ГОСТ Р ИСО/МЭК 18028-1— 2008
Хорошим примером шлюза безопасности является межсетевой экран. Межсетевые экраны обычно
должны обладать соответствующей степенью гарантии, соизмеримой с оцененным риском, когда стан
дартный набор правил межсетевого экрана обычно начинается с запрещения всегодоступа между внут
ренними и внешними сетями и добавления отдельных правилдля обеспечения соответствия только необ
ходимым каналам связи.
Более подробная информация о шлюзах безопасности представлена в ИСО/МЭК 18028-3 (а также в
ИСО/МЭК 17799).
Следует отметить, что. несмотря на отсутствие обсуждения аспектов сетевой безопасности персо
нальных межсетевых экранов (специального типа межсетевых экранов) в ИСО/МЭК 18028-3, они также
должны быть рассмотрены. В отличие от большинства центральных узлов, защищенных специальными
межсетевыми экранами, удаленные системы не могут быть обеспечены экономически и практически. Вза
мен можно использовать персональный межсетевой экран, контролирующий поток информации в удален
ный компьютер (и иногда из него). Персонал может осуществлять выполнение правил (политик) межсете
вого экрана дистанционно в центральном пункте, освобождая удаленного пользователя системы от необ
ходимости изучения технической стороны процесса. Однако, если это невозможно, следует позаботиться
об обеспечении эффективной конфигурации, особенно если персонал на удаленном узле не знаком с ИТ.
Некоторые персональные межсетевые экраны, ограничивая распространение вредоносных программ, так же
могут ограничивать возможности передачи по сети санкционированных программ (даже библиотек).
13.2.8 Сервисы удаленного доступа
13.2.8.1 Общие положения
Целью сервисов удаленного доступа (СУД) является осуществление обмена данными между уда
ленным узлом и центральным сервисом. Для этого существует ряд решений, включающий:
- передачу информации через Интернет;
- службу IP автоматической телефонной связи.
Системы связи через Интернет все вбольшей степени используют предоставленные Интернет-про
вайдером каналы связи ADSL для обеспечения высокой пропускной способности из центрального узла и
более низкую пропускную способность из удаленногоузла к центральному. Для обеспечения безопаснос
ти потоков обменных данных (кроме наименее засекреченных) необходимо использовать VPN (см. 13.2.9).
Службы IP автоматической телефонной связи позволяют удаленному узлу (обычно одиночному
пользователю) набирать номерблока модемов на центральной станции. После аутентификации устанавли
вается связь между удаленным узлом и центральным сервисом. Если только в приложении не использу
ется протокол безопасности, в этом режиме связи шифрование обычно не применяют.Доступ к СУД реали
зуют посредством сети ISDN или аналоговых линий. Так или иначе пользователь звонит в центральный
узел, где имеется определенный уровень аутентификации. Доступ к СУД обеспечивает передачу только
незашифрованныхданных.
13.2.8.2 Риски безопасности
Существует ряд рисков безопасности, которые могут быть связаны с СУД:
- несанкционированный доступ к системам, сервисам и информации организации (включая прослу
шивание), приводящий к раскрытию, несанкционированным изменениям или разрушению информации и/
или сервисов;
- введение вредоносного кода в системы, сервисы и информацию организации с их последующей
модификацией, недоступностью и разрушением:
- атака DoS на сервисы организации.
13.2.8.3 Меры безопасности
Удаленныйдоступ подразумевает наличие самозащиты центральных сервисов отнесанкционирован
ного доступа. Считается, что сами удаленные системы имеют защиту от ряда угроз безопасности. Меры
безопасности, которые могут потребоваться, включают:
- межсетевые экраны (включая персональные межсетевые экраны).
-ACL маршрутизатора;
- шифрование каналов доступа к Интернету;
- определитель линии вызова;
-строгую аутентификацию:
- антивирусное ПО;
- управление аудитом.
Более подробная информация о безопасности СУД содержится в ИСО/МЭК 18028-4.
32