Организация защиты информации центров автиризации карт платежных систем VISA, EUROPAY

Успешное развитие современных информационных служб центров авторизации платежных карт (ЦАПК) просит кропотливо разработанной программки развития и интеграции всех составляющих их инженерной инфраструктуры: информационных технологий, телекоммуникаций и защиты инфы.
Для реализации защиты инфы предлагается разрабатать концепцию всеохватывающей системы защиты инфы, поэтапно делать комплекс мер по её внедрению.
Развитие информационных технологий просит значимых денежных вложений в программно-аппаратные средства. Беря во внимание, что в базах центров авторизации платежных карт содержится информация, полная либо частичная утрата которой безизбежно приведет к значимым, а в ряде всевозможных случаев невосполнимым денежным потерям, которые могут быть выше, чем средства, потраченные на создание информационных служб, нужно обеспечить надежную защиту всех компонент центров авторизации.
Для сотворения системы защиты инфы предлагается использовать полный подход, а конкретно: создание «Одного места информационной безопасности», как комплекса взаимосвязанных и повсевременно взаимодействующих технических, организационных и нормативно-правовых подсистем. Нужным условием функционирования таких подсистем есть создание политики безопасности. Согласно интернациональным советам [1] за безопасность работы всех служб центров авторизации должны отвечать сотрудники службы безопасности.
Спецы по информационной безопасности должны:

обеспечить четкий и полный контроль над предоставлением приемуществ доступа на базе инструкций для каждого информационного ресурса и в согласовании с используемой внутренней политикой безопасности, директивами и эталонами;
быть информированными обо всех конфигурациях, связанных со статусом служащих, увольнением, переходом, либо конфигурацией должностных обязательств;
повсевременно проводить мониторинг действий юзеров с льготами высочайшего уровня
удалять привилегии немедля, как они больше не требуются;
раз в день проводить мониторинг попыток доступа, для выявления критических для безопасности событий, типа попыток несанкционированного доступа, которые могут грозить целостности, конфиденциальности, либо работоспособности системы;
докладывать обо всех попытках несанкционированного доступа к общим информационным ресурсам для проведения расследования и принятия мер;
организовать доступ так, чтоб каждый юзер системы был определен уникальной идентификационной последовательностью (USERID), сделанной только для этого юзера;
добиваться для каждого процесса доступа к критическим информационным ресурсам аутентификацию юзера (идентичность юзера определяется, используя введенный пароль, биометрический процесс либо комбинационный процесс);
собирать, защищать, проводить аудит всей доступной журнально-протокольной инфы.

Таким макаром, на всех стадиях внедрения информационных технологий комплексно решается вопрос защиты инфы, предоставляется подход для юридического решения споров меж юзерами информационных технологий, разделение обязательств меж подразделениями, верно определяются границы ответственности меж должностными лицами.
Цель информационной защиты – обеспечение надежной, корректной и неопасной работы всех компонент ЦАПК, что предполагает создание надежных и комфортных устройств регламента деятельности служб, юзеров и обслуживающего персонала, соблюдение дисциплины доступа к ресурсам информационной системы.
Для сотворения защиты инфы информационных технологий ЦАПК нужно использовать полный подход, а конкретно: создание защищенной среды для обработки инфы, которая соединит воединыжды различные (правовые, организационные, программно-технические) средства для отражения хоть какой опасности.
Основными особенностями информационных сетей (ИС) ЦАПК является неоднородность их компонент, включая применяемые операционные системы и прикладные программки. Программно-аппаратные средства для систем авторизации, клиринговых систем и систем мониторинга служат сервера баз данных (ORACLE и т.п.). Бессчетные приложения на рабочих станциях в главном работают в операционной среде WINDOWS, но могут употребляться другие операционные системы (OS/2 и т.д.), терминалы, для файловых серверов могут применяться ОС WINDOWS-NT/2000, LINUX. В качестве средств маршрутизации и коммутации в большинстве случаев употребляются продукты CISCO, но могут быть применены продукты других компаний.
Взаимодействие служб ЦАПК осуществляется на базе TCP/IP протокола, используя сети компаний провайдеров телекоммуникационных услуг либо выделенные каналы связи. Подключение банкоматов осуществляется на базе протоколов TCP/IP и Х.25, используя сети компаний провайдеров телекоммуникационных услуг либо выделенные каналы связи. Взаимодействие с сетью POS-терминалов реализуется через коммутируемые каналы связи. Территориальная распределенность компонент информационной сети, включая информационные ресурсы, необходимость взаимодействия с глобальными платежными системами VISA, EUROPAY и т.д. затрудняет компанию централизованного управления и мониторинга всех средств сети передачи данных.

