Минет купить дорого | Саr rеntаl

Зачем разрабатывать политику безопасности


Цель
1.1. Цель Этот документ создан для того, чтобы помочь организации создать согласованную политику безопасности для работы в Интернете. Он содержит краткий обзор Интернета и его протоколов. Он рассм...
Для кого эта книга
1.2. Для кого эта книга This document was written for readers involved in policy issues at three distinct levels: Этот документ был написан для тех, кто участвует в разработке политики безопаснос...
Основы Интернета
1.3. Основы Интернета Интернет - это всемирная "сеть сетей", которая использует для взаимодействия стек протоколов TCP/IP (Transmission Control Protocol/Internet Protocol). Интернет был...
Зачем разрабатывать политику безопасности
1.4. Зачем разрабатывать политику безопасности для работы в Интернете? Хотя подключение к Интернету и предоставляет огромные выгоды из-за доступа к колоссальному объему информации, оно же является...
Основные типы политики
1.5. Основные типы политики Термин Политика компьютерной безопасности имеет различное содержание для различных людей. Это может быть директива одного из руководителей организации по организации п...
Что там должно быть
2.1. Что там должно быть Как описано в "NIST Computer Security Handbook", обычно политика должна включать в себя следующие части:. Предмет политики. Для того чтобы описать политику по д...
2 2 Получение разрешения
2.2. Получение разрешения Что такое организация?Политика (хорошая политика) может быть написана только для группы людей с близкими целями. Поэтому организации может потребоваться разделить себя на...
2 3 Претворение политики в жизнь
2.3. Претворение политики в жизнь Не думайте, что как только ваша организация разработает большое число политик, директив или приказов, больше ничего не надо делать. Оглянитесь кругом и посмотрите...
2 4 Примеры описания общих принципов
2.4. Примеры описания общих принципов работы в Интернете в политиках В этом разделе приводятся краткие примеры политик. Конечно, возможны и другие форматы, другая степень детализации. Задача этих...
3 1 Угрозы/видимость
3.1. Угрозы/видимость Угроза - это любое событие, которое потенциально может нанести вред организации путем раскрытия, модификации или разрушения информации, или отказа в обслуживании критическими...
3 2 Уязвимость/последствия
3.2. Уязвимость/последствия Организации по-разному уязвимы к риску. Политики безопасности должны отражать уязвимость конкретной организации к различным типам инцидентов с безопасностью и делать пр...
3 3 Матрица профиля
3.3. Матрица профиля...
Таблица 3 1 Матрица профиля риска
Таблица 3.1 Матрица профиля риска Угрозы Рейтинг Видимость Рейтинг Число очков Ни одна из угроз не считается реальной 1 Очень маленькая 1 Возможно...
3 4 Учет информационных ценностей
3.4. Учет информационных ценностей Чтобы гарантировать защиту всех информационных ценностей, и то, что текущая вычислительная Среда организации может быть быстро восстановлена после инцидента с бе...
Система общего назначения
3.5. Система общего назначения Система общего назначения - это "взаимосвязанный набор информационных ресурсов, которые находятся под единым административным управлением, позволяющих решать об...
3 6 Критические приложения
3.6. Критические приложения Все приложения требуют некоторого уровня безопасности, и адекватная безопасность для большинства из них обеспечивается средствами безопасности систем общего назначения,...
3 7 Классификация данных
3.7. Классификация данных Для того чтобы разработать эффективную политику безопасности, информация, хранимая или обрабатываемая в организации, должна быть классифицирована в соответствии с ее крит...
Типичная архитектура подключения к Интернету
Рисунок 4.1 Типичная архитектура подключения к Интернету Оставшаяся часть этой главы кратко рассматривает основные сервисы, обеспечиваемые связью с Интернетом. В ней также будет указано с помощ...
Таблица 4 2 Использование средств
Таблица 4.2 Использование средств безопасности для защиты сервисов Идентификация и аутентификация Управление доступом Брандмауэр Средства контроля импортируемых...
