Горбатов Аттестационные испытания автоматизированных систем от 2014
.pdfные средства, специализированные средства, средства СУБД), включая:
−контроль организации мест хранения резервных копий дан-
ных;
−контроль полноты и достаточности резервных копий данных;
−контроль периодичности резервного копирования;
−контроль настроек параметров доступа к резервным копиям данных.
УЧЕБНО-ЛАБОРАТОРНОЕ ОБЕСПЕЧЕНИЕ
Лабораторные работы выполняются в специализированной лаборатории «Контроль защищенности ЛВС от несанкционированного доступа» (рис. В.2) учебной группой численностью не более восьми человек, разделенных на четыре подгруппы по два человека. В лаборатории находятся объединенные в локальную сеть восемь компьютеров и файловый сервер с выходом в Internet.
Рис. В.2. Специализированная лаборатория «Контроль защищенности ЛВС от несанкционированного доступа»
11
Дистрибутивы программного обеспечения СУБД Oracle10gEE (СУБД Oracle 11gEE). Описания всех лабораторных работ настоящего учебного пособия, связанных с СУБД, ориентированы на использование Oracle10gEE, но подходят также и для версии Oracle 11gEE с единственным отличием пути к директориям исполняемых файлов, которое будет указано в описаниях лабораторных работ.
Учебные заведения получают лицензию на использование СУБД Oracle в учебном процессе по программе Oracle Academy (https://academy.oracle.com/index.html).
СУБД Oracle разных версий многократно для разных версий ОС представлена в Государственном реестре сертифицированных средств защиты информации со сроками действия сертификатов по отдельным версиям до 2015 года.
Учебный стенд :
система: Microsoft Windows XP Professional версия 2002 SP 3; компьютер Intel(R) Core(TM)2 Duo CPU E6750 2.67 ГГц 1.99 ГБ
ОЗУ;
программное обеспечение: Microsoft Office Стандартный 2007, Adobe Reader 7.0, Windows Internet Explorer 8, Антивирус Каспер-
ского 7.0.
В лаборатории обеспечена возможность получения обучающимися теоретических знаний и практических навыков по следующим направлениям:
•демонстрация канала утечки информации от несанкционированного доступа в локальных вычислительных сетях на реальных примерах;
•анализ современных сертифицированных ФСТЭК России решений по обеспечению защиты информации от утечки за счет НСД в локальных вычислительных сетях, включая:
‒ программные, аппаратные и программно-аппаратные комплексы защиты от НСД в ЛВС;
‒ межсетевые экраны; ‒ антивирусные программы;
‒ системы уничтожения информации на внешних носителях;
•проектирование и создание комплексной системы защиты информации от утечки за счет НСД в ЛВС;
12
• организация и проведение контроля защищенности информации от утечки за счет НСД в локальных вычислительных сетях с использованием современных сертифицированных ФСТЭК России систем контроля защищенности от НСД.
Проведение контроля осуществляется с помощью сертифицированных ФСТЭК России программных средств по аттестации объектов информатизации (ОИ).
СОСТАВ И КРАТКИЕ АННОТАЦИИ ЛАБОРАТОРНЫХ РАБОТ
Работа 1. Организация аттестации автоматизированных систем по требованиям безопасности информации в части защиты от НСД. Проверка документации.
Назначение: освоение практических навыков проверки первичной документации на АС при подготовке специалистов по защите информации в области аттестации ОИ по требованиям безопасности информации.
Цель: получение студентами практических навыков проведения подготовительного этапа аттестационных испытаний по требованиям безопасности информации в части защиты от НСД при проверке соответствия первичной документации на АС требованиям стандартов и других нормативных документов по защите информации, утвержденных (согласованных) ФСТЭК России или иными органами государственного управления в пределах их компетенции от несанкционированного доступа.
Предметная область: объект исследования – исходные данные и документация, представляемые для проведения аттестации АС в специализированной лаборатории «Контроль защищенности ЛВС от несанкционированного доступа».
Методы изучения – экспертно-документальный метод: ознакомление с аттестуемым объектом информатизации и анализ разработанной документации по защите информации на этом объекте.
