ГОСТ Р ИСО/МЭК 17799—2005
- распределения выделенных линий или номеров телефона;
- автоматического подключения портов к определенным системным приложениям или шлюзам
безопасности;
- ограничения опций меню и подменю для индивидуальных пользователей;
- предотвращения неограниченного сетевого роуминга;
- использования определенных прикладных систем иАили шлюзов безопасности для внешних
пользователей сети;
- активного контроля разрешенного источника с целью направления соединения через шлюзы
безопасности, например, межсетевые экраны;
- ограничения доступа к сети посредством создания отдельных логических доменов, например
виртуальных частных сетей для пользовательских групп в пределах организации (9.4.6).
Выбор конкретныхспособовдолжен основываться на требованияхбизнесав отношении контроля
доступа (9.1).
9.4.3 Аутентификация пользователей в случав внешних соединений
Внешние соединения обеспечивают потенциал для неавторизованного доступа к служебной
информации, например, при использовании телефонной связи. Поэтому, при доступе удаленных
пользователей, они должны быть аутентифицированы. Некоторые методы аутентификации обеспечи
ваютбольшийуровеньзащиты, например, основанныена использованиисредствкриптографии, имогут
обеспечить надежную аутентификацию. Исходя изоценки риска, важно определитьтребуемый уровень
защиты для выбора соответствующего метода аутентификации.
Аутентификация удаленных пользователей может быть достигнута при использовании средств
криптографии, средств идентификации аппаратуры или протоколов, поддерживающих метод
«отклик-отзыв». Выделенные частные линии или средства проверки сетевого адреса пользователя
могут также использоваться для обеспечения доверия к источнику подключений.
Процедуры исредства контроля обратноговызова, например использование модемовсобратным
вызовом, могутобеспечиватьзащитуот неавториэованных инежелательных подключений к средствам
обработки информацииорганизации, так какподтверждаютправо надоступ пользователей, пытающих
ся установитьудаленную связьс сетью организации. При использовании этихспособов организации не
следует использовать сетевые сервисы, которые включают переадресацию вызова. Если же они
используются, необходимо блокировать возможности переадресации, чтобы избежать связанных с
этим рисков. Также важно, чтобы процессобратного вызова обеспечивал уверенностьв том. что факти
ческое разъединениена сторонеорганизации осуществлено. В противном случае удаленный пользова
тель может держать линию занятой, фальсифицируя проверку обратного вызова. Для исключения
подобных инцидентов процедуры и средства контроля обратного вызова следует тщательно
тестировать.
9.4.4 Аутентификация узла
Средство автоматического подсоединения к удаленному компьютеру может предоставить способ
получения неавторизованного доступа к бизнес-приложению. Следовательно, подключения к удален
ным компьютерным системам необходимоаутентифицировать, что особенно важно, если подключение
производится к сети, которая находится вне сферы контроля управления безопасностью организации.
Примеры аутентификации и способы ее достижения рассматриваются в 9.4.3.
Аутентификация узла может служить альтернативным средством аутентификации групп удален
ных пользователей там. где они подсоединены к безопасному компьютерному средству совместного
использования (9.4.3).
9.4.5 Защита портов диагностики при удаленном доступе
Для обеспечения безопасности доступ к портам диагностикидолжен быть контролируемым. Мно
гие компьютерные сети и системы связи имеют набор средств удаленнойдиагностикидля использова
ния инженерами по обслуживанию. Будучи незащищенными, эти диагностические порты являются
источником риска неавторизованного доступа. Безопасность этих портов необходимо обеспечивать с
помощью соответствующего защитного механизма безопасности, например, «замка», а также осуще
ствлятьдоступ обслуживающего персонала кдиагностическим портам только на основаниидоговорен
ности между руководителем, отвечающим за обеспечение компьютерных сервисов, и персоналом по
поддержке аппаратныхУпрограммных средств.
9.4.6 Принцип разделения в сетях
Компьютерные сети все более распространяются за пределы организации, поскольку создаются
деловые партнерства, которые требуют общения между партнерами или совместного использования
сетевой инфраструктуры исредств обработки информации. Такие расширения увеличивают рискнеав-
торизованмогодоступа к информационным системам сети, причем в отношении некоторыхиз этих сис-
32