Удаленный доступ
4.1. Удаленный доступ В настоящее время коммерческая деятельность все больше требует удаленного доступа к своим информационным системам. Это может объясняться необходимостью доступа сотрудников в...
Коммутируемое соединение
4.2. Коммутируемое соединение Удаленный доступ по телефонным каналам стал самой популярной формой удаленного доступа. Обычно удаленный компьютер использует аналоговый модем для дозвона до модема в...
Telnet/X Windows
4.3. Telnet/X Windows Telnet и команды удаленного подключения к компьютеру, обеспечиваемые Unix, предоставляют возможность подключиться в режиме терминала к компьютеру по сети. Многие персональные...
Переносные компьютеры
4.4. Переносные компьютеры В последние годы их использование значительно возросло из-за падения цен на них, уменьшения веса и размера. Рыночные исследования фирмы International Data Corporation по...
Электронная почта
4.5. Электронная почта Хотя мультимедийная форма WWW привлекает основное внимание, именно электронная почта способствовала росту Интернета. Использование электронной почты для осуществления важных...
Публикация информации
4.6. Публикация информации Интернет серьезно упрощает задачу предоставления информации гражданам общества, клиентам организации и деловым партнерам - по крайней мере тем, кто имеет компьютер, подк...
Исследования
4.7. Исследования Проведение исследований с помощью Интернета включает в себя использование клиентских программ для поиска и чтения информации с удаленных серверов. Клиентские программы могут быть...
Электронная коммерция
4.8. Электронная коммерция Использование компьютеров и сетей претерпело три фазы, или "волны": Базовая автоматизация офиса - в эпоху мэйнфреймов с помощью компьютеров выполнял...
Электронный обмен данными
4.9. Электронный обмен данными Электронный обмен данными(EDI) - это термин, не нуждающийся в пояснениях. Простейшей его формой является обмен информацией между двумя бизнес-субъектами (называемых...
Информационные транзакции
4.10. Информационные транзакции Обеспечение информацией - основной и дорогой элемент коммерции. Информация в коммерции может иметь несколько форм: Статические данные, такие как историческая...
Финансовые транзакции
4.11. Финансовые транзакции Так или иначе, но компьютеры и сети давно используются для обработки финансовых транзакций. Перевод денег со счета на счет в электронном виде используется для транзакци...
Таблица 4 3 Платежи и финансовые транзакции
Таблица 4.3. Платежи и финансовые транзакции Наличные Чек Дебит Кредит Электронный перевод фондов Компания-компания   Основной     Вс...
Постоянная доступность для взаимодействия
4.12. Постоянная доступность для взаимодействия По мере того, как Интернет становится более важным для выполнения повседневной деловой деятельности, к средствам обеспечения безопасности соединени...
Легкость использования
4.13. Легкость использования Состав пользователей многих систем, подключенных к Интернету, может быть весьма разнообразным - от секретарей до ученых, от новичков до опытных пользователей. Частым б...
Единовременная регистрация
4.14. Единовременная регистрация Для выполнения своих повседневных задач пользователю может понадобиться зарегистрироваться на большом числе компьютеров и сетей. Часто каждая система требует от п...
Разработка пользовательского интерфейса
4.15. Разработка пользовательского интерфейса Разработка пользовательского интерфейса для средств обеспечения безопасности в Интернете должна быть согласована с интерфейсом других приложений, кото...
Идентификация и аутентификация
5.1. Идентификация и аутентификация Идентификация и аутентификация (ИдиА) - это процесс распознавания и проверки подлинности заявлений о себе пользователей и процессов. ИдиА обычно используется пр...
1 Статическая аутентификация
1. Статическая аутентификация Статическая аутентификация обеспечивает защиту только от атак, в ходе которых атакующий не может видеть, вставить или изменить информацию, передаваемую между аутентиф...
2 Устойчивая аутентификация Этот
2. Устойчивая аутентификация Этот класс аутентификации использует динамические данные аутентификации, меняющиеся с каждым сеансом аутентификации. Атакующий, который может перехватить информацию,...
