Информационная безопасность и защита информации - Мельников В.П.
ISBN 978-5-7695-4884-0
Скачать (прямая ссылка):
• поддержка жизненного цикла информации, наполняющей Интранет.
При описании должностей целесообразно исходить из аналогии между Интранетом и, например, издательством. В издательстве существует директор, определяющий общую направленность деятельности. В Интранете ему соответствует Web-администратор, решающий, какая корпоративная информация должна присутствовать на Web-сервере и как следует структурировать дерево (точнее, граф) HTML-документов.
В многопрофильных издательствах существуют редакции, занимающиеся конкретными направлениями (математические книги, детские книги и т.д.). Аналогично в Интранете выделяют должность публикатора, ведающего появлением документов отдельных подразделений и определяющего перечень и характер публикаций.
У каждой книги есть титульный редактор, отвечающий перед издательством за свою работу. В Интранете редакторы занимаются вставкой документов в корпоративное дерево, их коррекцией и удалением. В больших организациях «слой» публикатор/редактор может состоять из нескольких уровней.
Наконец, и в издательстве, и в Интранет должны быть авторы, создающие документы. Они не должны иметь прав на модифика-
316
цию корпоративного дерева и отдельных документов, их дело — передать свой труд редактору.
Кроме официальных, корпоративных документов в Интранете могут присутствовать групповые и личные документы, порядок работы с которыми (роли, права доступа) определяется, соответственно, групповыми и личными интересами.
Для поддержки жизненного цикла Интранет-информации необходимо использовать средства конфигурационного управления. Достоинство Интранет-технологии заключается в том, что основные операции конфигурационного управления — внесение изменений (создание новой версии) и извлечение старой версии документа — естественным образом вписываются в рамки Web-интерфейса.
На первое место среди таких мер программно-технического уровня обеспечения ИБ Интранета также можно поставить межсетевые экраны — средство разграничения доступа, служащее для защиты от внешних угроз и угроз со стороны пользователей других сегментов корпоративных сетей (см. подразд. 5.4.5).
Бороться с угрозами, присущими сетевой среде, средствами универсальных операционных систем не представляется возможным. Универсальная ОС — это огромная программа, содержащая помимо явных ошибок некоторые особенности, которые могут быть использованы для получения нелегальных привилегий. Современная технология программирования не позволяет сделать столь большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия производимых изменений (как и врач, не знающий всех побочных воздействий рекомендуемых лекарств). Наконец, в универсальной многопользовательской системе бреши в безопасности постоянно создаются самими пользователями (слабые и (или) редко изменяемые пароли, неудачно установленные права доступа, оставленный без присмотра терминал и т.д.).
Единственный перспективный путь связан с разработкой специализированных защитных средств, которые в силу своей простоты допускают формальную или неформальную верификацию. Межсетевой экран как раз и является таким средством, допускающим дальнейшую декомпозицию, связанную с обслуживанием различных сетевых протоколов.
Межсетевой экран для Интранета — это полупроницаемая мембрана, которая располагается между защищаемой (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети) и контролирует все информационные потоки во внутреннюю сеть и из нее (рис. 5.7). Контроль информационных потоков заключается в их фильтрации, т.е. в выборочном пропускании через экран, возможно, с выполнением неко-
317
Потоки под контролем
Защищаемая сеть Э к P а H Потенциально враждебная сеть
Клиенты Серверы
Серверы Клиенты
Рис. 5.7. Схема межсетевого экрана Интранет
торых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов стратегии безопасности организации.
Целесообразно разделить случаи, когда экран устанавливается на границе с внешней (обычно общедоступной) сетью или на границе между сегментами одной корпоративной сети (соответственно мы будем говорить о внешнем и внутреннем межсетевых экранах).
Как правило, при общении с внешними сетями в Интранете, как в любой КС, используется исключительно семейство протоколов TCP/IP. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов. Для внутренних экранов ситуация сложнее. Здесь следует принимать во внимание помимо TCP/IP, по крайней мере, протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными словами, от внутренних экранов нередко требуется многопротокольность.
Ситуации, когда корпоративная сеть содержит лишь один внешний канал, является, скорее, исключением, чем правилом. Напротив, типична ситуация, при которой корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждый из которых подключен к сети общего пользования (рис. 5.8). В этом случае каждое подключение должно защищаться своим экраном. Можно считать, что корпоративный внешний межсетевой экран является составным и требуется решать задачу согласованного администрирования (управления и аудита) всех компонентов.
