Программно-аппаратный комплекс “фпсу-ip/Клиент” 18 4 Недостатки технологии 21 Глава Анализ возможных рисков и подходящих технологий программной и аппаратной защиты 25 1 Анализ рисков 25

Интернет предоставляет банкам великолепные возможности, среди которых видеоконференции, электронная почта, реклама, поиск клиентов по Сети и многое другое, причем все средства сравнительно недороги. Но вместе с этим очень остро стоит проблема защиты данных.

В современном мире невозможно выделить неограниченное количество финансов и человеческих ресурсов на обеспечение безопасности. Однако банки стараются рационально походить к вопросу финансирования мер обеспечения безопасности, при этом сокращение экономических затрат не должно сказаться на стабильной работе банка. Эта актуальная тема является базовой в представляемой вашему вниманию работе.

Невозможно создать абсолютно надежную систему безопасности — в основном из-за того, что постоянно разрабатываются новые виды реализации угроз, которым система не сможет противостоять, а также из-за того, что эффективность системы защиты зависит от обслуживающего персонала, а человеку свойственно ошибаться. Стоимость преодоления защиты от угроз должна быть больше стоимости достигаемого эффекта при ее успешном преодолении, при этом надо отметить, что со временем информация теряет свою ценность. В любом случае стоимость средств обеспечения безопасности должна соответствовать риску и прибыли для той среды, в которой работает банк.

Необходимо защищать все субъекты и объекты банковской информационной вычислительной сети (ИВС) от возможного ущерба: ошибок персонала, сбоев в программном и аппаратном обеспечении, преднамеренных действий злоумышленников, вторжений на территорию банка, его отделений и филиалов.

Несколько слов о предприятии на котором была пройдена преддипломная практика. ОАО «Альфа-банк»- это крупнейший частный банк России, предоставляющий полный комплекс услуг корпоративным и частным Клиентам, который был основан в 1990 году.

Практика проходила в блоке розничный бизнес, по направлению потребительское кредитование. Основными аспектами работы в данном направлении является выдача потребительских кредитов. Существует два направления: Альфа- партнеры и Торговые Точки (ТТ). Альфа- партнеры- это организации, заключившие договор с банком, и продающие свои товары или услуги в кредит. Кредит выдает работник магазина, специально обученный в банке. Торговые точки отличаются тем, что на них установлено оборудование банка и сидит сотрудник банка, обученный выдавать кредиты.

На торговых точках и у Альфа- партнеров используется технология ФПСУ ключей.

В связи с наступившим экономическим кризисом, многие организации придерживаются стратегии сокращения количества сотрудников и урезания заработной платы. Политика Альфа-Банка направлена на оптимизацию расходов, в том числе и на обеспечение безопасности. Стало нецелесообразно использовать ключи фпсу из-за больших экономических затрат, связанных с закупкой ключей, частых поломок, а так же проблем с настройкой и открытием доступа для ФПСУ ключей. Безопасность данных в открытых информационных сетях, таких как Интернет, всегда будет источником серьезного беспокойства для разработчиков и клиентов. Поэтому для любого используемого продукта крайне важно создать безопасную среду исполнения.

Исходя из этого, цель моей дипломной работы -Разработка технологии защищенного доступа к программному комплексу банка.

Для достижения поставленной цели было решено выполнить следующие задачи:

Анализ существующей технологии доступа;

• Анализ возможных рисков и подходящих технологий программной и аппаратной защиты.

• Оценка экономической эффективности.

• Разработка и внедрение технологии защищенного доступа.

Давайте более подробно это все рассмотрим.

Глава 1 Анализ политики безопасности ОАО «Альфа-банк»

Политика информационной безопасности (далее — ПИБ) — важный стратегический инструмент защиты критического бизнес- ресурса любого банка, его конфиденциальной информации. Для построения всеобъемлющей ПИБ, экономически эффективной и адекватной интересам банка, необходим комплексный, системный подход. ПИБ должна разрабатываться профессионалами информационной безопасности в тесном взаимодействии с ведущими аналитиками, ИТ- специалистами и руководством банка.

1.1. Основы политики безопасности банка

Безопасность банка, как и любого экономического хозяйствующего субъекта бизнеса, складывается из многих составляющих, среди которых можно выделить: стратегию работы с клиентами, сохранение собственного персонала (уровень лояльности), работу с партнерами и конкурентами. Предотвращение использования кредитных организаций в недобросовестной коммерческой практике является одной из приоритетных задач в развитии банковского сектора. Для выявления и пресечения деятельности отдельных экономических субъектов, вовлекающих банковскую систему в криминальную деятельность и использующих ее в целях отмывания преступных доходов, необходимо взаимодействие банков с органами финансового надзора.

Для любого банка критически важным ресурсом ведения бизнеса является информация. Банковская информация сохраняется в корпоративных сетях банка, а также передается по внешним, неконтролируемым вычислительным сетям общего доступа (например, по Интернету). Огромная доля коммерческой информации сосредотачивается в информационной вычислительной системе (ИВС) банка. Данные из ИВС используются операторами, менеджерами, а также партнерами и клиентами посредством web- представительства банка в Интернете.

Любые действия пользователей на компьютерах и в сетях приводят к перемещению или к обработке информации. Кроме того, информация может просто находиться в стадии хранения. Любое финансовое учреждение занимается сбором и обработкой данных независимо от своих функций и целей. Кредитные организации принимают во внимание важные аспекты обработки данных в своих операциях, включая различные виды учета, автоматизацию производства, аналитическую и управленческую деятельность.

Руководство банка должно понимать важность обеспечения безопасности информационных ресурсов и иметь представление о том, какие правила информационной безопасности необходимы для эффективного баланса между защитой и оперативностью функционирования организации.

Относительно каждого банковского процесса информационное воздействие происходит в двух направлениях: «сверху» и «снизу», с «внешней» и «внутренней» стороны. Например, законы государства, определяющие банковское регулирование, действуют на конкретный банковский процесс «сверху», оговаривая рамки свободной деятельности банка при проведении операций. В каждом банке своя структура подразделений, где действуют свои внутренние технологии и инструкции, задача которых направлять процессы к целевым потребностям. К внешнему сектору информации относятся данные о банковских процессах, которые сформированы внешними регулирующими органами (законы, нормативные акты Банка России и т. п.). К внутреннему сектору информации относятся данные об организации и ведении процессов, сформированные внутри самого банка. В первую очередь банковская ИВС предназначена для поддержки бизнеса банка. Выделим основные направления деятельности банка, поддерживающиеся ИВС:

· управление деятельностью банка, реализация бизнес-логики, контроль, учет, в том числе налоговый, и отчетность;

· ритейл (розничные услуги), депозиты и кредитование;

· кассовые операции;

· дилинговые операции;

· операции на фондовом рынке, работа банка с ценными бумагами, инвестиционно- фондовые услуги;

· внутрихозяйственная деятельность;

· дистанционное банковское обслуживание, электронные банковские услуги;

· консультационные услуги;

· расчетное обслуживание и платежная система (карточные продукты), клиринговые услуги;

· интеграция бэк- офиса банка с его внешними операциями;

· управление рисками и стратегическое планирование;

· комиссионные операции;

· страховые услуги;

· инкассация, факторинг, лизинг, трастовые операции, гарантии;

· программы лояльности клиентов, маркетинговая, рекламная и PR-службы.

Таким образом, банковская ИВС является сложносоставным комплексом, действующим в гетерогенной вычислительной сети. Необходимость функционирования в общедоступных сетях одновременно с требованием открытости информации для внешних пользователей банковской ИВС (клиентов, контрагентов, партнеров...) обуславливает возникновение множества проблем при решении задачи обеспечения информационной безопасности. Необходимо обеспечивать разделение доступа к информации, защиту хранящихся и передаваемых данных от перехвата, раскрытия, модификации/уничтожения. Важной задачей поддержки бизнеса является постоянное обеспечение работоспособности системы, для чего необходимо применять методы защиты от наиболее распространенных и простых в исполнении атак типа «отказ в доступе».

1.2 Текущее положение политики безопасности банка на Торговой Точке

Основными функциями специалиста по продажам являются: активное привлечение и консультирование потенциальных клиентов банка, доставка клиентских документов в банк, своевременное исправление возникших ошибок, оформление кредитных заявок клиентов по программе банка на получение потребительских кредитов и кредитной документации. В ОАО «Альфа-Банк» существуют регламенты и должностные инструкции которыми должен руководствоваться агент при первичном ознакомлении с клиентом.

Специалисту по продажам необходимо проверить следующие параметры:

1) Соответствие фотографии в Паспорте с личностью Клиента.

2) Проверить соответствие адреса регистрации Клиента по месту жительства с регионом предоставления Кредита.

3) Срок действия Паспорта гражданина РФ:

От 14 лет – до достижения 20-летнего возраста;

От 20 лет – до достижения 45-летнего возраста;

От 45 лет – бессрочно (в день 45-летия можно оформить кредит только по новому паспорту!)

4) Проверить наличие следующих отличительных признаков: Обложка, сшивка, серийный номер, страница данных о владельце.

Агент обязан большое внимание уделить идентификации клиента, которая заключается в следующем: визуальный осмотр и беседа о цели оформления потребительского кредита и выборе товара.

Визуальный осмотр клиента включает:

- Выявление наличия сопровождающих лиц . Особое внимание уделяется Клиентам, приходящим в сопровождении лиц, которые ранее неоднократно сопровождали других клиентов, так как данные лица могут оказаться мошенниками использующими «подставных» лиц.

- Выявление нахождения клиента в состоянии алкогольного опьянения. Основные признаки: запах алкоголя, шатающаяся походка, несвязная речь, неадекватная реакция на задаваемые вопросы, плохая ориентация в пространстве и во времени.

- Выявление нахождения клиента в состоянии наркотического опьянения. Основные признаки:

- Часто неряшливый вид, всегда длинные рукава одежды независимо от погоды и обстановки.

- Неестественно узкие или широкие зрачки независимо от освещения.

- Отрешенный, затуманенный взгляд.

- Изменения речи (чаще всего замедлена, невнятна, с нечеткой артикуляцией, либо, наоборот, подчеркнуто выразительна), необычная интонация голоса. Изменение настроения, возникают расторможенность беспричинное веселье, чрезмерная болтливость - это повышенное настроение не соответствует ситуации, в которой находится Клиент.

- Повышенное настроение по мере уменьшения глубины опьянения - сменяется подавленным, тоскливым, нередко со злобностью и агрессивностью к окружающим).

- Изменение сознания различной глубины, начиная с легких степеней, когда человек похож на только что проснувшегося, до глубокой оглушенности.