Низкий риск
Низкий риск Требуется аутентификация для доступа к системам организации из Интернета. Минимальным стандартом для аутентификации является использование паролей, как описано в ***....
Средний риск
Средний риск Доступ к информации класса ХХХ и ее обработка из Интернета (при ее несанкционированной модификации, раскрытии или уничтожении имеет место небольшой ущерб) требует использования пароле...
Высокий риск
Высокий риск Доступ из Интернета ко всем системам за брандмауэром требует использования устойчивой аутентификации. Доступ к информации ХХХ и ее обработка (при нарушении ее безопасности организация...
2 Политика администрирования паролей
5.1.2. Политика администрирования паролей Ниже приведены общие правила работы с паролями, полезные для использования в Интернете: Идентификаторы пользователей и их пароли должны быть уникальными...
3 Политика для устойчивой аутентификации
5.1.3. Политика для устойчивой аутентификации Если вы решили использовать устойчивую аутентификацию, то вам требуется понимать за счет чего достигается безопасность и учитывать затраты на обучение...
4 Электронные подписи и сертификаты
5.1.4. Электронные подписи и сертификаты Если для аутентификации должны использоваться электронные подписи, то требуется использование сертификатов. Сертификаты обычно состоят из какой-то информац...
Контроль за импортом программ
5.2. Контроль за импортом программ Данные на компьютерах редко бывают статичными. Принимаются новые электронные письма. Новые программы загружаются с дискет, CD-ROMов, или с серверов сети. Интерак...
1 Защита от вирусов
5.2.1. Защита от вирусов Вначале самым распространенным способом заражения вирусами были дискеты, так как именно с их помощью переносились программы между компьютерами. После появления BBS вирусы...
Низкий риск
Низкий риск Политика контроля за импортом программ для Среды с низким риском должна в основном описывать меры по доведению до пользователей их обязанностей по регулярной проверке на вирусы. Предо...
Средний риск
Средний риск Политика контроля за импортом программ для Среды со средним риском должна требовать более частых проверок на вирусы, и использования антивирусных программ для проверки серверов и элек...
Высокий риск
Высокий риск Системы с высоким уровнем риска содержат данные и приложения, которые являются критическими для организации. Заражение вирусами может вызвать значительные потери времени, данных и нан...
2 Контроль интерактивных программ
5.2.2. Контроль интерактивных программ Программная среда в результате появления Интернета превратилась в среду интерактивных программ, примерами которой являются Java и Active X. В этой среде пол...
Средний риск
Средний риск Если это возможно, брандмауэыр должны быть сконфигурированы так, чтобы блокировать загрузку апплетов из внешних источников и загрузку апплетов из внутренних доверенных сетей внешними...
Высокий риск
Высокий риск Использование интерактивных программ запрещено. Веб-браузеры, и по возможности брандмауэры, должны быть сконфигурированы так, чтобы загрузка апплетов была запрещена. Сотрудники отдела...
3 Лицензирование программ
5.2.3. Лицензирование программ Интернет позволил многим компаниям использовать новые пути распространения программ. Большое число компаний позволяют пользователям загружать тестовые версии их прод...
Низкий риск
Низкий риск Следует соблюдать правила лицензий производителей программ для всех коммерческих программ, загруженных по Интернету. Тестовые версии программ должны быть удалены по истечении периода т...
Среднийвысокий риск
Средний-высокий риск Коммерческие программы запрещается загружать через Интернет без разрешения системного администратора. Все программы, используемые на компьютерах организации, могут быть устано...
Шифрование
5.3. Шифрование Шифрование - это основное средство, обеспечивающее конфиденциальность информации, посылаемой по Интернету. Шифрование может использоваться для защиты любого трафика, такого как эле...
1 Общая политика для шифрования
5.3.1. Общая политика для шифрования Для обеспечения гарантий согласованного использования шифрования политика должна установить стандарты, которым должны удовлетворять системы шифрования, использ...
Среднийвысокий
Средний-высокий Для ...(перечислите типы информации) должно использоваться шифрование при их хранении в небезопасных местах или передаче по открытым сетям, таким как Интернет. Шифрование любой дру...
