В чем заключается принцип минимизации привилегий

ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Текст научной статьи по специальности «Компьютерные и информационные науки»

Аннотация научной статьи по компьютерным и информационным наукам, автор научной работы — Кулавская Юлия Евгеньевна

В данной статье рассматриваются основные принципы обеспечения информационной безопасности . Также приводятся примеры из жизни для понимания сути.This article discusses the basic principles of information security. There are also examples from life for understanding the essence.

i Надоели баннеры? Вы всегда можете отключить рекламу.

Похожие темы научных работ по компьютерным и информационным наукам , автор научной работы — Кулавская Юлия Евгеньевна

Система защиты автоматизированной системы распределенной обработки информации
Анализ уязвимостей современных систем электронного документооборота
Методы проведения атак для получения прав администратора домена в Active Directory
Методы обеспечения информационной безопасности

Основы организации системы обеспечения информационной безопасности для специальности «Прикладная информатика в экономике»

i Не можете найти то, что вам нужно? Попробуйте сервис подбора литературы.
i Надоели баннеры? Вы всегда можете отключить рекламу.

Текст научной работы на тему «ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ»

Кулавская Юлия Евгеньевна, студентка факультета довузовской подготовки и среднего профессионального образования, ФГБОУ ВО «Мордовский государственный университет им. H.П. Огарёва»

ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ

Аннотация: В данной статье рассматриваются основные принципы обеспечения информационной безопасности. Также приводятся примеры из жизни для понимания сути.

Ключевые слова: информационная безопасность, система, информация, конфиденциальность.

Annotation: This article discusses the basic principles of information security. There are also examples from life for understanding the essence.

Keywords: information security, system, information, confidentiality.

В широком понимании информационную безопасность можно охарактеризовать как совокупность средств защиты информации от воздействия, будь то случайное или умышленное. Владельцу информации наносится ущерб вне зависимости от того, какими факторами было вызвано воздействие (естественными или искусственными).

Команда специалистов может обеспечить наивысшую степень безопасности системы, лишь используя основные принципы информационной безопасности.

Принципы информационной безопасности

Вся система обеспечения информационной строится на шести основных принципах:

— минимизации площади поверхности атаки.

1. Принцип наименьшей привилегии [3].

Принцип наименьших привилегий означает, что можно гарантировать людям доступ только к тому, что им нужно для выполнения своей работы. Например, если разработать систему, которая содержит конфиденциальную финансовую информацию о клиентах, рекомендуется ограничить доступ к этой информации. Человек, который отвечает на телефонные звонки и назначает встречи, вероятно, не нуждается в доступе ко всей конфиденциальной информации. С другой стороны, менеджер по работе с клиентами, вероятно, нуждается в доступе к этой информации. Главное — убедиться, что менеджер по работе с клиентами не имеет доступа к информации из учетных записей, которыми он не управляет.

Гарантируя, что учетные записи имеют только привилегии, необходимые для выполнения своей работы, можно утверждать, что если злоумышленник компрометирует учетную запись, то он получит минимальное количество информации. Это уменьшает потери от атаки.

2. Принцип разделения обязанностей [3].

Принцип разделения обязанностей вытекает из принципа наименьшей привилегии. Идея разделения обязанностей заключается в том, что ни одна отдельная роль не должна иметь слишком большого авторитета. Это отличается от концепции наименьших привилегий. В то время как это фокусируется на том, чтобы люди имели только те привилегии, которые им нужны для выполнения своей работы, это означает, что их работа не слишком велика. Когда кто-то делает слишком большую работу, ему понадобится много разрешений для выполнения этой работы. Кроме того, когда у кого-то много

обязанностей на работе, это означает, что он подвержен принятию неправильных решений.

Проще говоря, есть система и её владельцы не желают, чтобы человек, ответственный за продажи, также мог утверждать скидки. У этого человека будет стимул изменить программное обеспечение, и он может принимать неверные решения о скидках, чтобы увеличить свои продажи. Вместо этого кто-то другой, например, менеджер, должен одобрить скидку до окончания продажи.

3. Принцип глубокой защиты [4].

Принцип глубокой защиты немного отличается от предыдущих принципов. В то время как наименьшие привилегии и разделение обязанностей контролируют процесс получения людьми доступ к системе, глубокая защита — предотвращает доступ к системе. Основной идеей данного принципа является то, любая система безопасности потерпит неудачу. Обойти компьютерные системы безопасности может быть очень трудно, но это всегда возможно.

Проектирование с глубокой защитой означает создание систем, которые сообщат, когда назначенная безопасность потерпит неудачу. Например, многие серверы для программных систем используют программное обеспечение безопасности, но расположены в одном здании. Кто-то имел физический доступ к каждому из серверов. Внезапно этот причудливый брандмауэр или программное обеспечение для обнаружения вторжений становятся бесполезными. Вот почему центры обработки данных спроектированы с присутствием физической безопасности и камерами безопасности для обнаружения злоумышленников.

