Мавзу: Корпоратив тармоқ хавфсизлигини таъминлашга юналтирилган ҳимоя тизмлари

Рисунок 4. Решение для управления мобильными устройствами может оснащаться функциями инвентаризации, управления приложениями из корпоративного каталога, защиты данных шифрованием, аудита на соответствие корпоративным политикам, мониторинга доступа к системе и активности пользователей, обновления ПО, удаленного стирания данных, удаленной диагностики и др.
Подходить к задаче следует системно, уверен Андрей Прозоров. Данные должны быть защищены при перемещении, хранении и использовании, для чего необходимо реализовать строгое разграничение прав доступа, защиту от вредоносного ПО, регулярное обновление ПО, резервное копирование и многое другое.
По словам Алексея Лукацкого, целостное решение должно реализовать четыре основных компонента: защиту рабочего места сотрудника (MDM для мобильных устройств, VPN-клиент, антивирус или решение класса Endpoint Protection); защиту «серверной» части, включающую в себя средства защиты периметра (МСЭ сетевого и прикладного уровней, шлюз VPN, системы предотвращения вторжения, контроля доступа, контентной фильтрации, защиты баз данных, мониторинга аномальной/подозрительной активности, отражения DDoS-атак, защиты от вредоносного кода и т. п.); защиту каналов передачи данных, включая различные технологии VPN, в том числе на базе сертифицированных средств шифрования; средства мониторинга и управления системой защиты, предлагающие, помимо настройки и конфигурирования вышеперечисленных систем, функции управления инцидентами, анализа защищенности, управления обновлениями ПО и многое другое.
«Опыт показывает, что одинаковые ИТ-инфраструктуры встречаются очень редко, да и отношение к уровню критичности защищаемых данных разное. В таких условиях будут различаться как наборы подсистем сетевой безопасности, так и функциональность их компонентов. Например, если говорить об удаленном (в том числе мобильном) доступе, то принципы защиты остаются прежними - каналы связи защищаются с помощью VPN. А при наличии технологий виртуализации можно использовать средства сетевой защиты, предназначенные для работы в среде гипервизоров», - поясняет Юрий Черкас.
«В любом случае выбор необходимого функционала системы защиты зависит от профиля компании, - подчеркивает Виктория Носова. - Типовое решение придумать сложно. Для начала нужно изучить актуальные технологии, решения, угрозы, состояние текущей инфраструктуры и ее системы защиты - и только после этого определять необходимые изменения в сети, какие устройства выбрать для шлюзов безопасности и какой функционал на них активировать». Компания не будет защищена должным образом, если использовать только межсетевой экран, установленный на периметре. Необходимо позаботиться и о правильном сегментировании сети, о распределении по этим сегментам имеющихся ресурсов и о функционале системы защиты для каждого из них. Шлюз для удаленного доступа пользователей должен предусматривать различные режимы аутентификации и возможность гибкого разграничения доступа, а кроме того, обеспечивать защиту публикуемых ресурсов от внешних угроз и атак.
На мобильных устройствах пользователей должно быть установлено ПО, обеспечивающее защищенное взаимодействие с офисом и возможность безопасного хранения корпоративных данных. В случае использования смартфонов в рабочих целях необходимо, чтобы применяемые решения позволяли реализовать концепцию BYOD максимально гибко и надежно (см. Рисунок 5). Многие организации останавливают свой выбор на защищенном контейнере для корпоративной почты и конфиденциальных файлов. Для компаний из банковского, телекоммуникационного и государственного секторов острым вопросом остается противодействие атакам DDoS. А для виртуализированных серверов по сути действуют те же правила защиты, что и для физических.