Главные типы угроз.

Опасности безопасности инфы, АС и субъектов информационных отношений.

Под опасностью (вообщем) обычно понимают потенциально вероятное событие, действие (воздействие), процесс либо явление, которое может привести к нанесению вреда чьим-либо интересам.
Опасностью интересам субъектов информационных отношений будем именовать потенциально вероятное событие, процесс либо явление, которое средством воздействия на информацию либо другие составляющие АС может прямо либо косвенно привести к нанесению вреда интересам данных субъектов.
В силу особенностей современных АС, вышеперечисленных, существует существенное число разных видов угроз безопасности.
Нарушением безопасности (либо просто нарушением) будем именовать реализацию опасности безопасности.

Главные виды угроз безопасности

Основными видами угроз безопасности АС и инфы (угроз интересам субъектов информационных отношений) являются:
стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.);
сбои и отказы оборудования (технических средств) АС;
последствия ошибок проектирования и разработки компонент АС (аппаратных средств, технологии обработки инфы, программ, структур данных и т.п.);
ошибки эксплуатации (юзеров, операторов и другого персонала);
намеренные деяния нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников и т.п.).

Систематизация угроз безопасности

Все огромное количество возможных угроз по природе их появления делится на два класса: естественные (конкретные) и искусственные (личные).
Естественные опасности – это опасности, вызванные воздействиями на АС и ее элементы беспристрастных физических процессов либо стихийных природных явлений, независимых от человека.
Искусственные опасности – это опасности АС, вызванные деятельностью человека. Посреди их, исходя из мотивации действий, можно выделить:
ненамеренные (нечаянные, случайные) опасности, вызванные ошибками в проектировании АС и ее частей, ошибками в программном обеспечении, ошибками в действиях персонала и т.п.;
намеренные (предумышленные) опасности, связанные с алчными устремлениями людей (злоумышленников).
Источники угроз по отношению к АС могут быть наружными либо внутренними (составляющие самой АС – ее аппаратура, программки, персонал).

Главные ненамеренные искусственные опасности

Главные ненамеренные искусственные опасности АС (деяния, совершаемые людьми случаем, по неведению, невнимательности либо халатности, из любопытства, но без злого умысла):
Нечаянные деяния, приводящие к частичному либо полному отказу системы либо разрушению аппаратных, программных, информационных ресурсов системы (нечаянная порча оборудования, удаление, искажение файлов с принципиальной информацией либо программ, в том числе системных и т.п.).
Неправомерное отключение оборудования либо изменение режимов работы устройств и программ.
Нечаянная порча носителей инфы.
Пуск технологических программ, способных при несведущем использовании вызывать утрату работоспособности системы либо осуществляющих необратимые конфигурации в системе (форматирование либо реструктуризацию носителей инфы, удаление данных и т.п.).
Незаконное внедрение и внедрение неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем собственных служебных обязательств) с следующим безосновательным расходованием ресурсов (загрузка микропроцессора, захват оперативки и памяти на наружных носителях).
Инфецирование компьютера вирусами.
Неосмотрительные деяния, приводящие к разглашению секретной инфы либо делающие ее общедоступной.
Разглашение, передача либо утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т.п.).
Проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с способностями, представляющими опасность для работоспособности системы и безопасности инфы.
Игнорирование установленных правил при работе в системе.
Вход в систему в обход средств защиты (загрузка сторонней операционной системы со сменных магнитных носителей и т.п.).
Несведущее внедрение, настройка либо неправомерное отключение средств защиты персоналом службы безопасности.
Пересылка данных по неверному адресу абонента (устройства).
Ввод неверных данных.
Нечаянное повреждение каналов связи.