4. Принцип безопасного отказа.

Как и в случае с глубокой защитой, этот принцип распознает, что все идет к провалу. Чтобы предусмотреть, как система может выйти из строя с наименьшими потерями.

Объяснить смысл данного принципа можно на примере офисного здания. У злоумышленника каким-то образом оказались ключи от всех дверей в здании и ему не составит труда получит то, зачем он пришёл. В системе, которая предусматривает подобную ситуацию и надежно выходит из строя, все двери запираются. Вместо того, чтобы предоставить доступ ко всем дверям в здании, у злоумышленника не окажется доступа ни к одной из них.

Та же концепция применима и к разработке программного обеспечения. Система, предназначенная для безопасного отказа, предоставляет доступ к частям системы только тогда, когда каждый шаг процесса завершается успешно.

5. Принцип открытого проектирования [2].

Принцип открытого проектирования гласит, что безопасность системы не должна зависеть от секретности реализации. Это особенно важный принцип для таких концепций безопасности, как криптографические реализации. Хорошо разработанные криптографические реализации публикуются публично. Их тестируют самые умные люди в мире, прежде чем применить на практике.

6. Принцип минимизации площади поверхности атаки.

Принцип минимизации площади поверхности атаки заключается в удалении частей системы/приложения, чтобы сделать его более безопасным.

Для более простого понимания можно снова привести в пример офисное здание. Как и у любого сооружения, у офисного здания есть стены, двери, окна. Можно поставить на двери самые современные замки и системы защиты, но чем больше в здании окон, тем больше вероятность, что через одно из них может забраться злоумышленник. Ведь окна в свою очередь не так сильно подвергаются защите.

Части системы подобны окнам. Они выглядят красиво, но могут раскрыть функциональность, которая приведет к ошибкам. Минимизация площади поверхности атаки ставит вопрос о том, является ли функция необходимой. Иногда, перепроектируя функцию, чтобы сделать ее более простой, общая безопасность приложения улучшается.

Информационная безопасность — это сложная работа, требующая внимания к деталям и более высокого уровня осведомленности одновременно. Как и многие сложные задачи, если разбить их на основные этапы, процесс можно упростить.

1. Андреева Н.А. и др. Основные принципы и методы разработки правил политики информационной безопасности //Современные технологии обеспечения гражданской обороны и ликвидации последствий чрезвычайных ситуаций — 2014. — №1(5).

2. Гусев М.О. Открытые информационные системы и защита информации //Журнал радиоэлектроники — 2005. — №3.

3. Основы информационной безопасности URL: https: //intuit.ru/studies/courses/10/10/lecture/324.

4. Программно-аппаратная защита информации URL: http: //www.chemisk. narod.ru/html/ib04 .html.

5. Шибарова Е. В. и Винокурова О. А. Безопасность промышленных информационных систем, виды угроз и общие принципы защиты информации // Вестник Московского государственного университета печати — 2016. — № 26.

Принципы информационной безопасности

Полноценная информационная безопасность базируется на нескольких основополагающих принципах:

Основные принципы информационной безопасности

Рассмотрим принципы ИБ подробно:

1. Простота использования информационной системы. Данный принцип информационной безопасности заключается в том, что для минимизации ошибок следует обеспечить простоту использования информационной системы. Во время эксплуатации ИС пользователи и администраторы совершают непреднамеренные ошибки, некоторые из которых могут вести к невыполнению требований политик безопасности и снижению уровня информационной безопасности. Чем более сложны, запутанны и непонятны для пользователей и администраторов совершаемые ими операции, тем больше они делают ошибок. Простота использования ИС является необходимым условием для снижения числа ошибочных действий. При этом следует помнить, что данный принцип информационной безопасности не означает простоту архитектуры и снижение функциональности ИС.

2. Контроль над всеми операциями. Этот принцип подразумевает непрерывный контроль состояния информационной безопасности и всех событий, влияющих на ИБ. Необходим контроль доступа к любому объекту ИС с возможностью блокирования нежелательных действий и быстрого восстановления нормальных параметров информационной системы.

3. Запрещено всё, что не разрешено. Этот принцип ИБ заключается в том, что доступ к какому-либо объекту ИС должен предоставляться только при наличии соответствующего правила, отраженного, например, в регламенте бизнес-процесса или настройках защитного программного обеспечения. При этом основной функцией системы ИБ является разрешение, а не запрещение каких-либо действий. Данный принцип позволяет допускать только известные безопасные действия, а не заниматься распознаванием любой угрозы, что очень ресурсоёмко, невозможно в полной мере и не обеспечивает достаточный уровень ИБ.

