|
|
@@ -0,0 +1,64 @@
|
|
|
+# Механизмы и методы защиты информации в распределенных автоматизированных системах
|
|
|
+
|
|
|
+
|
|
|
+-----
|
|
|
+
|
|
|
+
|
|
|
+Распределённая автоматизированная система (РАС) — это система управления, в которой функции, ресурсы и обработка данных распределены между несколькими отдельными узлами, соединёнными по сети, но воспринимаются как единое целое.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+ **Особенности безопасности распределенных систем**
|
|
|
+
|
|
|
+ Распределенная автоматизированная система представляет собой сложный технологический комплекс, состоящий из географически разбросанных, но связанных сетью вычислительных узлов, предназначенный для сбора, обработки и управления данными в интересах организации. К таким системам относятся системы управления производством (SCADA), банковские эквайринговые сети, корпоративные информационные системы филиальной сети. Их главная особенность — отсутствие единого периметра. Традиционная модель безопасности, построенная на защите границ внутренней сети от внешнего мира, здесь терпит крах. Каждый удаленный узел, каждый канал связи, каждая точка доступа становятся потенциальной мишенью для злоумышленника.
|
|
|
+
|
|
|
+ **Угрозы и подходы к построению защиты**
|
|
|
+
|
|
|
+ Угрозы для РАС носят комплексный и многоуровневый характер. Это не только внешние атаки из интернета, такие как DDoS-атаки, нацеленные на парализацию работы, или сканирование и эксплуатация уязвимостей в сетевых службах. Это и внутренние риски, например, действия недовольного сотрудника в удаленном офисе, имеющего легитимный доступ к части системы. Особую опасность представляют целевые атаки (APT), которые могут начаться с фишингового письма на почту сотрудника небольшого филиала, а закончиться проникновением в центральный узел управления. Кроме того, сама сложность распределенной среды порождает риски конфигурационных ошибок, небезопасной настройки промежуточных маршрутизаторов или устаревшего ПО на одном из десятков серверов, что может стать «входной дверью» для злоумышленника.
|
|
|
+
|
|
|
+ Для противодействия этому спектру угроз применяется стратегия глубокой эшелонированной обороны (Defense-in-Depth). Суть ее в том, что ни один механизм защиты не является абсолютно надежным. Поэтому система безопасности строится как совокупность взаимодополняющих и перекрывающих друг друга защитных слоев. Если злоумышленник преодолеет один рубеж (например, межсетевой экран), его остановит следующий (например, система обнаружения вторжений). Слои включают в себя физическую безопасность, защиту сетевой инфраструктуры, безопасность операционных систем и приложений, управление данными и, наконец, процедуры и обучение персонала. Только такой целостный подход позволяет создать устойчивую к современным угрозам распределенную среду.
|
|
|
+
|
|
|
+ **Ключевые механизмы защиты**
|
|
|
+
|
|
|
+Для защиты распределенных систем используются три основных типа технических механизмов, которые работают вместе:
|
|
|
+
|
|
|
+
|
|
|
+ *Контроль доступа — отвечает на вопрос "кто и к чему может обращаться".*
|
|
|
+
|
|
|
+
|
|
|
+ 1.1 Двухфакторная аутентификация (пароль + код из приложения/токен)
|
|
|
+
|
|
|
+ 1.2 Единый вход (SSO) — один логин для всех сервисов
|
|
|
+
|
|
|
+ 1.3 Ролевой доступ — права по должности, а не по человеку
|
|
|
+
|
|
|
+
|
|
|
+ *Шифрование трафика — защищает данные в пути между узлами системы:*
|
|
|
+
|
|
|
+
|
|
|
+ 2.1 TLS/SSL — для защиты веб-доступа (браузеры, приложения)
|
|
|
+
|
|
|
+ 2.2 VPN — создает защищенные "туннели" между филиалами
|
|
|
+
|
|
|
+ 2.3 Без исключений — весь сетевой трафик должен быть зашифрован
|
|
|
+
|
|
|
+
|
|
|
+ *Сетевая фильтрация — контролирует и анализирует передаваемые данные:*
|
|
|
+
|
|
|
+
|
|
|
+ 3.1 Межсетевые экраны (файрволы) на всех границах сегментов
|
|
|
+
|
|
|
+ 3.2 Системы обнаружения/предотвращения атак (IDS/IPS)
|
|
|
+
|
|
|
+ 3.3 Сегментация сети — разделение на изолированные зоны
|
|
|
+
|
|
|
+
|
|
|
+ **Комплексные методы и системы обеспечения безопасности**
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+ Отдельные механизмы объединяются в более высокоуровневые методы. Одним из базовых является сегментация сети. Распределенную систему недопустимо строить как единую плоскую сеть. Ее необходимо разделять на изолированные сегменты или домены безопасности. Например, публично доступные веб-серверы выносятся в демилитаризованную зону (DMZ), отгороженную от внутренней сети жесткими правилами межсетевых экранов. Отдельный сегмент может быть выделен для промышленных контроллеров SCADA, отдельный — для финансового департамента. Сегментация, реализуемая с помощью VLAN, фаерволов и технологий программно-конфигурируемых сетей (SDN), ограничивает горизонтальное перемещение злоумышленника в случае взлома одного из узлов, локализуя инцидент.
|
|
|
+
|
|
|
+ Для оперативного реагирования на угрозы в масштабах всей распределенной системы необходима централизованная корреляция событий безопасности. На каждом узле (сервере, сетевом устройстве, рабочей станции) ведется журнал аудита. Однако анализировать тысячи лог-файлов вручную невозможно. Решает эту задачу система управления событиями и информацией безопасности (SIEM). Она в реальном времени собирает, нормализует и агрегирует события со всех источников в организации.
|
|
|
+
|
|
|
+ Наконец, все технические меры должны быть подчинены и направлены политиками безопасности. Именно политика предписывает, какие механизмы и где применять, как часто менять пароли, по какому алгоритму проводить резервное копирование данных на распределенных узлах, как реагировать на инциденты.
|
