Программный комплекс "ИНСАЙДЕР"

В настоящее время огромное внимание в организациях уделяется вопросам информационной безопасности. Внедряются межсетевые экраны, средства антивирусной и антиспам защиты и многое другое. В основном все эти средства направлены на противодействие внешнему нарушителю, при этом нисколько не защищая от нарушителя внутреннего. Термин "внутренний нарушитель" будет раскрыт далее.
Стоит отметить, что на текущий момент защита от внутреннего нарушителя является одним из наиболее приорететных направлений обеспечения ИБ организации.

Основные факты

• Внутренний нарушитель представляет собой легитимного сотрудника организации, который обладает определенными правами на доступ к информационным ресурсам. Вследствие умышленных или ошибочных действий внутренний нарушитель может принести ущерб организации.
• По данным статистики около 80% нарушений приходиться на долю внутренних нарушителей.
• Все нарушения политики безопасности происходят вследствие недостаточного контроля за повседневной деятельностью пользователей.
• Сетевые системы обнаружения вторжений малоэффективны для обнаружения внутренних нарушений.
• Программный комплекс "Инсайдер" является полностью российской разработкой

Основные рекомендации

Для эффектвной защиты от внутреннего нарушителя в первую очередь необходимо принять некоторые организационные меры. К таким мерам можно отнести категоризацию информационных ресурсов, внедрение политик безопасности. Для формирования политик безопасности оптимальным решением является проведение аудита ИБ, а затем на основании результатов аудита - создание политик безопасности.

Хорошей практикой является использование международных стандартов по обеспечению информационной безопасности, таких как ISO 17799:2005, ISO/IEC 27001.

Возможные действия внутреннего нарушителя

Умышленные действия, связанные с работой вне рамок основной деятельности:

• простой в работе;
• использование программ, не обусловленных основной деятельностью, например: программист, активно работающий с графическим редактором Photoshop;
• использование игровых программ;
• интенсивная (относительно нормы) отправка и прием внутренних сообщений;
• интенсивная (относительно нормы) работа в сети Internet.

Умышленные действия, связанные с доступом к внутренней информации вне рамок основной деятельности:

• интенсивное (относительно нормы) чтение и просмотр информационных файлов;
• интенсивное (относительно нормы) копирование информации на внешние носители и другие узлы внутренней сети;
• отправка большого (относительно нормы) количества файлов на печать;
• отправка большого (относительно нормы) числа сообщений посредством E-mail;
• попытки изменения статуса пользователя;
• попытки подбора пароля для входа в защищенные приложения, области дискового пространства и т.д.

Умышленные действия, связанные с попытками изменения информационного наполнения системы:

• копирование информации с внешних носителей или из сети Internet на сервер или локальный хост;
• редактирование реестра;
• изменение конфигурационных файлов, программных продуктов, инсталлированных согласно регламенту;
• удаление файлов вне регламента;
• редактирование файлов вне регламента;
• деинсталляция и/или реинсталляции вне регламента установленных программных продуктов;
• удаление или замена системных файлов.

Неумышленные действия, связанные с недостаточным уровнем квалификации пользователя:

• запуск системных утилит;
• несистематизированные попытки изменения содержимого информационных и исполняемых файлов;
• нестандартные действия (относительно нормы) сетевого обмена – отправка большого числа пакетов, отправка больших объемов информации на печать и т.д.;
• попытки форматирования системных дисков.

Умышленные действия, направленные на деструкцию системы:

• запуск системных утилит, результат работы которых может привести к ущербу;
• изменение содержимого информационных и исполняемых файлов, в частности реестров и конфигурационных файлов;
• запуск посторонних приложений (в частности, с внешних носителей);
• попытки форматирования системных дисков;
• попытки отправки большого (относительно нормы) числа сообщений во внешние сети;
• изменение аппаратной конфигурации узла.

Инструментальные средства

В связи с тем, что система дает администратору безопасности мощный инструмент контроля нарушений, требуется тщательно проработанная программа административных мер. С использованием данных, представляемых системой, у администраторов и руководства организации появляются неоспоримые доказательства несанкционированной деятельности пользователей, и только с использованием вышеупомянутых мер возможно оперативное исправление возникших проблем.