Главные намеренные искусственные опасности

Главные пути предумышленной дезорганизации работы, вывода системы из строя, проникания в систему и несанкционированного доступа к инфы:
Физическое разрушение системы (методом взрыва, поджога и т.п.) либо вывод из строя всех либо отдельных более принципиальных компонент компьютерной системы (устройств, носителей принципиальной системной инфы, лиц из числа персонала и т.п.).
Отключение либо вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, остывания и вентиляции, линий связи и т.п.).
Деяния по дезорганизации функционирования системы (изменение режимов работы устройств либо программ, стачка, саботаж персонала, постановка массивных активных радиопомех на частотах работы устройств системы и т.п.).
Внедрение агентов в число персонала системы (в том числе, может быть, и в административную группу, отвечающую за безопасность).
Вербовка (методом подкупа, шантажа и т.п.) персонала либо отдельных юзеров, имеющих определенные возможности.
Применение подслушивающих устройств, дистанционная фото- и видеосъемка и т.п..
Перехват побочных электрических, акустических и других излучений устройств и линий связи, также наводок активных излучений на вспомогательные технические средства, конкретно не участвующие в обработке инфы (телефонные полосы, сети питания, отопления и т.п.).
Перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации юзера и следующих попыток их имитации для проникания в систему.
Хищение носителей инфы (магнитных дисков, лент, микросхем памяти, запоминающих устройств и целых компов).
Несанкционированное копирование носителей инфы.
Хищение производственных отходов (распечаток, записей, списанных носителей инфы и т.п.).
Чтение остаточной инфы из оперативки и с наружных запоминающих устройств.
Чтение инфы из областей оперативки, применяемых операционной системой (в том числе подсистемой защиты) либо другими юзерами, в асинхронном режиме используя недочеты мультизадачных операционных систем и систем программирования.
Нелегальное получение паролей и других реквизитов разграничения доступа (агентурным методом, используя халатность юзеров, методом подбора, методом имитации интерфейса системы и т.д.) с следующей маскировкой под зарегистрированного юзера («маскарад»).
Несанкционированное внедрение компов юзеров, имеющих уникальные физические свойства, такие как номер рабочей станции в сети, физический адресок, адресок в системе связи, аппаратный блок кодировки и т.п.
Вскрытие шифров криптозащиты инфы.
Внедрение аппаратных спецвложений, программных «закладок» и вирусов («троянских жеребцов» и «жучков»), другими словами таких участков программ, которые не необходимы для воплощения заявленных функций, но позволяющих преодолевать систему защиты, скрытно и нелегально производить доступ к системным ресурсам с целью регистрации и передачи критичной инфы либо дезорганизации функционирования системы.
Нелегальное подключение к линиям связи с целью работы «меж строк», с внедрением пауз в действиях легитимного юзера от его имени с следующим вводом неверных сообщений либо модификацией передаваемых сообщений.
Нелегальное подключение к линиям связи с целью прямой замены легитимного юзера методом его физического отключения после входа в систему и удачной аутентификации с следующим вводом дезинформации и навязыванием неверных сообщений.
Следует увидеть, что в большинстве случаев для заслуги поставленной цели злодей употребляет не один, а некую совокупа из вышеперечисленных путей.

Опасности работы систем авторизации.

Ошибки администрирования системы, нелегальное либо неконтролируемое внедрение льгот доступа.

Ошибки конфигурации характеристик баз ЦАПК приведут к неработоспособности всей системы, либо её компонент. Результатом таких ошибок будет полная остановка процесса авторизации

Несанкционированный доступ (НСД) к информационным ресурсам ЦАПК.

Отсутствие хороших средств защиты от НСД информационных ресурсов ЦАПК, возможность несанкционированного доступа к рабочим местам управления процессами авторизации, операционным системам серверов и юзеров, средствам управления телекоммуникационными службами, ставит под опасность функционирование всех служб ЦАПК.