5 3 2 Удаленный доступ
5.3.2. Удаленный доступ Организации могут использовать для удаленного доступа как Интернет, так и телефонные линии. За обоими видами соединений требуется контроль, но большую опасность представляю...
5 3 3 Виртуальные частные сети (Virtual Private Networks)
5.3.3. Виртуальные частные сети (Virtual Private Networks) Шифрование также используется для создания виртуальных частных сетей в Интернете. Этот вопрос рассматривается далее....
5 4 Архитектура системы
5.4. Архитектура системы Соединение с Интернетом приводит к необходимости внесения ряда изменений в архитектуру автоматизированной системы организации, чтобы увеличить общую безопасность АС. Пробл...
5 4 1 Виртуальные частные сети (Virtual Private Networks)
5.4.1. Виртуальные частные сети (Virtual Private Networks) Многие организации имеют несколько локальных сетей и информационных сервером, находящихся в физически удаленных друг от друга местах. Есл...
5 4 2 Удаленный доступ к системе
5.4.2. Удаленный доступ к системе Хотя атаки из Интернета привлекают к себе много внимания прессы, большинство проникновений в компьютеры происходит через модемы. Как уже говорилось, существует н...
5 4 3 Доступ к внутренним базам данных
5.4.3. Доступ к внутренним базам данных Другим важным вопросом является обеспечение безопасности доступа извне к внутренним базам данных. Для небольших, относительно статичных групп пользователей...
5 4 4 Использование нескольких брандмауэров
5.4.4. Использование нескольких брандмауэров VPN - это только один пример использования нескольких брандмауэров. Требования обеспечения большой пропускной способности канала, его надежности часто...
5 5 Улаживание происшествий с безопасностью
5.5. Улаживание происшествий с безопасностью Происшествие с безопасностью - это событие, которое нанесло или может нанести вред (отрицательно сказаться на) работе компьютеров и сетей, последствием...
5 5 1 Введение в обнаружение происшествия
5.5.1. Введение в обнаружение происшествия Обнаружение происшествия (intrusion detection) играет важную роль в реализации политики безопасности организации. Вместе с развитием информационных сист...
5 5 2 Методы обнаружения происшествия
5.5.2. Методы обнаружения происшествия Обнаружение происшествия может быть реализовано несколькими способами, и выбор метода должен основываться на типе защищаемой сети, используемой системе для з...
5 5 3 Ответные действия
5.5.3. Ответные действия Политика компьютерной безопасности должна определить, какой подход должен использоваться сотрудниками организации в ходе ответных мер при подозрении на атаку. Порядок дейс...
Политика обнаружения атаки низкий риск
Политика обнаружения атаки - низкий риск Программно-аппаратные средства: Функции протоколирования в операционных системах и приложениях должны быть включены на всех хостах и серверах. Функции по...
Политика обнаружения атаки средний риск
Политика обнаружения атаки -средний риск Программно-аппаратные средства: На всех хостах и серверах должны быть включены функции протоколирования. Функции подачи сигналов тревоги, а также протоко...
Политика обнаружения атаки высокий риск
Политика обнаружения атаки - высокий риск Программно-аппаратные средства: На всех хостах и серверах должны быть включены функции протоколирования. Функции подачи сигналов тревоги, а также проток...
5 6 Организационные меры
5.6. Организационные меры Политика безопасности Интернета должна быть тесно связана с повседневным использованием Интернета сотрудниками организации и повседневным управлением сетью и компьютерами...
5 6 1 Ответственность должностных лиц за безопасность
5.6.1. Ответственность должностных лиц за безопасность Успех политики безопасности больше зависит от усилий и опытности людей, реализующих политику, чем от сложных технических средств контроля. Э...
5 6 2 Допустимое использование
5.6.2. Допустимое использование Организациям необходимо определить правила допустимого использования Интернета и WWW, аналогично тому, как определяются правила использования служебного телефона. Х...
Политика использования Интернета низкий риск
Политика использования Интернета - низкий риск Интернет считается важной ценностью организации. Пользователям рекомендуется использовать Интернет и учиться делать это профессионально. С помощью та...