Средства изучения – учебный стенд.
Работа 2. Инвентаризация актуального состава технических и программных средств объекта информатизации с использованием штатных средств операционной системы и программного обеспечения.
13
Назначение: получение практических навыков проведения аттестационных испытаний АС в части защиты от несанкционированного доступа в частности при проведении инвентаризации актуального состава технических и программных средств персонального компьютера и локальной вычислительной сети (ЛВС) с использованием стандартных и специализированных средств операционной системы (ОС), а также специализированного программного обеспечения (ПО) «Агент инвентаризации» и «Ревизор Сети 2.0».
Цель: получение студентами практических навыков по проведению аттестации объекта информатизации (АС) в части защиты от несанкционированного доступа (НСД), с помощью сертифицированного программного обеспечения. Изучение методов проведения инвентаризации состава АС штатными средствами ОС и специализированными программными средствами.
Предметная область: объект информатизации (исследования)
– Автоматизированное рабочее место (АРМ) с установленной опе-
рационной системой Microsoft Windows XР SP3.
Методы изучения – работа со специализированными программами «Агент инвентаризации», «Ревизор Сети 2.0», использование стандартных средств Windows XР SP3 для проведение инвентаризации состава технических и программных средств отдельного персонального компьютера.
Работа 3. Поиск отличий реально полученной информации от информации, заявленной в исходных данных на объекте информатизации (сверка результатов инвентаризации с представленными исходными данными по составу технических и программных средств).
Назначение: подготовка специалистов по защите информации в области аттестации объектов информатизации по требованиям безопасности информации в части защиты от несанкционированного доступа (НСД).
Цель: получение студентами практических навыков проведения подготовительного этапа аттестационных испытаний по требованиям безопасности информации в части защиты от НСД при проверке отличий реально полученной информации от информации, заявленной в исходных данных на АС.
Предметная область: объект исследования – исходные данные и документация, предоставляемые для проведения аттестации АС.
14
Отчеты по инвентаризации технических и программных средств, предоставляемые для проведения аттестации АС в специализированной лаборатории «Контроль защищенности ЛВС от несанкционированного доступа».
Методы изучения – экспертно-документальный метод: ознакомление с аттестуемым объектом информатизации и анализ разработанной документации по защите информации на этом объекте.
Средства изучения – учебный стенд.
Поиск уязвимостей в составе и настройках системного
иприкладного программного обеспечения
Всостав тематики входят четыре лабораторные работы: Работа 4. Контроль уязвимостей на уровне сети.
Работа 5. Контроль уязвимостей на уровне операционных сис-
тем и прикладного ПО.
Работа 6. Контроль уязвимостей на уровне системы управления базами данных.
Работа 7. Контроль настроек механизмов обновления системного и прикладного ПО.
Краткая аннотация к лабораторным работам 4–7.
Назначение: приобретение практических навыков проведения аттестационных испытаний АС в части защиты от несанкционированного доступа (НСД) при подготовке специалистов по защите информации в области аттестации объектов информатизации по требованиям безопасности информации, исследование работоспособности сканера безопасности при поиске уязвимостей в составе и настройках системного и прикладного программного обеспечения.
Цель: практическое ознакомление студентов с простыми и надежными способами обнаружения путей проникновения несанкционированных доступов в компьютерные сети, и освоение ими практических навыков проведения исследований работоспособности сканеров безопасности на уровне сети, операционных систем и прикладного программного обеспечения.
Студенты приобретают опыт анализа работы сканеров безопасности в различных условиях.
Цикл состоит из четырех лабораторных работ, каждая из которых является самостоятельным предметом для изучения, а вместе
15
они являются наглядным пособием для анализа работоспособности сканеров безопасности.
Первая работа посвящена изучению основ обеспечения защиты сетей от НСД и принципов работы с сетевыми сканерами безопасности.
Во второй работе анализируется работа сканера безопасности «Ревизор Сети» на одном компьютере.
В третьей лабораторной работе осуществляется контроль уязвимостей на уровне системы управления базами данных (СУБД) с использованием специализированных сканеров баз данных.
