Аудит IT-инфраструктуры предприятия: цели, задачи, реализация

 

IT-инфраструктура предприятия – это комплекс аппаратных и программных средств, предназначенных для автоматизированного сбора, хранения, обработки, передачи и получения информации. Ценность информации определяется степенью ее полезности для владельца. Обладание истинной (достоверной) информацией дает ее владельцу определенные преимущества. Информация, искаженно представляющая действительность (недостоверная информация), может нанести владельцу значительный материальный и/или моральный ущерб.

В современных условиях рынка полнота информации, ее достоверность, скорость получения и обработки данных, эффективность информационного обмена между структурными подразделениями организации, оперативность принятия решений и реализации возложенных на каждое из таких подразделений задач, становятся одними из наиболее значимых факторов успешности предприятия: его рентабельности, прибыльности, конкурентоспособности.

Функцию обеспечения вышеперечисленных задач берет на себя информационная система организации, состоящая, как правило, из компьютерного парка, системы автоматизации производства, систем безопасности (видеонаблюдение, охранно-пожарная сигнализация, СКУД и проч.), коммуникационных систем (мини-АТС, локальные и/или корпоративные сети) и т. д.

Двумя наиболее значимыми, на наш взгляд, факторами эффективности функционирования информационной системы, состоящей из перечисленных подсистем, являются:

полезная эффективность IT-инфраструктуры организации (соответствие технических и программных средств предприятия реальным целям, задачам и потребностям бизнеса)

информационная безопасность IT-инфраструктуры предприятия (включая устойчивость технических средств к всевозможным отказам и сбоям, а также обеспечение сохранности важной информации: пресечение ее утечки и/или уничтожения и защита от несанкционированного доступа)

Одним из способов обеспечения полезной эффективности и информационной безопасности предприятия является аудит IT-инфраструктуры организации, направленный на оптимизацию информационной системы предприятия и выявление явных и/или скрытых угроз ее нормального функционирования.

Аудит IT-инфраструктуры представляет собой системный процесс, заключающийся в получении и оценке объективных данных о текущем состоянии IT-систем организации:

- серверов и рабочих станций, задействованных в IT-инфраструктуре предприятия

- активного сетевого оборудования

- системного программного обеспечения

- физической и логической структуры корпоративной локальной сети

- периферийного оборудования

- телекоммуникационных систем

- систем безопасности

- систем электроснабжения

- каналов передачи данных

- и проч.

Как правило, при аудите IT-инфраструктуры применяются следующие методы исследования:

- проведение инвентаризации компонентов IT-инфраструктуры

- анкетирование сотрудников организации, проводящееся по опросным листам

- анализ программного обеспечения, файлов и системных событий серверов и рабочих станций, входящих в IT-инфраструктуру организации

- проверка сетевой безопасности серверов и рабочих станций с целью исключения возможного несанкционированных проникновений через сеть Интернет и/или по другим каналам связи

- мониторинг состояния активного сетевого оборудования

- диагностика системы электроснабжения, кабельных сетей и пассивных компонентов IT-инфраструктуры предприятия

Целью создания любой компьютерной системы является удовлетворение потребностей пользователей в своевременном получении достоверной информации и сохранении ее конфиденциальности. Информация является конечным «продуктом потребления» и выступает в виде центральной компоненты системы.

Именно поэтому одним из ключевых вопросов при проведении аудита IT-инфраструктуры организации является оценка этой инфраструктуры с точки зрения информационной безопасности. Эта проблема может быть решена успешно только в том случае, если создана и функционирует комплексная система защиты информации, охватывающая весь жизненный цикл компьютерных систем от разработки до утилизации и всю технологическую цепочку сбора, хранения, обработки и выдачи информации.

Безопасность (защищенность) информации, в данном случае, - это такое состояние всех компонентов компьютерной (информационной) системы, при котором обеспечивается защита информации от всех возможных угроз на требуемом уровне. При этом, под системой защиты информации понимается единый комплекс правовых норм, организационных мер, технических, программных и криптографических средств, обеспечивающий защищенность информации в компьютерной системе в соответствии с принятой политикой безопасности.

