हमने सूचना सुरक्षा को कैसे सामान्य किया

एक बड़ी कंपनी को कंप्यूटर सुविधाओं की एक सूची के लिए स्क्रिप्ट का एक पूरा गुच्छा चाहिए। यह समझ में आता है: यदि संगठन में 1000 से अधिक कर्मचारी हैं, तो डोमेन संरचना में जटिल संरचना है। और अगर कई गुना अधिक नौकरियां हैं?

बैंकिंग क्षेत्र से हमारे ग्राहक की बैलेंस शीट पर - एक दर्जन या दो सर्वर, विभिन्न प्रकार के प्रिंटर और वर्कस्टेशन के असंख्य। इसके अलावा, कर्मचारियों के लिए पहुंच नियंत्रण का प्रबंधन करना और आवश्यकतानुसार नेटवर्क संसाधन प्रदान करना आवश्यक है। इस सूचना-मानव वास्तुकला में एक अलग और महत्वपूर्ण बिंदु सूचना सुरक्षा का प्रावधान है।

जब सूचना सुरक्षा विभाग के मानव संसाधन पहले से ही सीमा पर थे, तो यह स्पष्ट हो गया कि बैंक को सूचना सुरक्षा और सुरक्षा उपकरणों के प्रबंधन के लिए एक एकीकृत, केंद्रीकृत प्रणाली की आवश्यकता है। हमारा कार्य एक ऐसी प्रणाली का निर्माण करना था जो बैंक की सभी विशेषताओं को ध्यान में रखे और आवश्यकताओं की वृद्धि के साथ कार्यक्षमता का विस्तार करने की अनुमति दे। इस मामले को हमने कैसे तय किया, इसके बारे में अलग-अलग मॉड्यूल से शुरू करते हैं, मैं इस लेख में बताऊंगा।

स्रोत

स्वचालन और सूचना प्रणाली LANIT के संरक्षण के सहयोगियों के साथ हमने जो पहली चीज़ की, वह थी बैंक की संपूर्ण कंप्यूटर अर्थव्यवस्था से निपटने के लिए एक छोटी सेवा - सिस्टम एजेंट बनाना। डोमेन नीति के माध्यम से इसे सभी वर्कस्टेशन और सर्वर पर वितरित किया। शुरू करने के लिए, एजेंट ने केवल पीसी और स्थापित सॉफ़्टवेयर के हार्डवेयर के बारे में जानकारी एकत्र की। प्रत्येक पीसी के लिए डेटा एक केंद्रीय सर्वर में आते हैं। एक सहायक बनाने के लिए आवश्यक श्रम कुछ हफ़्ते का है, और उपकरण की सूची बनाने की प्रक्रिया में काफी कमी आई है! हमारे "इन्वेंट्री सिस्टम" के साथ सहज संचार के लिए एक वेब-इंटरफ़ेस लिखा गया था। फिर, शब्द-टेम्प्लेट के साथ काम को इंटरफ़ेस में जोड़ा गया - और "क्लिक्स के एक जोड़े" की मदद से संगठन के लेटरहेड पर एक सुंदर रिपोर्ट सिर पर भेजी गई।

आगे - और!

एजेंट ने सुरक्षात्मक उपकरण के साथ दोस्त बनाए। उन्होंने हमें कैसपर्सकी, डॉक्टर ऑफ द वेब, सीक्रेटनेट और अकॉर्ड के लॉग को इकट्ठा करना सिखाया। वैसे, अकॉर्ड के लॉग एक संरचित बाइनरी फॉर्म में संग्रहीत हैं, इसलिए मुझे आवश्यक जानकारी और इस जानकारी के "विभाजक" की खोज में बहुत समय बिताना पड़ा। यहाँ हम कौन सी जानकारी प्राप्त करने में कामयाब रहे।