Характерная поза человека, находящегося в состоянии сильного наркотического опьянения- малоподвижная, как бы обмякшая. В ответ на обращение к нему опьяневший бессмысленно улыбается, что-то невнятно бормочет или, напротив, начинает раздражаться. Отмечается легкое почесывание лица (носа). Изменение двигательной активности: отмечается неусидчивость, повышенная жестикуляция.

Обычно в состоянии наркологического одурманивания отмечается неустойчивость при ходьбе, пошатывание из стороны в сторону, человек не может пройти по прямой линии. В стоячем и сидячем положении, особенно с закрытыми глазами, покачивает туловищем. Следы уколов на руках, которые иногда можно заметить на тыльной стороне кистей или в жаркую погоду на сгибах локтевых суставов. Часто следы уколов выглядят не просто как множественные красные точки, а сливаются в плотные синевато- багровые тяжи по ходу вен. Изменение цвета кожных покровов: к лицу приливает кровь, оно становится красным (красные пятна), отмечается и покраснение белков глаз либо кожные покровы неестественно бледные. При большом стаже злоупотребления наркотиками появляется отечность лица, особенно верхних век. Клиенты часто носят с собой минеральную воду, так как возникает обезвоживание организма, на губах нередко следы засохшей слюны, характерный щелочной запах (кислый запах).

- Выявление на кистях и пальцах рук клиента татуировок. Татуировки с изображением перстней на пальцах или изображением четырех точек, образующих квадрат, с пятой точкой посередине, расположенных на внутренней стороне кисти. Данные татуировки характерны для лиц, ранее отбывавших наказания в местах лишения свободы. Татуировок, говорящих о принадлежности к уголовному миру множество, но указаны только татуировки, чаще всего присутствующие на кистях и пальцах, которые наиболее доступны для визуального осмотра.

- Выявление состояния одежды и личной гигиены Клиента, свидетельствующие о непостоянном доходе и месте проживания. Клиент одет неопрятно в грязную, не по размеру одежду; имеет неприятный запах давно немытого тела. На вопросы об адресе места работы, деятельности организации, должностных обязанностей, месте проживания дать ответ не может.

Беседа о цели оформления потребительского Кредита и выборе Товара проводится при визуальном осмотре Клиента. При этом необходимо задавать уточняющие вопросы по Анкете-Заявлению, а именно:

- цель покупки;

- причины проживания по другому адресу (при несовпадении адреса фактического проживания с адресом регистрации);

- имена; возраст детей; место, форма обучения;

- направление деятельности организации, занимаемая должность, функциональные обязанности, выезд в командировки, возможность карьерного роста, система выплат заработной платы (оклад, бонус, проценты, задержки с выплатами), образование (оценивается соответствие занимаемой должности и профессии полученному образованию);

- Кредитная история в Банке – пользовался ли ранее услугами Банка Клиент, его/ее родственники, знакомые; от кого была получена информация о Кредитовании в данной ТТ;

- чем обусловлен выбор Товара именно этой торговой марки;

- какие функции привлекли Клиента при выборе именно этой модели товара;

- основные характеристики выбранного Товара;

- как Клиент планирует распорядиться купленным Товаром.

Методика использования специальных, уточняющих вопросов:

1. Какое место Вашей предыдущей прописки? (если имеются штампы)

2. Женаты ли Вы (замужем)? Ф.И.О. вашей супруги (сравнить с 14 стр. паспорта)

3. Как зовут ваших детей? (при наличии записи, 17 страница паспорта).

4. Выяснить, для кого приобретается Товар (для себя, супруги, ребенка)?

5. Для того чтобы понять разбирается ли Клиент в Товаре, выяснить какие, по его мнению, должны присутствовать функции в Товаре?

6. Если Клиенту тяжело решить, предложить позвонить жене или ребенку, якобы чтобы не потратить деньги зря. Может они захотят другую марку Товара. Одновременно сверить имя жены, ребенка с данными в заполненной анкете.

Вопросы о месте образования:

7. Какой ВУЗ закончили?

8. А где расположено учебное заведение, район, улица, адрес?

Постановка вопросов должна носить непринужденный и корректный характер. Они должны быть направлены на выявление несоответствия представленных данных и в тоже время поставлены таким образом, чтобы у Клиента не сложилось впечатление (мнение, подозрение) о возможных нарушениях неприкосновенности его частной жизни. Вопрос о необходимости уточнения данных, указанных клиентом специалист решает самостоятельно, на основании проверки правильности заполнения анкеты, представленных документов, руководствуясь опытом работы и внутренним убеждением. Методики, описанные выше, позволяют с достаточно высокой степенью вероятности определить, имеет ли место мошенничество в той или иной ситуации. Постоянное использование данных методик поможет в значительной мере предотвратить совершение мошенничеств и защитить Банк от материальных потерь. При постановке кода 911 по причине подозрения на поддельный паспорт, специалисту по продажам необходимо проинформировать об инциденте сотрудников Блока «Безопасность». Специалисту по продажам необходимо помнить, что при проставлении указанного кода данные клиента попадают в «Черный список», что будет служить основанием для отказа в выдаче кредита.

Информационная безопасность является важнейшей составляющей задачи обеспечения экономической безопасности бизнеса в целом. Экономически ценная информация используется при работе с клиентами, партнерами, внутри банка; к ней имеет непосредственный доступ персонал банка. В политике безопасности ОАО «Альфа-Банк» прописаны четкие правила для агентов, работающих на торговых точках, для защиты их компьютеров от несанкционированного доступа.

Агент обязан:

- обеспечить конфиденциальность полученных паролей доступа к информационным ресурсам;

- обеспечить сохранность Ключа ФПСУ-IP и его использование в режиме исключающем несанкционированных доступ к нему;

- в случае утери ключа немедленно сообщить об этом по внутреннему телефону центрального офиса.

Правила работы и обязанности сотрудников по использованию и хранению в тайне личного пароля:

1. Разрешается записывать названия учетных записей и пароли пользователя на бумагу (дискету). В этом случае они в опечатанном виде (в конверте), исключающем случайное ознакомление, передается в сейф начальнику подразделения (отдела). Пароли могут быть выданы только владельцу. В случае нарушения опечатки на конверте или его утери, пароли считается скомпрометированными и подлежит немедленной смене.

2. Если пользователь уверен в правильности ввода названия учетной записи и пароля, но ему не удается войти в систему, пользователь обязан незамедлительно сообщить об этом администратору информационного ресурса для получения нового одноразового пароля.

3. Если пользователь заметит несанкционированное появление, изменение или удаление информации, он должен немедленно изменить свой пароль и сообщить об обнаруженных изменениях начальнику отдела, администратору информационного ресурса и администратору информационной безопасности.

4. Набор личного пароля следует проводить, в отсутствии лиц, которые потенциально могут увидеть процесс набора.

5. При оставлении рабочего места необходимо завершить открытую пользовательскую сессию либо использовать функцию «временной блокировки» рабочей станции.

6. Для предотвращения случайного оставления рабочего места с открытой пользовательской сессией рекомендуется использовать Screen Saver с автоматической блокировкой, включающийся автоматически, если компьютер не используется в течение определенного времени (5-15 минут).

7. В случае подозрения о компрометации пароля, сотрудники обязаны произвести экстренную замену личного пароля и незамедлительно поставить об этом в известность администратора информационной безопасности для исключения возможности утечки информации.

8. Любые действия сотрудников и посторонних лиц нарушающие требования настоящего Положения, категорируемые как значимые нарушения и нарушения, имеющие признаки компьютерного преступления, должны анализироваться через процедуру служебного расследования.

9. Запрещается:

9.1. Передача личного пароля сослуживцам или руководителям подразделения;

9.2. Запись личного пароля доступа на материальные носители (напр. бумагу, дискеты) в открытом виде;

9.3. Вход в компьютерную сеть и информационную систему с использованием чужих идентификаторов и паролей доступа;

9.4. Оставлять без присмотра рабочее место с открытой пользовательской сессией.

1.3 Анализ существующей технологии доступа - ФПСУ-IP

1.3.1 Программно-аппаратный комплекс “ФПСУ-IP”

Программно-аппаратный комплекс “ФПСУ-IP” является средством комплексного решения задач по защите информационных и телекоммуникационных систем от несанкционированного доступа (НСД) и предназначен для организации управления доступом к информационным ресурсам сетей передачи данных и обеспечения целостности, достоверности и конфиденциальности сетевых соединений.

В составе программно- аппаратного комплекса “ФПСУ-IP” (ПАК) используется средство криптографической защиты информации (СКЗИ) “Туннель/Клиент”, что позволяет осуществлять шифрование передаваемой информации в соответствии с ГОСТ 28147-89.

ПАК “ФПСУ-IP” разработан для применения в вычислительных сетях, использующих стек протоколов TCP/IP и среду передачи данных Ethernet (тип кадра Ethernet_II).

Основным элементом комплекса “ФПСУ-IP” является специализированное программно-аппаратное устройство - межсетевой экран (МЭ), совмещающий в себе функции сетевого фильтра, пакетного коммутатора сетевого уровня и организатора виртуальных корпоративных сетей (VPN) поверх локальных и глобальных вычислительных сетей.

МЭ “ФПСУ-IP” аппаратно устанавливается на выходе из защищаемой локальной сети в общие сети и осуществляет скоростную фильтрацию передаваемых пакетов данных, анализируя их по совокупности критериев и принимая решение о возможности их дальнейшей передачи. В качестве критериев фильтрации могут выступать IP-адреса отправителей и получателей пакетов, разрешённые номера IP-протоколов, номера портов TCP/UDP, время работы и разрешённые парные связи между конкретными абонентами. Таким образом, межсетевой экран “ФПСУ-IP” позволяет реализовать контроль и управление межсетевыми потоками информации, а также их коммутацию из одной локальной сети в другую, что обеспечивает разграничение доступа и защиту сегментов ЛВС от атак злоумышленников.

МЭ “ФПСУ-IP” защищает каналы управления и мониторинга пограничными маршрутизаторами, через которые осуществляется выход абонентов защищаемой МЭ области в глобальные сети

(WAN). МЭ “ФПСУ-IP” поддерживает защиту обмена данными таких протоколов управления и мониторинга, как Telnet, SNMP, HTTP и Ping. В состав ПО МЭ также входит опциональная подсистема разделения потоков для поддержки соответствующих функций транзитных маршрутизаторов по формированию нескольких потоков данных и отправке их по указанным администратором маршрутам. Кроме того, МЭ “ФПСУ-IP” осуществляет фильтрацию IP-пакетов протоколов маршрутизации (RIP, IGRP, OSPF).

