32 Информационныетехнологии – угрозы выявления паролей;
– угрозы получения НСД путем подмены доверенного
объекта;
– угрозы типа «Отказ в обслуживании»;
– угрозы удаленного запуска приложений;
– угрозы внедрения вредоносных программ.
Меры защиты среды виртуализации Основными направлениями обеспечения безопасности
виртуальной инфраструктуры является:
– Резервное копирование виртуальных машин;
– Антивирусная защита;
– Мониторинг событий безопасности виртуальной ин-
фраструктуры;
– Разграничение доступа внутри виртуальной инфра-
структуры;
– Защита данных внутри виртуальных машин;
– Сетевая защита внутри виртуальной машины;
– Обнаружение вторжений внутри виртуальной инфра-
структуры;
– Контроль уязвимости внутри виртуальной инфраструк-
туры;
– Аудит действий привилегированных пользователей.
Перечисленные меры защиты информации в ВИ приведены
в соответствии со стандартом [1]. Перечисленные меры по за-
щите информации не являются обязательным, но могут быть
необходимы для нейтрализации актуальных угроз ИБ в вирту-
ализированной инфраструктуре.
Согласно федеральному закону от 29.07.2004 N98-ФЗ
«О коммерческой тайне», в отношении сведений, составля-
ющих коммерческую тайну, не установлено обязательных тре-
бований в отношении защиты среды виртуализации. Документ
устанавливает только то, что обладатель информации вправе
применять не противоречащие законодательству Российской
Федерации меры защиты информации. Значит можно приме-
нять рекомендательные меры по ЗИ, установленные в стан-
дарте [1].
Для персональных данных, обрабатывающихся в виртуа-
лизированной ИСПДн, обязательно соблюдение требований
приказа ФСТЭК № 21. Меры по обеспечению безопасности
персональных данных реализуются в рамках системы защиты
персональных данных, создаваемой в соответствии с поста-
новлением Правительства № 1119 и должны быть направлены
на нейтрализацию выявленных актуальных угроз безопасности
персональных данных.
Согласно приказу ФСТЭК № 21, для защиты ПДн в ВИ необ-
ходимо выполнение следующих мер:
– идентификация и аутентификация субъектов доступа
и объектов доступа в виртуальной инфраструктуре, в том числе
администраторов управления средствами виртуализации (ЗСВ.1);
– управление доступом субъектов доступа к объектам до-
ступа в виртуальной инфраструктуре, в том числе внутри вир-
туальных машин (ЗСВ.2);
– регистрация событий безопасности в виртуальной ин-
фраструктуре (ЗСВ.3);
– управление (фильтрация, маршрутизация, контроль со-
единения, однонаправленная передача) потоками информации
между компонентами виртуальной инфраструктуры, а также
по периметру виртуальной инфраструктуры (ЗСВ.4);
– доверенная загрузка серверов виртуализации, вирту-
альной машины (контейнера), серверов управления виртуали-
зацией (ЗСВ.5);
– управление перемещением виртуальных машин (кон-
тейнеров) и обрабатываемых на них данных (ЗСВ.6);
– контроль целостности виртуальной инфраструктуры
и ее конфигураций (ЗСВ.7);
– резервное копирование данных, резервирование техни-
ческих средств, программного обеспечения виртуальной ин-
фраструктуры, а также каналов связи внутри виртуальной ин-
фраструктуры (ЗСВ.8);
– реализация и управление антивирусной защитой в вир-
туальной инфраструктуре (ЗСВ.9);
– разбиение виртуальной инфраструктуры на сегменты
(сегментирование виртуальной инфраструктуры) для обра-
ботки персональных данных отдельным пользователем и (или)
группой пользователей (ЗСВ.10).
Кроме того, в информационных системах 3 уровня защи-
щенности персональных данных должны применяться сред-
ства защиты информации не ниже 6 класса, а также средства
вычислительной техники не ниже 5 класса.