|
При установке серверов ELPay в Банке и подключении сервера приложений к Интернет необходимо правильно определить политику безопасности. Реализация политики безопасности позволит избежать возможных атак из Интернет, имеющих целью получить доступ к конфиденциальным данным или вывести из строя информационные ресурсы банка. При этом, особая опасность заключается в возможной атаке на информационные сервера автоматизированной банковской системы. Политика безопасности определяется для всех сетевых ресурсов банка, для которых возможно соприкосновение с Интернет (см. рисунок ниже). К их числу относятся: - Сегмент сети с Системой Автоматизации Банка (САБ). Данный объект политики безопасности является наиболее важным, не допускающим никаких входящих сетевых соединений, инициализированных вне сегмента САБ.
- Серверы ELPay (сервер приложений и сервер баз данных). Информация, содержащаяся на этих серверах также требует соответствующих технических и организационных мер безопасности. Здесь также недопустимы никакие входящие соединения, кроме предусмотренных регламентом работы сервера приложений.
- WEB-сервер. Данный элемент содержит загружаемое клиенту программное обеспечение (ПО), которое, в свою очередь критично к модификации. Защита ПО от модификации осуществляется независимыми от веб-сервера средствами, поэтому требования к уровню безопасности веб-сервера обуславливаются лишь надежностью работы самого сервера.
Сетевые сегменты в банке, отображенные на рисунке, физически разделяются с помощью межсетевого экрана (Firewall) или пограничного маршрутизатора. База правил доступа для каждого элемента системы создается в отдельности.Таким образом, создаются следующие сетевые зоны: - Наиболее защищенный сегмент САБ, включающий сервер САБ, АРМ "Администратор" и Интерфейсный модуль с САБ;
- сегмент ELPay, включающий сервер приложений и сервер баз данных;
- свободно доступный веб-сервер.
На точке входа в систему из Internet находится межсетевой экран (firewall), который реализует базу правил политики безопасности для каждого сегмента в отдельности. Общая политика безопасности может быть представлена следующим набором правил: - разрешается доступ в сегмент ELPay из Internet только на сервер Приложений и только на определенный порт сервера;
- разрешается доступ в сегмент ELPay со стороны сегмента САБ (для обновления данных сервера ELPay интерфейсным модулем);
- все остальное запрещается (запрещается любой доступ в сегмент САБ).
В данном документе описаны лишь технические меры по повышению безопасности системы, в то время как любая политика безопасности должна основываться как на технических, так и на организационных мерах.
|
