Управление информационно-технологической инфраструктурой санкт-Петербург 2011
Особенности управления ИТ-инфраструктурой с точки зрения информационной безопасности на основе стратегии Microsoft Trustworthy Computing
жүктеу/скачать 4.18 Mb.
|
- Бұл бет үшін навигация:
- Механизм управления групповыми политиками
- Управление авторизацией и аутентификацией пользователей
- Управление защитой коммуникаций
- Безопасность мобильных пользователей корпоративных систем
Особенности управления ИТ-инфраструктурой с точки зрения информационной безопасности на основе стратегии Microsoft Trustworthy ComputingВ параграфе, посвященном особенностям управления ИТ-инфраструктурой в условиях правоприменения законодательства в области защиты персональных данных мы уже коснулись такого вопроса управления ИТ-инфраструктурой как обеспечение информационной безопасности. Очевидно, что решения в этой области могут быть только комплексными, охватывающими все уровни компоненты ИТ-инфраструктуры, а значит требуют системного подхода к их проектированию, развертыванию и эксплуатации. В качестве примера такого системного подхода можно рассмотреть стратегию построения защищенных информационных систем (Trustworthy Computing), которую разрабатывает и поддерживает в своих программных решениях (в первую очередь в серверных версиях операционных систем Windows) компания Microsoft. Это долгосрочная стратегия, направленная на обеспечение более безопасной, защищенной и надежной работы с компьютерами для всех пользователей [2]. Концепция защищенных компьютерных построена на четырех принципах: безопасность, которая предполагает создание максимально защищенных ИТ-инфраструктур; конфиденциальность, которая подразумевает внедрение в их состав технологий и продуктов для защиты конфиденциальности на протяжении всего периода их эксплуатации; надежность, которая требует повышения уровня надежности процессов и технологий разработки программного обеспечения информационных систем; целостность деловых подходов направлена на укрепление доверия клиентов, партнеров, государственных учреждений. Для решения вопросов обеспечения информационной безопасности компания Microsoft предоставляет следующие технологии:
Механизм управления групповыми политикамиУправление групповыми политиками позволяет администраторам задавать конфигурацию операционных систем серверов и клиентских компьютеров. Реализуется эта функциональность с помощью оснастки «Редактор объектов групповой политики». 
Рисунок 3.13 Для компьютеров, входящих в домен Active Directory, используются групповые политики, определяющие политики безопасности, используемые в рамках сайта, домена или набора организационных единиц (OU – organizational units). Групповые политики и Active Directory позволяют:
При управлении безопасностью информационной системы предприятия групповая политика позволяет управлять контроллерами доменов и серверами, определять наборы параметров для конкретной группы пользователей, параметры защиты, сетевой конфигурации и ряд других параметров, применяемых к определенной группе компьютеров. Active Directory позволяет управлять через групповые политики любыми службами и компонентами на платформе Windows. Групповые политики Active Directory позволяют администраторам централизованно управлять ИТ-инфраструктурой предприятия. С помощью групповой политики можно создавать легко управляемую ИТ-инфраструктуру. Эти возможности позволяют снизить уровень ошибок пользователей при модификации параметров операционных систем и приложений, а также совокупную стоимость владения информационной системы, связанную с администрированием распределенных сетей. Групповая политика позволяет создать ИТ-инфраструктуру предприятия, ориентированную на потребности пользователей, сформированные в строгом соответствии с их должностными обязанностями и уровнем квалификации. Применение групповых политик и Active Directory для сайтов, доменов и организационных единиц необходимо реализовывать с учетом следующих правил:
При администрировании ИТ-инфраструктуры предприятия администраторы посредством механизма групповой политики могут производить настройку приложений, операционных систем, безопасность рабочей среды пользователей и информационных систем в целом. Для этого используются следующие возможности:
Для общего контроля применения групповой политики используются механизм WMI – фильтров (Windows Management Instrumentation). Данное решение позволяет администраторам создавать и модифицировать WMI – запросы для фильтрации параметров безопасности, определяемых групповыми политиками. WMI – фильтры позволяют динамически задавать область действия групповой политики на основе атрибутов целевого компьютера. 
