3.5.4 Выбор мер и средств защиты информации от программно-математических воздействий

В состав подсистемы защиты от программно-математических воздействий (ПМВ) могут включаться весьма разнообразные меры и средства, общая классификация которых приведена на рисунке 3.7.

Рисунок 3.7 - Меры и средства защиты от программно-математического воздействия

Основными задачами, которые решаются этими подсистемами являются:

- активный аудит функционирования всех элементов ИСПДн, в том числе контроль и анализ действий пользователей, операционной системы, СУБД, других приложений на всех участках ИСПДн, формирование статистических данных о функционировании;

- анализ элементов ИСПДн на наличие уязвимостей, определение ошибок в конфигурации и (возможно) их исправление;

- распознавание образцов действий (сигнатур ПМВ), совпадающих с известными воздействиями (обнаружение существующих типов воздействий), и оповещение о факте ПМВ;

- оценка целостности операционной системы, СУБД, файлов баз данных, в частности, выявление изменений файлов данных;

- хранение и постоянное обновление сигнатур известных ПМВ;

- обеспечение администраторов безопасности информации данными о уже происшедших попытках ПМВ, с целью ускорить диагностику функционирования оборудования и программного обеспечения, а при необходимости и восстановление рабочего состояния подвергшейся воздействию отдельной рабочей станции или сети в целом;

- тестирование самой системы обнаружения ПМВ;

- оперативное блокирование функционирования элементов ИСПДн при обнаружении опасных ПМВ и др.

Основными принципами построения таких подсистем являются:

- принцип структурного соответствия, который обусловливает необходимость проверки всех элементов ИСПДн на наличие уязвимостей, которые могут быть использованы для осуществления ПМВ. В соответствии с этим принципом элементы подсистемы защиты от ПМВ должны быть распределены по всем категориям защищаемых ресурсов, включая файлы баз и хранилищ данных, СУБД, ОС, коммуникационное оборудование, используемое для передачи данных и т.п.;

- принцип эшелонирования, заключающийся в использовании комплекса программно-аппаратных средств, частично дублирующих функции друг друга на различных рубежах возникновения и реализации ПМВ. Это позволяет осуществить обнаружение и фиксацию ПМВ даже в случае успешного преодоления одного из компонентов подсистемы защиты от ПМВ;

- принцип сочетания централизованного и децентрализованного управления, обусловливающий необходимость реализации возможности как удаленного, так и локального управления защитой от ПМВ, управления, как с централизованного пункта управления, так и с любой консоли, а также переключения с одного пункта управления на другой в автоматизированном режиме без вмешательства оператора;

- принцип гибкости настройки и управления элементами подсистемы защиты от ПМВ, обусловливающий возможность настройки ее под конкретные требования различных пользователей с формированием параметров обнаружения, созданием собственных контролируемых событий, заданием приоритетов для обнаруживаемых уязвимостей и воздействий, формированием параметров генерации отчетов и т.д.;

- принцип обеспечения защиты и самотестирования самой подсистемы защиты от ПМВ, обусловливающий необходимость защиты ее от несанкционированных воздействий, так как выведение такой подсистемы из строя чревато снижением защищенности всей ИСПДн, и необходимость наличия механизма тестирования правильного функционирования элементов подсистемы, особенно элементов, установленных на большом расстоянии от пункта управления;

- принцип интеграции с другими программными и программно-аппаратными средствами, заключающийся в том в том, элементы подсистемы защиты от ПМВ должны иметь возможность интегрироваться с операционной системой, СУБД, другим программным обеспечением ИСПДн, а также с прикладными программами общего пользования и другими компонентами СЗИ;

- принцип масштабируемости обусловливает отмеченной выше необходимостью наращивания состава и возможностей подсистемы защиты от ПМВ, изменения ее конфигурации с расширением ИСПДн или наращиванием СЗИ. Одним из приемов обеспечения масштабируемости является формирование подсистемы по модульному принципу, обеспечивающему возможность быстрого ее реконфигурирования, причем типы модулей и их конкретный состав должен варьироваться в широких пределах. Для сопряжения модулей подсистемы должны использоваться общепринятые стандарты, форматы данных и протоколы и предусмотрена возможность включение в состав подсистемы модулей, удовлетворяющих принятым требованиям, даже если на момент разработки и внедрения таких модулей еще не было;

- принцип независимости от контролируемых средств, обусловливающего необходимость того, что, во-первых, внедрение подсистемы защиты от ПМВ не должно приводить к срыву работы ИСПДн в целом или к существенному (заметному для пользователей) снижению производительности ее работы и, во-вторых, в ряде случаев, в программном отношении подсистема защиты от ПМВ должна представлять собой самостоятельную систему со своим операционным ядром, содержащим набор программно-аппаратных средств, обеспечивающих своевременное обнаружение ПМВ на информации в ИСПДн.

- принцип адаптивности и самообучения, обусловливающий динамическое пополнение базы данных об уязвимостях, сигнатурах вредоносных программ и модификацию подсистемы защиты от ПМВ при появлении новых уязвимостей.

Реализация указанных принципов позволяет сформировать предпосылки для создания подсистемы защиты от ПМВ, способной обеспечить эффективное выполнение сформулированных задач.