ИСПОЛЬЗОВАНИЕ MICROSOFT SECURITY ASSESSMENT TOOL

Цель работы.

Приобретение практических навыков оценки рисков организации, связанных с информационной безопасностью, с использованием ПО Microsoft Security Assessment Tool (MSAT).

Используемые программные средства.

Компьютер или виртуальная машина с ОС Windows, программа MSAT, подключение к сети Интернет.

Описание работы.

В ходе данной лабораторной работы мы познакомимся с разработанной Microsoft программой для самостоятельной оценки рисков, связанных с безопасностью — Microsoft Security Assessment Tool (MSAT). Она доступна на сайте Microsoft по ссылке

http://www.microsoft.com/ru-ru/download/details.aspx?id= 12273.

Как отмечают разработчики, приложение предназначается для организаций с числом сотрудников менее 1000 человек, чтобы содействовать лучшему пониманию потенциальных проблем в сфере безопасности. В ходе работы пользователь, выполняющий роль аналитика, ответственного за вопросы безопасности, отвечает на две группы вопросов.

Первая из них посвящена бизнес-модели компании, и призвана оценить риск для бизнеса, с которым компания сталкивается в данной отрасли и в условиях выбранной бизнес-модели. Создается так называемый профиль риска для бизнеса (ПРБ).

Информация о компании

Рис. 5.33. Информация о компании

Вопросы этого этапа разбиты па 6 групп. Первая касается общих сведений о компании (рис. 5.33): название, число компьютеров, серверов и т. д. Вторая группа вопросов озаглавлена «Безопасность инфраструктуры». Примеры вопросов: «Использует ли компания подключение к Интернет?», «Размещаются ли службы, используемые как внешними, так и внутренними клиентами, в одном и том же сегменте?». Остальные группы — «Безопасность приложений», «Безопасность операций», «Безопасность персонала», «Среда».

Когда проведен первый этап оценки, полученная информация обрабатывается (для этого требуется подключение к Интернет), после чего начинается второй этап анализа. Для технических специалистов он будет более интересен, так как касается используемых в компании политик, средств и механизмов защиты (рис. 5.34).

Анализ используемых механизмов защиты

Рис. 5.34. Анализ используемых механизмов защиты

Вопросы организованы в соответствии с концепцией многоуровневой защиты. Сначала рассматривается защита инфраструктуры (защита периметра, аутентификация...), затем вопросы защиты на уровне приложений, далее проводится анализ безопасности операций (определена ли политика безопасности, политика резервного копиро-

245

вапия...), последняя группа вопросов касается работы с персоналом (обучение, проверка при приеме на работу и т. д.).

Во многом тематика вопросов соответствует разделам стандартов ISO 17799 и 27001, рассмотренных в разделе 4.3 данного пособия.

После ответа на все вопросы программа вновь обращается к удаленному серверу и генерирует отчеты. Наибольший интерес для технических специалистов представляет «Полный отчет». В частности, он содержит предлагаемый список приоритетных действий. Фрагмент списка представлен в табл. 5.3.

Список предлагаемых в отчете MSAT действий

Таблица 5.3

Список приоритетных действий

Предмет анализа Высокий приоритет

Рекомендация

Операции > Управление средствами исправления и обновления > Управление средствами исправления

Наличие политики исправлений и обновлений для операционных систем является полезным начальным шагом, однако необходимо разработать такую же политику и для приложений.

Разработайте такую политику, пользуясь сведениями, доступными в разделе, посвященном передовым методикам.

Сначала установите исправления для внешних приложений и приложений Интернета, затем для важных внутренних приложений и, наконец, для не особо важных приложений.

Задание.

Подробно опишите реально существующее или вымышленное малое предприятие: сферу деятельности, состав и структуру информационной системы, особенности организации процесса защиты информации, применяемые методы и средства.

С помощью программы MSAT проведите оценку рисков для предприятия.

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >