ВВЕДЕНИЕ
В Федеральном законе «О землеустройстве» записано, что землеустройство - это мероприятия по изучению состояния земель, планированию и организации рационального использования земель и их охраны, образованию новых и упорядочению существующих объектов землеустройства и установлению их границ на местности (территориальное землеустройство), организации рационального использования гражданами и юридическими лицами земельных участков для осуществления сельскохозяйственного производства, а также по организации территорий, используемых общинами коренных малочисленных народов Севера, Сибири и Дальнего Востока Российской Федерации и лицами, относящимися к коренным малочисленным народам Севера, Сибири и Дальнего Востока Российской Федерации, для обеспечения их традиционного образа жизни (внутрихозяйственное землеустройство).
То есть существует два вида землеустройства:
- 1) внутрихозяйственное землеустройство;
- 2) межхозяйственное (территориальное) землеустройство.
Они отличаются друг от друга целями, характером, содержанием, методикой, но выполняют единый общий комплекс задач - организацию использования и охрану земли.
Более подробно об этих видах землеустройства будет рассказано далее.
МЕЖХОЗЯЙСТВЕННОЕ ЗЕМЛЕУСТРОЙСТВО
Отграничение земель по формам собственности, по категориям земель, образование и изменение землевладений и землепользовании, их размещение на территории, распределение и перераспределение земель внутри отраслей и между отдельными землевладениями и землепользователями осуществляются посредством межхозяйственного землеустройства (МХЗ).Оно включает землеустроительные действия по использованию и охране земель на территории нескольких пространственно взаимосвязанных предприятий, организаций, учреждений и граждан не только АПК, но и всех отраслей народного хозяйства, а также размежеванию земель по формам собственности. В результате МХЗ изменяются форма собственности, порядок, условия, права и обязанности землевладельцев и землепользователей в отношении тех или иных земельных участков. В этой связи понятие межхозяйственного землеустройства можно сформулировать следующим образом:
Межхозяйственное землеустройство - это система или совокупность экономических, социальных, правовых и технических мероприятий по распределению и перераспределению земель между собственниками, отраслями народного хозяйства, предприятиями, организациями, учреждениями и гражданами внутри отраслей при помощи юридических и технических действий.
Задачами межхозяйственного землеустройства являются:
- 1. Создание наилучших условий для организации рационального использования земли во всех отраслях народного хозяйства, а также создание равных условий для развития всех форм хозяйствования.
- 2. Создание территориальных условий для организации производства.
- 3. Разработка предложений по установлению режима и условий использования земель, обременении и сервитутов на земельные участки, предоставленные в собственность, владение, пользование, аренду.
- 1. Отграничение или размежевание земель по формам собственности.
- 2. Распределение и перераспределение земель по категориям земель отраслей народного хозяйства.
- 3. Образование и изменение землевладений, землепользовании с/х предприятий, организаций, учреждений и граждан.
- 4. Устранение недостатков землевладений и землепользовании.
- 5. Отвод и изъятие земель в связи с изменением их целевого назначения и использования.
- 6. Упорядочение использования земель, переданных в ведение сельских администраций и других муниципальных образований.
- 7. Выявление и освоение новых земель.
- 8. Установление черты городов и других населенных пунктов.
- 9. Предоставление земельных участков для строительства крупных предприятий, водохранилищ, линейных сооружений.
Разновидности, факторы и принципы МХЗ
Разновидностями межхозяйственного землеустройства являются:
- 1. Размежевание земель по формам собственности.
- 2. Организация и изменение землепользовании с/х предприятий.
- 3. Организация и изменение землепользовании предприятий несельскохозяйственного назначения.
В основу разделения положены отличия в формах земельной собственности и в целевом назначении основных категорий земель земельного фонда, а также в характере использования земли в сельском и других отраслях народного хозяйства.
Всякое изменение, которое необходимо внести в размер собственности, в то или иное землевладение и землепользование, должно быть всесторонне обосновано, т. е. необходимость проведения межхозяйственного землеустройства вызывается определенными причинами (факторами).
Факторами для проведения работ по разграничению (размежеванию) земель по формам собственности являются:
- 1. Введение в России государственной и частной форм земельной собственности.
- 2. Отнесение земельных участков к различным формам собственности.
- 3. Потребность установления их границ на местности.
В сельском хозяйстве факторами межхозяйственного землеустройства являются:
- 1. Наличие недостатков или неудобств в размещении землевладений и землепользовании и расположении их границ.
- 2. Несоответствие размеров хозяйства размерам производства.
- 3. Изменение специализации и концентрации с/х производства.
- 4. Расширение площадей интенсивных угодий.
- 5. Необходимость организации крестьянского или фермерского хозяйства.
- 6. Развитие межхозяйственной кооперации и социального развития села.
- 7. Охрана земли и других природных ресурсов.
- 8. Потребность выделения земель для животноводства, садоводства и огородничества.
Главный фактор межхозяйственного землеустройства во всех отраслях несельскохозяйственного назначения - необходимость организации предприятия, проложения различных линейных коммуникаций, для деятельности которых требуется земля.
Основными принципами межхозяйственного землеустройства являются:
- 1. Точное соблюдение земельного законодательства, укрепление устойчивости землевладений и землепользовании и определенности их границ.
- 2. Обеспечение рационального и эффективного использования земель и приоритета в сельском хозяйстве.
- 3. Создание условий для успешного выполнения всеми землепользователями и собственниками задач повышения эффективности производства и уровня социального развития.
- 4. Создание условий для последующей правильной организации территории сельскохозяйственных предприятий и планировки территорий несельскохозяйственных объектов.
- 5. Обеспечение охраны земель и других природных ресурсов.
С точки зрения информационной безопасности криптографические ключи являются критически важными данными. Если раньше, чтобы обокрасть компанию, злоумышленникам приходилось проникать на ее территорию, вскрывать помещения и сейфы, то теперь достаточно похитить токен с криптографическим ключом и сделать перевод через систему Интернет Клиент-Банк. Фундаментом обеспечения безопасности с помощью систем криптографической защиты информации (СКЗИ) является поддержание конфиденциальности криптографических ключей.
А как обеспечить конфиденциальность того, о существования чего вы не догадываетесь? Чтобы убрать токен с ключом в сейф, надо знать о существовании токена и сейфа. Как это не парадоксально звучит, очень мало компаний обладают представлением о точном количестве ключевых документов, которыми они пользуются. Это может происходить по целому ряду причин, например, недооценка угроз информационной безопасности, отсутствие налаженных бизнес-процессов, недостаточная квалификация персонала в вопросах безопасности и т.д. Вспоминают про данную задачу обычно уже после инцидентов, таких как например этот .
В данной статье будет описан первый шаг на пути совершенствования защиты информации с помощью криптосредств, а если точнее, то рассмотрим один из подходов к проведению аудита СКЗИ и криптоключей. Повествование будет вестись от лица специалиста по информационной безопасности, при этом будем считать, что работы проводятся с нуля.
Термины и определения
В начале статьи, дабы не пугать неподготовленного читателя сложными определениями, мы широко использовали термины криптографический ключ или криптоключ, теперь настало время усовершенствовать наш понятийный аппарат и привести его в соответствие действующему законодательству. Это очень важный шаг, поскольку он позволит эффективно структурировать информацию, полученную по результатам аудита.
- Криптографический ключ (криптоключ) - совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе (определение из «розовой инструкции – Приказа ФАПСИ № 152 от от 13 июня 2001 г. , далее по тексту – ФАПСИ 152).