С позиции обеспечения безопасности информации, IT-инфраструктуру организации целесообразно рассматривать в виде единства трех компонентов, оказывающих взаимное влияние друг на друга:

- информация

- технические и программные средства

- обслуживающий персонал и пользователи

Под угрозой безопасности информации понимается потенциально возможное событие, процесс или явление, которые могут привести к уничтожению, утрате целостности, конфиденциальности или доступности информации. Все множество потенциальных угроз безопасности информации в компьютерных системах может быть разделено на два класса:

- преднамеренные угрозы

- непреднамеренные (случайные) угрозы

Угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализуются в случайные моменты времени, называют случайными или непреднамеренными. Реализация угроз этого класса приводит к наибольшим потерям информации. При этом могут происходить уничтожение, нарушение целостности и доступности информации. Реже нарушается конфиденциальность информации, однако при этом создаются предпосылки для злоумышленного воздействия на информацию. К непреднамеренным (случайным) угрозам, в частности, относятся:

- стихийные бедствия и/или аварии

- сбои и отказы оборудования

- ошибки пользователей и/или обслуживающего персонала

Ошибочные операции или действия могут вызываться отказами аппаратных и программных средств, а также ошибками пользователей и обслуживающего персонала. Некоторые ошибочные действия могут привести к нарушениям целостности, доступности и конфиденциальности информации. Ошибочная запись в оперативную память и на внешнее запоминающее устройство, нарушение разграничения памяти при мультипрограммных режимах работы ЭВМ, ошибочная выдача информации в канал связи, короткие замыкания и обрыв проводников - вот далеко не полный перечень ошибочных действий, которые представляют реальную угрозу безопасности информации в информационной системе организации.

Для блокирования (парирования) случайных угроз безопасности информации в компьютерных системах должен быть решен комплекс задач:

- дублирование информации

- повышение надежности системы

- создание отказоустойчивых систем

- минимизация ущерба от аварий и стихийных бедствий

- блокировка ошибочных операций

- оптимизация взаимодействия человека и компьютерной системы

Дублирование информации является одним из самых эффективных способов обеспечения целостности информации. В зависимости от ценности информации, особенностей построения и режимов функционирования компьютерной системы могут использоваться различные методы дублирования, которые классифицируются по различным признакам. По степени пространственной удаленности носителей основной и дублирующей информации методы дублирования могут быть разделены на методы:

- сосредоточенного дублирования;

- рассредоточенного дублирования.

Для определенности целесообразно считать методами сосредоточенного дублирования такие методы, для которых носители с основной и дублирующей информацией находятся в одном помещении. Все другие методы относятся к рассредоточенным. Рассредоточенное копирование достаточно распространенный и достаточно эффективный способ обеспечения сохранности информации в компьютерных сетях; кроме того, рассредоточенное копирование является практически единственным способом обеспечения целостности и доступности информации при стихийных бедствиях и крупных авариях.

Для блокировки ошибочных действий используются технические и аппаратно-программные средства. К таким средствам относятся блокировочные тумблеры, защитные экраны и ограждения, предохранители, средства блокировки записи на внешние (портативные) источники информации. Аппаратно-программные средства используются для блокирования выдачи информации в неразрешенные каналы связи, запрета выполнения операций, доступных только в определенных режимах, при помощи специализированных ключей защиты позволяют блокировать вычислительный процесс при нарушениях программами адресных пространств оперативной памяти, запись в определенные области внешних запоминающих устройств и другие операции.

Важным условием функционирования IT-инфраструктуры организации является ее надежность и отказоустойчивость. Под надежностью понимается свойство системы выполнять возложенные на нее задачи в определенных условиях эксплуатации. Если при наступлении отказа компьютерная система способна выполнять заданные функции, сохраняя значения основных характеристик в пределах, установленных технической документацией, то она находится в работоспособном состоянии. Для решения этой задачи необходимо обеспечить высокую надежность функционирования алгоритмов, программ и технических (аппаратных) средств. Кроме того, необходимо предусмотреть систему бесперебойного электроснабжения, состоящую из одного или нескольких источников бесперебойного питания (ИБП), а на отдельных объектах и дизель-генераторной установки (ДГУ).

