ГОСТ Р ИСО/МЭК 18028-1— 2008
- непреднамеренный доступ общественных пользователей к участкам хранения данных.
- загрузка в систему вредоносного ПО;
- компрометация веб-узла с использованием функциональной возможности коммутации:
- неспособность снятия резервных копий без воздействия на работу веб-узла;
- несанкционированное раскрытие плана IP-адресации, облегчающее атаку на веб-узел;
- использование соединений между станциями управления и веб-узлом;
- необнаруженная атака;
- трудность в отслеживании вторжений между устройствами;
- неспособность восстанавливатьданные;
- неспособность удовлетворять требованиям соглашения об уровне сервиса;
- неспособность поддерживать непрерывность услуги;
- несанкционированное использование веб-услуг, включая нарушение политики организации (напри
мер, использование серверов в личных целях) и несоответствие законодательству (например, хранение
материала, который нарушает авторские права, или детской порнографии).
13.2.12.3 Меры безопасности
Существуют следующие технические меры безопасности для менеджмента рисков от идентифици
рованных угроз для веб-узлов:
- обеспечение тщательного зонирования безопасности для ограничения воздействия успешной
атаки;
- спецификация различных типов межсетевых экранов для противодействия возможным уязвимос
тям межсетевых экранов (более подробная информация о межсетевых экранах представлена в 13.2.7 и
ИСО/МЭК 18028-3);
- устойчивость к внешним воздействиям: проект должен быть проверен на наличие потенциально
критических точек, которыедолжны быть устранены;
- преодоление отказа/разделения нагрузки для защиты от сбоя в работе оборудования;
- кластеризация (создание кластеров), где требованием является высокий уровень готовности всре
де порядка 24x7;
- предоставление посреднических услугдля ограничениядоступа к веб-узлу и обеспечение высокой
степени протоколирования;
- антивирусные меры безопасности на загрузкахдля предотвращения импорта вредоносного ПО (бо
лее подробная информация о мерах безопасностидля обнаружения и предотвращения вредоносного кода
представлена в 13.9);
- коммутация уровня 2, обычно используемая в проекте веб-узла. Коммутация уровня 3 не должна
быть использована, если это не является бизнес-требованием (например, какдля распределения нагруз
ки). Кроме того, один и тот же физический коммутатор не должен быть использован обеими сторонами
межсетевого экрана. В проект коммутатора следует включать контрольные точки WLAN, разделенные
функцией для упрощения настройки системы обнаружения вторжений, так каксуществует сокращенный
протокол, настроенный налюбую ЛВС. Кроме того, внедрение резервной ЛВС позволяет эксплуатировать
резервные копии влюбое время суток, не подвергая опасности работу сайта;
- план IP-адресации для ограничения количества общедоступных адресов до минимума, хранящий
ся под строжайшим секретом, знание которого может быть использовано для инициирования атаки на
веб-узел;
- места подсоединения каналов управления к общедоступным сетям должны шифроваться (более
подробную информацию об удаленном доступе см. в ИСО/МЭК 18028-4). Это включает по меньшей мере
наличие предупреждений /ловушек протокола SNMP на соединениях портов пульта управления:
- все протоколы аудита событий и транзакций каждого устройства, скопированные на сервер аудита и
затем на носители резервных копий, такие, как компакт-диски (более подробная информация о протоколи
ровании данных аудита и мониторинге сети представлена в пункте 13.7);
- реализованная услуга временной синхронизации, поскольку она является основой анализа несан
кционированногодоступа и возможности отслеживания по протоколам аудита. Для этого требуется синхро
низация всех протоколов аудита и, следовательно, серверов до ллюс/минус 1С (здесь уместен протокол
NTP; болев подробную информацию см. в ИСО/МЭК 17799, подраздел 10.6);
- предпочтительна услуга централизованного резервного копирования, так как существует наиболь
шая вероятность ее выполнения должным образом.
37