Политика использования Интернета средний риск
Политика использования Интернета - средний риск Компьютеры и сети организации могут использоваться только для выполнения служебных обязанностей. Допускается редкое их использование в личных целях....
Политика использования Интернета высокий риск
Политика использования Интернета - высокий риск Организация полностью соединена с Интернетом и другими сетями. В целом, пользователи имеют неограниченный доступ к сети. Но доступ из Интернета или...
3 Сохранение конфиденциальности личной информации (privacy)
5.6.3. Сохранение конфиденциальности личной информации (privacy) Политика конфиденциальности личной информации при использовании Интернета должна быть согласована с политиками конфиденциальности л...
Низкий и средний риск
Низкий и средний риск Соединение с Интернетом - это ресурс организации. Деятельность сотрудников организации в Интернете может наблюдаться, протоколироваться и периодически проверяться для того, ч...
Обучение пользователей
5.7. Обучение пользователей Большинство компьютерных пользователей организации попадает в одну из трех категорий - интернет-мастера; пользователи, обладающие знаниями, но не обладающие опытом; пол...
Обучение безопасности в Интернете низкий риск
Обучение безопасности в Интернете - низкий риск Организация должна проводить периодическое обучение в области безопасности всех руководителей, операторов и конечных пользователей так, как это опис...
Обучение безопасности в Интернете средний риск
Обучение безопасности в Интернете - средний риск В организации должна быть достаточно либеральная политика в отношении использования Интернета, но опытные пользователи должны повышать свой уровень...
Обучение безопасности в Интернете высокий риск
Обучение безопасности в Интернете - высокий риск Организация должна стремиться повысить доступность Интернета для своих сотрудников, но делать это консервативным методом и только после обучения по...
Основы и цель
6.1. Основы и цель Многие организации присоединили или хотят присоединить свои локальные сети к Интернету, чтобы их пользователи имели легкий доступ к сервисам Интернета. Так как Интернет в целом...
Аутентификация
6.2. Аутентификация Брандмауэры на основе маршрутизаторов не обеспечивают аутентификации пользователей. Брандмауэры, в состав которых входят прокси-сервера, обеспечивают следующие типы аутентифика...
Анализ возможностей маршрутизации и проксисерверов
6.3. Анализ возможностей маршрутизации и прокси-серверов В хорошей политике должно быть написано, может ли брандмауэр маршрутизировать пакеты или они должны передаваться прокси-серверам. Тривиальн...
1 Маршрутизация источника
6.3.1. Маршрутизация источника Это механизм маршрутизации, посредством которого путь к машине-получателю пакета определяется отправителем, а не промежуточными маршрутизаторами. Маршрутизация источ...
2 Фальсификация IPадреса
6.3.2. Фальсификация IP-адреса Это имеет место, когда атакующий маскирует свою машину под хост в сети объекта атаки (то есть пытается заставить цель атаки думать, что пакеты приходят от доверенной...
Типы брандмауэров
6.4. Типы брандмауэров Существует несколько различных реализаций брандмауэров, которые могут быть созданы разными путями. В таблице 6.1 кратко характеризуются несколько архитектур брандмауэров и и...
1 Шлюзы с фильтрацией пакетов
6.4.1 Шлюзы с фильтрацией пакетов Брандмауэры с фильтрацией пакетов используют маршрутизаторы с правилами фильтрации пакетов для предоставления или запрещения доступа на основе адреса отправителя,...
2 Прикладные шлюзы
6.4.2. Прикладные шлюзы Прикладной шлюз использует программы (называемые прокси-серверами), запускаемые на брандмауэре. Эти прокси-сервера принимают запросы извне, анализируют их и передают безопа...
Низкий риск Когда для входящих
Низкий риск Когда для входящих Интернетовских сервисов нет прокси-сервера , но требуется пропускать его через брандмауэр, администратор брандмауэра должен использовать конфигурацию или "запл...