Отказоустойчивость - это свойство компьютерной системы сохранять работоспособность при отказах отдельных устройств, блоков, схем. Известны три основных подхода к созданию отказоустойчивых систем:

- простое резервирование

- помехоустойчивое кодирование информации

- создание адаптивных систем

Одним из наиболее простых и действенных путей создания отказоустойчивых систем является простое резервирование. Простое резервирование основано на использовании дополнительных устройств, блоков, узлов, схем в качестве резервных. При отказе основного элемента осуществляется переход на использование резервного. Резервирование осуществляется на различных уровнях: на уровне устройств, средств передачи информации, блоков, узлов и т. д. Резервирование отличается также и глубиной. Для целей резервирования могут использоваться один резервный элемент и более.

Помехоустойчивое кодирование основано на использовании информационной избыточности. Рабочая информация в информационной системе дополняется определенным объемом специальной контрольной информации. Наличие этой контрольной информации (контрольных двоичных разрядов) позволяет путем выполнения определенных действий над рабочей и контрольной информацией определять ошибки и даже исправлять их. Так как ошибки являются следствием отказов средств IT-инфраструктуры предприятия, то, используя исправляющие коды, можно парировать часть отказов. Исправляющие возможности кодов для конкретного метода помехоустойчивого кодирования зависят от степени избыточности. Чем больше используется контрольной информации, тем шире возможности кода по обнаружению и исправлению ошибок.

Однако наиболее совершенными системами, устойчивыми к отказам, являются адаптивные системы. В них достигается разумный компромисс между уровнем избыточности, вводимым для обеспечения устойчивости (толерантности) системы к отказам, и эффективностью использования таких систем по назначению.

Адаптивные системы содержат аппаратно-программные средства для автоматического контроля работоспособности элементов системы и осуществления ее реконфигурации при возникновении отказов элементов. При реконфигурации восстанавливается необходимая информация (при ее утрате), отключается отказавший элемент, осуществляется изменение связей и режимов работы элементов системы.

Второй класс угроз безопасности информации в IT-инфраструктуре предприятия составляют преднамеренно создаваемые угрозы. Угрозы этого класса в соответствии с их физической сущностью и механизмами реализации могут быть распределены по пяти группам:

- традиционный или универсальный шпионаж и диверсии

- несанкционированный доступ к информации

- электромагнитные излучения и наводки

- модификация структур IT-инфраструктуры предприятия

- вредительские программы

Термин «несанкционированный доступ к информации» (НСДИ) определен как доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств вычислительной техники или автоматизированных систем. Под правилами разграничения доступа понимается совокупность положений, регламентирующих права доступа лиц или процессов (субъектов доступа) к единицам информации (объектам доступа). Право доступа к информационным ресурсам организации определяется для каждого сотрудника в соответствии с его функциональными обязанностями руководством организации.

Также существенную угрозу безопасности информации в компьютерной системе представляет несанкционированная модификация алгоритмической, программной и технической структур системы. Несанкционированная модификация структур может осуществляться на любом жизненном цикле IT-инфраструктуры предприятия. Проведение аудита IT-инфраструктуры предприятия позволяет выявить потенциальные возможности несанкционированной модификации компонентов системы и, соответственно, предотвратить ее осуществление. При этом, как правило, аудиту подлежат следующие механизмы защиты:

- охрана помещений, в которых находятся аппаратные средства IT-инфраструктуры организации

- система разграничения доступа к оборудованию

- система противодействие несанкционированному подключению оборудования

- защита внутреннего монтажа, средств управления и коммутации от несанкционированного вмешательства

- система противодействие внедрению вредительских программ

- система идентификации и аутентификации пользователей

- система разграничение доступа к файлам, каталогам, дискам

- система контроля целостности программных средств и информации

- система криптографического преобразования информации

- система регистрация событий

- и т. д.

