кредитной организации — приводит к необходимости внедрения и совершенствования средств защиты информационно-процессинговых ресурсов кредитной организации. Каждое из возможных средств защиты характеризуется индивидуальными специфическими недостатками, причем, поскольку «то, что один человек сделал, другой всегда может сломать», со средствами сетевой защиты это происходит почти постоянно, из- за чего становится необходимой разработка специальной «политики управления обновлениями»[144] (или в буквальном смысле — «заплатками»).
Реализующая эту «политику» процедура
В первую очередь это относится к компьютерным операционным системам и программному обеспечению сетевых экранов (брандмауэров), прокси-серверов, маршрутизаторов и т. п. В зарубежной литературе[145] решению этой задачи уделяется серьезное внимание, поскольку продолжение использования скомпрометированного программного обеспечения, его устаревших версий или несвоевременная инициация указанной процедуры могут образовать «дыры» в периметре безопасности кредитной организации и привести к реализации многих компонентов банковских рисков. Таким образом, эту процедуру логично утвердить официально, документально оформить, сделать, так сказать, «сторожевой» и довести до должностных инструкций ответственных исполнителей и их менеджеров.
Для удобства анализа построения и потенциальной уязвимости вычислительных сетей используется разработанная Международной организацией по стандартам’ так называемая модель «Взаимосвязи открытых систем»[146]. Эту модель, назначение которой заключается преимущественно в облегчении понимания содержания и организации сетевого взаимодействия, можно представить в виде семиуровневого описания следующим образом (табл. 5.3).
Приведенная классификация удобна помимо прочего и для выбора средств сетевой защиты, достаточно сравнить ее с выдержкой из рекомендательного материала Национального института стандартов и технологий США[147]: «Сетевые брандмауэры представляют собой устройства или системы, которые контролируют прохождение сетевого трафика между вычислительными сетями с разными состояниями информационной безопасности. В большинстве современных приложений брандмауэры и условия их функционирования рассматриваются в контексте „интернет-связности“ и применения протоколов TCP/IP[148].
В то же время брандмауэры применяются и в сетевых архитектурах, которые не связаны с интернет- приложениями. К примеру, в вычислительных сетях многих компаний брандмауэры используются для ограничения связности с внутренними сетями (в обоих направлениях), в которых циркулирует „чувствительная“ к НСД информация: данные бухгалтерского учета или персональные данные. Эти устройства образуют дополнительные уровни информационной безопасности, которые иначе отсутствовали бы».
В настоящее время доступны несколько типов платформ брандмауэров, предлагаемых разными компаниями. Одним из способов сравнения возможностей этих платформ является их анализ с позиций модели OSI и функционирования брандмауэра, использующего возможности разных ее уровней (абстрагирующие описание взаимодействия между компьютерными системами и сетевым оборудованием)[149]. Следует отметить, что данные адресации, по которым определяется конкретный компьютер, относятся к Уровню 2, они присваиваются сетевым интерфейсам и обозначаются аббревиатурой MAC[150]: примером может служить адрес сети Ethernet, присвоенный конкретной сетевой плате. Уровень 3, на котором осуществляется доведение сетевого трафика в ЗВС, — в Ethernet соответствует адресации по IP; такой адрес уникален, если отсутствует так называемая «трансляция сетевых адресов», с помощью которой под одним адресом данного уровня могут работать многие устройства (о значимости этих параметров еще будет сказано в параграфе 5.6 в связи с тем, что сведения о сетевом трафике — ценнейшая информационная основа для проведения расследований противоправной деятельности). Уровень 4 определяет сетевые приложения и сеансы связи. В отличие от адресации любая компьютерная система может иметь произвольное количество сеансов этого уровня с другими устройствами в той же вычислительной сети, в приложении к протоколу TCP/IP здесь используется также понятие «порт», которое интерпретируется как указатель на сеансы взаимодействующих приложений (прикладных программ). Остальные уровни в этом рассмотрении не имеют принципиального значения, поскольку относятся к описанию таких программ и компьютерных систем пользователя.
Наиболее общий вариант предусматривает формирование DMZ (рис. 5.6) в вычислительных сетях с двумя брандмауэрами, разделяющими сетевые сегменты с возможностями внешнего доступа и доступа исключительно «изнутри». Граничный маршрутизатор фильтрует пакеты данных и обеспечивает защиту серверов во внешней зоне, тогда как первый брандмауэр предназначается для контроля доступа и защиты на случай, если эти сервера будут атакованы. Те сервера, которые требуется защищать от НСД и из внешней среды и из внутренней вычислительной сети, логично располагать между двумя брандмауэрами. Обычно DMZ реализуется с помощью сетевых коммутаторов, помещаемых между брандмауэрами или между брандмауэром и граничным маршрутизатором, при этом считается, что сервера удаленного доступа и точки входа в VPN лучше размещать в сетях с DMZ. Это позволяет уменьшить вероятность того, что внешние атаки смогут достичь внутренних сегментов, а с помощью брандмауэров будет усилен контроль доступа пользователей сети. В то же время управление конфигурациями такого рода и настройкой сетевых компонентов желательно документировать и контролировать «четырьмя глазами» в силу их значимости для кредитной организации как упоминавшихся ранее «виртуальных ворот» к ее СЭБ, БАС и информационным активам.
В базовой конфигурации брандмауэры работают с малым числом сетевых уровней, усовершенствованные брандмауэры охватывают большее их число. В терминах функциональности последние более эффективны и предпочтительны. «Охват дополнительного уровня повышает „гранулярность“ конфигурации брандмауэра, т. е. он может осуществлять более детальный контроль и работать с большим числом прикладных программ и сетевых протоколов, а также стать клиент-ориентированным, выполняя проверку аутентичности». Брандмауэры, работающие только на уровнях 2 и 3, обычно для этого не пригодны, но более совершенные брандмауэры — прокси-шлюзы — могут обеспечивать опознавание и реагировать на шаблоны событий, ассоциируемых с клиентом. В кредитной организации целесообразно документально обосновать и установить уровни контроля сетевого трафика, распределив ответственность за настройку сетевых средств контроля и защиты и зафиксировав внутрибанковские документы, регламентирующие такие настройки и порядок их использования. К слову сказать, настройка брандмауэров является достаточно «тонкой» задачей, схожей с программированием, и для этого используются специалисты, обладающие необходимыми знаниями; их работу следует контролировать, поскольку неточности в такой настройке (допущенные случайно или намеренно) образуют «дыры» в сетевой защите кредитной организации, из-за чего ей и ее клиентам может быть нанесен значительный ущерб.
В современных условиях использования сетевых технологий в обеспечение банковской деятельности необходимой процедурой стало тестирование возможностей проникновения [151] в БАС и СЭБ кредитной организации (о чем упоминалось в главе 3 в связи с анализом жизненных циклов внутрибанковских процессов и автоматизированных систем). Такие процедуры целесообразно организовывать на основе официально принятых и документированных решений в кредитной организации, после чего для них специалистами службы ИТ и СБ при участии представителей ВК разрабатываются собственно тесты, контрольные примеры, программы и методики проведения тестирования, а также