3 Гибридные или сложные шлюзы
6.4.3. Гибридные или сложные шлюзы Гибридные шлюзы объединяют в себе два описанных выше типа брандмауэра и реализуют их последовательно, а не параллельно. Если они соединены последовательно, то о...
4 Рейтинг
6.4.4. Рейтинг Ниже приводятся рейтинги различных типов брандмауэров. 4 рекомендованный вариант 3 эффективный вариант 2 Допустимый вариант 1 Минимал...
Таблица 6 1 Риски безопасности
Таблица 6.1. Риски безопасности брандмауэра Архитектура брандмауэра (если один из типов, указанных ниже, реализован) Среда с высоким риском, например банк Среда со...
2 Экранированный хост
6.5.2. Экранированный хост При архитектуре типа экранированный хост используется хост (называемый хостом-бастионом), с которым может установить соединение любой внешний хост, но запрещен доступ ко...
3 Экранированная подсеть
6.5.3. Экранированная подсеть Архитектура экранированной сети по существу совпадает с архитектурой экранированного хоста, но добавляет еще одну линию защиты, с помощью создания сети, в которой нах...
Интранет
6.6. Интранет Хотя брандмауэры обычно помещаются между сетью и внешней небезопасной сетью, в больших организациях или компаниях брандмауэры часто используются для создания различных подсетей в сет...
Администрирование брандмауэра
6.7. Администрирование брандмауэра Брандмауэр, как и любое другое сетевое устройство, должен кем-то управляться. Политика безопасности должна определять, кто отвечает за управление брандмауэром....
1 Квалификация администратора брандмауэра
6.7.1. Квалификация администратора брандмауэра Обычно рекомендуется иметь двух опытных человек для ежедневного администрирования брандмауэра. При такой организации администрирования брандмауэр буд...
2 Удаленное администрирование брандмауэра
6.7.2. Удаленное администрирование брандмауэра Брандмауэры - первая линия обороны, видимая для атакующего. Так как брандмауэры в общем случае тяжело атаковать напрямую из-за их назначения, атакующ...
Низкий риск
Низкий риск Любой удаленный доступ по небезопасным сетям для администрирования брандмауэра должен использовать усиленную аутентификацию, такую как одноразовые пароли и смарт-карты....
Средний риск
Средний риск Предпочтительным методом администрирования брандмауэра является работа с локального терминала. Физический доступ к терминалу брандмауэра должен быть разрешен только администратору бра...
Высокий риск
Высокий риск Все администрирование брандмауэра должно осуществляться только с локального терминала - работа с брандмауэром путем удаленного доступа запрещена. Физический доступ к терминалу брандма...
3 Зарегистрированные пользователи
6.7.3. Зарегистрированные пользователи Брандмауэры никогда не должны использоваться как сервера общего назначения. Единственными зарегистрированными пользователями на брандмауэре могут быть только...
6 7 3 1 Архивные копии брандмауэра
6.7.3.1. Архивные копии брандмауэра Для обеспечения возможности восстановления после сбоя или стихийного бедствия, брандмауэр, как и любой другой сетевой хост, должен иметь политику относительно с...
Доверительные взаимосвязи в сети
6.8. Доверительные взаимосвязи в сети Коммерческие сети часто требуют взаимодействия с другими коммерческими сетями. Такие соединения могут осуществляться по выделенным линиям, частным глобальным...
Высокий риск
Высокий риск Все соединения сети организации с внешними сетями должны быть утверждены ответственным за сетевые сервисы и находиться под его контролем. Должны разрешаться соединения только с теми в...
Средний риск низкий риск
Средний риск - низкий риск Все соединения сети организации с внешними сетями должны быть утверждены ответственным за сетевые сервисы. Все соединения с утвержденными внешними сетями должны проходит...
Виртуальные частные сети (VPN)
6.9. Виртуальные частные сети (VPN) Виртуальные частные сети позволяют надежной сети взаимодействовать с другой надежной сетью по небезопасной сети, такой как Интернет. Так как некоторые брандмауэ...
