Концепция глобального управления безопасностью (GSM)

Концепция позволяет построить эффективную систему иерархического управления безопасностью гетерогенной сети компании. Она разработана компанией TrustWorks Systems.

В основе централизованного управления безопасностью КИС лежит концепция GSM. На основе этой концепции строится комплексная система управления и защиты информационных ресурсов предприятия (КСУЗИРП), обладающая рядом важных свойств.

Свойства КСУЗИРП (слайд)

управление всеми существующими средствами защиты на базе политики безопасности;

определение всех ИР предприятия через единый (распределенный) каталог среды предприятия;

централизованное управление локальными средствами защиты информации;

строгая аутентификация объектов политики в среде предприятия с использованием специальных токенов и инфраструктуры открытых ключей;

расширенные возможности администрирования доступа к определенным в каталоге ресурсам предприятия или частям всего каталога;

обеспечение подотчетности аудита, мониторинга безопасности, тревожной сигнализации;

интеграция с системами общего управления, инфраструктурными системами безопасности (PKI, LAS, IDS).

Согласно данной концепции управление, основанное на политике безопасности – PBM, определяется как реализация набора правил управления, сформулированных для бизнес-объектов предприятия.

Система управления GSM должна удовлетворять следующим требованиям:

· ПБП представляет собой логически и семантически связанную, формируемую, редактируемую и анализируемую как единое целое структуру данных;

· ПБП определяется в едином контексте для всех уровней защиты как единое целое сетевой ПБ и ПБ информационных ресурсов предприятия;

· для облегчения администрирования ресурсов и ПБП число параметров политики минимизируется.

Система управления GSM обеспечивает разнообразные механизмы анализа ПБ за счет средств многокритериальной проверки соответствия ПБ формальным моделям концепции безопасности предприятия.

Политики безопасности

Глобальная политика безопасности (ГПБ) корпоративной сети представляет собой конечное множество правил безопасности, которые описывают параметры взаимодействия объектов корпоративной сети в рамках ИБ:

· необходимый для соединения сервис безопасности (правила обработки, защиты и фильтрации трафика);

· направление предоставления сервиса безопасности;

· правила аутентификации объектов;

· правила обмена ключами;

· правила записи результатов событий безопасности в системный журнал;

· правила сигнализации о тревожных событиях и др.

Объектами ГПБ могут быть как отдельные рабочие станции и подсети, так и группы объектов, которые включают в себя целые структурные подразделения компании или даже отдельные компании, входящие в холдинг.

Задачи защиты бизнес-объектов распределенной корпоративной системы можно сформулировать в виде блоков правил, поскольку сетевое взаимодействие можно представить как простую передачу информации между субъектом Subj и объектом Obj доступа на основе некоторого сетевого сервиса защиты SecSrv, настроенного при помощи параметров P. В результате ГПБ предприятия представляется как набор правил вида:

(Subj, Obj, SecSrv, P).

При этом отсутствие правила для объекта Obj означает запрет любого доступа к данному Obj.

Для простоты определения целей безопасности предприятия в GSM предусмотрено два типа объектов, выступающих в качестве Subj и Obj. Таковыми являются: пользователь (U) и ресурс (R).

Ресурс может быть информационным (IR) или сетевым (NR).

Пользователь и ресурс могут выступать в любой из форм агрегации, поддерживаемых в системе: группы, домены, роли, департаменты, разделы каталога).

Предположим, что существует правило (U, IR, S1), т.е. правило защиты S1, обеспечиваемое при доступе пользователя U к информационному ресурсу IR. Правило (IR1, IR2, S2) означает разрешение сетевого взаимодействия двух информационных модулей (программ) с необходимостью обеспечения свойств защиты S2.

Политика по умолчанию для доступа к любому защищаемому объекту корпоративной системы представляет собой запретительное правило: «ВСЕ, ЧТО НЕ РАЗРЕШЕНО ЯВНО – ЗАПРЕЩЕНО». Такое правило обеспечивает полноту защиты информации в сети предприятия и априорное отсутствие «дыр» в безопасности.

Для обеспечения взаимодействия устройств в сети, для них создается и доставляется стартовая конфигурация, содержащая необходимые правила настройки устройств только для их централизованного управления – стартовая политика безопасности устройства.

Правила ГПБ могут быть распространены как на сетевые взаимодействия, так и на функции контроля и управления самой системы.

Функционально правила ГПБ делятся на группы:

• правила VPN (реализуются при помощи протоколов IPSec) – (IP1, IP2, VPNRule);
• правила пакетной фильтрации (stateless и stateful) - (IP1, IP2, PacketRule);
• proxy-правила, включая антивирусную защиту «на лету» (отвечают за фильтрацию трафика, передаваемого под управлением заданных прикладных протоколов;
• правила аутентифицированного/авторизованного доступа, включая правила Single Sign-On, которые обеспечивают данному пользователю работу на едином пароле или другой аутентификационной информации (могут комбинированно исполняться агентами различного уровня);
• правила, отвечающие за сигнализацию и событийное протоколирование (исполнителями правила являются все компоненты системы).

Набор правил ГПБ является логически целостным и семантически полным описанием ПБ в масштабах сети, на основе которой может строиться локальная политика безопасности отдельных подсистем (устройств).

Локальная политика безопасности (ЛПБ) необходима любому средству защиты, реализующему какой-либо сервис ИБ. ЛПБ – точное описание настроек для корректной реализации правил аутентификации пользователей, управления доступом, защиты трафика и т.д.

После формирования ГПБ Центр управления на основе интерпретации ГПБ автоматически вычисляет и, при необходимости, корректирует отдельные ЛПБ для каждого средства защиты и автоматически загружает нужные настройки в управляющие модули соответствующих средств защиты.

В целом, ЛПБ сетевого устройства включает в себя полный набор правил разрешенных соединений данного устройства, исполняемых для обеспечения какой-либо информационной услуги с требуемыми свойствами защиты информации.

Различие между правилами, реализующими ГПБ в сети, и правилами, реализующими ЛПБ конкретного устройства, заключается в том, что в правилах группы ГПБ объекты и субъекты доступа могут быть распределены произвольным образом в пределах сети, а правила группы ЛПБ, включая субъекты и объекты ЛПБ, предназначены и доступны только в пределах пространства одного из сетевых устройств.