- Ключевая информация
- специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока [ФАПСИ 152].
Понять принципиальное отличие между криптоключем и ключевой информации можно на следующем примере. При организации HTTPS, генерируются ключевая пара открытый и закрытый ключ, а из открытого ключа и дополнительной информации получается сертификат. Так вот, в данной схеме совокупность сертификата и закрытого ключа образуют ключевую информацию, а каждый из них по отдельности является криптоключом. Тут можно руководствоваться следующим простым правилом – конечные пользователи при работе с СКЗИ используют ключевую информацию, а криптоключи обычно используют СКЗИ внутри себя. В тоже время важно понимать, что ключевая информация может состоять из одного криптоключа. - Ключевые документы
- электронные документы на любых носителях информации, а также документы на бумажных носителях, содержащие ключевую информацию ограниченного доступа для криптографического преобразования информации с использованием алгоритмов криптографического преобразования информации (криптографический ключ) в шифровальных (криптографических) средствах. (определение из Постановления Правительства № 313 от от 16 апреля 2012 г. , далее по тексту – ПП-313)
Простым языком, ключевой документ - это ключевая информация, записанная на носителе. При анализе ключевой информации и ключевых документов следует выделить, что эксплуатируется (то есть используется для криптографических преобразований – шифрование, электронная подпись и т.д.) ключевая информация, а передаются работникам ключевые документы ее содержащие. - Средства криптографической защиты информации (СКЗИ)
– средства шифрования, средства имитозащиты, средства электронной подписи, средства кодирования, средства изготовления ключевых документов, ключевые документы, аппаратные шифровальные (криптографические) средства, программно-аппаратные шифровальные (криптографические) средства. [ПП-313]
При анализе данного определения можно обнаружить в нем наличие термина ключевые документы. Термин дан в Постановлении Правительства и менять его мы не имеем права. В тоже время дальнейшее описание будет вестись из расчета что к СКЗИ будут относится только средства осуществления криптографических преобразований). Данный подход позволит упростить проведение аудита, но в тоже время не будет сказываться на его качестве, поскольку ключевые документы мы все равно все учтем, но в своем разделе и своими методами.
Методика аудита и ожидаемые результаты
Основными особенностями предлагаемой в данной статье методике аудита являются постулаты о том, что:
- ни один работник компании не может точно ответить на вопросы, задаваемые в ходе аудита;
- существующие источники данных (перечни, реестры и др.) не точны или слабо структурированы.
Приведем основные зависимости, которые нам в этом помогут:
- Если есть СКЗИ, то есть и ключевая информация.
- Если есть электронный документооборот (в том числе с контрагентами и регуляторами), то скорее всего в нем применяется электронная подпись и как следствие СКЗИ и ключевая информация.
- Электронный документооборот в данном контексте следует понимать широко, то есть к нему будут относится, как непосредственный обмен юридически значимыми электронными документами, так и сдача отчетности, и работа в платежных или торговых системах и так далее. Перечень и формы электронного документооборота определяются бизнес-процессами компании, а также действующим законодательством.
- Если работник задействован в электронном документообороте, то скорее всего у него есть ключевые документы.
- При организации электронного документооборота с контрагентами обычно выпускаются организационно-распорядительные документы (приказы) о назначении ответственных лиц.
- Если информация передается через сеть Интернет (или другие общественные сети), то скорее всего она шифруется. В первую очередь это касается VPN и различных систем удаленного доступа.
- Если в сетевом трафике обнаружены протоколы, передающие трафик в зашифрованном виде, то применяются СКЗИ и ключевая информация.
- Если производились расчеты с контрагентами, занимающимися: поставками средств защиты информации, телекоммуникационных устройств, оказанием услуг по передаче отёчности, услуг удостоверяющих центров, то при данном взаимодействии могли приобретаться СКЗИ или ключевые документы.
- Ключевые документы могут быть как на отчуждаемых носителях (дискетах, флешках, токенах, …), так и записаны внутрь компьютеров и аппаратных СКЗИ.
- При использовании средств виртуализации, ключевые документы могут храниться как внутри виртуальных машин, так и монтироваться к виртуальным машинам с помощью гипервизора.
- Аппаратные СКЗИ могут устанавливаться в серверных и быть недоступны для анализа по сети.
- Некоторые системы электронного документооборота могут находится в неактивном или малоактивном виде, но в тоже время содержать активную ключевую информацию и СКЗИ.
- Внутренняя нормативная и организационно-распорядительная документация может содержать сведения о системах электронного документооборота, СКЗИ и ключевых документов.
- опрашивать работников;
- проводить анализ документации компании, включая внутренние нормативные и распорядительные документы, а также исходящие платежные поручения;
- проводить визуальный анализ серверных комнат и коммуникационных шкафов;
- проводить технических анализ содержимого автоматизированных рабочих мест (АРМ), серверов и средств виртуализации.
Перечень СКЗИ:
- Модель СКЗИ . Например, СКЗИ Крипто CSP 3.9, или OpenSSL 1.0.1
- Идентификатор экземпляра СКЗИ . Например, серийный, лицензионный (или регистрационный по ПКЗ-2005) номер СКЗИ
- Сведения о сертификате ФСБ России на СКЗИ , включая номер и даты начала и окончания сроков действия.
- Сведения о месте эксплуатации СКЗИ . Например, имя компьютера на которое установлено программное СКЗИ, или наименование технических средств или помещения где установлены аппаратные СКЗИ.
- Управлять уязвимостями в СКЗИ, то есть быстро их обнаруживать и исправлять.
- Отслеживать сроки действия сертификатов на СКЗИ, а также проверять используется ли сертифицированное СКЗИ в соответствии с правилами, установленными документацией или нет.
- Планировать затраты на СКЗИ, зная сколько уже находится в эксплуатации и сколько еще есть сводных средств.
- Формировать регламентную отчетность.
По каждому элементу перечня фиксируем следующие данные:
- Наименование или идентификатор ключевой информации . Например, «Ключ квалифицированной ЭП. Серийный номер сертификата 31:2D:AF», при этом идентификатор следует подбирать таким образом, чтобы по нему можно было найти ключ. Например, удостоверяющие центры, когда посылают уведомления обычно идентифицируют ключи по номерам сертификатов.
- Центр управления ключевой системой (ЦУКС) , выпустивший данную ключевую информацию. Это может быть организация выпустившая ключ, например, удостоверяющий центр.
- Физическое лицо , на имя которого выпущена ключевая информация. Эту информацию можно извлечь из полей CN сертификатов X.509
- Формат ключевой информации . Например, СКЗИ КриптоПРО, СКЗИ Верба-OW, X.509 и т.д (или другими словами для использования с какими СКЗИ предназначена данная ключевая информация).
- Назначение ключевой информации . Например, «Участие в торгах на площадке Сбербанк АСТ», «Квалифицированная электронная подпись для сдачи отчетности» и т.д. С точки зрения техники, в данном поле можно фиксировать органичения зафиксированные полях extended key usage и др сертификатов X.509.
- Начало и окончание сроков действия ключевой информации .
- Порядок перевыпуска ключевой информации . То есть знания о том, что нужно делать и как, при перевыпуске ключевой информации. По крайней мере желательно фиксировать контакты должностных лиц ЦУКС, выпустившего ключевую информацию.
- Перечень информационных систем, сервисов или бизнес-процессов в рамках которых используется ключевая информация . Например, «Система дистанционного банковского обслуживания Интернет Клиент-Банк».