Программно-аппаратные сбои либо ошибки.

Сбои в работе программно-аппаратных средств ЦАПК (активного оборудования телекоммуникационных средств, серверов, бесперебойных источников питания, кондюков и т.д.), связанные с недостаточно надежными аппаратными средствами, отсутствие резервирования основного компьютерного оборудования и программного обеспечения.

Ошибки, связанные с низкими многофункциональными способностями систем, либо неправильными режимами их эксплуатации.

Низкое качество регламентных работ, ошибки юзеров при работе с приложениями ПО, сокрытые ошибки ПО систем, нерадивое отношение к средствам восстановления приведут к остановке всех либо части технологических цепей информационной системы ЦАПК.

Опасности работы телекоммуникационных средств:

локальной сети;
сети взаимодействия наружных компонент авторизации.

- опасности со стороны наружных атак (к примеру, через INTERNET, перехват управления активным телекоммуникационным оборудованием и т.д.).
Невыполнение либо отсутствие контроля мер безопасности:

отключение либо ошибки конфигурации средств доступа к информационным ресурсам ЦАПК, защиты инфы;

Защита инфы.

Для сотворения действенной системы противодействия перечисленным угрозам нужно обеспечить совокупа программно-технических средств, организационных (административных) правил, правовых и морально-этичных норм.
На первом шаге нужно воплотить всеохватывающее управление доступом и защиту от НСД в информационной сети в целом, создать и утвердить положение об информационной сети ЦАПК.
Структура информационной сети ЦАПК представлена на рис.1

Организация защиты инфы центров автиризации карт платежных систем VISA, EUROPAY

Рис.1 Структура информационной сети ЦАПК

Нужно обозначить главные информационные потоки меж компонентами ЦАПК. Беря во внимание организационную структуру предприятия, для служащих и служб операционного, расчетного и технического отделов ЦАПК нужно регламентировать процессы функционирования процессинговых систем, внедрение информационных ресурсов, деятельность служащих, включая доступ к информационным ресурсам.
В «Положении об информационной сети ЦАПК» нужно отразить:

цели сотворения и список задач, решаемых с помощью информационной сети ЦАПК;
состав информационной сети ЦАПК;
список нормативных документов, регламентирующих защиту от НСД и управлением доступом в информационную сеть ЦАПК;
многофункциональные обязанности подразделений, осуществляющих проектирование, модернизацию, промышленную эксплуатацию и управление информационной сети ЦАПК;
подразделение и список должностных лиц, на которых возложена ответственность за воплощение контроля и управления информационной сетью ЦАПК в целом;
порядок регистрации и наделения юзеров правами доступа к ресурсам информационной сети ЦАПК;
порядок учета и хранения эталонного программного обеспечения сетевого оборудования и технической документации.

На базе сделанного Положения нужно создать и утвердить Концепцию технической защиты информационной сети ЦАПК, при всем этом отделу защиты инфы создать и ввести нормативные документы, в каких:

найти главные интересы ЦАПК, требующие защиты в связи с наличием информационной сети ЦАПК;
создать модель угроз и провести анализ рисков;
на основании модели угроз систематизировать все информационные потоки и информационные системы по признакам ценности и конфиденциальности содержащихся в их сведений;
обеспечить контроль выполнения требований антивирусной политики;
создать планы внедрения средств защиты для компонент и служб ЦАПК;
создать планы восстановительных работ в случае появления аварий в оборудовании;
создать требования по управлению доступом субъектов к ресурсам информационной сети ЦАПК;
создать механизмы фиксации критических для безопасности работы ЦАПК событий;
создать требования к резервированию оборудования;
создать требования по эксплуатации сетевого оборудования и конфигурации его программного обеспечения;
правила работы юзеров в сети Веб;
правила использования индивидуальных компов;
правила использования электрической почты (сети Веб);
порядок действий админа при нарушениях требований по обеспечению безопасности и появлении нештатных ситуаций.

