Оценка безопасности межсетевого экрана

Введение

В рамках данной работы проведен анализ технологий обеспечения защиты от сетевых угроз на ресурсы корпоративных сетей. Специфика современных компаний связана с необходимостью использования информационных систем в рамках ведения производственных процессов. Сетевые информационные ресурсы компаний используются как для информирования о свой деятельности, так и для непосредственного взаимодействия с клиентами в рамках осуществления основной деятельности. Таким образом, от стабильности функционирования сетевых информационных ресурсов зависит возможность исполнения компаниями своих функций, работы с документами, проведения платежей. Бесперебойное функционирование информационных ресурсов обеспечивает возможности работы подразделений компаний, выполнения сотрудниками своих обязанностей, обеспечивает возможности взаимодействия с клиентами, с партнерами, в некоторых случаях позволяет обеспечивать проведение платежей.
В компаниях с разветвленной филиальной сетью зачастую используются информационные системы, имеющие распределенную архитектуру, связь между сегментами которой обеспечивается через настройку механизмов обмена данными. В случае проведения атак на серверы, через которые производится обмен информацией, наблюдаются нарушения доступа к информационным ресурсам, невозможность актуализации данных. Таким образом, использование распределенных систем позволяет эффективно распределять вычислительную нагрузку между сегментами ИТ-инфраструктуры, но при этом необходимо обеспечивать защиту систем от внешних атак.
Цель курсовой работы заключается в разработке мер по анализу безопасности использования межсетевых экранов.
Задачи работы:
 анализ специфики организации защиты сетевых ресурсов;
 анализ функционала межсетевых экранов;
 анализ безопасности использования межсетевых экранов с использованием специализированных программных средств.
Объект исследования: технологии обеспечения информационной безопасности.
Предмет исследования: системы защиты от сетевых угроз на информационные ресурсы.
 
1. Аналитическая часть
1.1 Обзор законодательных актов в области защиты информации

В рамках данной работы проведён анализ законодательных актов в области обеспечения информационной безопасности.
Концепция информационной безопасности России содержит официально принятую систему взглядов на проблемы, связанные с обеспечением защиты информации, включает описание типовых методов и средств, обеспечивающих решение задач по защите информации.
Развитие информационных технологий предполагает возможности для утечек больших массивов данных по определенной тематике, включая данные персонифицированного характера. Используемые в настоящее время носители информации малогабаритны, но при этом позволяют сохранять на них значительные объемы информации. Таким образом, при использовании информации конфиденциального характера необходимо учитывать возможность их несанкционированного копирования и принимать превентивные меры.
Нормативная база технологии защиты информации включает в себя: нормы федерального законодательства, указы Президента Российской Федерации и постановления Правительства РФ, а также регламентирующие документы федеральных структур, регулирующих технологии безопасности информации.
Основные нормативные акты, регулирующие вопросы обеспечения защиты информации, включают в себя:
 Конституцию Российской Федерации;
 Законодательство о персональных данных (152-ФЗ от 27.07.2006);
 Федеральный закон об информации информационных технологиях и о защите информации (149-ФЗ от 27.07.2006);
 Федеральный закон об электронной подписи (63-ФЗ от 06.04.2011);
 Нормативные акты, регламентирующие документы федеральных служб.
Использование межсетевых экранов регламентируется в документах:
 «Положение о системе сертификации средств защиты информации» (утверждено приказом ФСТЭК России от 3 апреля 2018 г. № 55, вступило в силу 1 августа 2018 г.);
 «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (утверждены приказом ФСТЭК России от 30 июля 2018 г. № 131, вступили в силу 1 августа 2018 г., применяются при проведении сертификационных испытаний с 1 мая 2019 г.);
 «Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении» (утверждена ФСТЭК России 11 февраля 2019 г., применяется при проведении сертификационных испытаний с 1 мая 2019 г.).
Определение термина «защита информации» приводится в статье 16 ФЗ «Об информа¬ции, информационных технологиях и защите информации» (149-ФЗ от 27.07.2006):
Обеспечение информационной безопасности предполагает необходимость проведения правовых, организационных и технических мероприятий, предполагающих решение вопросов в областях:
1) обеспечения защиты информации от несанкционированного доступа, препятствие уничтожению, модифицированию, блокированию, копированию, предоставлению, распространению, а также иных неправомерных действий в отношении защищаемой информации;
2) соблюдения требований к конфиденциальности данных ограниченного доступа;
3) реализации права на доступ к информации».
Обеспечение информационной безопасности предполагает учет всех аспектов, связанных с проведением определения, достижения и поддержания конфиденциальности, целостности, неотказуемости, доступности, аутентичности, подотчетности и достоверности информации и средств ее обработки.
Согласно 149-ФЗ, информация классифицируется на типы:
- общедоступная;
- конфиденциальная;
- информация, относимая к категории «государственная тайна».
Конфиденциальная информация представляет собой информацию, не отнесенную к категории государственной тайны, доступ к которой ограничивается федеральными нормативно-правовыми актами. К категориям конфиденциальной информации относятся:
1) данные для служебного использования;
2) данные, относимые к коммерческой тайне;
3) данные, содержащие персонифицированную информацию;
4) данные, относимые к категории профессиональной тайны.
Каждая из указанных категорий информации подлежит защите согласно правовым нормам, источниками которых являются отраслевые стандарты.
Деятельность по обеспечению защиты информации предполагает также мероприятия по защите интеллектуальной собственности.
С проблемами обеспечения защиты информации имеют тесную связь юридические аспекты, регламентирующие деятельность в области информационных технологий, которую можно раз¬делить по категориям:
1) использование телекоммуникационных технологий;
2) работа с криптографическими системами, включающими системы электронного документооборота;
3) проведение сертификации, лицензирования и аттестации архитектуры информационной безопасности на предприятиях.
Также, к работам по обеспечению защиты информации относятся механизмы по при¬менению мер ответственности за нарушения требований законодательства РФ об информации, информационных технологиях и о защите информации. Данная деятельность регламентируется на государственном уровне.
Таким образом, при обзоре нормативно-правовых актов РФ необходимо от¬дельное рассмотрение направлений, регламентирующих деятельность в области об¬работки и защиты:
1) общедоступных данных;
2) информации, с элементами коммерческой тайны;
3) служебных данных с ограниченным способом распространения;
4) информации, отнесенной к категории профессиональной тайны;
5) персональным данным;
6) государственной тайне;
7) интеллектуальной собственностью;
8) данных о настройках защиты телекоммуникационных систем;
9) данных, использующих криптографические системы;
10) информацию и объекты информатизации, подлежащие лицензирова¬нию, сертификации и аттестации объектов и средств защиты информации;
11) о нарушениях норм законодательства РФ в области информации, информационных технологиях и о защите информации.
В приказе № 17 ФСТЭК РФ определены требования к обеспечению защиты информации, содержащейся в государственных информационных системах. В указанном документе определены требования к определению типов субъектов доступа (пользователям, процессам и иным субъектам доступа) и объектов доступа, которые выступают в качестве объектов защиты (аппаратное обеспечение, объекты файловой системы, запускаемые и