- Отслеживать сроки действия ключевой информации.
- В случае необходимости быстро перевыпускать ключевую информацию. Это может понадобится как при плановом, так при внеплановом перевыпуске.
- Блокировать использование ключевой информации, при увольнении работника на которого она выпущена.
- Расследовать инциденты информационной безопасности, отвечая на вопросы: «У кого были ключи для совершения платежей?» и др.
По каждому элементу перечня фиксируем следующие данные:
- Ключевая информация , содержащаяся в ключевом документе.
- Носитель ключевой информации , на который записана ключевая информация.
- Лицо , ответственное за сохранность ключевого документа и конфиденциальность содержащейся в нем ключевой информации.
- Перевыпускать ключевую информацию в случаях: увольнения работников, обладающих ключевыми документами, а также при компрометации носителей.
- Обеспечивать конфиденциальность ключевой информации, путем инвентаризации носителей ее содержащих.
План аудита
Настало время рассмотреть практически особенности проведения аудита. Сделаем это на примере кредитно-финансовой организации или другими словами на примере банка. Данный пример выбран не случайно. Банки используют довольно большое число разношерстных систем криптографической защиты, которые задействованы в гигантском количестве бизнес-процессов, да и к тому же практически все банки являются Лицензиатами ФСБ России по криптографии. Далее в статье будет представлен план аудита СКЗИ и криптоключей, применительно к Банку. В тоже время данный план может быть взят за основу при проведении аудита практически любой компании. Для удобство восприятия план разбит на этапы, которые в свою очередь свернуты в сполйеры.
Этап 1. Сбор данных с инфраструктурных подразделений компании
№ | Действие | |
Источник – все работники компании | ||
1 | Делаем рассылку по корпоративной почте всем работниками компании с просьбой сообщить в службу информационной безопасности обо всех используемых ими криптографических ключах | Получаем электронные письма, на базе которых формируем перечень ключевой информации и перечень ключевых документов |
Источник – Руководитель Службы информационных технологий | ||
1 | Запрашиваем перечень ключевой информации и ключевых документов | С некоторой вероятностью Служба ИТ ведет подобные документы, будем использовать их для формирования и уточнения перечней ключевой информации, ключевых документов и СКЗИ |
2 | Запрашиваем перечень СКЗИ | |
3 | Запрашиваем реестр ПО, установленного на серверах и рабочих станциях | В данном реестре ищем программные СКЗИ и их компоненты. Например, КриптоПРО CSP, Верба-OW, Signal-COM CSP, Сигнатура, PGP, ruToken, eToken, КритоАРМ и др. На базе этих данных формируем перечень СКЗИ. |
4 | Запрашиваем перечень работников (вероятно техническая поддержка), помогающих пользователям по использованию СКЗИ и перевыпуску ключевой информации. | Запрашиваем у данных лиц аналогичную информацию, что и у системных администраторов |
Источник – системные администраторы Службы информационных технологий | ||
1 | Запрашиваем перечень отечественных криптошлюзов (VIPNET, Континент, S-terra и др.) | В случаях, когда в компании не реализованы регулярные бизнес процессы управления ИТ и ИБ, подобные вопросы могут помочь вспомнить системным администраторам о существовании того или иного устройства или ПО. Используем данную информацию для получения перечня СКЗИ. |
2 | Запрашиваем перечень отечественных программных СКЗИ (СКЗИ МагПро КриптоПакет, VIPNET CSP, CryptonDisk, SecretDisk, …) | |
3 | Запрашиваем перечень маршрутизаторов, реализующих VPN для: а) связи офисов компании; б) взаимодействия с контрагентами и партнерами. |
|
4 | Запрашиваем перечень информационных сервисов, опубликованных в Интернет (доступных из Интернет). Они могу включать: а) корпоративную электронную почту; б) системы обмена мгновенными сообщениями; в) корпоративные web-сайты; г) сервисы для обмена информации с партнерами и контрагентами (extranet); д) системы дистанционного банковского обслуживания (если компания – Банк); е) системы удаленного доступа в сеть компании. Для проверки полноты предоставленных сведений сверяем их с перечнем правил Portforwarding пограничных межсетевых экранов. |
Анализируя полученную информацию с высокой вероятностью можно встретить использование СКЗИ и криптоключей. Используем полученные данные для формирования перечня СКЗИ и ключевой информации. |
5 | Запрашиваем перечень информационных систем, используемых для сдачи отчетности (Такском, Контур и т. д.) | В данных системах используются ключи квалифицированной электронной подписи и СКЗИ. Через данный перечень формируем перечень СКЗИ, перечень ключевой информации, а также узнаем работников, пользующихся этими системами для формирования перечня ключевых документов. |
6 | Запрашиваем перечень систем внутреннего электронного документооборота (Lotus, DIRECTUM, 1С: Документооборот и др.), а также перечень их пользователей. | В рамках внутренних систем электронного документооборота могут встретиться ключи электронной подписи. На основании полученной информации формируем перечень ключевой информации и перечень ключевых документов. |
7 | Запрашиваем перечень внутренних удостоверяющих центров. | Средства, используемые для организации удостоверяющих центров, фиксируем в перечне СКЗИ. В дальнейшем будем анализировать содержимое баз данных удостоверяющих центров для выявления ключевой информации. |
8 | Запрашиваем информацию об использовании технологий: IEEE 802.1x, WiFiWPA2 Enterprise и систем IP-видеонаблюдения | В случае использования данных технологий мы можем обнаружить в задействованных устройствах ключевые документы. |
Источник – Руководитель кадровой службы | ||
1 | Просим описать процесс приема и увольнение работников. Фокусируемся на вопросе о том, кто забирает у увольняющихся работников ключевые документы | Анализируем документы (обходные листы) на предмет наличия в них информационных систем в которых могут использоваться СКЗИ. |
Этап 2. Сбор данных с бизнес-подразделений компании (на примере Банка)
№ | Действие | Ожидаемый результат и его использование |
Источник – Руководитель служба расчетов (корреспондентских отношений) | ||
1 | Просим предоставить схему организации взаимодействия с платежной системой Банка России. В частности, это будет актуально для Банков, имеющих развитую филиальную сеть, при которой филиалы могут подключать в платежную систему ЦБ напрямую | На базе полученных данных определяем местоположение платежных шлюзов (АРМ КБР, УТА) и перечень задействованных пользователей. Полученную информацию используем для формирования перечня СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем перечень Банков, с которыми установлены прямые корреспондентские отношения, а также просим рассказать кто занимается осуществлением переводов и какие технические средства используются. | |
3 | Запрашиваем перечень платежных систем, в которых участвует Банк (SWIFT, VISA, MasterCard, НСПК, и т.д), а также месторасположение терминалов для связи | Аналогично, как для платежной системы Банка России |
Источник – Руководитель подразделения, отвечающего за предоставление дистанционных банковских услуг | ||
1 | Запрашиваем перечень систем дистанционного банковского обслуживания. | В указанных системах анализируем использование СКЗИ и ключевой информации. На основании полученных данных формируем перечень СКЗИ и ключевой информации и ключевых документов. |
Источник – Руководитель подразделения, отвечающего за функционирование процессинга платежных карт | ||
1 | Запрашиваем реестр HSM | На базе полученной информации формируем перечень СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем реестр офицеров безопасности | |
4 | Запрашиваем информацию о компонентах LMK HSM | |
5 | Запрашиваем информацию об организации систем типа 3D-Secure и организации персонализации платежных карт | |