Целью четвертой работы является получение начальных знаний по контролю настроек механизмов обновления системного и прикладного программного обеспечения на примере обновления операционной системы.
Значимость работы определяется насущностью проблемы ознакомления и обучения студентов.
Предполагается, что работа может получить дальнейшее развитие по мере появления новых сканеров безопасности с целью получения оперативных данных для обеспечения безопасной работы системного и прикладного ПО.
Предметная область: объектами исследования являются компьютер, компьютерная сеть, а так же сканер безопасности «Ревизор Сети».
Методы изучения – работа с нормативной и технической документацией.
Работа 8. Контроль механизмов идентификации и аутентификации пользователей» при работе со средствами защиты информации (СЗИ) от НСД «Аккорд» и «Соболь», а также программными продуктами «НКВД 2.2» и «НКВД 2.3».
Назначение: Приобретение практических навыков проведения аттестационных испытаний АС в части защиты от НСД при подготовке специалистов по защите информации в области аттестации объектов информатизации по требованиям безопасности информации. Изучение методов и способов проверки подсистемы управления доступом при проведении аттестационных испытаний АС. Приобретение опыта работы со средствами защиты информации (СЗИ) от НСД «Аккорд» и «Соболь», а также программными про-
16
дуктами «НКВД 2.2» и «НКВД 2.3». В ходе выполнения лабораторной работы студент решает три задачи:
Задача 1. Работа с учетными записями и журналом регистрации событий СЗИ «Аккорд» и «Соболь».
Задача 2. Проверка и настройка стойкости паролей в СЗИ «Аккорд» и «Соболь».
Задача 3. Создание и проверка модели прав доступа в программных продуктах «НКВД 2.2» и «НКВД 2.3».
Цель: Освоение методов и способов проверки подсистемы управлениядоступомприпроведенииаттестационныхиспытанийАС.
Предметная область: Объекты исследования – подсистемы управления доступом.
Методы изучения – работа с СЗИ от НСД «Аккорд» и «Соболь», с их средствами идентификации\аутентификации, настройка стойкости паролей, а также работа с анализаторами уязвимостей
«НКВД 2.2» и «НКВД 2.3».
Средства изучения – аппаратные и программные СЗИ от НСД.
Контроль прав доступа субъектов к объектам
В состав тематики входит шесть лабораторных работ:
Работа 9. Проверка организации контроля доступа к объекту с использованиемспециализированныхсредствдовереннойзагрузки.
Работа 10. Проверка настроек разрешительной системы доступа к файловым системам с использованием специализированных тестирующих средств и штатных средств из состава ОС.
Работа 11. Проверка организации контроля доступа клиентсерверных приложений к объектам баз данных. Разграничение полномочий пользователей с использованием ролей и привилегий.
Работа 12. Детальный контроль доступа пользователей к базам данных.
Работа 13. Мандатный контроль доступа пользователей к информации в базе данных
Работа 14. Контроль доступа к съемным носителям информации с использованием специализированных средств.
Краткая аннотация по лабораторным работам 9–14.
Назначение: подготовка специалистов по защите информации в области аттестации объектов информатизации по требованиям
17
безопасности информации в части защиты от несанкционированного доступа и содержит описание лабораторных работ по теме «Контроль прав доступа субъектов к объектам».
Цель: получение практических навыков проведения аттестационных испытаний по требованиям безопасности информации в части проверки соответствия АС требованиям стандартов и других нормативных документов по защите информации, утвержденных (согласованных) Федеральной службой по техническому и экспортному контролю (ФСТЭК) России или иными органами государственного управления в пределах их компетенции от несанкционированного доступа.
Предметная область: объект исследования – автоматизированное рабочее место на базе ПЭВМ.
Предмет исследования – контроль доступа субъектов к объектам.