1.3.2 Программно-аппаратный комплекс “ФПСУ-IP/Клиент”

Программно-аппаратный комплекс “ФПСУ-IP/Клиент” является средством защиты информационных обменов отдельных рабочих станций от несанкционированного доступа. “ФПСУ-IP/Клиент” предназначен для построения защищённых каналов связи между оборудованными комплексом рабочими станциями и межсетевыми экранами (МЭ) “ФПСУ-IP”, обеспечивающими дальнейшую защиту передаваемых данных на пути к станциям назначения. Кроме того, комплекс “ФПСУ-IP/Клиент” (далее Клиент) может выполнять функции сетевого фильтра, принимая и передавая сетевые пакеты в соответствии с задаваемыми правилами фильтрации. Механизм защиты канала связи с МЭ заключается в том, что между Клиентом и межсетевым экраном “ФПСУ-IP” создаётся VPN-туннель (Virtual Private NetWork - виртуальная частная сеть), по которому IP-пакеты передаются в зашифрованном виде, что обеспечивает достоверность, целостность и конфиденциальность передаваемой информации. В VPN- туннеле производятся обязательные взаимные процедуры идентификации и аутентификации Клиента и МЭ “ФПСУ-IP”, как при установлении защищённого соединения, так и в процессе приёма данных из туннеля.

Программно-аппаратный комплекс “ФПСУ-IP/Клиент” состоит из интеллектуального электронного устройства VPN- key, подключаемого к USB-порту рабочей станции Клиента, и программных драйверов поддержки, устанавливаемых на жёсткий диск компьютера. Организация защищённых межсетевых туннелей невозможна в отсутствие устройства VPN- key, которое выполняет начальные процедуры идентификации и аутентификации МЭ “ФПСУ-IP” и совместно с МЭ обеспечивает выработку сеансовых ключей для создания VPN-туннелей. Кроме того, VPN-key осуществляет идентификацию пользователя комплекса “ФПСУ-IP/Клиент” при доступе к устройству. VPN-key содержит:

- уникальные персональные и системные идентификаторы Клиента,

- персональные ключи доступа Клиента (аутентификационные данные). Персональные идентификаторы Клиента обеспечивают дополнительный уровень безопасности (например, в случае утери контроля над устройством VPN-key) и включают в себя:

- четырёхзначный PIN-код (Personal Identity Number) пользователя,

- десятизначный PUK-код (Personaly Unblocked Key) пользователя,

- четырёхзначный PIN-код администратора,

- десятизначный PUK-код администратора.

Персональные идентификационные коды пользователя запрашиваются системой при попытках доступа Клиента к МЭ, а коды администратора – при попытках конфигурирования устройства VPN- key. Системными идентификаторами являются: уникальный номер системы Клиентов (организации), которой принадлежит данный Клиент, уникальный номер логической группы, к которой он прикреплён, и его уникальный персональный номер в этой группе. Кроме того, в устройство VPN-key при изготовлении или в процессе настройки комплекса “ФПСУ-IP/Клиент” прописываются IP-адреса МЭ “ФПСУ-IP” и рабочих станций, к которым Клиент будет иметь защищённый доступ, а также данные о типах входящих и исходящих соединений, запрещаемых во время сеансов связи с МЭ. Поскольку вся информация, необходимая для организации и защиты межсетевых соединений, хранится в устройстве VPN- key, пользователь может работать с этим устройством с любого компьютера сети, оснащённого программным обеспечением комплекса “ФПСУ-IP/Клиент”.

Правила работы с ключом VPN- key:

Ключ ФПСУ-IP - интеллектуальное USB устройство, содержащее собственный программный код, системные идентификаторы (логин и пароль для доступа к информационным ресурсам) владельца, определяющие доступ к информационным ресурсам, и персональные коды доступа (персональные коды доступа -PIN- и PUK-коды - к Ключу ФПСУ-IP) владельца к USB устройству. Для доступа к корпоративной информационной системе установлено программное обеспечение, организующее, с использованием Ключа ФПСУ-IP, защищенный канал передачи данных. Ключ ФПСУ–IP присваивается определенному агенту, и позволяет ему работать в данном программном обеспечении. При вводе некорректного пароля пять раз подряд, ключ заблокируется и дальнейшая работа станет невозможной

Агент обязан:

- обеспечить конфиденциальность полученных паролей доступа к информационным ресурсам;

- в случае утери ключа немедленно сообщить об этом по внутреннему телефону центрального офиса.

1.4 Недостатки технологии

В ходе анализа, было установлено, что Vpn- Key хранится в незащищенном месте. Что может привести к его краже. Частые поломки ключей.

Ключ представляет из себя обычный USB Flash накопитель, очень хрупкой сборки, поэтому самая распространенная поломка- ломается коннектор USB, соединяющий его с самой платой. Восстановлению не подлежит.

Потеря ключа, халатное отношение сотрудника к собственности банка.

Кража ключа злоумышленником. С помощью специальных программ, которые можно свободно найти в Интернете, можно восстановить ПИН – код. И использовать ключ в корыстных целях, во вред работе банка.

Таблица 1. Экономические затраты на Vpn-key.

Наименование	Стоимость
Стоимость ключа	2500 руб.
Поломки ключей за месяц г.Тюмень	25 000 руб.
Затраты на поломки в год г.Тюмень	300 000 руб.
Обновление ПО (разовое)	120 000 руб.
Покупка лицензии на использование ключей (1 год)	75 000 руб.
Продление лицензии (1 год)	30 000 руб.
Затраты на доставку ключей	1300- 1700 руб.
Min потери банка от простоя точки из-за поломки ключа в день	7500 руб.
Закуп ключей для ТТ и АП г.Тюмень	540 000 руб.

ОАО «Альфа-Банк» имеет только 880 торговых точек в России. Так же есть Альфа- партнеры. На одной торговой точке работает минимум два специалиста по продажам, соответственно необходимо 2 Vpn-key. Таким образом, первоначальный закуп ключей обошелся банку в размере : 880* 5000 руб. = 4 400 000 руб. И это только для торговых точек. В г.Тюмени всего 28 торговых точек и 80 Альфа- партнеров. Соответственно, затраты на приобретение ключей составили: 108*5000 = 540 000 руб.

В среднем за месяц ломалось около 10 ключей. Соответственно, банк тратил 10*2500 = 25 000 руб. на их замену. Так же есть определенные затраты на доставку ключей.

После поломки ключа, прекращается работа торговой точки, до момента новой активации ключа. И в это время банк несет значительные потери из-за утраты потенциальных заемщиков. Активация ключа занимает примерно 1 рабочую смену.

Минимальные потери прибыли при остановке ТТ. Одна ТТ в Тюмени в день выдает минимум 5 кредитов. Средняя сумма кредита 15000 рублей. Возьмем к примеру акцию 10-10-10. 10 – срок кредита, 10 – проценты, 10 – первоначальный взнос. Если одна из точек приостановит выдачу кредитов, то банк потеряет:

X = Y * S * 10%;

X = 5 * 15000 *10% = 7500 рублей.

X – потери банка,

Y – количество кредитов,

S – сумма кредита.

Из этой формулы видно сколько потеряет банк если остановится одна точка, выдающая минимум кредитов. Но есть точки которые в день выдаю по 30 кредитов и средний чек больше в 3 раза. Акции по которым выдаются кредиты тоже разные, соответственно процентные ставки тоже различаются.

Средний чек – это сумма, которая рассчитывается на основе всех выданных кредитов за день на ТТ, среднее.

Таблица 2. Полный функциональный набор, необходимый для работы ключей на ТТ.

Аппаратно-программный комплекс “ФПСУ-IP”, подготовленный к работе в режиме «горячего» резервирования	119109,20
Аппаратно-программный комплекс ФПСУ-IP	65596,20
ПАК «Удаленный администратор ФПСУ-IP»	30066,40
Встраиваемый в комплекс “ФПСУ-IP” модуль-агент подсистемы удаленного управления	6018,00
Встраиваемый в комплекс “ФПСУ-IP” модуль-агент подсистемы защищенного управления «пограничными» маршрутизаторами	2708,10
Встраиваемый в комплекс “ФПСУ-IP” модуль-агент подсистемы разделения IP-потоков на независимые туннели.	1805,40
Встраиваемый в комплекс “ФПСУ-IP” сервер доступа и обслуживания комплексов «ФПСУ-IP/Клиент» .	12036,00
Встраиваемая подсистема «RS-Key» для автозапуска комплексов «ФПСУ-IP» после перерывов питания	1590,05
Центр генерации ключей ФПСУ-IP	13924,00
Центр генерации ключей клиентов	13924,00
Комплекс «ФПСУ-IP/Клиент» на базе устройства «VPN-key»	2891,00

Глава 2. Анализ возможных рисков и подходящих технологий программной и аппаратной защиты

2.1 Анализ рисков

Для кредитно-финансовой сферы понятия оценка и управление рисками сложились достаточно давно, и под рисками, прежде всего, понимались финансовые риски (кредитный риск, риск потери ликвидности и т.п.). В этой области проведена большая работа и накоплен значительный опыт. При рассмотрении рисков информационной безопасности (ИБ) возникает естественное желание воспользоваться указанным опытом. Обычно исходят из того, что уровень риска зависит от вероятности реализации определенной угрозы в отношении определенного объекта, а также от величины возможного ущерба. Таким образом, суть управления рисками состоит в оценке их размера, выработке эффективных и экономичных мер их снижения, а также в установлении приемлемых рамок для них. Следовательно, управление рисками включает в себя два вида деятельности, которые чередуются циклически:

- (пере)оценка (измерение) рисков;

- выбор эффективных и экономичных защитных средств (нейтрализация рисков).

Этапы процесса управления рисками .

Процесс управления рисками можно разделить на следующие этапы:

- выбор анализируемых объектов и уровня детализации их рассмотрения;

- выбор методологии оценки рисков;

- идентификация активов;

- анализ угроз и их последствий, выявление уязвимых мест в защите;

- оценка рисков;

- выбор ответных мер;

- реализация и проверка выбранных мер;

- оценка остаточного риска.

От последнего этапа в случае неприемлемости остаточного риска происходит возврат к началу.

Основные угрозы банковским Информационным вычислительным сетям (ИВС)

Считается, что основная угроза ИВС исходит извне. Безусловно, банк должен уметь защищаться от внешних информационных атак. Но практика показала, что более чем в 70% случаев нарушение информационной защиты осуществлялось изнутри, собственным персоналом банка. Политика безопасности должна учитывать это: следует руководствоваться принципом минимальных привилегий (знай только то, что необходимо для твоей работы), разделением секретов и полномочий. Многочисленные попытки взломов и успешные нападения на банковские вычислительные сети остро ставят проблему обеспечения информационной безопасности. Среди связей, устанавливаемых ИВС, выделим следующие:

внешние:

платежная система;

банк—клиент (банк—банк);

Интернет—клиент;

интернет-трейдинг;

внутренние:

офис — удаленный менеджер;

головной офис — региональные офисы/отделения.

Доступ к сервисам, которые предоставляет данное программное обеспечение, осуществляется через сети общего доступа, использование которых таит в себе многочисленные информационные угрозы. Наиболее распространенные из них:

- отказ в обслуживании;

- перехват и подмена трафика (подделка платежных поручений, атака типа «человек посередине»);

- несанкционированный доступ к ресурсам и данным системы:

- подбор пароля;

- взлом систем защиты и администрирования;

- маскарад (действия от чужого имени);

- IP-спуфинг (подмена сетевых адресов);

- сканирование сетей / сетевая разведка.

Можно указать следующие причины, приводящие к появлению подобных уязвимостей:

- неполная реализация или неверная модель политики безопасности;

- недостаточный уровень проверки участников соединения;

- отсутствие гарантии конфиденциальности и целостности передаваемых данных;

- уязвимости при управлении ключами;

- отсутствие или недостаточный уровень защиты от несанкционированного доступа (антивирусы, контроль доступа, системы обнаружения атак);

- имеющиеся уязвимости используемых операционных систем (ОС), ПО, СУБД, web- систем и сетевых протоколов;

- проблемы при построении межсетевых фильтров;

- непрофессиональное и слабое администрирование систем;

- сговор сотрудников банка с внешним злоумышленником;

- сбои в работе компонентов системы или их низкая производительность.

Компьютерные преступления

В настоящее время широко распространены преступления с использованием компьютеров. Постоянные публикации в мировой печати не дают забыть о существующей серьезной проблеме. По данным МВД, за первое полугодие 2009 г. раскрыто 4608 преступлений в области компьютерной информации, и это только видимая часть айсберга- большая часть преступлений не предается огласке исходя из интересов хозяйствующих субъектов- собственников информации.

Мошенничество

Определение кредитоспособности потенциального Клиента с целью обеспечения возвратности и срочности кредита включает мероприятия, направленные на предотвращение мошенничества со стороны недобросовестных Клиентов, а именно определение подлинности, предъявляемых потенциальным Клиентом, документов в соответствии с условиями кредитования Банка. Основным документом, удостоверяющим личность гражданина России, является общегражданский паспорт. Способы подделки документа: ЧАСТИЧНАЯ ПОДДЕЛКА представляет собой такой вид подделки, когда в реквизиты подлинного документа вносятся изменения, дополнения или производится замена какой-либо его части. К основным способам частичной подделки документов относятся:

- механическая подчистка текста;

- подделка оттисков печатей, штампов и подписей;

- дописки, допечатки и исправления в текстах;

- замена фотокарточки;

- замена фрагментов документа;

Правило, по которому банк должен докладывать обо всех случаях криминальной деятельности, может не отвечать интересам банка, тем более если преступление совершено собственными сотрудниками. Имидж часто дороже причиненного ущерба, который можно списать на убытки. Однако если начнутся разбирательства, то сокрытые факты могут обернуться еще большими затратами и моральными потерями.

Правила политики безопасности должны устанавливать, о чем следует докладывать, а о чем — нет. Данные правила должны обсуждаться на высшем уровне исполнительного руководства, которое и несет ответственность при возникновении проблем.

Риски возникающие на торговых точках которые могут привести к потери конфиденциальной информации и потери прибыли банка:

1) Открытый канал доступа в Интернет , что может привести к хищению конфиденциальной информации, путем удаленного подключения к компьютеру. На компьютере хранятся данные клиентов: паспортные данные, номер лицевого счета, прописка, в зависимости от того какой использовался второй документ при оформлении кредита (ИНН, пенсионное удостоверение, полис мед страхования, права и т.д.) Телефоны организации в которой работает клиент, домашние телефоны и т.д. Хищение этой информации может привести к нежелательным последствиям для клиента Альфа-банка.

Эти данные злоумышленники могут использовать в корыстных целях для получения выгоды, что приведет к возбуждению уголовного дела (как крайняя мера) или финансовым потерям человека.

2) Блокировка компьютера и создание учетных записей с обязательным паролем. Работники Альфа-банка, которые выдают кредиты на Торговых Точках ( далее ТТ) обязаны блокировать компьютер когда выходят работать в зал по привлечению клиентов, когда идут на обед и даже когда в туалет выходят. Они проходят специальный курс обучения по вопросам безопасности. В случае, если компьютер не был заблокирован, может произойти хищение конфиденциальной информации о клиентах Альфа-банка. Что может привести к ситуации, описанной выше.

3) Ограбление магазина, в котором расположена ТТ. При ограблении могут унести оборудование Альфа-банка, на котором хранится информация о клиентах, бравших кредит. Что опять нас приводит к ситуации описанной выше.

4) Махинации с кредитными продуктами. Фиктивная выдача кредитов с целью получения денег. Пример: Заключаем договор с фирмой по производству пластиковых окон. Данная фирма на месте оформляет кредит, их сотрудник проходит обучение в банке (Альфа-партнер). Ситуация: Директор или другой сотрудник магазина- мошенник, находит человека или принуждает к тому, чтоб он взял кредит в его фирме, но товар не будет выдан. После того как определенная сумма за якобы выданный кредит придет на счет организации, счет обналичивается. Человек, взявший на себя кредит, вынужден выплачивать эту сумму банку + проценты. Если он опасается за свое здоровье или благополучие он будет платить. Или может обратиться в банк, в Службу Экономической Безопасности (СЭБ) и его случай будут разбирать, искать пути решения.

Кредитные продукты – это акции, по которым выдается кредит (10-10-10, 0-0-36, Оптимальный, Универсальный и т.д.)

Рассчитаем примерные потери банка:

Пусть X – количество выданных кредитов в месяц,

X = 5;

Пусть Y – сумма кредита (возьмем максимально возможную) в рублях,

Y = 84000;

Пусть P – затраты банка,

И тогда получается

P = X * Y, P = 5 * 84000 = 420000;

Отсюда следует, что 5 человек было обмануто или насильно принужденны оформить эти кредиты на себя, не все из этих людей обратятся в СЭБ банка или милицию, соответственно мошенник добивается желаемого.

2.2 Анализ технологических подходов:

2.2.1 Анализ и сравнение технологий SSL и IpSeс

Криптографический протокол SSL (Secure Socket Layer) был разработан в 1996 году компанией Netscape и вскоре стал наиболее популярным методом обеспечения защищенного обмена данными через Интернет. Протокол SSL является промышленным стандартом и используется миллионами web-сайтов для обеспечения безопасности транзакций пользователей. Технология SSL поддерживается всеми основными интернет- браузерами и операционными системами, совместимость более 99%.

Цифровые сертификаты в основном служат двум целям: установить личность владельца и сделать доступным первичный ключ владельца.

Цифровой сертификат выпускается проверенной полномочной организацией - источником сертификатов (certificate authority - CA) и выдается только на ограниченное время. После истечения срока действия сертификата его необходимо заменить. Протокол SSL использует цифровые сертификаты для обмена ключами, аутентификации серверов и, при необходимости, аутентификации клиентов. Протокол SSL использует сертификаты для проверки соединения. Эти SSL-сертификаты расположены на безопасном сервере и служат для шифрования данных и идентификации Web-сайта. Сертификат SSL помогает подтвердить, что сайт действительно принадлежит тому, кто это заявляет, и содержит информацию о держателе сертификата, домена, для которого был выдан сертификат, и название источника (CA), выдавшего сертификат. Есть три способа получить SSL-сертификат:

1. использовать сертификат от источника сертификатов;

2. использовать самоподписанный сертификат;

3. использовать пустой сертификат.

Использование сертификата от источника сертификатов:

Источники сертификатов (CA) - это организации, которым доверяет вся отрасль и которые занимаются выдачей Интернет- сертификатов. Например, такой сертификат можно получить от компании VeriSign. Чтобы получить сертификат, подписанный источником, необходимо предоставить достаточно информации источнику, чтобы он смог проверить вашу личность. Тогда источник создаст новый сертификат, подпишет его и доставит его вам. Популярные Web-браузеры заранее настроены доверять сертификатам, выданным определенными источниками, так что не нужно никакой дополнительной конфигурации для подключения клиента через SSL к серверу, для которого был выдан сертификат.

Использование самоподписанного сертификата:

Самоподписанный сертификат - это сертификат, созданный самим пользователем. При использовании такого сертификата издатель совпадает с владельцем сертификата. Удобство такого решения в том, что для создания самоподписанного сертификата нужно меньше времени, чем для получения сертификата, подписанного источником сертификатов. Однако самоподписанный сертификат требует, чтобы любой клиент, подключающийся по SSL к серверу, установившему такой сертификат, был настроен доверять подписавшему сертификат. Так как сертификат был подписан самим пользователем, такая подпись скорее всего не окажется в файле списка доверенных источников клиента и поэтому должна быть туда добавлена. Если получить доступ к такому файлу любого клиента невозможно, то не стоит использовать такую конфигурацию, лучше получить сертификат от проверенного источника. Самоподписанные сертификаты полезны только тогда, когда каждый клиент, взаимодействующий с сервером, можно настроить так, чтобы он доверял данному сертификату.

Использование пустого сертификата:

Это решение по функциональности ничем не отличается от предшествующих. В общих чертах, пустые сертификаты содержат фиктивную информацию, используемую в качестве временного решения для настройки SSL и проверки его функционирования в конкретной среде. Приложение ISC предоставляет пустой сертификат вместе с ключами и файлами доверенных источников для сервера и клиента.

Преимущества использования HTTPS:

Безопасность: Информация видна только отправителю и получателю. Любой посредник видит только зашифрованную информацию, которая не имеет никакого смысла без ключа для дешифрования. Кроме того, обе участвующие стороны проверены и, следовательно, конфиденциальная информация не попадет в третьи руки.
Поддержка состояния: Поддерживается состояние между запросами, следующими друг за другом. Данная особенность может использоваться приложением для хранения информации клиента.
Поддержка межсетевыми экранами (firewalls): как и HTTP, HTTPS разрешен большинством межсетевых экранов.

Недостатки использования HTTPS:

Более медленный и дорогой: Математика, применяемая для шифрования/дешифрования, требует большей вычислительной мощности. Также возрастает объем информации, передаваемой между двумя участвующими сторонами. Эти два фактора снижают производительность. Для данного протокола также необходим цифровой сертификат сервера, а это значит, что вам придется потратить деньги на его покупку у сертифицированного поставщика, а затем обновлять по истечению срока использования.

В 1994 году Совет по архитектуре Интернет (IAB) выпустил отчет Безопасность архитектуры Интернет. В этом документе описывались основные области применения дополнительных средств безопасности в сети Интернет, а именно защита от несанкционированного мониторинга, подмены пакетов и управления потоками данных. В числе первоочередных и наиболее важных защитных мер указывалась необходимость разработки концепции и основных механизмов обеспечения целостности и конфиденциальности потоков данных. Поскольку изменение базовых протоколов семейства TCP/IP вызвало бы полную перестройку сети Интернет, была поставлена задача обеспечения безопасности информационного обмена в открытых телекоммуникационных сетях на базе существующих протоколов. Таким образом, начала создаваться спецификация Secure IP, дополнительная по отношению к протоколам IPv4 и IPv6.