Рисунок 3.14 Применение механизма групповой политики для ИТ-инфраструктуры предприятия способствует снижению сложности решения задач развертывания обновлений, установки приложений, настройки профилей пользователей и, в целом, администрирования информационной системы. Применение групповой политики в информационной системе предприятия дает следующие преимущества:
Управление авторизацией и аутентификацией пользователейМногие компоненты ИТ-инфраструктуры являются потенциально уязвимыми перед попытками неавторизованного доступа со стороны злоумышленников. Контроль и управление идентификацией пользователей может быть осуществлен на базе инфраструктуры открытых ключей. Инфраструктура открытых ключей PKI (public key infrastructure) – это системы цифровых сертификатов, центров сертификации CA (certification authorities) и других центров регистрации RA (registration authorities), которые идентифицируют (проверяют подлинность) каждой стороны, участвующей в электронной транзакции, с применением шифрования открытым ключом (public key). Службы сертификации (Certification Services) и средства управления сертификатами позволяют построить предприятию собственную инфраструктуру открытых ключей. 
Рисунок 3.15 Применение инфраструктуры открытых ключей обеспечивает следующие преимущества для информационной системы предприятия:
Управление защитой коммуникацийДля защиты коммуникаций предназначена технология IP-безопасности, базирующаяся на протоколе IPSec (IP Security). В корпоративной информационной системе данная технология должна обеспечивать защиту от:
Протокол IPSec представляет протокол транспортного уровня с защитой данных на основе шифрования, цифровой подписи и алгоритмов хеширования. Он обеспечивает безопасность на уровне отдельных IP-пакетов, что позволяет защищать обмен данными в общедоступных сетях и обмен данными между приложениями, не имеющими собственных средств безопасности. IPSec в Windows Server 2003 интегрирован с политиками безопасности Active Directory, что обеспечивает хорошую защищенность интрасетей и коммуникаций через Internet. В IPSec предусмотрены криптографические механизмы хеширования и шифрования для предупреждения атак. Протокол имеет следующие средства защиты:
При передаче данных с одного компьютера на другой по протоколу IPSec согласовывается уровень защиты, используемый в сеансе. В процессе согласования определяются методы аутентификации, хеширования, возможно туннелирования и шифрования. Секретные ключи для аутентификации создаются на каждом компьютере локально на основе информации, которой они обмениваются. Эта информация не передается по сети. После создания ключа выполняется аутентификация и инициируется сеанс защищенного обмена данными. Защита от вторжений должна обеспечить профилактические меры по защите компьютеров и данных. Эти задачи решает Microsoft ISA (Internet Security and Acceleration) Server, который включает в себя межсетевой экран прикладного уровня, поддержку виртуальных частных сетей (Virtual Public Netware – VPN), Web-кэширование, фильтры прикладного уровня,защищая корпоративные информационные системы от внутренних и внешних атак. Сервер выполняет динамическую проверку потока данных и расширенную фильтрацию различных протоколов Интернета на прикладном уровне, что позволяет противостоять угрозам, не обнаруживаемым традиционными межсетевыми экранами. ISA Server 2004 позволяет:
Задачи безопасности, а также надежности, масштабируемости, быстродействия при управлении Web-серверами обеспечиваются полнофункциональным Web-сервером Internet Information Services (IIS). Службы IIS базируются на архитектуре обработки запросов, которая реализует среду с изоляцией приложений. Это обеспечивает функционирование отдельных Web-приложений в собственном Web-процессе. При таком режиме работа приложений и сайтов реализуется обособлено рабочими процессами, полностью изолированными от ядра Web-сервера, что исключает их влияние друг на друга. В IIS включены разнообразные средства управления для администрирования и конфигурирования ИТ-инфраструктуры предприятия. Системные администраторы могут изменять параметры и отлаживать приложения во время работы служб. Решения Microsoft для обеспечения повышенной защиты от компьютерных атак и воздействия вредоносного ПО включают следующие продукты:
Безопасность мобильных пользователей корпоративных системДля безопасной работы мобильных пользователей используются следующие виды защиты:
