей, снижение возможностей для атак, установка всех параметров по умолчанию и функций в безопасное состояние Фокусировка на все источники уязвимостей, снижение возможностей для атак, установка всех параметров по умолчанию и функций в безопасное состояние Первоочередное исправление ошибок и уязвимостей Первоочередное исправление ошибок и уязвимостей

48 Цель: Помочь заказчикам обезопасить их системы на базе Windows ЛюдиПроцессТехнологии Стратегическая программа защиты технологий

49 Стратегическая программа защиты технологий – Заказчикам нужна помощь Я не знаю какие заплатки мне нужны Я не знаю какие заплатки мне нужны Я не знаю где взять заплатки Я не знаю где взять заплатки Я не знаю какие машины латать Я не знаю какие машины латать Мы обновили наши «боевые» сервера, но сервера разработки и тестовые были инфицированы Мы обновили наши «боевые» сервера, но сервера разработки и тестовые были инфицированы Более 50% пораженных червем Code Red не установили заплатки и пострадали от червя Nimda

50 Стратегическая программа защиты технологий Люди ПроцессТехнологии

51 Enterprise Security Tools Microsoft Baseline Security Analyzer SMS security patch rollout tool Windows Update Auto-update client Microsoft Security Toolkit Материалы по настройке серверов Новые инструменты и исправления, Windows Update клиент для Windows 2000 Курсы по безопасности Партнеры, готовые провести аудит Стратегическая программа защиты технологий

52 Защищаем Microsoft Security Toolkit Повышает безопасность систем на Windows NT и 2000, даже если они не подключены к Интернет Повышает безопасность систем на Windows NT и 2000, даже если они не подключены к Интернет Автоматизирует обновление серверов Автоматизирует обновление серверов Программы «мастер» для установки одной кнопкой и скрипты для SMS Программы «мастер» для установки одной кнопкой и скрипты для SMS Обновления и заплатки Обновления и заплатки Включает все Сервис Паки и критические исправления для ОС и IIS Включает все Сервис Паки и критические исправления для ОС и IIS HFNetchk: программа проверки уровня установки заплаток HFNetchk: программа проверки уровня установки заплаток IIS Lockdown & URLScan IIS Lockdown & URLScan

53 Стратегическая программа защиты технологий Улучшение защиты в продуктах Все новые продукты, включая Windows 2003 Server имеют гораздо более строгие политики защиты Corporate Windows Update Program Позволяет компаниям разместить внутри сервер для Windows Update Windows 2000 Service Pack (SP3)/Windows XP SP1 Устанавливает все исправления с одной перезагрузкой

54 Защищенные информационные системы (Trustworthy Computing) Цель: Сделать компьютеры и программное обеспечение столь же надежными, как бытовые электроприборы

55 Задачи концепции «Защищенные информационные системы» В краткосрочном периоде В краткосрочном периоде улучшенный дизайн улучшенный дизайн реализация технологий реализация технологий политик безопасности политик безопасности Среднесрочная перспектива Среднесрочная перспектива новые механизмы управления системами новые механизмы управления системами новые стратегии предоставления услуг новые стратегии предоставления услуг В долгосрочном плане В долгосрочном плане десятилетие фундаментальных исследований десятилетие фундаментальных исследований

56 Продукты и технологии Microsoft Для управления безопасностью

57 Доступные инструменты (бесплатно!) IIS Lockdown Tool IIS Lockdown Tool Настраивает параметры IIS 4.0/5.0 на противодействие различным типам атак Настраивает параметры IIS 4.0/5.0 на противодействие различным типам атак Выключает ненужные системные сервисы Выключает ненужные системные сервисы Закрывает доступ к системным командам Закрывает доступ к системным командам URLscan Tool URLscan Tool Фильтр ISAPI, который работает в IIS 4.0/5.0 Фильтр ISAPI, который работает в IIS 4.0/5.0 Блокирует потенциально опасные URL Блокирует потенциально опасные URL Полностью настраивается Полностью настраивается Microsoft Baseline Security Analyzer Проводит комплексный анализ безопасности серверов и рабочих станций в сети Проводит комплексный анализ безопасности серверов и рабочих станций в сети

58 Демонстрация Демонстрация IIS Lockdown Tool

59 MBSA Единое приложение для Windows 2000 и Windows XP Единое приложение для Windows 2000 и Windows XP Обеспечивает локальное и удаленное сканирование Windows NT 4, Windows 2000, и Windows XP Обеспечивает локальное и удаленное сканирование Windows NT 4, Windows 2000, и Windows XP Проверка основных «плохих» конфигураций и не установленных обновлений Проверка основных «плохих» конфигураций и не установленных обновлений Windows Windows Internet Information Server 4.0 и Internet Information Server 5.0 Internet Information Server 4.0 и Internet Information Server 5.0 SQL 7.0 и SQL 2000 SQL 7.0 и SQL 2000 Настольные приложения Настольные приложения Internet Explorer Internet Explorer Office Office Outlook Outlook

60 MBSA Стандартная и консольная версии Стандартная и консольная версии Показывает контрольную карточку-отчет Показывает контрольную карточку-отчет Общая оценка системы Общая оценка системы Сдан/Не сдан для каждой проверки Сдан/Не сдан для каждой проверки Пояснения и инструкции по устранению обнаруженных уязвимостей Пояснения и инструкции по устранению обнаруженных уязвимостей Утилита read-only – нет возможности удаленного управления компьютером Утилита read-only – нет возможности удаленного управления компьютером Пользователь должен обладать правами local administrator на каждом компьютере Пользователь должен обладать правами local administrator на каждом компьютере