Итак, IPSec (Internet Protocol Security) - набор стандартов, разработанных специально для создания защищенных соединений точка-точка (как раз к вопросу о подключении региональных филиалов). Стандарты были разработаны Internet Engineering Task For (IETF) для организации защищенных соединений в публичных или частных сетях TCP/IP. Конечно же, наибольшая выгода появляется при создании защищенного соединения сквозь публичную сеть. Постараемся раскрыть основы и принципы, на которых базируется IPSec, приведем практические примеры его применения и перечислим некоторые продукты, использующие в своей работе IPSec.

Основы IPSec

В глобальном смысле IPSec - это каркас, который является частью продуктов, требующих следующей функциональности: организация защищенного соединения между точкой А и точкой В. Используя мощное шифрование и криптование на основе публичных ключей, IPSec может обеспечить защиту соединений от несанкционированного доступа.

IPSec представляет собой набор алгоритмов и протоколов с достаточно гибкой внутренней структурой, что позволяет производителям различных устройств, поддерживающих IPSec, самостоятельно выбирать оптимальные с их точки зрения ключи, алгоритмы и методы аутентификации.

Набор протоколов и алгоритмов шифрования включает следующие позиции:

IKE (Internet Key Exhange protocol)

ISAKMP (Internet Security Association and Key Management Protocol)

AH (Authentication Header protocol)

ESP (Encapsulating Security Payload protocol)

STS (Station-to-Station protocol)

HMAC (Hash Message Authentication Code)

MD5 (Message Digest 5)

SHA-1 (Security Hash Algorithm)

3DES (Triple Data Encryption Standard)

XAUTH (Extended Authentication)

AES (Advanced Encryption Standard)

Два важнейших протокола применительно к IPSec - AH (Authentication Header) и ESP (Encapsulating Security Payload). Как ясно из названия, AH используется для аутентификации отправителя информации и обеспечения целостности данных - с целью убедиться, что данные не были изменены в процессе связи. AH не шифрует данные и не обеспечивает конфиденциальности, этот протокол лишь подписывает целый пакет данных.

В отличие от AH, ESP способен обеспечить конфиденциальность информации, так как непосредственно шифрует данные совместно с проверкой подлинности и целостности. Отличие от AH состоит и в том, что ESP не подписывает каждый пакет, оперируя лишь данными.

IPSec способен функционировать в двух режимах: транспортном и туннельном, которые представляют собой два разных подхода к обеспечению безопасности. В транспортном режиме шифруются только полезные данные сообщения - непосредственно информация, подлежащая передаче в процессе сеанса связи. В туннельном - шифрованию подлежат данные, заголовок и маршрутная информация. Нет необходимости говорить, что применение IPSec в транспортном режиме гораздо более рискованно, нежели в туннельном.

Туннельный режим, как правило, используется при построении различных вариаций виртуальных частных сетей (VPN), предоставляя защиту всего трафика от отправителя к получателю. Виртуальные частные сети с IPSec представляют собой сетевые соединения, построенные с использованием криптографии на основе публичных и приватных ключей. Пользователи IPSec VPN генерируют публичные и приватные ключи, которые ассоциируются лишь с ними. Когда сообщение уходит от отправителя к получателю, оно автоматически подписывается приватным ключом пользователя, а получатель использует публичный ключ отправителя для того, чтобы дешифровать принятое сообщение. Конечные точки виртуальной частной сети действуют как базы данных, которые управляют и распространяют ключи и прочую служебную информацию подобно тому, как это делает Certificate Authority (CA).

Преимущества и недостатки IPSec

Наиболее типично применение IPSec для достижения конфиденциальности и целостности данных при их транспортировке по незащищенным каналам. Изначально IPSec предназначался для защиты данных в публичных сетях, однако его различные практические реализации нередко используются для увеличения безопасности частных сетей, так как компании не всегда могут быть уверены, что их корпоративные сети изначально не подвержены вторжениям извне.

Хотя IPSec наиболее популярное и, пожалуй, наилучшее решение для создания виртуальных частных сетей, имеются и некоторые ограничения. В случае его применения в транспортном режиме не исключается возможность атак со стороны, что вызвано некоторыми ограничениями протокола ISAKMP.

Взлом сессии IPSec вполне вероятен, если не используется заголовок аутентификации AH. При таком типе атаки данные злоумышленника могут быть вставлены в полезную передающуюся информацию, например, в случае Unix-систем достаточно вставить в поток команду rm -R, чтобы получатель в итоге недосчитался многих, а то и всех файлов на жестком диске.

Поскольку трафик IPSec маршрутизируем, различные практические реализации IPSec могут подвергнуться более изящной атаке - подмене изначального маршрута. Оговоримся, что данный вид атаки возможен лишь при использовании IPSec в транспортном режиме, если же он применяется для построения туннеля, вся роутинговая информация в этом случае шифруется и подобный вид атаки успеха иметь не будет.

Специалисты компании ATT Research отмечают, что многие потенциально слабые места IPSec являются следствием определенных недостатков алгоритмов шифрования, использованных в конкретной реализации IPSec. Следовательно, с увеличением надежности этих алгоритмов IPSec может стать намного более защищенным.

В настоящее время IPSec - это часть IPv6, но не IPv4. Хотя, конечно же, имеются и реализации IPSec для протокола IP четвертой версии. В реализации для IPv6 некоторые слабые места IPSec, которые все же присутствуют в версии для IPv4, устранены. Так, например, поля фрагментации в заголовке пакета IPv4 потенциально могут быть изменены, поэтому при функционировании IPSec в транспортном режиме злоумышленник может перехватить пакет и изменить поле фрагментации, а затем вставить необходимые данные в передаваемый поток. В IPv6 же промежуточные маршрутизаторы не допускают изменения полей фрагментации.

Многие продукты, которые могут использовать IPSec, взаимодействуют с альтернативной технологией шифрования, именуемой Уровень защищенных сокетов (Secure Sockets Layer, SSL). Основное различие между IPSec и SSL в том, что IPSec работает на уровне сети, обеспечивая зашиту сетевого соединения от начала и до конца. SSL же действует на уровне приложений, обеспечивая защиту лишь выбранному приложению, например веб-браузеру или программе для работы с электронной почтой. Хотя как IPSec, так и SSL призваны обеспечить конфиденциальность обмена информацией, что достигается совершенно различными способами. SSL был разработан компанией Netscape для защиты трафика HTTP, проходящего через программу-браузер. SSL - протокол уровня отдельной сессии, и в этом отношении он, несомненно, проигрывает IPSec, который позволяет построить постоянный туннель, не зависящий от проходящего сквозь него сетевого трафика.

Протокол SSL основан на клиент-серверной модели и обычно используется для защиты на отрезке хост-хост. В связи с тем, что IPSec взаимодействует на сетевом уровне, возможны такие варианты, как подсеть-подсеть, сеть-сеть или сеть-хост. Это говорит о том, что IPSec допускает маршрутизацию, а SSL - нет.

Хотя многие пользователи считают SSL и IPSec конкурирующими разработками, данное утверждение не совсем точно, поскольку IPSec и SSL призваны решать различные проблемы. Если для развертывания IPSec требуется предварительное планирование инфраструктуры, то с SSL все намного проще. Как правило, если и клиент, и сервер изначально способны работать с SSL, то процедура настройки защищенной сессии сводится к крайне тривиальному набору действий, доступному даже начинающему пользователю.

А тем временем технология IPSec получает крайне неоднозначные оценки специалистов в области безопасности. С одной стороны, отмечается, что протокол IPSec является лучшим среди всех других протоколов защиты передаваемых по сети данных, разработанных ранее (включая разработанный Microsoft PPTP). С другой стороны, присутствует чрезмерная сложность и избыточность протокола - это в, принципе, не так уж страшно, но некоторые ортодоксально настроенные системные администраторы отмечают, что имеются серьезные проблемы безопасности практически во всех главных компонентах IPSec.

2.2.2 eToken network Logon

Вопрос защиты персональных компьютеров от несанкционированного доступа в сетях различных компаний и особенно банковских структур в последнее время приобретает всё большую популярность. Тенденции роста и развития внутренних ЛВС требуют более новых решений в области программно-аппаратных средств защиты от НСД. Наряду с возможностью удалённого НСД, необходимо рассматривать ещё и физический доступ к определённым компьютерам сети. Во многих случаях эта задача решается системами аудио- и видеонаблюдения, сигнализациями в помещениях, а также правилами допуска посторонних лиц, за соблюдением которых строго следит служба безопасности и сами сотрудники. Но случается по-разному…

Помимо этого, используются средства разграничения доступа пользователей к ресурсам компьютера, средства шифрования файлов, каталогов, логических дисков, средства защиты от загрузки компьютера с дискеты, парольные защиты BIOS и многое другое. Рассмотрим несколько вариантов защиты от НСД:

eToken network Logon - решение, предназначенное для безопасного доступа к сети Windows NT. eToken Network Logon позволяет отказаться от использования паролей при входе в сеть, значительно повысить ее защищенность и обеспечить удобство работы пользователей. Теперь пользователям не нужно запоминать сложные пароли и периодически их менять - достаточно подключить свой персональный электронный ключ eToken и ввести PIN-код. eToken Network Logon значительно снижает влияние человеческого фактора на уровень безопасности Windows. Внедрение и правильное использование продукта позволят исключить возможность обращения злоумышленников к ресурсам системы от имени легальных пользователей.

eToken Network Logon обеспечивает:

- двухфакторную аутентификацию пользователей на компьютере и в сети Windows с помощью смарт-карт eToken;

- использование регистрационных имён и паролей для локального входа в систему или для входа в домен;

- использование цифровых сертификатов Х.509, сертификатов пользователя со смарт-картой и закрытых ключей для входа в домен;

- генерирование и последующее применение случайных паролей, неизвестных пользователю.

eToken Network Logon может быть установлен на компьютеры и ноутбуки под управлением ОС Microsoft Windows Server 2003, Microsoft Windows XP, Microsoft Windows Vista или Microsoft Windows Server 2008, объединённые в рабочую группу или домен Windows.

После установки eToken Network Logon стандартное приглашение для входа в Microsoft Windows заменяется новым, которое расширяет возможности по входу пользователя в систему:

- можно подключить смарт-карту (eToken) с закрытым ключом и сертификатом пользователя, ввести пароль пользователя для eToken и войти в систему.

- можно нажать CTRL+ALT+DELETE, ввести имя пользователя, пароль и (при необходимости) имя домена, нажать OK и войти в систему.