4. Открытая архитектура ИС. Этот принцип информационной безопасности состоит в том, что безопасность не должна обеспечиваться через неясность. Попытки защитить информационную систему от компьютерных угроз путем усложнения, запутывания и скрытия слабых мест ИС, оказываются в конечном итоге несостоятельными и только отсрочивают успешную хакерскую, вирусную или инсайдерскую атаку.

5. Разграничение доступа. Данный принцип ИБ заключается в том, что каждому пользователю предоставляется доступ к информации и её носителям в соответствии с его полномочиями. При этом исключена возможность превышения полномочий. Каждой роли/должности/группе пользователей можно назначить свои права на выполнение действий (чтение/изменение/удаление) над определёнными объектами ИС.

6. Минимальные привилегии. Принцип минимальных привилегий состоит в выделении пользователю наименьших прав и доступа к минимуму необходимых функциональных возможностей программ. Такие ограничения, тем не менее, не должны мешать выполнению работы.

7. Достаточная стойкость. Этот принцип информационной безопасности выражается в том, что потенциальные злоумышленники должны встречать препятствия в виде достаточно сложных вычислительных задач. Например, необходимо, чтобы взлом паролей доступа требовал от хакеров неадекватно больших промежутков времени и/или вычислительных мощностей.

8. Минимум идентичных процедур. Этот принцип информационной безопасности состоит в том, что в системе ИБ не должно быть общих для нескольких пользователей процедур, таких как ввод одного и того же пароля. В этом случае масштаб возможной хакерской атаки будет меньше.

При выполнении проектов специалисты ARinteg реализуют весь комплекс принципов, обеспечивающих информационную безопасность.

Принцип наименьших привилегий: основы и лучшие практики

Один из наиболее важных принципов при реализации комплекса мер в сфере безопасности – принцип наименьших привилегий.

Один из наиболее важных принципов при реализации комплекса мер в сфере безопасности – принцип наименьших привилегий. В этой статье мы рассмотрим суть данной идеи, и как эта модель может повысить ваш уровень безопасности.

Суть принципа наименьших привилегий

Принцип наименьших привилегий основан на идее, что у каждого пользователя должен быть доступ только к ресурсам, необходимым для выполнения требуемых обязанностей. Например, у менеджера по продажам не должно быть доступа к финансовым отчетам, а аккаунт сотрудника, занимающегося маркировкой, не должен иметь административных привилегий.

Преимущества модели наименьших привилегий

• Повышение безопасности: когда привилегии раздаются строго в рамках сферы ответственности, значительно сокращается риск ущерба от многих потенциальных внутренних угроз.
• Снижение вероятности атак, связанных с «горизонтальным» движением по инфраструктуре: переизбыток привилегированных аккаунтов дает много возможностей для атак, связанных с горизонтальным перемещением по инфраструктуре (lateral movement attack).
• Защита от других угроз: принцип наименьших привилегий помогает предотвратить и другие распространенные угрозы, в частности, связанные с вредоносными программами.
• Безопасная сеть: в хорошо организованной и безопасной сети в обязанности администратора входит аудит прав доступа всех пользователей. Принцип «все для всех» быстро приведет к хаосу.

Пример практик в сфере безопасности, связанных с принципом наименьших привилегий

Ниже продемонстрировано два примера, как в организации может быть использован принцип наименьших привилегий.

Аккаунты с наименьшими необходимыми привилегиями

Идея о назначении только нужных прав доступа кажется очевидной, но является одной из самых эффективных и недооцененных для снижения риска многих угроз. Например, снижается вероятность распространения вредоносов, если произошел фишинг сотрудника с непривилегированной учетной записью.

Привилегии на ограниченный период

Периодически сотруднику, например, работающему в службе поддержки, на короткое время требуется доступ с высокими привилегиями или доступ к ресурсам, которые обычно не используются. В этом случае имеет смысл наделить учетную запись привилегиями на лету (just-in-time) и на строго отведенное время.

Нулевые привилегии

Наименьшие необходимые привилегии, выдаваемые на лету, могут быть частью философии нулевых привилегий, цель которой – отключение привилегий, выданных на постоянной основе.

Шаги по внедрению модели наименьших привилегий (наилучшие практики)

Для внедрения политики наименьших привилегий следуйте шагам, указанным ниже:

1. Ревизия.
2. Оценка привилегий.
3. Управление.
4. Мониторинг.
5. Встроенные административные права.
6. Принудительное делегирование наименьших привилегий.

Ревизия

Просканируйте и каталогизируйте все системы и директории, подключенные к корпоративной сети. Сделайте ревизию всех учетных записей и групп, включая данные, как, например, срок пароля, время последней авторизации и права доступа.