При защите домена мобильные устройства должны отвечать требованиям аутентификации, применяемым на предприятии. Например, устройства, работающие под управлением Windows Mobile, поддерживают двухэтапную аутентификацию и позволяют применять стойкие пароли, биометрические технологии и сертификаты. Устройства с Windows Mobile можно интегрировать в существующую инфраструктуру открытых ключей. Защиту мобильных устройств, работающих под управлением Windows Mobile, поддерживают средства защиты, которые позволяют защищать информацию, хранящуюся на таких устройствах. Это предотвращает несанкционированный доступ к данным в случае утери или кражи мобильного устройства. В Windows Mobile в дополнение к поддержке строгих паролей встроены средства шифрования данных. Для защиты беспроводных соединений сетевые администраторы должны контролировать процесс доступа этих устройств к корпоративной сети предприятия. Кроме того информация, передаваемая по беспроводной сети должна шифроваться. Одним из решений по организации доступа сотрудников, находящихся вне предприятия, к корпоративной сети является организация виртуальной частной сети – VPN. Для контроля доступа к приложениям в серверной операционной системе имеется служба сетевого карантина (Windows Quarantine). Карантин используется в сети для проверки состояния клиента пред тем, как предоставить ему доступ к защищенным сетям. Карантинный фильтр на основании политики безопасности может запретить доступ и не разрешать его до тех пор пока настройки подключаемого компьютера не будут удовлетворять требованиям политики безопасности. Для применения карантина требуется, чтобы эта служба поддерживалась и клиентом и сервером аутентификации. Сервер терминалов (Terminal Server) позволяет с удаленных клиентских компьютеров получить через сеть доступ к приложениям, установленным на сервере. Сервер терминалов обеспечивает шифрование канала связи. Для аутентификации соединений со службами терминалов и шифрования коммуникаций с сервером терминалов применяется Secure Sockets Layer (SSL) / Transport Layer Security (TLS). SSL – протокол шифрованной передачи данных между клиентом и сервером, который требует сертификата, выданного одним из авторизованных центров. TLS — криптографический протокол, который обеспечивает безопасную передачу данных между узлами в сети Internet. SSL, используя криптографию, предоставляет возможности аутентификации и безопасной передачи данных через Internet. Часто происходит лишь аутентификация сервера, в то время как клиент остается неаутентифицированным. Для взаимной аутентификации каждая из сторон должна поддерживать инфраструктуру открытых ключей SSL включает в себя три основных фазы:
Для корректной работы аутентификации SSL (TLS) удаленные клиенты должны:
Управление безопасностью хранения данных Для защиты данных применяются технологии кластеризации, теневого копирования, а также службы управления правами и Data Protection Manager. Служба кластеров (Cluster Service, MSCS) обеспечивает высокую отказоустойчивость и масштабируемость для баз данных, коммуникационных систем, файловых служб и служб печати. В системе реализуется режим автоматического восстановления после сбоя, при котором в случае недоступности одного узла кластера обработку начинает проводить другой узел. Совместно со службой кластеров используется служба балансировки сетевой нагрузки (Network Load Balancing Service, NLBS), которая обеспечивает балансировку нагрузки, создаваемую IP-трафиком, между кластерами. Служба NLBS повышает отказоустойчивость и масштабируемость приложений, размещаемых на серверах в Internet (Web-серверах, серверах, передающих потоковую информацию, служб терминалов). Интеграция служб кластеризации с Active Directory позволяет проводить регистрацию в Active Directory «виртуального» объекта компьютера, поддерживать аутентификацию через Kerberos и обеспечивать тесную интеграцию с другими службами, публикующими информацию о себе в Active Directory. Теневое копирование общих папок в Windows Server 2003 помогает предотвратить случайную потерю данных и обеспечивает экономичный способ восстановления данных, утраченных в результате ошибки пользователя. При теневом копировании регулярно, через заданный интервал времени, создается теневые копии файлов и папок, хранящиеся в общих сетевых папках. Теневая копия представляет предыдущую версию файла или паки по состоянию на определенный момент времени. Теневые копии упрощают текущее восстановление поврежденных файлов, но они не заменяют процедуры резервного копирования, создания архивов, полнофункциональной системы восстановления данных. Теневые копии не обеспечивают защиту от потери данных при сбоях или повреждении физического носителя. Тем не менее восстановление данных из теневых копий уменьшает количество случаев, в которых приходится прибегать к восстановлению данных из архивов. Следует отметить, что теневые копии не предназначены для использования в качестве средств управления версиями документов. Это временные копии, автоматически создаваемые по расписанию. Microsoft System Center Data Protection Manager (DPM) предназначен для резервного копирования на диск. DPM обеспечивает постоянную эффективную защиту данных, быстрое и надежное их восстановление. Это реализуется путем использования репликации, а также инфраструктуры службы теневого копирования томов. Резервное копирование с использованием DPM может быть централизованным (копирование по схеме «диск-диск-лента в центре обработки данных») и децентрализованным (резервные копии передаются на центральный сервер DPM). При восстановлении данных могут выполняться следующие сценарии:
жүктеу/скачать 4.18 Mb. Достарыңызбен бөлісу:
|