6 से 13 बाइट्स में दिनांक और समय होता है। यह समय का शुरुआती बिंदु है।

44 बाइट्स से आगे की घटनाएँ हैं। ईवेंट में एक हेडर है जिसमें 4 बाइट्स शुरुआती बिंदु के सापेक्ष समय ऑफसेट हैं, परिणाम कोड के 2 बाइट्स और ऑपरेशन कोड के 2 बाइट्स हैं। उनकी स्थिति तय है। निम्नलिखित संदेश का पाठ एक अशक्त बाइट के साथ समाप्त होता है। ऑपरेशन कोड के भाग में संदेश पाठ के साथ दो महत्वपूर्ण लाइनें हैं। इस प्रकार, अकॉर्ड के लॉग संदेशों को घटकों में विभाजित किया जाता है और लॉग डेटा संग्रहीत करने के लिए आंतरिक मानक में अनुवाद किया जाता है।

किसी भी लॉग के विश्लेषण की एक विशेषता नई जानकारी पर स्थिति है जो अभी तक एजेंट द्वारा एकत्र नहीं की गई है। ऐसा करने के लिए, हमने या तो अनूठे ईवेंट नंबर (विंडोज लॉग के लिए) या इवेंट की तारीख और समय का उपयोग किया।

हमने सर्वर भाग और इंटरफ़ेस को जोड़ा, और अब विभिन्न प्रकार के सुरक्षा उपकरणों की स्थिति को एक स्थान पर देखा जा सकता है। सुरक्षा घटना कहां है - और टेबलेट के साथ व्यवस्थापक पहले से ही है! उन्होंने कुछ और टेम्पलेट जोड़े - और घटना की रिपोर्ट सभी विवरणों के साथ या तो मेल में या कागज पर।

स्रोत

कुछ वर्षों के बाद, सिस्टम में एक पूर्ण वर्कफ़्लो वर्कफ़्लो एकीकृत किया गया था। फिलहाल, किसी भी पीसी के लिए बैलेंस शीट पर लिखने से लेकर लिखने तक की मंजूरी और अनुमोदन की एक श्रृंखला के माध्यम से जाना जाता है। किसी भी चरण में, पूर्ण किए गए अधिनियम या आवेदन को प्रिंट करना, सिर या विभाग के साथ हस्ताक्षर करना संभव है, फिर स्कैन की गई कॉपी को उनकी इलेक्ट्रॉनिक प्रतियों में संलग्न करें। सामान्य तौर पर, यह समय बचाने के लिए सुविधाजनक और महान है।

USB संग्रहण उपकरणों को रोकने का एक दिलचस्प अनुभव भी था। ऐसे विभाग हैं जहां बाहरी भंडारण उपकरणों का उपयोग सीमित है और आप केवल रिकॉर्ड किए गए भंडारण उपकरणों के साथ काम कर सकते हैं। अब, हमारा एजेंट हर बार ड्राइव कनेक्ट होने की जाँच करता है, चाहे वह इस ड्राइव का उपयोग करने के लिए किसी विशेष पीसी पर किसी विशिष्ट उपयोगकर्ता के लिए अनुमत हो। यदि अग्रिम में स्वीकृत कोई अन्य एप्लिकेशन नहीं है (दूसरे शब्दों में, ड्राइव को कर्मचारी को नहीं सौंपा गया है और किसी विशिष्ट पीसी पर काम करने के लिए पंजीकृत नहीं है), तो एजेंट ड्राइव को ब्लॉक कर देता है और सुरक्षा गार्ड को एक सूचना मिलती है। आवेदन समाप्त हो गया है, तो एक ही बात होती है। उसी समय, व्यवस्थापक स्वचालित रूप से ड्राइव के अनधिकृत उपयोग पर एक अधिनियम बनाने के लिए आमंत्रित किया जाता है। पीसी, कर्मचारी और ड्राइव पर डेटा सिस्टम द्वारा दस्तावेज़ में दर्ज किया गया है।

सिस्टम आर्किटेक्चर

हमारी सूचना प्रणाली का संरचनात्मक आरेख (जिसे हमने "कोबाल्ट" कहा था) निम्नानुसार है:


बुनियादी मॉड्यूल कार्यस्थानों और सुरक्षा उपकरणों के साथ बातचीत कर रहे हैं। वे सूचना को स्वचालित प्रणाली में संचारित करते हैं और संरक्षित प्रणाली में सूचना सुरक्षा की स्थिति का एक अभिन्न चित्र बनाते हैं।

वर्कस्टेशन के साथ इंटरैक्शन मॉड्यूल की संरचना में एक विशेष सेवा शामिल है जो प्रत्येक उपयोगकर्ता के कार्यस्थल और संगठन के सर्वर पर स्थापित होती है और उनकी सुरक्षा पर डेटा एकत्र करती है।

सुरक्षा सुविधाओं के साथ बातचीत के लिए मॉड्यूल विशिष्ट सूचना सुरक्षा सुविधाओं के लिए एक विशेष कनेक्टर है। यह सूचना सुरक्षा घटनाओं पर डेटा जल्दी से प्राप्त करने के लिए डिज़ाइन किया गया है।

वर्कफ़्लो मॉड्यूल सिस्टम का एक अतिरिक्त रूप से अनुकूलन योग्य हिस्सा है। दस्तावेज़ सिस्टम में दर्ज किए गए टेम्प्लेट के अनुसार उत्पन्न होते हैं। हम किसी अन्य ग्राहक के साथ काम करेंगे - हम उसके खाके का उपयोग करेंगे।

सिस्टम को बदले बिना प्रक्रियाओं में बदलाव

सबसे अच्छी बात यह है कि व्यवस्थापक के लिए जीवन को आसान बनाने के लिए, हमें मौजूदा CRM और DLP टूल को बदलना नहीं था। हमने बस सूचना सुरक्षा के तकनीकी और संगठनात्मक घटकों को संक्षेप में प्रस्तुत किया है। परिणामस्वरूप, बैंक की आईटी सेवा से कई समस्याएं गायब हो गई हैं।

सबसे पहले, सूची मुद्दों।

अब वे हमेशा जानते हैं कि उनके पास क्या है, यह किस स्थिति में है, उपकरण किस स्थिति में है, और प्रत्येक नेटवर्क तत्व का विवरण देते हुए बॉस की मेज पर रिपोर्ट डालने के लिए किसी भी समय ctrl + P दबा सकते हैं।

जब एक नया कंप्यूटर कंप्यूटर प्रौद्योगिकी के कर्मचारियों में प्रवेश करता है, तो व्यवस्थापक, आवश्यक उपयोगकर्ता सॉफ़्टवेयर के साथ, कोबाल्ट एजेंट भी स्थापित करता है। पीसी को लोड करने और इसे स्थानीय क्षेत्र नेटवर्क से जोड़ने के बाद, सिस्टम स्वचालित रूप से नए घटक को पहचान लेगा। व्यवस्थापक को एक नए कंप्यूटर टूल के कमीशन पर एक दस्तावेज़ बनाने के लिए कहा जाएगा। इस मामले में, तकनीकी जानकारी वाले क्षेत्र, उदाहरण के लिए, स्थापित सॉफ़्टवेयर और हार्डवेयर कॉन्फ़िगरेशन की एक सूची स्वचालित रूप से भर जाती है। व्यवस्थापक उस संगठन की कर्मचारी प्रणाली को भी इंगित करता है जिसे यह पीसी सौंपा गया है। अब प्रशासक को कंप्यूटर पर स्थापित सूचना सुरक्षा उपकरणों से सॉफ्टवेयर, हार्डवेयर कॉन्फ़िगरेशन और सूचना सुरक्षा घटनाओं में परिवर्तन के बारे में वास्तविक समय की सूचनाएं प्राप्त होंगी। यदि कोई सुरक्षा घटना होती है, तो प्रशासक को एक मानक दस्तावेज़ बनाने के लिए कहा जाएगा जो स्वचालित रूप से घटना के मुख्य सार का वर्णन करेगा।