Источник – Руководители подразделений, выполняющих функции казначейства и депозитария | ||
1 | Перечень банков, с которыми установлены корреспондентские отношения и которые участвую в межбанковском кредитовании. | Используем полученную информацию для уточнения ранее полученных данных от службы расчетов, а также фиксируем информацию о взаимодействии с биржами и депозитариями. На базе полученной информации формируем перечень СКЗИ и ключевой информации. |
2 | Перечень бирж и специализированных депозитариев с которыми работает Банк | |
Источник – Руководители служб финансового мониторинга и подразделений ответственных за сдачу отчетности в Банк России | ||
1 | Запрашиваем информацию о том, как они отправляют сведения и получают сведения из ЦБ. Перечень задействованных лиц и технических средств. | Информационное взаимодействие с Банком России жестко регламентировано соответствующими документами, например, 2332-У, 321-И и многими другими, проверяем соответствие этим документам и формируем перечни СКЗИ, ключевой информации и ключевых документов. |
Источник – Главный бухгалтер и работники бухгалтерии, занимающиеся оплатой счетов по внутрибанковским нуждам | ||
1 | Запрашиваем информацию, о том, как происходит подготовка и сдача отчетности в налоговые инспекции и Банк России | Уточняем ранее полученные сведения |
2 | Запрашиваем реестр платежных документов, для оплаты внутрибанковских нужд | В данном реестре будем искать документы где: 1) в качестве адресатов платежей указаны удостоверяющие центры, специализированные операторы связи, производители СКЗИ, поставщики телекоммуникационного оборудования. Наименования данных компаний можно получить из Реестра сертифицированных СКЗИ ФСБ России, перечня аккредитованных удостоверяющих центров Минкомсвязи и других источников. 2) в качестве расшифровки платежа присутствуют слова: «СКЗИ», «подпись», «токен», «ключевой», «БКИ» и т. д. |
Источник – Руководители служб по работе с просроченной задолженностью и управления рисков | ||
1 | Запрашиваем перечень бюро кредитных историй и коллекторских агентств, с которыми работает Банк. | Совместно со службой ИТ анализируем полученные данные с целью выяснения организации электронного документооборота, на базе чего уточняем перечни СКЗИ, ключевой информации и ключевых документов. |
Источник – Руководители служб документооборота, внутреннего контроля и внутреннего аудита | ||
1 | Запрашиваем реестр внутренних организационно распорядительных документов (приказов). | В данных документах ищем документы, относящиеся к СКЗИ. Для этого анализируем наличие ключевых слов «безопасность», «ответственное лицо», «администратор», «электронная подпись», «ЭП», «ЭЦП», «ЭДО», «АСП», «СКЗИ» и их производных. После чего выявляем перечень работников Банка зафиксированных в этих документах. Проводим с работниками интервью на тему использования ими криптосредств. Полученную информацию отражаем в перечнях СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем перечни договоров с контрагентами | Стараемся выявить договора об электронном документообороте, а также договора с компаниями, занимающимися поставной средств защиты информации или оказывающими услуги в этой области, а также компаниями, предоставляющими услуги удостоверяющих центров и услуги сдачи отчетности через Интернет. |
3 | Анализируем технологию хранения документов дня в электронном виде | При реализации хранения документов дня в электронном виде обязательно применяются СКЗИ |
Этап 3. Технический аудит
№ | Действие | Ожидаемый результат и его использование |
1 | Проводим техническую инвентаризацию ПО установленного на компьютерах. Для этого используем: · аналитические возможности корпоративных систем антивирусной защиты (например, Антивирус Касперского умеет строить подобный реестр). · скрипты WMI для опроса компьютеров под управлением ОС Windows; · возможности пакетных менеджеров для опроса *nix систем; · специализированное ПО для инвентаризации. |
Среди установленного ПО ищем программные СКЗИ, драйвера для аппаратных СКЗИ и ключевых носителей. На базе полученной информации обновляем перечень СКЗИ. |
2 | Осуществляем поиск ключевых документов на серверах и рабочих станциях. Для этого · Logon-скриптами опрашиваем АРМ в домене на предмет наличия сертификатов с закрытыми ключами в профилях пользователей и профилях компьютера. · На всех компьютерах, файловых серверах, гипервизорах ищем файлы с расширениями: crt, cer, key, pfx, p12, pem, pse, jks и др. · На гипервизорах систем виртуализации ищем примонтированные дисководы и образы дискет. |
Очень часто ключевые документы представлены в виде файловых ключевых контейнеров, а также контейнерами, хранящимися в реестрах компьютеров, работающих под управлением ОС Windows. Найденные ключевые документы фиксируем в перечне ключевых документов, а содержащеюся в них ключевую информацию в перечне ключевой информации. |
3 | Анализируем содержание баз данных удостоверяющих центров | Базы данных удостоверяющих центров обычно содержат в себе данные о выпущенных этим центрами сертификатов. Полученную информацию заносим в перечень ключевой информации и перечень ключевых документов. |
4 | Проводим визуальный осмотр серверных комнат и коммутационных шкафов, ищем СКЗИ и аппаратные ключевые носители (токены, дисководы) | В некоторых случаях, невозможно провести инвентаризацию СКЗИ и ключевых документов по сети. Системы могут находится в изолированных сетевых сегментах, либо вообще не иметь сетевых подключений. Для этого проводим визуальный осмотр, в результатах которого должно быть установлены названия и назначение всего оборудования, представленного в серверных. Полученную информацию заносим в перечень СКЗИ и ключевых документов. |
5 | Проводим анализ сетевого трафика, с целью выявления информационных потоков, использующих шифрованный обмен | Шифрованные протоколы – HTTPS, SSH и др. позволят нам идентифицировать сетевые узлы на которых выполняются криптографические преобразования, и как следствие содержащие СКЗИ и ключевые документы. |
Заключение
В данной статье мы рассмотрели теорию и практику проведения аудита СКЗИ и криптоключей. Как вы убедились, процедура эта довольно сложная и трудоемкая, но если к ней грамотно подходить вполне осуществимая. Будем надеется данная статья вам поможет в реальной жизни. Спасибо за внимание, ждем ваших комментариевТеги:
- скзи
- криптография
- электронная подпись
- аудит
- менеджмент
С точки зрения информационной безопасности криптографические ключи являются критически важными данными. Если раньше, чтобы обокрасть компанию, злоумышленникам приходилось проникать на ее территорию, вскрывать помещения и сейфы, то теперь достаточно похитить токен с криптографическим ключом и сделать перевод через систему Интернет Клиент-Банк. Фундаментом обеспечения безопасности с помощью систем криптографической защиты информации (СКЗИ) является поддержание конфиденциальности криптографических ключей.
А как обеспечить конфиденциальность того, о существования чего вы не догадываетесь? Чтобы убрать токен с ключом в сейф, надо знать о существовании токена и сейфа. Как это не парадоксально звучит, очень мало компаний обладают представлением о точном количестве ключевых документов, которыми они пользуются. Это может происходить по целому ряду причин, например, недооценка угроз информационной безопасности, отсутствие налаженных бизнес-процессов, недостаточная квалификация персонала в вопросах безопасности и т.д. Вспоминают про данную задачу обычно уже после инцидентов, таких как например этот .
В данной статье будет описан первый шаг на пути совершенствования защиты информации с помощью криптосредств, а если точнее, то рассмотрим один из подходов к проведению аудита СКЗИ и криптоключей. Повествование будет вестись от лица специалиста по информационной безопасности, при этом будем считать, что работы проводятся с нуля.
Термины и определения
В начале статьи, дабы не пугать неподготовленного читателя сложными определениями, мы широко использовали термины криптографический ключ или криптоключ, теперь настало время усовершенствовать наш понятийный аппарат и привести его в соответствие действующему законодательству. Это очень важный шаг, поскольку он позволит эффективно структурировать информацию, полученную по результатам аудита.
- Криптографический ключ (криптоключ) - совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе (определение из «розовой инструкции – Приказа ФАПСИ № 152 от от 13 июня 2001 г. , далее по тексту – ФАПСИ 152).
- Ключевая информация
- специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока [ФАПСИ 152].
Понять принципиальное отличие между криптоключем и ключевой информации можно на следующем примере. При организации HTTPS, генерируются ключевая пара открытый и закрытый ключ, а из открытого ключа и дополнительной информации получается сертификат. Так вот, в данной схеме совокупность сертификата и закрытого ключа образуют ключевую информацию, а каждый из них по отдельности является криптоключом. Тут можно руководствоваться следующим простым правилом – конечные пользователи при работе с СКЗИ используют ключевую информацию, а криптоключи обычно используют СКЗИ внутри себя. В тоже время важно понимать, что ключевая информация может состоять из одного криптоключа. - Ключевые документы
- электронные документы на любых носителях информации, а также документы на бумажных носителях, содержащие ключевую информацию ограниченного доступа для криптографического преобразования информации с использованием алгоритмов криптографического преобразования информации (криптографический ключ) в шифровальных (криптографических) средствах. (определение из Постановления Правительства № 313 от от 16 апреля 2012 г. , далее по тексту – ПП-313)
Простым языком, ключевой документ - это ключевая информация, записанная на носителе. При анализе ключевой информации и ключевых документов следует выделить, что эксплуатируется (то есть используется для криптографических преобразований – шифрование, электронная подпись и т.д.) ключевая информация, а передаются работникам ключевые документы ее содержащие. - Средства криптографической защиты информации (СКЗИ)
– средства шифрования, средства имитозащиты, средства электронной подписи, средства кодирования, средства изготовления ключевых документов, ключевые документы, аппаратные шифровальные (криптографические) средства, программно-аппаратные шифровальные (криптографические) средства. [ПП-313]
При анализе данного определения можно обнаружить в нем наличие термина ключевые документы. Термин дан в Постановлении Правительства и менять его мы не имеем права. В тоже время дальнейшее описание будет вестись из расчета что к СКЗИ будут относится только средства осуществления криптографических преобразований). Данный подход позволит упростить проведение аудита, но в тоже время не будет сказываться на его качестве, поскольку ключевые документы мы все равно все учтем, но в своем разделе и своими методами.
Методика аудита и ожидаемые результаты
Основными особенностями предлагаемой в данной статье методике аудита являются постулаты о том, что:
- ни один работник компании не может точно ответить на вопросы, задаваемые в ходе аудита;
- существующие источники данных (перечни, реестры и др.) не точны или слабо структурированы.
Приведем основные зависимости, которые нам в этом помогут:
- Если есть СКЗИ, то есть и ключевая информация.
- Если есть электронный документооборот (в том числе с контрагентами и регуляторами), то скорее всего в нем применяется электронная подпись и как следствие СКЗИ и ключевая информация.
- Электронный документооборот в данном контексте следует понимать широко, то есть к нему будут относится, как непосредственный обмен юридически значимыми электронными документами, так и сдача отчетности, и работа в платежных или торговых системах и так далее. Перечень и формы электронного документооборота определяются бизнес-процессами компании, а также действующим законодательством.
- Если работник задействован в электронном документообороте, то скорее всего у него есть ключевые документы.
- При организации электронного документооборота с контрагентами обычно выпускаются организационно-распорядительные документы (приказы) о назначении ответственных лиц.
- Если информация передается через сеть Интернет (или другие общественные сети), то скорее всего она шифруется. В первую очередь это касается VPN и различных систем удаленного доступа.
- Если в сетевом трафике обнаружены протоколы, передающие трафик в зашифрованном виде, то применяются СКЗИ и ключевая информация.
- Если производились расчеты с контрагентами, занимающимися: поставками средств защиты информации, телекоммуникационных устройств, оказанием услуг по передаче отёчности, услуг удостоверяющих центров, то при данном взаимодействии могли приобретаться СКЗИ или ключевые документы.
- Ключевые документы могут быть как на отчуждаемых носителях (дискетах, флешках, токенах, …), так и записаны внутрь компьютеров и аппаратных СКЗИ.
- При использовании средств виртуализации, ключевые документы могут храниться как внутри виртуальных машин, так и монтироваться к виртуальным машинам с помощью гипервизора.
- Аппаратные СКЗИ могут устанавливаться в серверных и быть недоступны для анализа по сети.
- Некоторые системы электронного документооборота могут находится в неактивном или малоактивном виде, но в тоже время содержать активную ключевую информацию и СКЗИ.
- Внутренняя нормативная и организационно-распорядительная документация может содержать сведения о системах электронного документооборота, СКЗИ и ключевых документов.
- опрашивать работников;
- проводить анализ документации компании, включая внутренние нормативные и распорядительные документы, а также исходящие платежные поручения;
- проводить визуальный анализ серверных комнат и коммуникационных шкафов;
- проводить технических анализ содержимого автоматизированных рабочих мест (АРМ), серверов и средств виртуализации.
Перечень СКЗИ:
- Модель СКЗИ . Например, СКЗИ Крипто CSP 3.9, или OpenSSL 1.0.1
- Идентификатор экземпляра СКЗИ . Например, серийный, лицензионный (или регистрационный по ПКЗ-2005) номер СКЗИ
- Сведения о сертификате ФСБ России на СКЗИ , включая номер и даты начала и окончания сроков действия.
- Сведения о месте эксплуатации СКЗИ . Например, имя компьютера на которое установлено программное СКЗИ, или наименование технических средств или помещения где установлены аппаратные СКЗИ.
- Управлять уязвимостями в СКЗИ, то есть быстро их обнаруживать и исправлять.
- Отслеживать сроки действия сертификатов на СКЗИ, а также проверять используется ли сертифицированное СКЗИ в соответствии с правилами, установленными документацией или нет.
- Планировать затраты на СКЗИ, зная сколько уже находится в эксплуатации и сколько еще есть сводных средств.
- Формировать регламентную отчетность.
По каждому элементу перечня фиксируем следующие данные:
- Наименование или идентификатор ключевой информации . Например, «Ключ квалифицированной ЭП. Серийный номер сертификата 31:2D:AF», при этом идентификатор следует подбирать таким образом, чтобы по нему можно было найти ключ. Например, удостоверяющие центры, когда посылают уведомления обычно идентифицируют ключи по номерам сертификатов.
- Центр управления ключевой системой (ЦУКС) , выпустивший данную ключевую информацию. Это может быть организация выпустившая ключ, например, удостоверяющий центр.
- Физическое лицо , на имя которого выпущена ключевая информация. Эту информацию можно извлечь из полей CN сертификатов X.509
- Формат ключевой информации . Например, СКЗИ КриптоПРО, СКЗИ Верба-OW, X.509 и т.д (или другими словами для использования с какими СКЗИ предназначена данная ключевая информация).