Реализация предложенных мер просит сотворения всеохватывающей системы защиты ЦАПК.

Организация защиты инфы центров автиризации карт платежных систем VISA, EUROPAY

Рис.2 Всеохватывающая система защиты ИС ЦАПК

При всем этом нужно внедрение как штатных:

криптографические средства, реализованные в платежных системах.
средства разграничения доступа и криптографии, реализованные в OC WINDOWS 2000.
средства разграничения доступа ОС, реализованные в опреационных системах файловых серверов.
средства разграничения доступа, реализованные в СУБД.
средства разграничения доступа, реализованные в устройствах коммутации пакетов.

так и дополнительных средств защиты:

средства разграничения доступа, обнаружения сетевых атак и межсетевого экранирования, для устройств коммутации пакетов.
средства защиты, реализованные для разных компонент платежной системы ЦАПК (защищенная электрическая почта и т.д.).
средства защиты, реализованные в разных приложениях и комплексах ЦАПК.
средства идентификации и аутентификации доступа к серверам приложений.
Средства мониторинга и контроля инфрмационной сети ЦАПК.

Главные этапы сотворения системы защиты инфы.

Беря во внимание организационную структуру ЦАПК, также структуру его взаимодействия с наружными компонентами, создание защищенной среды для обработки инфы целенаправлено начать с внедрения защищенной автоматической системы одного файлового обмена меж информационными службами ЦАПК. Построив его меж сотрудниками и службами ЦАПК на базе правовых и морально-этичных норм, в должностные обязанности служащих врубаются права и ответственность за переданную, принятую информацию. Контролируется обмен меж приложениями компонент ЦАПК, организационными мерами обеспечивается права и ответственность должностных лиц, ответственных за работу приложений. При всем этом каждый переданный файл имеет обладателя (отправителя), ответственного за передаваемую информацию, подтвержденную его цифровой подписью, и механизмы, гарантирующие, что файл будет гарантировано, доставлен и принят только получателем, которому он адресован. На базе таковой технологии строятся базисные правовые отношения меж сотрудниками и службами всех подразделений ЦАПК.
Имея единый защищенный файловый обмен меж сотрудниками ЦАПК на базе правовых и морально-этичных норм, в должностные обязанности врубаются права и ответственность за переданную и принятую информацию, внедряется контроль обмена меж приложениями компонент ЦАПК, организационными мерами обеспечиваются права и ответственность должностных лиц, ответственных за работу приложений. Каждый переданный файл обязан иметь обладателя (отправителя), ответственного за передаваемую информацию, подтвержденную его цифровой подписью, и механизмы, гарантирующие, что файл будет доставлен и принят только обозначенным получателем. На базе таковой технологии будут строиться все правовые отношения меж сотрудниками.
На втором шаге для каждой рабочей станции определяются ресурсы, нуждающиеся в защите, главные опасности для разных информационных ресурсов и требования к защите от этих угроз. На рабочих местах и серверах ЦАПК средства защиты от НСД. Для этих целей на все рабочие станции ЦАПК устанавливается ОС WINDOWS 2000/XP, изменяются для каждой рабочей станции средства разграничения доступа и средства для аудита и контроля и п.д.
Для файловых серверов, серверов баз данных, средств маршрутизации выбираются средства для организации разграничения доступа, аудита и контроля и т.д.
Со стороны службы информационной безопасности обеспечивается полный контроль соблюдения требований защиты от НСД, непрерывное выявление и регистрация наружных и внутренних предумышленных и нечаянных, прямых и косвенных нарушений политики безопасности, имеющих как беспристрастную, так и личную природу, с обеспечением админу безопасности способности доступа ко всей нужной инфы из одной точки.
Для этой цели можно использовать разные системы мониторинга и аудита средств защиты информационной сети. Разглядим более непосредственно систему централизованного мониторинга и аудита «Мираж» (разработчик ООО «Институт компьютерных технологий» г. Киев).