Отображение имен в адреса с помощью DNS
6.10. Отображение имен в адреса с помощью DNS В Интернете доменная служба имен обеспечивает средства для отображения между доменными именами и IP-адресами, например отображает имя server1.acme.com...
Целостность системы
6.11. Целостность системы Для предотвращения неавторизованной модификации конфигурации брандмауэра должна иметься некоторая форма гарантий целостности. Обычно для рабочей конфигурации системы вычи...
Документация
6.12. Документация Важно, чтобы правила работы с брандмауэром и параметры его конфигурации были хорошо документированы, своевременно обновлялись и хранились в безопасном месте. Это будет гарантиро...
Физическая безопасность брандмауэра
6.13. Физическая безопасность брандмауэра Физический доступ к брандмауэру должен строго контролироваться во избежание несанкционированных изменений конфигурации брандмауэра или его состояния, а та...
Действия при попытках нарушения безопасности
6.14. Действия при попытках нарушения безопасности Уведомление об инциденте - это процесс, посредством которого определенные аномальные события фиксируются в журналах и сообщаются администратору б...
Восстановление сервисов
6.15. Восстановление сервисов При выявлении факта проникновения, брандмауэр должен быть отключен и переконфигурирован. Если необходимо отключить брандмауэр, может понадобиться также отключиться от...
Усовершенствование брандмауэра
6.16. Усовершенствование брандмауэра Часто необходимо произвести обновление программного обеспечения брандмауэра и его аппаратной части для того, чтобы его производительность была оптимальной. Адм...
Пересмотр политики безопасности для брандмауэра
6.17. Пересмотр политики безопасности для брандмауэра Из-за постоянного появления новых технологий и тенденции организаций вводить новые сервисы, политика безопасности для брандмауэра должна регул...
Системные журналы (сообщения о событиях и итоговые отчеты)
6.18. Системные журналы (сообщения о событиях и итоговые отчеты) Большинство брандмауэров предоставляют большие возможности по протоколированию трафика и сетевых событий. Некоторыми из событий, им...
Примеры политик
6.19. Примеры политик Все организации должны использовать как минимум политику для уровня с низким риском. Для среднего риска надо добавить части с пометкой "Средний риск", а для высоког...
Низкий риск
Низкий риск Пользователь Все пользователи, которым требуется доступ к Интернету, должны делать это, используя одобренное организацией программное обеспечение и через Интернет-шлюзы организации....
Средний риск
Средний риск Пользователь Для удаленного доступа к внутренним системам организации требуется усиленная аутентификация с помощью одноразовых паролей и смарт-карт. Начальник отдела Администраторы...
Высокий риск
Высокий риск Пользователь Использование Интернета в личных целях с систем организации запрещено. Весь доступ к Интернету протоколируется. Сотрудники, нарушающие данную политику, будут наказаны....
Примеры специфических политик для отдельных сервисов
6.20. Примеры специфических политик для отдельных сервисов Соединение с Интернетом делает доступными для внутренних пользователей разнообразные сервисы, а для внешних пользователей - большое число...
Начальник отдела
6.21. Начальник отдела Ниже приведена таблица учета административных проблем, связанных с доступом к Интернету Сервис Протоколы Что нужно сделать Почему это надо сделать...
Сотрудник отдела автоматизации
h2>Таблица 6.3 Обобщенная политика безопасности > Политика Авторизованный FTP-сервис Анонимный FTP-сервис Поместить сервер снаружи брандмауэра Нет Да...
Поиск информации в Интернете с помощью браузера
7.1. Поиск информации в Интернете с помощью браузера Существует ряд рисков, связанных с использованием WWW-браузеров для поиска и получения информации из Интернета. Программы веб-браузеров являютс...
Примеры политик для поиска информации
7.2. Примеры политик для поиска информации...
Низкий риск
Низкий риск Пользователь Программы для поиска и просмотра информации в Интернете, такие как WWW, Gopher, WAIS, и т.д. предоставляются сотрудникам в-основном для более лучшего исполнения ими своих...
Средний риск
Средний риск Пользователь Служащие пользуются программами для поиска информации в WWW только для более лучшего выполнения ими своих должностных обязанностей. Все программы, используемые для дост...