दूसरे, स्थानीय नेटवर्क संसाधनों तक पहुंच के प्रबंधन के साथ अधिक समस्याएं नहीं हैं।

प्रत्येक कर्मचारी के लिए, नेटवर्क फ़ोल्डर्स का उपयोग करने के लिए एक आवेदन तैयार करना और अनुमोदन करना आवश्यक है। यदि कोई कर्मचारी एक या किसी अन्य संसाधन को खोलने का प्रयास करता है, जिसकी पहुंच की अनुमति नहीं है, तो व्यवस्थापक को सुरक्षा घटना के बारे में एक सूचना प्राप्त होगी। "कोबाल्ट" के रूप में एक उपयुक्त दस्तावेज बनाने का प्रस्ताव होगा - अनधिकृत पहुंच का एक अधिनियम।

स्रोत

तीसरे, बड़े प्रमाणित सिस्टम के समर्थन से कोई समस्या नहीं है।

बड़ी सूचना प्रणालियों के उपकरण और सॉफ्टवेयर में अक्सर बदलाव होता है, इसे नई आवश्यकताओं के संबंध में आधुनिक बनाना होता है या क्रम से बदलना पड़ता है। प्रमाणित प्रणालियों के लिए ऐसे परिवर्तनों के लिए लेखांकन विशेष रूप से महत्वपूर्ण है, क्योंकि पुनरावर्तन के लिए दस्तावेजों के एक नए सेट को तैयार करने की आवश्यकता है। और सिस्टम मॉड्यूल स्वचालित रूप से परिवर्तनों को ट्रैक करते हैं और पुनरावृत्ति के लिए तैयार करने के लिए दस्तावेजों का आवश्यक सेट बनाते हैं।

* * *

अभी भी अनसुलझी समस्याएं हैं। उदाहरण के लिए, यूएसबी ड्राइव को नियंत्रित करते समय, अभी तक ड्राइव के रूप में वर्कस्टेशन से जुड़े फोन की पहचान करना संभव नहीं है। नेटवर्क संसाधनों की निगरानी करते समय, बहुत सी घटनाएं लॉग में आती हैं; पहले सन्निकटन में, एक ही प्रकार की पाँच घटनाओं के "पतन" में - यह निकला, लेकिन वास्तव में महत्वपूर्ण घटनाओं की पहचान करने के लिए अभी भी एक गहरी और अधिक बुद्धिमान विश्लेषिकी की आवश्यकता है। अब हम इसके एल्गोरिदम पर काम कर रहे हैं।
इसके अलावा, कुछ समय पहले, ग्राहक ने प्लेटफ़ॉर्म की कार्यक्षमता का विस्तार करने का निर्णय लिया। यह न केवल नई रिपोर्टों के बारे में है, बल्कि श्रमिकों के लिए उनके पीसी पर स्थापित स्वचालित प्रणालियों तक पहुंच को नियंत्रित करने के बारे में भी है।

सॉफ्टवेयर, बैंक के आंतरिक प्रोटोकॉल के अनुसार, कर्मचारियों द्वारा केवल आधिकारिक नोटों के आधार पर स्थापित किया जाता है। एजेंट स्थापित सॉफ़्टवेयर के बारे में जानकारी एकत्र करता है और इसलिए, जानता है कि कौन से स्वचालित सिस्टम स्थापित हैं। सर्वर साइड चेक करता है कि क्या इस सॉफ़्टवेयर के लिए कोई एप्लिकेशन है। यदि सॉफ़्टवेयर स्थापित है, लेकिन कोई एप्लिकेशन नहीं है, तो व्यवस्थापक को एक अधिसूचना प्राप्त करनी चाहिए। यदि कोई मान्य एप्लिकेशन है, लेकिन कोई सॉफ़्टवेयर नहीं है, तो - इसी तरह।

मुझे उम्मीद है कि यह प्रणाली विकास के अंतिम दौर से दूर है।

स्रोत

हमारी रिक्तियों के बारे में मत भूलना!