Организация защиты инфы центров автиризации карт платежных систем VISA, EUROPAY

Рис.3 Система «Мираж»

Функции этой системы:

контроль действий админов по предназначению возможностей по доступу к ресурсам ИС;
контроль соответствия назначенных возможностей установленным правилам разграничения доступа;
контроль событий, связанных с попытками НСД к ресурсам ИС;
контроль событий, связанных с нарушением работоспособности компонент ИС;
анализ и обработка инфы по данным правилам в реальном времени;
незамедлительное оповещение админа безопасности обо всех выявленных нарушениях;
ведение архивов зарегистрированных данных и данных аудита;
подготовка сводных отчетов различной структуры.

Для каждого сотрудника, исходя из его должностных обязательств, определяются правила разграничения доступа к информационным ресурсам.
Внутренние нормативные документы ЦАПК, беря во внимание технологию обработки инфы, определяют информационные ресурсы, нуждающиеся в защите, главные опасности и требования к защите от этих угроз.
В целом политика безопасности определяется технологией обработки инфы, особенностями применяемых аппаратных и программных средств, физической средой, в какой эксплуатируется программно-аппаратные средства ЦАПК.
Как часть политики безопасности выступают регламентирующие правила доступа юзеров к информационным ресурсам, которые нужно найти для каждого юзера – сотрудника ЦАПК (смотри рис.4)

Организация защиты инфы центров автиризации карт платежных систем VISA, EUROPAY

Рис.4 Регламентирующие правила доступа

Эффективность выполнения мер безопасности почти во всем находится в зависимости от полноты и четкости за ранее проведенных организационных мероприятий, свойства нормативных документов, планирования сроков проведения работ, и т.д.
Для полного контроля, анализа и управления средствами защиты нужно сделать централизованную базу инфы аудита. Сбор инфы со всех установленных средств защиты производит сервер безопасности методом взаимодействия со своими агентами, установленными на контролируемых объектах, с защищаемыми информационными ресурсами.
В завивсимости от применяемой системы авторизации её отдельные составляющие и службы имеют средства контроля и диагностики технологических процессов. Для контроля в целом процесса авторизации на 3-ем шаге рекомедуется создать и ввести комплекс технологического контроля процессинговой системы.
Комплекс обеспечит контроль над работой системы авторизации, средством анализа работы всех её компонент на предмет корректной обработки транзакций. Комплекс должен держать под контролем достоверность, вырабатываемой компонентами системы инфы, методом ведения достоверной единой базы обработки транзакций, содержащей данные с плодами поступивших и обработанных транзакций, также иметь механизмы доступа и обработки данных имеющихся баз компонент процессингой системы.
Комплекс должен обеспечить:

тиражирование данных из баз компонент процессинговых систем в единую базу, также иметь доступ к инфы имеющихся баз компонент ЦАПК.
обработку различных типов журнальных файлов (ЖФ), генерируемых программными средствами (ПС) системы, также ввод обработанных данных в единую базу.
обеспечить централизованный контроль и аудит средств защиты инфы
контроль работы оконечных устройств (банкоматов , POS-ов и т.п.)
индикацию всех сбойных, неверных и критических для информационной безопасности событий обработки транзакций.

Комплекс должн обеспечить централизованный анализ и управление, что в целом обеспечит устойчивую и неопасную работу всех компонент информационной сети ЦАПК.
Выбор средств защиты инфы почти во всем находится в зависимости от технологических способностей используемых программно-аппаратных средств. Предложенный подход организации иформационной безопасности может быть полезен при планировании поэтапного внедрения средств защиты инфы. Эффективность выполнения мер иформационной безопасности почти во всем находится в зависимости от полноты и четкости, за ранее проведенных организационных мероприятий, свойства нормативных документов, планирования сроков проведения работ, и т.д.
В связи с необходимостью денежных издержек для сотворения действенных средств защиты инфы предложенные подходы призваны посодействовать избежать с одной стороны дополнительных издержек, а с другой выполнить все нужные меры для защиты информационной сети ЦАПК.

Аналогичный товар: Комментирование на данный момент запрещено, но Вы можете оставить ссылку на Ваш сайт.

Комментарии закрыты.