ГОСТ Р ИСО/МЭК 27033-1—2011
- использование идентификатора линии вызова в качестве дополнительного метода аутентификации, если
соединения осуществляются с помощью маршрутизированного доступа цифровой сети связи с комплексными
услугами:
- аутентификацию маршрутизаторов, включая маршрутизаторы на удаленном конце соединения, с помощью
сервера аутентификации, такого, например, как TACACS*. Однако если со сторонней организацией не может быть
достигнуто соглашение о методе аутентификации, то при малом числе применений могут использоваться совмест
но используемые пароли — обмен паролями. Для большого числа соединений должны использоваться цифровые
сертификаты, поскольку они могут регулярно меняться;
- использование маршрутизатором сторонней организации таких же средств аутентификации, например,
цифровых сертификатов, совместно используемых секретных данных. RADIUS. TACACS*;
- обеспечение физической безопасности маршрутизаторов на обоих концах соединения;
- включение всех соединений со сторонней организацией в документированные условия обеспечения безо
пасного соединения, которые подписываются каждой сторонней организацией до разрешения любого соединения;
- рассмотрение вопроса об использовании системы обнаружения вторжений/системы предупреждения втор
жений;
- реализацию аудита и подотчетности:
- разработку и согласование документации по конфигурации для доступа каждой сторонней организации, ко
торая включает в себя обзор требований, сетевой график, информацию о конфигурации и подробности об 1Р-адре-
сации и аутентификации.
А.13 Центр обработки (и хранения) данных сети Интранет
А.13.1 Вводная информация
Центр обработки (и хранения) данных Интранета содержит приложения и данные, наиболее важные для
организации. Центр обработки (и хранения)данных может быть критической частью инфраструктуры организаций, и
его деятельность может быть связана с решением задач, выходящих за пределы сетевых аспектов, рассматрива емых
в других частях настоящего припожения. Хотя хранение (сети хранения данных) и отдельные аспекты, касаю щиеся
серверов в центре обработки (и хранения) данных, выходят за область применения настоящего стандарта (например,
повышение надежности серверов или баз данных); здесь приведены некоторые соображения об общей безопасности
центра обработки (и хранения) данных.
Угрозы, с которыми сталкиваются в настоящее время администраторы безопасности ИТ. из относительно
тривиальных попыток причинить ущерб сетям превратились в изощренные атаки, направленные на получение при
были и хищение конфиденциальных корпоративных данных. Реализация возможностей обеспечения безопасности
надежного центра обработки (и хранения)данных для защиты значимых и необходимых для целевой задачи прило
жений и данных служит краеугольным камнем усилий, направленных на обеспечение безопасности сетей
предприятия.
Поскольку основной задачей обеспечения безопасности центра обработки (и хранения) данных является
поддержание доступности услуг, необходимо тщательно рассмотреть, как обеспечение безопасности влияет на по
токи данных, масштабируемость и сбои.
А.13.2 Риски безопасности
В настоящее время увеличились векторы атак, направленные на разрушение защиты сети и нацеленные не
посредственно на приложения. Атаки на базе HTTP. XML и SQL оказываются успешными для большинства злоу
мышленников, потому что этим протоколам обычно разрешается проходить через сеть организации и входить а
центр обработки (и хранения) данных Интранета.
Ниже приведены некоторые векторы угроз, оказывающие влияние на центр обработки (и хранения) данных
Интранета:
- несанкционированный доступ к данным;
- несанкционированный доступ к приложениям;
- несанкционированный доступ к устройствам;
- нарушение важнейших услуг в результате DoS-атак;
- необнаруженные атаки;
- потеря данных;
- невозможность восстановления данных;
- целевые атаки для модификации данных.
- повышение привилегий;
- установка вредоносного программного средства;
- несанкционированное использование услуг, в том числе нарушение политики организации.
А.13.3 Меры и средства контроля и управления безопасностью
Технические меры и средства контроля и управления безопасностью для центров обработки (и хранения)
данных могут включать в себя:
- шлюзы безопасности для управления доступом к центру обработки (и хранения) данных;
54