- Назначение ключевой информации . Например, «Участие в торгах на площадке Сбербанк АСТ», «Квалифицированная электронная подпись для сдачи отчетности» и т.д. С точки зрения техники, в данном поле можно фиксировать органичения зафиксированные полях extended key usage и др сертификатов X.509.
- Начало и окончание сроков действия ключевой информации .
- Порядок перевыпуска ключевой информации . То есть знания о том, что нужно делать и как, при перевыпуске ключевой информации. По крайней мере желательно фиксировать контакты должностных лиц ЦУКС, выпустившего ключевую информацию.
- Перечень информационных систем, сервисов или бизнес-процессов в рамках которых используется ключевая информация . Например, «Система дистанционного банковского обслуживания Интернет Клиент-Банк».
- Отслеживать сроки действия ключевой информации.
- В случае необходимости быстро перевыпускать ключевую информацию. Это может понадобится как при плановом, так при внеплановом перевыпуске.
- Блокировать использование ключевой информации, при увольнении работника на которого она выпущена.
- Расследовать инциденты информационной безопасности, отвечая на вопросы: «У кого были ключи для совершения платежей?» и др.
По каждому элементу перечня фиксируем следующие данные:
- Ключевая информация , содержащаяся в ключевом документе.
- Носитель ключевой информации , на который записана ключевая информация.
- Лицо , ответственное за сохранность ключевого документа и конфиденциальность содержащейся в нем ключевой информации.
- Перевыпускать ключевую информацию в случаях: увольнения работников, обладающих ключевыми документами, а также при компрометации носителей.
- Обеспечивать конфиденциальность ключевой информации, путем инвентаризации носителей ее содержащих.
План аудита
Настало время рассмотреть практически особенности проведения аудита. Сделаем это на примере кредитно-финансовой организации или другими словами на примере банка. Данный пример выбран не случайно. Банки используют довольно большое число разношерстных систем криптографической защиты, которые задействованы в гигантском количестве бизнес-процессов, да и к тому же практически все банки являются Лицензиатами ФСБ России по криптографии. Далее в статье будет представлен план аудита СКЗИ и криптоключей, применительно к Банку. В тоже время данный план может быть взят за основу при проведении аудита практически любой компании. Для удобство восприятия план разбит на этапы, которые в свою очередь свернуты в сполйеры.
Этап 1. Сбор данных с инфраструктурных подразделений компании
№ | Действие | |
Источник – все работники компании | ||
1 | Делаем рассылку по корпоративной почте всем работниками компании с просьбой сообщить в службу информационной безопасности обо всех используемых ими криптографических ключах | Получаем электронные письма, на базе которых формируем перечень ключевой информации и перечень ключевых документов |
Источник – Руководитель Службы информационных технологий | ||
1 | Запрашиваем перечень ключевой информации и ключевых документов | С некоторой вероятностью Служба ИТ ведет подобные документы, будем использовать их для формирования и уточнения перечней ключевой информации, ключевых документов и СКЗИ |
2 | Запрашиваем перечень СКЗИ | |
3 | Запрашиваем реестр ПО, установленного на серверах и рабочих станциях | В данном реестре ищем программные СКЗИ и их компоненты. Например, КриптоПРО CSP, Верба-OW, Signal-COM CSP, Сигнатура, PGP, ruToken, eToken, КритоАРМ и др. На базе этих данных формируем перечень СКЗИ. |
4 | Запрашиваем перечень работников (вероятно техническая поддержка), помогающих пользователям по использованию СКЗИ и перевыпуску ключевой информации. | Запрашиваем у данных лиц аналогичную информацию, что и у системных администраторов |
Источник – системные администраторы Службы информационных технологий | ||
1 | Запрашиваем перечень отечественных криптошлюзов (VIPNET, Континент, S-terra и др.) | В случаях, когда в компании не реализованы регулярные бизнес процессы управления ИТ и ИБ, подобные вопросы могут помочь вспомнить системным администраторам о существовании того или иного устройства или ПО. Используем данную информацию для получения перечня СКЗИ. |
2 | Запрашиваем перечень отечественных программных СКЗИ (СКЗИ МагПро КриптоПакет, VIPNET CSP, CryptonDisk, SecretDisk, …) | |
3 | Запрашиваем перечень маршрутизаторов, реализующих VPN для: а) связи офисов компании; б) взаимодействия с контрагентами и партнерами. |
|
4 | Запрашиваем перечень информационных сервисов, опубликованных в Интернет (доступных из Интернет). Они могу включать: а) корпоративную электронную почту; б) системы обмена мгновенными сообщениями; в) корпоративные web-сайты; г) сервисы для обмена информации с партнерами и контрагентами (extranet); д) системы дистанционного банковского обслуживания (если компания – Банк); е) системы удаленного доступа в сеть компании. Для проверки полноты предоставленных сведений сверяем их с перечнем правил Portforwarding пограничных межсетевых экранов. |
Анализируя полученную информацию с высокой вероятностью можно встретить использование СКЗИ и криптоключей. Используем полученные данные для формирования перечня СКЗИ и ключевой информации. |
5 | Запрашиваем перечень информационных систем, используемых для сдачи отчетности (Такском, Контур и т. д.) | В данных системах используются ключи квалифицированной электронной подписи и СКЗИ. Через данный перечень формируем перечень СКЗИ, перечень ключевой информации, а также узнаем работников, пользующихся этими системами для формирования перечня ключевых документов. |
6 | Запрашиваем перечень систем внутреннего электронного документооборота (Lotus, DIRECTUM, 1С: Документооборот и др.), а также перечень их пользователей. | В рамках внутренних систем электронного документооборота могут встретиться ключи электронной подписи. На основании полученной информации формируем перечень ключевой информации и перечень ключевых документов. |
7 | Запрашиваем перечень внутренних удостоверяющих центров. | Средства, используемые для организации удостоверяющих центров, фиксируем в перечне СКЗИ. В дальнейшем будем анализировать содержимое баз данных удостоверяющих центров для выявления ключевой информации. |
8 | Запрашиваем информацию об использовании технологий: IEEE 802.1x, WiFiWPA2 Enterprise и систем IP-видеонаблюдения | В случае использования данных технологий мы можем обнаружить в задействованных устройствах ключевые документы. |
Источник – Руководитель кадровой службы | ||
1 | Просим описать процесс приема и увольнение работников. Фокусируемся на вопросе о том, кто забирает у увольняющихся работников ключевые документы | Анализируем документы (обходные листы) на предмет наличия в них информационных систем в которых могут использоваться СКЗИ. |
Этап 2. Сбор данных с бизнес-подразделений компании (на примере Банка)
№ | Действие | Ожидаемый результат и его использование |
Источник – Руководитель служба расчетов (корреспондентских отношений) | ||
1 | Просим предоставить схему организации взаимодействия с платежной системой Банка России. В частности, это будет актуально для Банков, имеющих развитую филиальную сеть, при которой филиалы могут подключать в платежную систему ЦБ напрямую | На базе полученных данных определяем местоположение платежных шлюзов (АРМ КБР, УТА) и перечень задействованных пользователей. Полученную информацию используем для формирования перечня СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем перечень Банков, с которыми установлены прямые корреспондентские отношения, а также просим рассказать кто занимается осуществлением переводов и какие технические средства используются. | |
3 | Запрашиваем перечень платежных систем, в которых участвует Банк (SWIFT, VISA, MasterCard, НСПК, и т.д), а также месторасположение терминалов для связи | Аналогично, как для платежной системы Банка России |