Методы изучения – программные продукты «Ревизор 1 ХР» и «Ревизор 2 ХР», работа с данными программами на автоматизированном рабочем месте и выявление несоответствий с должной моделью разграничения полномочий, изучение программноаппаратных комплексов «Аккорд – NT/2000» (версия 3.0) и «Соболь» (версия 2.0), изучение стандартных средств СУБД (на примере СУБД Oracle) для контроля (разграничения) прав доступа субъектов к объектам.
Средства изучения – учебный стенд.
Контроль подсистем аудита (регистрации и учета действий пользователей)
В состав тематики входят две лабораторные работы:
Работа 15. Контроль аудита действий пользователей средствами разработчика, встроенными средствами СУБД Oracle, аудит действий пользователя с привилегией «sysdba».
Работа 16. Контроль детального аудита действий пользователей в СУБД Oracle.
Краткая аннотация по лабораторным работам 15–16.
Назначение: подготовка специалистов по защите информации в области аттестации объектов информатизации по требованиям безопасности информации в части защиты от несанкционированно-
18
го доступа и содержит описание лабораторных работ по теме «Контроль подсистем аудита (регистрации и учета действий пользователей)», ознакомление с методами контроля подсистем систем аудита (регистрации и учета действий пользователей) СУБД Oracle.
Цель: получение практических навыков проведения аттестационных испытаний по требованиям безопасности информации в части проверки соответствия АС требованиям стандартов и других нормативных документов по защите информации, утвержденных (согласованных) ФСТЭК России или иными органами государственного управления в пределах их компетенции от НСД и получение практических навыков применения методов контроля подсистем систем аудита (регистрации и учета действий пользователей)
СУБД Oracle.
Предметная область: объект исследования – учебная база данных под управлением СУБД.
Предметисследования– контрольдоступасубъектовкобъектам. Средства изучения – учебный стенд.
Контроль подсистемы обеспечения целостности
В состав тематики входят четыре лабораторные работы: Работа 17. Настройка средств контроля целостности на основе
операций контрольного суммирования.
Работа 18. Контроль настроек и работы антивирусных средств. Работа 19. Контроль восстановления базы данных при разных сценариях потери/повреждения файлов, физического копирования
и архивирования данных.
Работа 20. Контроль восстановления базы данных методами логического копирования.
Краткая аннотация по лабораторным работам 17–20.
Назначение: проведение лабораторных работ по защите информации в области аттестации объектов информатизации по требованиям безопасности информации, а в частности в области контроля целостности данных. Ознакомление с контролем подсистемы обеспечения целостности в СУБД Oracle. Описание каждой работы содержит теоретическое введение, методику и порядок выполнения работы, а так же список контрольных вопросов.
19
Цель: получение практических навыков проведения аттестационных испытаний по требованиям безопасности информации в части проверки соответствия АС требованиям стандартов и других нормативных документов по защите информации, утвержденных (согласованных) ФСТЭК России или иными органами государственного управления в пределах их компетенции от несанкционированного доступа. Получение практических навыков контролирования подсистемы обеспечения целостности в СУБД Oracle.
Предметная область: объекты исследования – учебная база данных под управлением СУБД Oracle, автоматизированные рабочие места на базе ПЭВМ.
Предмет исследования – контроль подсистем обеспечения целостности данных.
Методы изучения – работа с программой «Фикс-2.0.1», работа с программой «Антивирус Касперского 7.0», подсистемы обеспечения целостности в СУБД Oracle.
Средства изучения – учебный стенд.
УЧЕБНО-МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ ПО ВЫПОЛНЕНИЮ ЛАБОРАТОРНЫХ РАБОТ
Подготовительный этап
При подготовке к выполнению конкретной лабораторной работы необходимо:
1.Изучить теоретический материал, посвященный данной лабораторной работе.
2.Подготовить необходимые данные по проведению лабораторной работы с последующим занесением их в отчет.
3.Ответить на список тестовых вопросов для более детального усвоенияматериала, который будетприведенвлабораторнойработе.
4.Обратиться за консультацией к преподавателю с целью уточнения каких-либо непонятных моментов по выполнению лабораторной работы.
Этапы выполнения лабораторных работ
1. Пройти инструктаж по технике безопасности, которому необходимо следовать при выполнении лабораторной работы.
20