61 MBSA Сценарий применения Администраторы могут проводить сканирование своей сети на предмет обнаружения уязвимостей OS и приложений с одного компьютера Администраторы могут проводить сканирование своей сети на предмет обнаружения уязвимостей OS и приложений с одного компьютера Индивидуальные отчеты с каждого компьютера сохраняются централизованно Индивидуальные отчеты с каждого компьютера сохраняются централизованно Домашние пользователи могут самостоятельно проверить свои компьютеры Домашние пользователи могут самостоятельно проверить свои компьютеры Администраторы могут использовать консольную версию для регулярных (по расписанию) проверок безопасности компьютеров в организации Администраторы могут использовать консольную версию для регулярных (по расписанию) проверок безопасности компьютеров в организации

62 Использование консольной версии MBSA

63 Демонстрация Демонстрация MBSA

64 MBSA подводя итоги MBSA обеспечивает… MBSA обеспечивает… Самый простой способ проверить один или несколько компьютеров на наличие уязвимостей и не установленные hotfixы Самый простой способ проверить один или несколько компьютеров на наличие уязвимостей и не установленные hotfixы Легкий в использовании графический интерфейс для помощи как обычным пользователям, так и ИТ-профи Легкий в использовании графический интерфейс для помощи как обычным пользователям, так и ИТ-профи Работа из командной строки (mbsacli.exe) – для регулярных проверок безопасности по расписанию Работа из командной строки (mbsacli.exe) – для регулярных проверок безопасности по расписанию

65 Corporate Update Server (бесплатно!) Клиент автоматического обновления Клиент автоматического обновления Автоматически сгружает и устанавливает критические заплатки Автоматически сгружает и устанавливает критические заплатки Заплатки для: безопасности, особо серьезных ошибок и драйвера для устройств, когда никаких драйверов не установлено для этого устройства Заплатки для: безопасности, особо серьезных ошибок и драйвера для устройств, когда никаких драйверов не установлено для этого устройства Проверяет сайт Windows Update или сервер Corporate Update каждый день Проверяет сайт Windows Update или сервер Corporate Update каждый день Устанавливает обновления по расписанию после загрузки Устанавливает обновления по расписанию после загрузки Настройка через политику безопасности Настройка через политику безопасности Поддерживаются Windows.NET Server, Windows XP и Windows 2000 Поддерживаются Windows.NET Server, Windows XP и Windows 2000 Сервер обновлений - Update server Сервер обновлений - Update server Вы можете разместить свой собственный Windows Update Server внутри предприятия Вы можете разместить свой собственный Windows Update Server внутри предприятия Сервер самостоятельно синхронизируется с сервером Windows Update и локально хранит все обновления для тех версий, которые есть на предприятии Сервер самостоятельно синхронизируется с сервером Windows Update и локально хранит все обновления для тех версий, которые есть на предприятии Простой интерфейс управления через IE Простой интерфейс управления через IE Обновления становятся доступны только после разрешения администратора Обновления становятся доступны только после разрешения администратора Работает на Windows.NET Server и Windows 2000 Server Работает на Windows.NET Server и Windows 2000 Server

66 Источники информации Сайт по безопасности Сайт по безопасности Office Officehttp://office.microsoft.com/ SQL Server SQL Serverhttp:// Exchange Server Exchange Serverhttp://

67 Интернет Безопасная инфраструктура Безопасность в Windows: Аутентификация Аутентификация ACL ACL Active Directory Active Directory ISA Server: Брандмауэр уровня предприятия и фильтрация на уровне приложений Серверные продукты работают с безопас- ностью Windows

68 Безопасность это путь… А не конечная станция Обучение и подготовка персонала Пройдите обучение на курсах Пройдите обучение на курсах Возможность противостоять Проанализируйте политики безопасности и измените их для соответствия реалиям сегодняшнего дня Проанализируйте политики безопасности и измените их для соответствия реалиям сегодняшнего дня Изучите и используйте Microsoft Operations Framework Изучите и используйте Microsoft Operations Framework Технологии, чтобы работать проще STPP для вас STPP для вас Microsoft продолжает инвестировать в свои продукты, а также в разработку новых методик их использования Microsoft продолжает инвестировать в свои продукты, а также в разработку новых методик их использования Используйте инструменты и новые технологии Используйте инструменты и новые технологии

69 Квартальная маркетинговая программа «Безопасность информационных систем» Срок действия 1 января – 31 марта Срок действия 1 января – 31 марта Раздел на сайте: Раздел на сайте: Специальные предложения: Специальные предложения: При покупке ПО по программе MYO – USB карта памяти Verbatim Personal Storage емкостью 64 Мб в подарок При покупке ПО по программе MYO – USB карта памяти Verbatim Personal Storage емкостью 64 Мб в подарок SA за полцены покупателям Windows 2000 Server или Small Business Server 2000 SA за полцены покупателям Windows 2000 Server или Small Business Server 2000

70

71 Вопросы? Microsoft Андрей Крючков Телефон: (095)