Для каждого из этих двух способов аутентификации в eToken Network Logon предусмотрены усовершенствования: вместо того, чтобы каждый раз вводить имя пользователя и сложный пароль, пользователь один раз сохраняет их в памяти eToken, а впоследствии лишь подключает eToken и вводит для него пароль пользователя. Для того, чтобы войти в систему, предъявив сертификат пользователя со смарт-картой, надо подключить eToken и ввести для него пароль пользователя. Если eToken уже подключен, не нужно вынимать его и повторно подключать, достаточно лишь нажать CTRL+L, а затем ввести пароль пользователя для eToken.

Решена проблемы слабых паролей. После установки продукта можно:

- полностью отказаться от использования паролей при входе на компьютер и в сеть, перейдя к использованию цифровых сертификатов, либо использовать хранимые в памяти eToken сложные пароли (заданные вручную с учётом действующих в организации требований к их сложности, либо автоматически сгенерированные). В любом случае, пароль перестаёт быть слабым (исключается риск его подбора злоумышленником), при возможной смене пароля пользователем исключается риск задания им нового пароля, являющегося слабым, пароль не вводится с клавиатуры (исключаются риски подсматривания пароля или его перехвата шпионским ПО), пользователь не должен помнить пароль (исключаются случаи его забывания и записывания на бумаге).

Усиление безопасности при использовании паролей. Даже если для входа на компьютер и в сеть Windows используются пароли, то с помощью eToken Network Logon можно значительно усилить защищённость существующей системы. Имена и пароли пользователей можно сохранить в памяти eToken (что исключит риск их подсматривания злоумышленником). Дополнительно можно использовать встроенный в eToken Network Logon генератор паролей для генерации сложных паролей (это исключит риск их подбора злоумышленником). Сгенерированный пароль записывается в память eToken и сохраняется в ней. Количество наборов имя пользователя – пароль, хранящихся в памяти eToken, неограниченно. Простой переход к аутентификации с использованием цифровых сертификатов. При развёртывании инфраструктуры PKI появляется возможность использовать цифровые сертификаты для входа в сеть Windows и на локальный компьютер. Если в памяти eToken имеется сертификат пользователя со смарт-картой и соответствующий закрытый ключ, их можно использовать для входа в домен Windows вместо имени пользователя и пароля. Таким образом обеспечивается плавность перехода от парольной аутентификации к строгой аутентификации с использованием цифровых сертификатов.

Автоматическая блокировка рабочей станции. При отсоединении eToken от порта USB происходит автоматическая блокировка компьютера. Для разблокирования компьютера необходимо подсоединить eToken и ввести пароль пользователя для eToken.

Настройка продукта в соответствии с требованиями политики безопасности организации. Администратор может запретить или разрешить пользователю ввод пароля вручную. Администратор может управлять методами аутентификации:

- какие методы разрешены на данном компьютере — использование профилей, применение сертификатов;

- какой метод аутентификации используется по умолчанию и может ли пользователь самостоятельно выбирать метод при наличии в памяти eToken как профилей, так и сертификата.

Преимущества

Отказ от ввода паролей вручную. Какой бы метод регистрации ни применялся, — использование хранимых в памяти eToken сертификатов или паролей, — при входе в систему пользователь никогда не вводит пароль. Это исключает риски подсматривания пароля или его перехвата при вводе с клавиатуры. Возможность применения длинных и сложных паролей. Поскольку пользователь не должен вводить пароль вручную, сам пароль может быть длиннее и сложнее, чем пользователь может запомнить. Использование сгенерированных случайных паролей, неизвестных пользователю . eToken Network Logon позволяет генерировать пароли заданной длины, сохранять их в памяти eToken и подставлять в хранилище учётных данных таким образом, что пользователь даже не знает своего пароля, а потому не может записать и тем самым скомпрометировать его.

Аппаратная аутентификация пользователей. Для входа в систему пользователю надо иметь eToken. Это надёжнее, чем ввод паролей с клавиатуры.

Двухфакторная аутентификация . eToken Network Logon позволяет не просто сохранить реквизиты пользователя в памяти eToken, но и защитить их паролем пользователя eToken. При использовании этой возможности потеря или кража eToken не приведёт к компрометации пароля.

Интеграция в инфраструктуру открытых ключей. eToken Network Logon поддерживает не только системы, в которых для аутентификации пользователей применяются пароли, но и более надёжный и современный метод регистрации с использованием смарт-карт.

Простота и удобство для пользователей . Способы аутентификации, применяемые в eToken Network Logon, удобнее для пользователей, чем стандартные способы. Требования к сложности паролей пользователя eToken не столь высоки, как требования к сложности паролей Windows. Поэтому при двухфакторной аутентификации вводить простой пароль пользователя eToken проще, чем без таковой вводить сложный и длинный пароль.

Улучшенный интерфейс при регистрации с использованием смарт-карт. Если eToken пользователя подключен к компьютеру, необязательно отключать его и подключать вновь. eToken Network Logon позволяет в таком случае нажать CTRL+L, ввести пароль пользователя eToken и войти в систему, не прикасаясь к eToken.

Второй способ аутентификации- автономный.

2.2.3 OTP - One Time Password

В современных технологиях аутентификации с помощью OTP применяется динамическая генерация ключевых слов с помощью сильных криптографических алгоритмов. Иначе говоря, аутентификационные данные - это результат шифрования какого-либо начального значения с помощью секретного ключа пользователя. Данная информация есть и у клиента, и у сервера. Она не передается по сети и недоступна для перехвата. В качестве начального значения используется известная обеим сторонам процесса аутентификации информация, а ключ шифрования создается для каждого пользователя при его инициализации в системе. В качестве примера данной технологии рассмотрим eToken PASS- автономный генератор одноразовых паролей.

Особенности:

- Не требует подключения к компьютеру.

- Как генератор одноразовых паролей полностью совместим с eToken NG-OTP.

- Работает под управлением eToken TMS 2.0.

- Гарантируемый срок службы – 7 лет или 14 000 генераций.

Принцип работы

В eToken PASS реализован алгоритм генерации одноразовых паролей (One-Time Password – OTP), разработанный в рамках инициативы OATH. Этот алгоритм основан на алгоритме HMAC и хэш-функции SHA-1. Для расчета значения OTP принимаются два входных параметра – секретный ключ (начальное значение для генератора) и текущее значение счетчика (количество необходимых циклов генерации). Начальное значение хранится как в самом устройстве, так и на сервере в системе eToken TMS. Счетчик в устройстве увеличивается при каждой генерации OTP, на сервере – при каждой удачной аутентификации по OTP.

При запросе на аутентификацию проверка OTP осуществляется сервером RADIUS (Microsoft IAS, FreeRadius и другие), который обращается к системе eToken TMS, осуществляющей генерацию OTP на стороне сервера. Если введенное пользователем значение OTP, совпадает со значением, полученным на сервере, аутентификация считается успешной, и RADIUS сервер отправляет соответствующий ответ.

Партия устройств eToken PASS поставляется с зашифрованным файлом, содержащим начальные значения для всех устройств партии. Этот файл импортируется администратором в систему eToken TMS. После этого для назначения устройства пользователю необходим ввод его серийного номера (печатается на корпусе устройства).

В случае нарушения синхронизации счетчика генерации в устройстве и на сервере, система eToken TMS позволяет легко восстановить синхронизацию – привести значение на сервере в соответствие значению, хранящемуся в устройстве. Для этого администратор системы или сам пользователь (при наличии соответствующих разрешений) должен сгенерировать два последовательных значения OTP и отправить их на сервер через Web-интерфейс eToken TMS.

В целях усиления безопасности система eToken TMS позволяет использовать дополнительное значение OTP PIN – в этом случае для аутентификации пользователь помимо имени пользователя и OTP вводит дополнительное секретное значение OTP PIN. Это значение задается при назначении устройства пользователю.

Итак, концепция одноразовых паролей OTP вкупе с современными криптографическими методами может использоваться для реализации надежных систем удаленной аутентификации. Данная технология обладает рядом серьезных достоинств. Один из них- это надежность. Сегодня известно не так уж много способов действительно сильной аутентификации пользователей при передаче информации по открытым каналам связи. Между тем такая задача встречается все чаще и чаще. И одноразовые пароли - одно из самых перспективных ее решений.

2.2.4 Интернет услуга «Альфа-клик»

Третий способ, который представлен на рассмотрение, для обеспечения защиты от несанкционированного доступа на уровне приложений- это технология на основе Интернет услуги «Альфа-клик». Интернет-банк «Альфа-Клик» — это современный, удобный и практичный комплекс банковских услуг и возможность проведения электронных платежей через интернет с максимальной скоростью и надежностью, бесплатное и быстрое подключение к системе, отсутствие необходимости установки специального программного обеспечения, а также удобный интерфейс. Для обеспечения безопасности проводимых операций в Интернет - банке «Альфа-Клик» используются следующие средства защиты:

Одноразовые пароли.

Одноразовый пароль используется для осуществления входа, проведения платежных и иных операций в интернет - банке. Для получения одноразового пароля необходим мобильный телефон, номер которого был указан вами при подключении услуги «Альфа-Клик» или при заведении кредитной карты банка. После ввода всех необходимых платежных данных и проверки их правильности, система предложит ввести одноразовый пароль для совершения операции. Для получения одноразового пароля нужно нажать на кнопку «Получить пароль», пароль будет доставлен со скоростью SMS-сообщения на ваш мобильный телефон.

Текст SMS-сообщения, например, может выглядеть так:

Vash parol dlya vhoda v Alfa-Click- 22m1s0c0. Alfa-Bank.

Защищенное соединение ( SSL -шифрование). Соединение и работа с системой интернет-банк осуществляется через общедоступную сеть интернет, поэтому для защиты канала по которому компьютер пользователя соединяется с сервером банка используется защищенный режим с помощью протокола SSL (Secure Sockets Layer). Этот режим позволяет обеспечить конфиденциальность при работе в «Альфа-Клик» через интернет.

Виртуальная клавиатура позволяет обеспечить более высокий уровень защиты конфиденциальной информации во время работы в Интернет-банке «Альфа-Клик». Данная технология повышает степень защищенности пароля от перехвата злоумышленниками.

Для защиты ПК на торговой точке от несанкционированного доступа можно использовать этот способ. Сервис уже разработан. Каждый агент имеет кредитную карту банка (зарплатную), в которой указан мобильный номер. К мобильному номеру агента привязан логин для входа в «Альфа-Клик». Перед началом работы агент вводит в соответствующее поле свой логин и пароль, который может храниться в любом месте. Если злоумышленник знает логин и пароль агента, он все равно не может им воспользоваться в корыстных целях, так как ему будет необходим и мобильный телефон агента (т.е. своеобразная программно-аппаратная защита). После ввода логина и пароля, на телефон агента приходит соответствующее SMS- сообщение с одноразовым паролем. Этот пароль агент сможет ввести в соответствующее поле. Используя виртуальную клавиатуру, обеспечивается более высокий уровень защиты конфиденциальных данных.