Кроме того, нельзя забывать, что для добывания информации злоумышленник может использовать «просачивание» информационных сигналов в цепи электропитания технических средств компьютерной системы. Дело в том, что процесс обработки и передачи информации техническими средствами системы сопровождается электромагнитными излучениями в окружающее пространство. Этим фактором могут воспользоваться и злоумышленники посредством наведения электрических сигналов в линиях связи, сигнализации, заземлении и других проводниках. Такие сигналы получили названия побочных электромагнитных излучений и наводок (ПЭМИН).

Наведенные в проводниках электрические сигналы могут выделяться и фиксироваться с помощью оборудования, подключаемого к этим проводникам на расстоянии в сотни метров от источника сигналов. При этом информационные сигналы принимаются, выделяются, усиливаются и могут либо просматриваться, либо записываться в запоминающих устройствах.

Необходимо также отметить, что электромагнитные излучения могут использоваться злоумышленниками не только для получения информации, но и для ее уничтожения. Электромагнитные импульсы способны уничтожить как информацию на магнитных носителях, так и сами носители информации, и даже целые электронные блоки компьютерной системы организации.

Для блокирования угрозы воздействия на электронные блоки и магнитные запоминающие устройства мощными внешними электромагнитными импульсами и высокочастотными излучениями, приводящими к неисправности электронных блоков и стирающими информацию с магнитных носителей информации, используется экранирование защищаемых средств.

Под экранированием понимается размещение элементов компьютерной системы, создающих электрические, магнитные и электромагнитные поля, в пространственно замкнутых конструкциях. Способы экранирования зависят от особенностей полей, создаваемых элементами системы при протекании в них электрического тока. В зависимости от типа создаваемого электромагнитного поля различают следующие виды экранирования:

- экранирование электрического поля

- экранирование магнитного поля

- экранирование электромагнитного поля

Защищенность IT-инфраструктуры предприятия от побочных электромагнитных излучений и наводок также является существенным фактором, на который следует обратить внимание при проведении комплексного аудита информационной системы организации. При этом помимо экранирования элементов системы, необходимо также решить вопрос об использовании других методов защиты, направленных на создание помех в каналах побочных электромагнитных излучений и наводок, затрудняющих прием и выделение полезной информации из перехваченных злоумышленником сигналов.

Однако одним из основных источников угроз безопасности информации в информационной системе организации является наличие специальных программ, получивших общее название «вредительские программы». В зависимости от механизма действия вредительские программы делятся на четыре класса:

- «логические бомбы»

- «черви»

- «троянские кони»

- «компьютерные вирусы»

«Логические бомбы» - это программы или их части, постоянно находящиеся в ЭВМ или вычислительных системах и выполняемые только при соблюдении определенных условий. Примерами таких условий могут быть: наступление заданной даты, переход компьютерной системы в определенный режим работы, наступление некоторых событий установленное число раз и т.п.

«Червями» называются программы, которые выполняются каждый раз при загрузке системы, обладают способностью перемещаться в вычислительной системе или сети и самовоспроизводить копии. Лавинообразное размножение программ приводит к перегрузке каналов связи, памяти и, в конечном итоге, к блокировке системы.

«Троянские кони» - это программы, полученные путем явного изменения или добавления команд в пользовательские программы. При последующем выполнении пользовательских программ наряду с заданными функциями выполняются несанкционированные, измененные или какие-то новые функции.

«Компьютерные вирусы» - это небольшие программы, которые после внедрения в ЭВМ самостоятельно распространяются путем создания своих копий, а при выполнении определенных условий оказывают негативное воздействие на компьютерную систему. Поскольку вирусам присущи свойства всех классов вредительских программ, то в последнее время любые вредительские программы часто называют вирусами. Выявление вирусного присутствия является одной из важных задач аудита IT-инфраструктуры предприятия, решаемых посредством анализа программного обеспечения, файлов и системных событий серверов и рабочих станций, входящих в IT-инфраструктуру организации, проверки сетевой безопасности серверов и рабочих станций с целью исключения возможного несанкционированных проникновений через сеть Интернет и/или по другим каналам связи и других методов выявления скрытых угроз информационной безопасности предприятия.

Итак, мы перечислили классические (традиционные) угрозы IT-инфраструктуры организации и основные способы их устранения. Однако в последнее время появился еще один аспект угроз, связанных с таким «модным» ныне явлением, как виртуализация IT-инфраструктуры предприятия.