Оценка привилегий

Идентифицируйте совместно используемые и назначенные привилегированные аккаунты, а также членов групп администраторов, используемых по умолчанию. Выясните, у кого есть привилегированный доступ к серверам и директориям, как, например, Active Directory.

Управление

Внедрите ротацию привилегированных аккаунтов по расписанию с использованием сильных паролей, определяемых соответствующей политикой. У любого решения должна быть возможность предоставить доступ «на лету» и обеспечить ротацию учетных записей, которые оказались обнародованными даже в течение непродолжительного периода времени.

Мониторинг

Выполняйте аудит привилегированных учетных записей и выстройте внутренние процессы, связанные с регулярной сертификацией полномочий и ревизией сессий. Убедитесь, что пользователи имеют привилегии согласно своей роли, а повышенные права вовремя отключаются в случае отсутствия необходимости.

Встроенные административные права

Отключите административные права для рабочих станций, серверов и директорий при помощи технологий на базе агентов или без использования агентов. Убедитесь, что ни у одного пользователя нет административного доступа без прохождения через механизм контроля на основе политик, который выполняет аудит и управляет доступом через политику.

Принудительное делегирование наименьших привилегий

Внедрите политики делегированного доступа, где указаны уровни полномочий для задач без необходимости выдачи полных административных прав. Там, где без административных прав не обойтись, следует назначать эти полномочия только отдельным аккаунтам и вести строгую отчетность. Расширенные права должны выдаваться на ограниченное время и иметь конкретные максимальные сроки действия.

Принцип минимальных привилегий (Principle of least privilege)

Принцип минимальных привилегий (Principle of least privilege, PoLP), также называемый «принципом наименьших полномочий» (POLA), — практика в кибербезопасности, при которой субъекту (пользователю, процессу, программе, модулю и т. п.) предоставляют только те права в информационной системе, которые ему необходимы для корректной работы. Если для выполнения задач не требуется доступ к определенным ресурсам и функциям, он не предоставляется. Основное преимущество этого принципа: в случае инцидента с конкретным субъектом (например, взлома аккаунта или сбоя в работе приложения) ущерб организации будет меньше, чем если бы у этого субъекта были неограниченные права.

Принцип минимальных привилегий — один из компонентов концепции информационной безопасности Zero Trust, предполагающей отсутствие доверия по умолчанию к каким бы то ни было субъектам IT-инфраструктуры организации.

Реализация принципа минимальных привилегий

Как правило, применение PoLP включает в себя следующие практики:

• Сегментация сети. Корпоративную сеть разделяют на небольшие узлы, которые могут состоять из одного устройства или приложения. Чем меньше сегменты, тем больше у организации возможности разделять и ограничивать права пользователей, программ и т. д.
• Минимум привилегий для новых аккаунтов. Все новые аккаунты создаются с наименьшими возможными привилегиями.
• Разделение привилегий. Субъекты разделяются на группы и подгруппы минимального размера. Например, привилегии выдаются конкретному пользователю, а не группе пользователей схожего уровня, или конкретному процессу внутри программы, а не всей программе.
• Временный доступ (just-in-time, JIT, брекетинг привилегий). Привилегии более высокого уровня выдаются только на срок выполнения задачи, для которой они нужны. Сразу после завершения задачи повышенные привилегии отзываются.
• Аудит привилегий. Существующие разрешения регулярно проверяются и пересматриваются. Если какие-то права больше не нужны субъекту для выполнения его задач, их отзывают.

Какие проблемы решает принцип минимальных привилегий

Основная цель PoLP — повышение безопасности корпоративной инфраструктуры:

• Сокращение поверхности атаки. Ограниченное количество привилегированных аккаунтов позволяет сократить количество уязвимых точек, через которые злоумышленники могли бы получить доступ к инфраструктуре.
• Предотвращение заражения всей инфраструктуры. В случае успешной атаки злоумышленники получат доступ только к одному небольшому сегменту сети.

Также внедрение принципа минимальных привилегий может:

• Повысить продуктивность сотрудников. Получая повышенные привилегии лишь на ограниченное время, сотрудники могут решать некоторые задачи быстрее и эффективнее, чем если бы эти привилегии были у них постоянно.
• Повысить готовность компании к аудиту. Постоянный мониторинг пользователей, программного обеспечения и т. д., а также регулярный пересмотр прав упрощают проведение аудита безопасности.

Публикации на схожие темы

• Концепция Zero Trust: не доверяй — всегда проверяй
• Не пора ли пересмотреть корпоративную ИТ-безопасность?
• «Розы» для Макса
• Разработка сценариев реагирования на инциденты
• Сколько безопасности достаточно?
• Прогнозы в сфере конфиденциальности на 2023 год