При подобном подходе, возможна быстрая и удобная аутентификация сотрудника. Пройдя ее, агент сможет получить доступ к кредитному комплексу и приступить к своей работе.

Достаточно удобный и недорогой в использовании способ аутентификации человека для защиты от НСД на уровне приложения.

Глава 3 Разработка и внедрение технологии защищенного доступа

В результате анализа технологий и аппаратных решений, проведенных во второй главе можно сделать выводы, систематизированные в приведенных ниже таблицах.

3.1 Сводная таблица уровня обеспечения безопасности в разных программно- аппаратных подходах для анализируемых рисков

Таблица 3. Сводная таблица уровня обеспечения безопасности для протоколов.

Риски	IPSec	SSL
Код	Не требуется изменений для приложений. Может потребовать доступ к исходному коду стека TCP/IP.	Требуются изменения в приложениях. Могут потребоваться новые DLL или доступ к исходному коду приложений.
Защита	IP пакет целиком. Включает защиту для протоколов высших уровней.	Только уровень приложений.
Фильтрация пакетов	Основана на аутентифицированных заголовках, адресах отправителя и получателя, и т.п. Простая и дешёвая. Подходит для роутеров.	Основана на содержимом и семантике высокого уровня. Более интеллектуальная и более сложная.
Производительность	Меньшее число переключений контекста и перемещения данных.	Большее число переключений контекста и перемещения данных. Большие блоки данных могут ускорить криптографические операции и обеспечить лучшее сжатие.
Платформы	Любые системы, включая роутеры	В основном, конечные системы (клиенты/серверы), также firewalls.
Firewall/VPN	Весь трафик защищён.	Защищён только трафик уровня приложений. ICMP, RSVP, QoS и т.п. могут быть незащищены.
Прозрачность	Для пользователей и приложений.	Только для пользователей.
Текущий статус	Появляющийся стандарт.	Широко используется WWW браузерами, также используется некоторыми другими продуктами.
Человек посередине	Цифровая подпись IP-пакетов гарантирует, что полученные данные исходят из доверенного источника. (эта угроза возможна для ipv4, но учтена и исключена в ipv6)	Этот фактор риска исключен так как подлинность конечного web ресурса удостоверена сертификатом, выданным доверенным центром сертификации.
НСД	Возможен только доступ к локальным ресурсам удаленной рабочей станции.
НСД	Используя мощное шифрование на основе публичных ключей, может обеспечить защиту соединений от несанкционированного доступа.
Маскарад	Исключен, так как осуществляется защита всего трафика от отправителя к получателю.	Исключен, так как подлинность и уникальность конечного web сервиса обеспечена сертификатом, выданным доверенным центром сертификации.
Спуфинг	Для предотвращения используется технология связывания IP/МАС адресов, автоматически сопоставляющая IP адрес узла с его уникальным МАС адресом. Ничтожна при замене или клонировании MAC адреса оборудования.	Возможен, при изменении соответствия IP адреса конечного сервера и его DNS имени, т.о. в этом случае легитимность сервера опирается на подлинность DNS имени к которому привязан SSL сертификат.

Таблица 4. Сводная таблица уровня обеспечения безопасности для программно-аппаратных средств.

Риски		eToken NL	OTP	Технология «Альфа-Клик»
Защита		Предназначен для безопасного доступа к сети Windows NT	Предназначен для организации строгой аутентификации.	Предназначен для защиты от НСД на уровне приложений
Подбор пароля		Исключается	Исключается.	Исключается
Маскарад (действие от чужого лица)		Не является угрозой, благодаря специальным особенностям.
Проблема «слабых» паролей		Решена
Автоматическая блокировка ПК		Осуществляется	Отсутствует	Отсутствует
Ввод пароля		Хранятся в памяти устройства	Клавиатура или перьевой ввод	С помощью виртуальной клавиатуры
Аппаратная аутентификация		Надо иметь eToken	Надо иметь eToken	Необходим мобильный телефон
Особенность технологии		Двухфакторная аутентификация	Двухфакторная аутентификация	Двухфакторная аутентификация
Открытые USB порты	---		---	---
Наличие спец. тех. средств	Клавиатура со встроенным картридером. Специализир. ПО.		Сервер + специализир. ПО	сервер для генерирования паролей

Чаще всего при аутентификации используется логин и пароль. Такой метод аутентификация называется однофакторным, так как базируется на одном факторе — статической информации (логине), которую мы знаем и предоставляем системе в процессе аутентификации.

Двухфакторная аутентификация eToken Network Logon позволяет сохранить реквизиты пользователя в памяти eToken и защитить их паролем пользователя eToken. Двухфакторная аутентификация технологии «Альфа-Клик» обеспечивается за счет ввода статичного пароля на web- странице банка, в случае удачной авторизации на web- сервисе, генерируется и высылается одноразовый пароль на мобильный телефон, владельцем которого является агент банка.

Исходя из данных, приведенных в таблицах, с технологической точки зрения, целесообразнее применять решения организованные на применении SSL технологии. SSL– не требует приобретение дорогостоящего оборудования и ПО для установки на каждое удалённое рабочее место, простота обслуживания– не требуется привлечение штата высокооплачиваемых специалистов. Вся работа по организации и сопровождению доступа по технологии SSL может быть выполнена штатным системным администратором.

SSL на ряду с IpSec обладает аналогичными характеристиками:

1. Установление подлинности: сайт действительно принадлежит компании, которая установила свидетельство;

2. Секретность сообщения: используя уникальный ключ сессии, SSL зашифрует всю информацию, которой обмениваются сайт и его клиенты (например, номер кредитной карточки или персональные регистрационные данные). Это гарантирует, что передаваемые серверу данные не могут быть просмотрены или перехвачены посторонними лицами;

3. Целостность сообщения: данные, передаваемые посредством этого протокола, не могут быть частично потерянными или замененными;

Вне зависимости от выбранного решения для удаленного доступа (как правило, в организациях внедряют оба варианта), существует общий подход к защите, основанный на уровнях доверия и сегментации сети на различные зоны, с применением дополнительных средств защиты (NAC, policy enforcement, двухфакторной аутентификации и др.). Уровень доверия определяется, в частности, по следующим характеристикам:

аутентифицирован ли пользователь;
известна ли персональная информация;
проинсталлированы последние пакеты исправлений (patches);
запущено ли антивирусное ПО; последние ли версии антивирусных баз используются;
запущен ли персональный межсетевой экран;
совпадает ли набор проинсталлированного ПО с политикой безопасности компании;
совпадают ли настройки безопасности с политикой безопасности компании.

Только при таком комплексном подходе к обеспечению безопасности можно говорить о наличии полноценной, защищенной и, самое главное, работающей системе удаленного доступа.

Исходя из этого, а так же проанализировав представленные технологии, обеспечивающие защиту от несанкционированного доступа, можно сделать вывод о том, что наиболее подходящий вариант для внедрения, основан на разработанном ранее методе «Альфа-Клик».

3.2 Оценка экономической эффективности

Оценка экономической эффективности проекта является ключевой при принятии решений о целесообразности инвестирования в него средств. По крайней мере, такое предположение кажется правильным с точки зрения, как здравого смысла так и с точки зрения общих принципов экономики. Несмотря на это, оценка эффективности вложений в информационные технологии зачастую происходит либо на уровне интуиции либо вообще не производится. С одной стороны, это вызвано нежеланием поставщиков решений тратить значительные усилия на проведение подробного предварительного анализа, с другой стороны, вероятно, присутствует значительная доля недоверия потребителей к получаемым результатам таких исследований. Ниже приведена сводная таблица, в которой проанализирована экономическая сторона проекта.

Таблица 5. Оценка экономической эффективности.

Наименование	eToken Network Logon	Аппаратный генератор одноразовых паролей (OTP, one-time password)	Технология «Альфа-Клик»
Стоимость одного средства	1 985 руб.	762 руб.	---
Стоимость спец. техн. средств	1085- 1009 руб.	21 840 руб.	68 766 руб.
Лицензия на использование	20 000 руб.	270 000руб.	---
Продление лицензии	---	---	---
Поломка средства	19 850 руб.	7620 руб.	---
Поломки в год г.Тюмень	238 200 руб.	91 440 руб.	---
Затраты на доставку	1300- 1700 руб.	1300- 1700 руб.	---
Начальное внедрение 100 ТТ	505 500 руб	207400 руб	---
Внедрение + 1 ТТ.	502 879 руб	209474 руб.	---
Стоимость сопровождения	Реализуется специалистом банка
Мин время возобновления работоспособности	Зависит от временем, затраченного на регистрацию и доставку eToken ’а конечному пользователю. (4-5 часов)	Зависит от временем затраченного на регистрацию и доставку OTP конечному пользователю. (4-5 часов)	Конечным уязвимым устройством является мобильный телефон агента, время возобновления зависит от времени затраченного на восстановление подключения агента к сети оператора мобильной связи. (1 час)
Min потери банка в случае простоя точки	3000 руб.	3000 руб.	1500 руб.

eToken Network Logon

К специальным техническим средствам относится клавиатура со встроенным картридером. Тип подключения картридера – COM-порт, клавиатуры – PS/2. Русифицированная. При заказе 100 штук цена составляет 1085 рублей. Свыше 100 штук- 1009 руб. Информация о ценах взята с сайта www.aladdin.ru

Лицензия приобретается на организацию (юридическое лицо).

Лицензия не имеет ограничений по числу рабочих мест, на которых установлено ПО. Срок действия лицензии неограничен. После оплаты счета предоставляется ссылка на дистрибутив ПО и высылается лицензия по электронной почте. Цена на доставку смарт- карт соответствует установленной норме: 1300- 1700 руб. www.aerosib.ru.

При анализе существующей технологии доступа в банке, были приведены конкретные примеры затрат из-за поломки технического средства. Примерно за месяц ломалось 10 Vpn- key. На основе этого сделаем прогноз экономических затрат на замену предлагаемого решения, с учетом того, что замене подлежат только смарт- карты. 10 *1985 руб. = 19 850 руб. Соответственно, затраты на поломки в год в городе Тюмень составят: 12* 19 850 руб. = 238 200 руб.

На начальное внедрение технологии, с использованием смарт-карты eToken Network Logon, необходимы следующие затраты:

= 1085 руб. * 100(ТТ) + 1985* 200(Сотр)= 505 500 руб.

В случае внедрения технологии больше, чем на 100 точек, получатся следующие результаты:

= 1009 руб. *101(ТТ) + 1985* 202(Сотр)= 502 879 руб.

Внедрение просчитывалось без учета дополнительных затрат, таких как покупка лицензии и так далее.

Минимальные потери прибыли при остановке ТТ.

Исходя из того, что одна ТТ в Тюмени в день выдает минимум 5 кредитов. Средняя сумма кредита 15000 рублей. Взяв к примеру акцию 10-10-10. Ранее было примерно посчитано, что за одну рабочую смену банк теряет 7500 рублей, из-за простоя точки. Так как время на устранение неполадок снизилось до 4-5 часов, то потери составят примерно 2 кредита, что составляет 3000 руб.

OTP

При заказе от 1 до 1000 штук- цена будет составлять 1037 руб. за штуку.

Программный комплекс «Система учета, управления и аудита средств аутентификации и хранения ключевой информации eToken TMS 2» (Token Management System). Сертифицированная версия. Лицензия на использование в рамках одного домена Microsoft Windows составляет 270 000 руб. Не имеет ограничениу по времени использования.

В качестве специального технического средства выступает Vantage RADIUS 50 – это аппаратный RADIUS-сервер для корпоративных локальных сетей, беспроводных сетей и коммерческих пунктов доступа в Интернет. Сервер обеспечивает аутентификацию и авторизацию до 200 пользователей (одновременно 50 пользователей) и сбор информации для последующей обработки биллинговыми системами сторонних производителей. Vantage RADIUS-50 выполнен в металлическом корпусе и может быть установлен в 19” стойку. Рекомендован к применению в коммерческих беспроводных пунктах доступа для авторизации абонентов. Стоимость такого оборудования 700 у.е. По курсу: 1 у.е. = 31.20 руб. Информация о ценах взята с интернет сайта http://www.lanwan.ru/

Исходя из условия вычисления затрат на покупку новых eToken, получаем

10 * 762 руб. = 7 620 руб. Следовательно, в год банка может потратить

12 * 7620 руб. = 91 440 руб.

Начальное внедрение ОТР на торговые точки составит:

1037 руб.*100(ТТ)* 2(Сотр)= 207400 руб. Соответственно, увеличивая количество точек, получаем: 1037 руб. * 101(ТТ) *2(Сотр) = 209474 руб.

Как и в случае со смарт- картой, минимальное время возобновления работоспособности аппаратного средства составляет 4- 5 часов. Следовательно, минимальные потери банка от простоя точки составят 3000 руб.

«Альфа-Клик»

Так как технология разработана специалистами банка, следовательно нет затрат на «Стоимость одного средства», «Покупка лицензии на использование», «Продление лицензии» и «Затраты на доставку». К специальным техническим средствам, необходимым для нормального функционирования технологии, относится сервер, на котором будут генерироваться одноразовые пароли. В качестве оптимального варианта был выбран USN Zeus Supermicro a1300 2*Opteron2350/8G/no HDD(SCSI) /raid0.1 /DVD-RW/FDD/560w. Описание: тонкий сервер на базе платформы Supermicro и процессорах AMD Opteron. На сегодняшний день модель уникальна тем, что ориентирована на использование все еще встречающихся жестких дисков SCSI. В силу этого сервер может быть интересен тем, у кого уже есть диски, но нужен более мощный сервер. Модель имеет расширяемость, необходимую для серьезного сервера. Это и возможность установки модуля удаленного управления и усовершенствование raid-контроллера и слоты для карт расширения и увеличение объема памяти до большого даже по современным меркам объема 64 Гб.

Так как, затраты на внедрение высчитываются только из того, чем и как будет укомплектована торговая точка, соответственно, внедряя технологию «Альфа- Клик», таких затрат можно избежать. Минимальные потери банка от простоя зависят от того, как быстро сотрудник банка сможет подключить сим- карту к оператору мобильной связи. Примерное время 1 час. За это время, при тех же условиях, что были рассмотрены ранее, банк теряет 0,5 кредита. Так как эта цифра не может соответствовать действительности, округлим ее до 1. Это составляет 1500 руб.

IpSec . При внедрении данной технологии, на каждое удаленное рабочее место устанавливается специализированное ПО, требующее администрирования со стороны департамента ИТ. При реализации соединения на основе технологии IpSec с применением аппаратных средств, наиболее распространенного и авторитетного производителя сетевого оборудования «Cisco Systems» составит 400$ на одно рабочее место.

SSL . С целью обеспечения защиты электронного документооборота в своих бизнес системах Альфа-Банк ввел в эксплуатацию Удостоверяющий центр.

Удостоверяющий центр предназначен для управления ключевой системой и является одним из основных компонентов инфраструктуры открытых ключей. Программные компоненты, обеспечивающие функционирование Удостоверяющего центра имеют все необходимые сертификаты соответствия и позволяют использовать при формировании сертификатов открытых ключей пользователей российские криптографические алгоритмы хеширования (ГОСТ Р 34.11–94) и электронной цифровой подписи (ГОСТ Р 34.10–2001). Следовательно, нет затрат на создание и подписание сертификата. Затраты на ПО также отсутствуют.

3.3. Внедрение

После того, как был определен способ защиты от НСД, этот способ был представлен на рассмотрение вышестоящему руководству: руководителю розничного бизнеса, руководителю службы экономической безопасности (СЭБ), руководителю ИТ- отдела филиала «Тюменский». После рассмотрения предложенного способа, было принято решение отправить всю документацию по предложенному методу в Москву на дальнейшее рассмотрение. Руководители этих отделов поставили свою «визу» на этом решении.

После рассмотрения предложенного метода, было принято решение протестировать его на «тихих» торговых точках («Мир» Гипермаркет Южный, магазин «Samsung» ). Это точки с минимальным процентом выдачи кредитов.

Программистам было дано задание изменить существующий код приложения в соответствии с предложенным мною методом. Разработать дублирующий вариант подключения к кредитной среде, так как отказаться от используемого в настоящий момент метода полностью невозможно. Этот вариант работы будет привязан всего к нескольким точкам и некоторым специалистам по продажам. Программистам понадобилось примерно 2,5 недели на внедрение этого метода.

Программистами были высланы новые адреса подключения к кредитной среде. Старший специалист сетевой поддержки произвел перенастройку подключения на торговых точках. Все материалы по разработке и внедрению нового метода относятся к коммерческой тайне банка и не подлежат огласке.

В течение месяца на предложенных торговых точках («Мир» и «Samsung») проходило тестирование предложенного метода. Специалисты по продажам получили инструкции по работе с новым вариантом программы. Все возникающие ошибки они должны были отправлять в службу поддержки банка, для своевременного устранения неполадок.

В момент тестовой эксплуатации, предложенная технология стабильно обеспечивает должный уровень информационной безопасности. Решение об использовании этой технологии, как базовой для других точек будет рассматриваться руководством после более продолжительного функционирования тестовых точек (около 6 месяцев).

Заключение

Безопасность данных в открытых информационных сетях, таких как Интернет, всегда будет источником серьезного беспокойства для разработчиков и клиентов. Поэтому для любого используемого продукта крайне важно создать безопасную среду исполнения.

В ходе моей работы были выполнены следующие задачи: была изучена существующая технология доступа, были выявлены ее недостатки. Был сделан вывод о том, что программно-аппаратные средства, которые используют в банке, хоть и обеспечивают соответствующий уровень безопасности передачи данных, но требуют очень много затрат. И периодически, выходя из строя, замедляют работу банка. Проведен анализ возможных рисков и подходящих технологий программной и аппаратной защиты. На основе анализа был сделан вывод о том, что технология доступа с использованием защищенного канала связи SSL более удобна, чем технология с использованием протокола IPSec. Была произведена предварительная оценка затрат на новую технологию. В результате можно сделать вывод, что использование технологии SSl позволяет сократить затраты на обеспечение информационной безопасности, сократить значительное время простоя торговой точки. Был рассмотрен ряд программно-аппаратных технологий, обеспечивающих двухфакторную защиту от несанкционированного доступа. И выбран один метод- «Альфа- Клик» в качестве внедряемой технологии. Результаты оценки экономической эффективности еще больше помогли утвердиться в принятии окончательного решения. Предложенная разработка технологии защищенного доступа внедрена на нескольких тестовых точка. За время тестирования результаты дипломной работы будут более тщательно изучены руководством банка. По истечению тестового периода, проанализировав полученные результаты , руководство банка примет окончательное решение: оставить используемую технологию или перейти к внедрению новых технологий, рассмотренных в данной работе.

Список использованной литературы :

1) Браун, С. “Мозаика” и “Всемирная паутина” для доступа к Internet: Пер. c англ. - М.: Мир: Малип: СК Пресс, 1999. - 167c.

2) Кочерян, Р. Схема инета /Р.Кочерян //Спец Хакер. - 2002. - №11 – С.4-9.

3) Левин, М. Энциклопедия: Справочник хакера и системного администратора [Электронный ресурс]. – Электрон. текстовые, граф дан.(35Мб). – М., 2005 – 1 электрон. опт. диск (CD-ROM):цв; Систем. требования: ПК Pentium166 MHz, 32 Mb RAM, 4-x CD-ROM, звуковая карта, SVGA, Windows 98/Me/XP/2000.

4) Левин, В.К. Защита информации в информационно-вычислительных cистемах и сетях /В.К. Левин// Программирование. - 2004. - N5. - C. 5-16.

5) Об информации, информатизации и защите информации: Федеральный Закон // Российская газета. - 2005. - 22 февраля. - C. 4.

6) Уголовный кодекс Российской Федерации. – М, 2005.

7). Потапова Н. Информационная безопасность: системный подход // Connect. Мир связи. 2004. № 1 (95). С. 96—98

8). Бармен С. Разработка правил информационной безопасности: пер. с англ. М.: Издательский дом «Вильямс», 2002. 208 с.

9).Корт С. С., Боковенко И. Н. Язык описания политик безопасности. Проблемы информационной безопасности // Компьютерные системы. 1999. № 1. С. 17—25

10).Теория и практика информационной безопасности / под ред. П. Д. Зегжды. М.: Яхтсмен, 1996. 192 с.

11). Баранов А. П., Борисенко Н. П., Зегжда П. Д., Корт С. С., Ростовцев А. Г. Математические основы информационной безопасности. Орел, 1997).

12).Гайкович В., Першин А. Безопасность электронных банковских систем. М., 1993. 370 с.

13) Хмелев Л. Оценка эффективности мер безопасности, закладываемых при проектировании электронно-информационных систем. Труды научно-технической конференции «Безопасность информационных технологий» // Пенза – 2001 - № 6 – с. 17 – 22

14) Соколов А.В., Шаньгин В.Ф. Защита информации в распределенных корпоративных сетях и системах. — М.: ДМК Пресс, 2002 — 226-227

Интернет- сайты:

http://www.alfabank.ru

http://www.it2b.ru

http://www.bre.ru

http://www.expert.ru

http://www.aerosib.ru

http://www.m2system.ru

http://www.lanwan.ru

http://www.aladdin.ru

Скачать архив с текстом документа