При внедрении средств виртуализации в IT-инфраструктуре компании меняется очень многое. Соответственно, возникают и новые угрозы информационной безопасности. Источники угроз для виртуальных инфраструктур условно можно разделить на следующие категории: во-первых, это изменения, произошедшие в физической инфраструктуре с точки зрения хранения данных, сетевого взаимодействия, резервного копирования, аутентификации пользователей и т.п.; во-вторых, сервер виртуализации, гипервизор и обслуживающая его операционная система; в-третьих, виртуальная машина, то есть тот виртуальный контейнер, который отвечает за изолированную работу гостевой операционной системы; ну и, наконец, средства управления серверами виртуализации и виртуальными машинами, включая центральный управляющий сервер с распределенными службами, сервисы веб-доступа к выполнению задач администратора и «толстые» клиенты управляющего ПО.

Среди ключевых опасностей – возможность получения злоумышленником контроля над всеми виртуальными машинами хост-сервера и даже всей инфраструктурой за счет компрометации всего лишь одного сервера виртуализации. Очевидно, что злоумышленник, контролирующий сервер виртуализации может получить доступ ко всем его вычислительным системам, поскольку всеми ими управляет гипервизор этого сервера.

Кроме того, нельзя исключать и угрозы для самой виртуальной машины. Это, пожалуй, самый потенциально опасный объект в виртуальной инфраструктуре. Зачастую виртуальные машины ведут себя несколько иначе, чем физические серверы. Прежде всего, ввиду консолидации систем как на серверах, так и в общих хранилищах, необходимо особое внимание уделить контролю потребления ресурсов. Одна скомпрометированная виртуальная машина, «захватившая» все ресурсы сервера или системы хранения, может вызвать отказ в обслуживании других виртуальных систем.

Также у виртуальных систем часто есть возможность создания мгновенных снимков состояния («снапшотов»), которые очень «полезны» для злоумышленников. Получив «снапшот» системы, они могут произвести вредоносные действия в инфраструктуре организации, после чего вернуть систему в исходное состояние, оставив свое присутствие незамеченным.

Таким образом, несмотря на то, что технологии виртуализации дают множество возможностей, обеспечивая не только экономию IT-бюджетов, но и существенное увеличение гибкости IT-инфраструктуры, и на сегодняшний день успешно внедряются достаточно большим количеством компаний, требуется аудит текущего состояния виртуальных инфраструктур и обеспечение их информационной безопасности с применением средств, разработанных именно для виртуальных машин.

На данный момент на ранке представлено несколько специализированных систем защиты виртуальной инфраструктуры, которые можно разделить на следующие классы: программные продукты для анализа трафика и предотвращения вторжений, разработанные специально для виртуальной среды; ПО для разграничения прав доступа в виртуальной инфраструктуре; продукты для проведения аудита виртуальной среды на предмет наличия ошибок в конфигурации безопасности.

Подводя итог вышесказанному, необходимо отметить, что комплексный аудит IT-инфраструктуры предприятия, анализ всех ее систем и подсистем, эффективности их взаимодействия и использования – задача достаточно трудоемкая, требующая достаточных финансовых и производственных затрат, но, несмотря на это, необходимая. В условиях стремительного развития бизнеса, IT-инфраструктура предприятия представляет собой сложный и разветвленный организм. Построение грамотной структуры управления организацией в значительной степени зависит от возможности IT-подразделения организовать управление предприятием с помощью информационных технологий. Внедрение системы управления предприятием, закупка нового оборудования, инсталляция новых программных продуктов чаще всего проходят без видения целостной картины развития IT-инфраструктуры организации. Это вызывает проблемы полноценного функционирования программных продуктов, проведения дополнительных работ или закупок, что приводит к срывам сроков внедрения проектов, усложняет развитие бизнеса, требует дополнительных инвестиций. IT-аудит - это комплексный анализ информационной структуры, который позволяет решить возникшие сложности, определить качество IT-инфраструктуры предприятия и привести ее возможности в соответствие с целями и задачами бизнеса.