Источник – Руководитель подразделения, отвечающего за предоставление дистанционных банковских услуг | ||
1 | Запрашиваем перечень систем дистанционного банковского обслуживания. | В указанных системах анализируем использование СКЗИ и ключевой информации. На основании полученных данных формируем перечень СКЗИ и ключевой информации и ключевых документов. |
Источник – Руководитель подразделения, отвечающего за функционирование процессинга платежных карт | ||
1 | Запрашиваем реестр HSM | На базе полученной информации формируем перечень СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем реестр офицеров безопасности | |
4 | Запрашиваем информацию о компонентах LMK HSM | |
5 | Запрашиваем информацию об организации систем типа 3D-Secure и организации персонализации платежных карт | |
Источник – Руководители подразделений, выполняющих функции казначейства и депозитария | ||
1 | Перечень банков, с которыми установлены корреспондентские отношения и которые участвую в межбанковском кредитовании. | Используем полученную информацию для уточнения ранее полученных данных от службы расчетов, а также фиксируем информацию о взаимодействии с биржами и депозитариями. На базе полученной информации формируем перечень СКЗИ и ключевой информации. |
2 | Перечень бирж и специализированных депозитариев с которыми работает Банк | |
Источник – Руководители служб финансового мониторинга и подразделений ответственных за сдачу отчетности в Банк России | ||
1 | Запрашиваем информацию о том, как они отправляют сведения и получают сведения из ЦБ. Перечень задействованных лиц и технических средств. | Информационное взаимодействие с Банком России жестко регламентировано соответствующими документами, например, 2332-У, 321-И и многими другими, проверяем соответствие этим документам и формируем перечни СКЗИ, ключевой информации и ключевых документов. |
Источник – Главный бухгалтер и работники бухгалтерии, занимающиеся оплатой счетов по внутрибанковским нуждам | ||
1 | Запрашиваем информацию, о том, как происходит подготовка и сдача отчетности в налоговые инспекции и Банк России | Уточняем ранее полученные сведения |
2 | Запрашиваем реестр платежных документов, для оплаты внутрибанковских нужд | В данном реестре будем искать документы где: 1) в качестве адресатов платежей указаны удостоверяющие центры, специализированные операторы связи, производители СКЗИ, поставщики телекоммуникационного оборудования. Наименования данных компаний можно получить из Реестра сертифицированных СКЗИ ФСБ России, перечня аккредитованных удостоверяющих центров Минкомсвязи и других источников. 2) в качестве расшифровки платежа присутствуют слова: «СКЗИ», «подпись», «токен», «ключевой», «БКИ» и т. д. |
Источник – Руководители служб по работе с просроченной задолженностью и управления рисков | ||
1 | Запрашиваем перечень бюро кредитных историй и коллекторских агентств, с которыми работает Банк. | Совместно со службой ИТ анализируем полученные данные с целью выяснения организации электронного документооборота, на базе чего уточняем перечни СКЗИ, ключевой информации и ключевых документов. |
Источник – Руководители служб документооборота, внутреннего контроля и внутреннего аудита | ||
1 | Запрашиваем реестр внутренних организационно распорядительных документов (приказов). | В данных документах ищем документы, относящиеся к СКЗИ. Для этого анализируем наличие ключевых слов «безопасность», «ответственное лицо», «администратор», «электронная подпись», «ЭП», «ЭЦП», «ЭДО», «АСП», «СКЗИ» и их производных. После чего выявляем перечень работников Банка зафиксированных в этих документах. Проводим с работниками интервью на тему использования ими криптосредств. Полученную информацию отражаем в перечнях СКЗИ, ключевой информации и ключевых документов. |
2 | Запрашиваем перечни договоров с контрагентами | Стараемся выявить договора об электронном документообороте, а также договора с компаниями, занимающимися поставной средств защиты информации или оказывающими услуги в этой области, а также компаниями, предоставляющими услуги удостоверяющих центров и услуги сдачи отчетности через Интернет. |
3 | Анализируем технологию хранения документов дня в электронном виде | При реализации хранения документов дня в электронном виде обязательно применяются СКЗИ |
Этап 3. Технический аудит
№ | Действие | Ожидаемый результат и его использование |
1 | Проводим техническую инвентаризацию ПО установленного на компьютерах. Для этого используем: · аналитические возможности корпоративных систем антивирусной защиты (например, Антивирус Касперского умеет строить подобный реестр). · скрипты WMI для опроса компьютеров под управлением ОС Windows; · возможности пакетных менеджеров для опроса *nix систем; · специализированное ПО для инвентаризации. |
Среди установленного ПО ищем программные СКЗИ, драйвера для аппаратных СКЗИ и ключевых носителей. На базе полученной информации обновляем перечень СКЗИ. |
2 | Осуществляем поиск ключевых документов на серверах и рабочих станциях. Для этого · Logon-скриптами опрашиваем АРМ в домене на предмет наличия сертификатов с закрытыми ключами в профилях пользователей и профилях компьютера. · На всех компьютерах, файловых серверах, гипервизорах ищем файлы с расширениями: crt, cer, key, pfx, p12, pem, pse, jks и др. · На гипервизорах систем виртуализации ищем примонтированные дисководы и образы дискет. |
Очень часто ключевые документы представлены в виде файловых ключевых контейнеров, а также контейнерами, хранящимися в реестрах компьютеров, работающих под управлением ОС Windows. Найденные ключевые документы фиксируем в перечне ключевых документов, а содержащеюся в них ключевую информацию в перечне ключевой информации. |
3 | Анализируем содержание баз данных удостоверяющих центров | Базы данных удостоверяющих центров обычно содержат в себе данные о выпущенных этим центрами сертификатов. Полученную информацию заносим в перечень ключевой информации и перечень ключевых документов. |
4 | Проводим визуальный осмотр серверных комнат и коммутационных шкафов, ищем СКЗИ и аппаратные ключевые носители (токены, дисководы) | В некоторых случаях, невозможно провести инвентаризацию СКЗИ и ключевых документов по сети. Системы могут находится в изолированных сетевых сегментах, либо вообще не иметь сетевых подключений. Для этого проводим визуальный осмотр, в результатах которого должно быть установлены названия и назначение всего оборудования, представленного в серверных. Полученную информацию заносим в перечень СКЗИ и ключевых документов. |
5 | Проводим анализ сетевого трафика, с целью выявления информационных потоков, использующих шифрованный обмен | Шифрованные протоколы – HTTPS, SSH и др. позволят нам идентифицировать сетевые узлы на которых выполняются криптографические преобразования, и как следствие содержащие СКЗИ и ключевые документы. |
Заключение
В данной статье мы рассмотрели теорию и практику проведения аудита СКЗИ и криптоключей. Как вы убедились, процедура эта довольно сложная и трудоемкая, но если к ней грамотно подходить вполне осуществимая. Будем надеется данная статья вам поможет в реальной жизни. Спасибо за внимание, ждем ваших комментариевТеги: Добавить метки
Защита информации путем преобразования, исключающего ее прочтение посторонним лицом, является одним из наиболее действенных методов обеспечения информационной безопасности, и имеет давнюю историю. Проблемой преобразования информации занимается наука криптология. Исходя из направленности практического применения, криптология разделяется на два противоположных направления: криптографию и криптоанализ.
Криптография – наука о методах защиты информации на основе ее преобразования с сохранением достоверности содержания.
Криптоанализ – наука о методах раскрытия и модификации данных без знания ключей.