Высокий риск
Высокий риск Пользователь Пользователи могут производить поиск информации в Интернете с помощью World Wide Web (WWW), Gopher, WAIS, и т.д. ТОЛЬКО, если этого явно требуют их должностные обязаннос...
Вебсервера
7.3. Веб-сервера Многие организации сейчас поддерживают внешние WWW-сайты, описывающие их компанию или сервисы. По причинам безопасности эти сервера обычно размещаются за брандмауэром компании. Ве...
Примеры политик вебсерверов
7.4. Примеры политик веб-серверов...
Низкий риск
Низкий риск Пользователь На веб-сайтах организации не может размещаться оскорбительный или нудный материал. На веб-сайтах организации не может размещаться персональные рекламные объявления Мене...
Средний риск
Средний риск Пользователь Пользователям запрещено устанавливать или запускать веб-сервера. В отношении веб-страниц должен соблюдаться установленный в организации порядок утверждения документов,...
Высокий риск
Высокий риск Пользователь Пользователям запрещено загружать, устанавливать или запускать программы веб-серверов. Должен производиться контроль сетевого трафика для выявления неавторизованных веб...
Использование электронной почты
8.1. Использование электронной почты Электронная почта или e-mail - самый популярный вид использования Интернета. С помощью электронной почты в Интернете вы можете послать письмо миллионам людей п...
Основы email
Основы e-mail Основными почтовыми протоколами в Интернете (не считая частных протоколов, шлюзуемых или туннелируемых через Интернет) являются SMTP (Simple Mail Transport Protocol), POP (Post Offi...
1 SMTP
8.2.1. SMTP SMTP - это почтовый протокол хост-хост. SMTP-сервер принимает письма от других систем и сохраняет их в почтовых ящиках пользователей. Сохраненные письма могут быть прочитаны нескольким...
2 POP
8.2.2. POP POP - это самый популярный протокол приема электронной почты. POP-сервер позволяет POP-клиенту загрузить письма, которые были получены им от другого почтового сервера. Клиенты могут заг...
3 IMAP
8.2.3. IMAP IMAP - это самый новый, и поэтому менее популярный протокол чтения электронной почты. Как сказано в RFC: IMAP4rev1 поддерживает операции создания, удаления, переименования почтовых я...
4 MIME
8.2.4. MIME MIME - это сокращение для Многоцелевых расширений интернетовской почты (Multipurpose Internet Mail Extensions). Как сказано в RFC 2045, он переопределяет формат сообщений электронной п...
Потенциальные проблемы с электронной почтой
8.3. Потенциальные проблемы с электронной почтой...
1 Случайные ошибки
8.3.1. Случайные ошибки Можно легко допустить ошибку при работе с электронной почтой. Письмо может быть случайно послано. Простое нажатие клавиши или щелчок мышкой могут послать письмо по неправил...
2 Персональное использование
8.3.2. Персональное использование Так как письмо обычно используется для обеспечения деятельности организации, как телефон и факс, использование его в личных целях должно быть ограничено или запре...
3 Маркетинг
8.3.3. Маркетинг В прошлом, когда Интернет был исследовательской сетью, ее коммерческое использование было запрещено. Кроме того, слишком мало компаний и людей имели доступ к интернетовской почте,...
Угрозы связанные с электронной почтой
8.4. Угрозы, связанные с электронной почтой Основные протоколы передачи почты(SMTP, POP3,IMAP4) обычно не осуществляют надежной аутентификации, что позволяет легко создать письма с фальшивыми адре...
1 Фальшивые адреса отправителя
8.4.1. Фальшивые адреса отправителя Адресу отправителя в электронной почте Интернета нельзя доверять, так как отправитель может указать фальшивый обратный адрес, или заголовок может быть модифицир...
2 Перехват письма
8.4.2. Перехват письма Заголовки и содержимое электронных писем передаются в чистом виде. В результате содержимое сообщения может быть прочитано или изменено в процессе передачи его по Интернету....


- Начало -