МЕРОПРИЯТИЯ ПО ПРОВЕРКЕ НАСТРОЕК ПРИ ПРОВЕДЕНИИ ИСПЫТАНИЙ НА СООТВЕТСТВИЕ ТРЕБОВАНИЯМ ПО ОБЕСПЕЧЕНИЮ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

MEASURES REGARDING THE OPERATING SYSTEM DURING TESTS FOR COMPLIANCE WITH INFORMATION SECURITY REQUIREMENTS

Konstantin Lazunin

Associate Professor, Federal State Budgetary Educational Institution of Higher Education "MIREA - Russian Technological University",

Russia, Moscow

Andrey Podlesnykh

Student, Federal State Budgetary Educational Institution of Higher Education "MIREA - Russian Technological University",

Russia, Moscow

В современном мире существуют множество угроз безопасности информации. По имеющимся статистическим сведениям, от Positive Techologies в I квартале 2024 года, количество инцидентов увеличилось на 7% по сравнению с IV кварталом 2023 года. В данную статистику входит: 72% для частных лиц и 54% для организаций утечки конфиденциальной информации, 68% инцидентов с использованием вредоносного программного обеспечения (далее - ВПО) против частных лиц, 43% инцидентов с использованием шифрования данных, утечки персональных данных, а также социальная инженерия составляют 85% инцидентов у частных лиц. Также данные инциденты составляют 52% от происшествий для организаций [1].

Во II квартале количество инцидентов выросло на 4%. В 64% случаев атак на организации используется ВПО, в частности для удалённого управления объектами атаками. Стоит отметить, что социальная инженерия также остается одним из самых популярным методом реализации угроз в отношении объекта атаки. Данная угроза использовалась в 92% случаях против частных лиц, а также в 51% против организаций [2]. Все приведенные угрозы являются актуальными, как для частных лиц и организаций, а также объектами атаки потенциальным нарушителем просматриваются и объекты критической информационной инфраструктуры (далее - КИИ). На рисунке 1, 2 представлены диаграммы % реализованных киберугроз за I и II квартал 2024 года.

Рисунок 1. Статистика киберугроз за 1 квартал 2024 года

Рисунок 2. Статистика киберугроз за 2 квартал 2024 года

Для обеспечения безопасности информации объектов критической информационной структуры применяются программно и программно-аппаратные средства защиты информации. Объекты критической информационной инфраструктуры представляют собой информационные/автоматизированные/информационно-телекоммуникационные сети, эти системы обязательно должны пройти процедуры оценки соответствия (в том числе в форме аттестационных испытаний).

В ходе проведения испытаний таких систем необходимо соблюдать все требования, предъявляемые регуляторами в области информационной безопасности, такими как ФСТЭК России и ФСБ России. В отношении реализации требований ФСТЭК России стоит отметить соответствие систем требованиям приказов ФСТЭК России №17 [3], №21 [4] и №239[5]. Данные приказы регулируют меры по обеспечению защиты информации не содержащих сведений составляющих государственную тайну.

Следует отметить, что требования приказа ФСТЭК России №77 [6] включают проведение аттестационных испытаний. Эти испытания подразумевают не только разработку организационно-распределительной документации и настройку средств защиты информации для противодействия угрозам, но и обязательное моделирование действий потенциальных нарушителей в отношении системы. Это позволяет проверить эффективность применяемых мер безопасности и выявить потенциальные уязвимости.

На каждую автоматизированную систему должны создаваться модели угроз и нарушителей, благодаря которым будет проводиться настройка системы безопасности. Эти модели служат главным критерием для настройки системы безопасности, чтобы система могла эффективно противостоять угрозам, рискам и уязвимостям. 

Важно отметить, что, несмотря на все усилия по созданию и настройке системы безопасности, существует вероятность некорректной работы настроек из-за человеческого фактора и преднамеренной угрозы со стороны внутреннего нарушителя. Это может привести к недостаточной защите системы и созданию уязвимостей, которыми могут воспользоваться потенциальные злоумышленники (внутренний и внешний нарушитель). Как следствие постоянный внутренний контроль, мониторинг, обучение персонала и регулярные обновления системы безопасности являются неотъемлемой частью обеспечение безопасности объекта в ходе жизненного цикла.

Существует множество компонентов системы, обеспечивающие ее безопасность. Для каждой системы необходимо отдельно подбирать средства защиты информации, в соответствии с требованиями, предъявленными к системе. Существует реестр средств защиты информации (далее СЗИ) ФСТЭК России [7], где предоставлен список сертифицированных СЗИ. В этот список входят: антивирусные программы, межсетевые экраны, средства обнаружения и предотвращения вторжений, средства мониторинга сети, операционные системы.

В настоящей статье рассматривается операционная система Astra Linux Special Edition, операционная система специального назначения со встроенными средствами защиты информации для работы с данными ограниченного доступа, которые соответствуют первому классу защиты согласно реестру СЗИ ФСТЭК России [7].

В настоящее время выпущена Astra Linux Special Edition 1.8, в которой реализовали автоматизацию настроек безопасности в соответствии с профилями безопасности [8]. В версии 1.8 доступны 6 базовых профиля:

• автоматизированная система управления технологическими процессами;
• информационная система персональных данных;
• государственная информационная система;
• критическая информационная инфраструктура;
• автоматизированная система;
• один профиль инициализации, который предоставляется для самостоятельной настройки параметров безопасности.

Стоит учитывать, что в версии 1.8 отсутствует реализация продукта проверки выставленных настроек безопасности информации.

Для профилей безопасности: автоматизированной системой управления технологическими процессами (далее АСУ ТП), государственной информационной системой (далее ГИС) и КИИ - доступны три категории защищённости информационной системы: К1, К2, К3. Для информационных систем персональных данных (далее ИСПДн) доступно 4 уровня защищенности: УЗ-1, УЗ-2, УЗ-3 и УЗ-4. Таким образом данное решение уменьшает влияние человеческого фактора, при использовании автонастройки параметров безопасности согласно заданным профилям.

В операционной системе Astra Linux Special Edition не существует способа автоматизированной проверки выставленных настроек безопасности. Для устранения данной проблемы предлагается создать автоматизированное механизм проверки установленных настроек системы безопасности, что позволяет уменьшить влияние человеческого фактора на уровень безопасности системы и увеличить точность и скорость проверки параметров. Автоматизированное решение будет разработано для операционной системы Astra Linux Special Edition 1.7  и последующих оперативных обновлениях.

Благодаря автоматизации проверки параметров безопасности системы уменьшается вероятность несоответствия устанавливаемых настроек, которые должны соответствовать требованиям приказов ФСТЭК и ФСБ России. С учетом того, что скрипт будет написан на Bash^[1], для их работы не понадобится установка, настройка или использование дополнительного программного обеспечения, а также присутствует возможность дописывать код скрипта для улучшения масштабируемости.  На схеме ниже отображён принцип работы программы (рис.3)

Рисунок 3. Принцип работы программы