Это научное направление преследует две цели. Первая – исследование закодированной информации с целью восстановления содержания исходного документа. Вторая – распознавание и изучение метода кодирования информации с целью фальсификации сообщения.
Современная криптография включает в себя четыре крупных раздела:
1. Симметричные криптосистемы.
2. Криптосистемы с открытым ключом.
3. Системы электронной подписи.
4. Управление ключами.
Основные направления использования криптографических методов:
* передача конфиденциальной информации по каналам связи;
* установление подлинности передаваемых сообщений;
* хранение информации в зашифрованном виде.
Перечислим основные понятия и определения криптографии.
Шифрование – процесс, при котором исходный (открытый) текст сообщения заменяется шифрованным текстом.
Дешифрование – процесс преобразования шифрованного текста в открытый с помощью ключа шифрования.
Ключ шифрования – информация, необходимая для беспрепятственного шифрования и дешифрования текстов.
Текст – упорядоченный набор из элементов (символов) алфавита.
Алфавит – конечное множество используемых для кодирования информации знаков.
В качестве примеров алфавитов, используемых в современных информационных системах, можно привести следующие:
* алфавит Z33 – 32 буквы русского языка и пробел;
* алфавит Z256 – стандартные символы компьютерной кодировки знаков латинского и национального алфавитов, цифры, знаки препинания и специальные символы;
* бинарный алфавит Z2 – цифры 0 и 1, восьмеричный, шестнадцатеричный и т.п. алфавиты.
Процесс криптографического преобразования информации может осуществляться аппаратным или программным способами. Аппаратная реализация характеризуется существенно большей стоимостью, высокой защищенностью и скоростью работы, простотой в использовании. Программный способ более практичен, допускает известную гибкость в использовании, но сравнительно медленнее и хуже защищен.
Все современные алгоритмы криптографического преобразования информации используют ключ для управления шифрованием и дешифрованием. Алгоритмы с использованием ключа делятся на два класса:
* Симметричные (с секретным ключом). Для шифрования и дешифрования используется один и тот же ключ, или же ключ для дешифрования вычисляется на основе ключа шифрования.
* Асимметричные (с открытым ключом). Шифрование информации осуществляется с использованием открытого ключа, который известен всем. Дешифрование производится с помощью закрытого ключа, известного только получателю сообщения.
Симметричные алгоритмы работают быстрее, чем асимметри чные. На практике оба типа алгоритмов часто используются совместно.
Электронная цифровая подпись – присоединяемое к тексту его криптографическое преобразование с использованием закрытого ключа.
Электронная цифровая подпись позволяет идентифицировать владельца подписи, а также установить отсутствие искажения информации в электронном документе.
Процесс использования электронной цифровой подписи в общем виде выглядит следующим образом:
1. Отправитель рассчитывает хэш-функцию текста – идентификатор, полученный путем сжатия информации с помощью математического алгоритма.
2. Отправитель, используя свой секретный ключ, зашифровывает хэш-функцию. В результате получается определенная цифровая последовательность – цифровая подпись.
3. Отправитель формирует пересылаемое сообщение, включающее в себя исходный текст и его цифровую подпись
4. Отправитель по открытому каналу связи передает пересылаемое сообщение.
5. Получатель выделяет из принятого сообщения текст и его цифровую подпись.
6. Получатель вычисляет хэш-функцию полученного текста.
7. Получатель сообщения с помощью открытого ключа расшифровывает цифровую подпись.
8. Получатель сравнивает результат расшифровки с рассчитанной им хэш-функцией. Если вычисленная и расшифрованная хэш-функции совпадают, то сообщение считается подтвержденным.
Важной проблемой всей криптографии с открытым ключом, в том числе и систем ЭЦП, является управление ключами. Необходимо обеспечить доступ любого пользователя к подлинному открытому ключу любого другого пользователя, защитить эти ключи от подмены злоумышленником, а также организовать отзыв ключа в случае его компрометации. Управлением ключами занимаются удостоверяющие центры.
Программно-аппаратные средства защиты с электронными ключами в последнее время приобретают все большую популярность. Под программно-аппаратными средствами защиты в данном случае понимаются средства, основанные на использовании так называемых «аппаратных (электронных) ключей». Электронный ключ - это аппаратная часть системы защиты, представляющая собой плату с микросхемами памяти и, в некоторых случаях, микропроцессором, помещенную в корпус и предназначенную для установки в один из стандартных портов ПК (СОММ, LPT, PCMCIA, USB...) или слот расширения материнской платы. Также в качестве такого устройства могут использоваться СМАРТ-карты. По результатам проведенного анализа, программно-аппаратные средства защиты в настоящий момент являются одними из самых стойких систем защиты от НСД.
Электронные ключи по архитектуре можно подразделить на ключи с памятью (без микропроцессора) и ключи с микропроцессором (и памятью).
Наименее стойкими (в зависимости от типа программной части) являются системы с аппаратной частью первого типа. В таких системах критическая информация (ключ дешифрации, таблица переходов) хранится в памяти электронного ключа. Для дезактивации таких защит в большинстве случаев необходимо наличие у злоумышленника аппаратной части системы защиты (основная методика: перехват диалога между программной и аппаратной частями для доступа к критической информации).
Самыми стойкими являются системы с аппаратной частью второго типа. Такие комплексы содержат в аппаратной части не только ключ дешифрации, но и блоки шифрации/дешифрации данных, таким образом, при работе защиты в электронный ключ передаются блоки зашифрованной информации, а принимаются оттуда расшифрованные данные. В системах этого типа достаточно сложно перехватить ключ дешифрации, так как все процедуры выполняются аппаратной частью, но остается возможность принудительного сохранения защищенной программы в открытом виде после отработки системы защиты. Кроме того, к ним применимы методы криптоанализа.
Информация о пользователе, полученная системой защиты на этапе идентификации/аутентификации, используется ею в дальнейшем для наделения пользователя правами доступа в рамках модели безопасности, организованной в данной информационной системе.
Наряду с обычным шифрованием, используется и такой способ сокрытия данных, как стеганография.
Стеганография – совокупность методов, обеспечивающих сокрытие факта существования информации в той или иной среде, а также средства реализации таких методов.
К стеганографии можно отнести огромное множество секретных средств связи, таких как невидимые чернила, микрофотоснимки, условное расположение знаков и т.д.
В настоящее время активно развивается компьютерная стеганография. Она рассматривает вопросы, связанные с сокрытием информации, хранящейся на цифровых носителях или передаваемой по телекоммуникационным каналам связи.
Для стеганографического преобразования необходимы:
* скрываемая информация;
* контейнер данных;
* программное обеспечение для добавления информации в файл-контейнер и ее извлечения.
В качестве контейнера для скрываемого сообщения могут выступать графические, аудио- или видеофайлы.
Основная идея стеганографического сокрытия информации заключается в том, что добавление «секретного» сообщения в файл-контейнер должно вызывать лишь незначительные изменения последнего, не улавливаемые органами чувств человека. Поэтому файл-контейнер должен быть достаточно большого размера. Стеганографические технологии используются для решения следующих задач:
* защита информации от несанкционированного доступа;
* противодействие системам мониторинга передаваемых данных;
* создание скрытых каналов утечки информации.
Стеганография позволяет внедрить в компьютерные графические изображения, аудио- и видеопродукцию, литературные тексты, программы специальную цифровую метку, незаметную при обычном использовании файла, но распознаваемую специальным программным обеспечением. Такие специальные сведения могут рассматриваться в качестве подтверждения авторства