В январе 2001 года президентом США был подготовлен и представлен конгрессу ежегодный отчет о проделанной работе по реализации основных положений директивы президента PDD-63 (май 1998 года) об организации работ по защите чрезвычайно важной национальной инфраструктуры. Эти положения реализуются в рамках национального плана защиты информационных систем (ИС), подготовленного к январю 2000 года.
В отчете, состоящем из 209 страниц, содержится описание проведенных работ по всем ключевым разделам плана. Значительную их часть выполнило министерство обороны США, которое сосредоточило свои усилия на следующих направлениях:
- обеспечение информационной безопасности информационных систем;
- продолжение НИОКР по <проблеме 2000 года>, предусматривающих разработку и реализацию программ тестирования решений на совместимость с целью обеспечения защиты критической инфраструктуры. При этом отмечается, что ряд предложенных в рамках данной программы решений продемонстрировал возможность проведения работ с информационной инфраструктурой любой сложности, выявления уязвимых мест в структуре, которые могут повлечь отказ, а также быстрого исправления их с наименьшими затратами;
- активизация НИОКР в области защиты критической инфраструктуры.
Ключевым элементом программы обеспечения безопасности информационного пространства министерства обороны является подход, названный его разработчиками (<глубокая оборона>). ИС, построенные по этому принципу, состоят из многослойных систем безопасности и процедур, использующих активные и пассивные мероприятия по защите информационных ресурсов, предотвращающих неправомочный доступ к информации. Глубоко эшелонированная оборона защищает критические ресурсы и процессы, формируя политику сдерживания, расширяющую возможности программных средств обеспечения информационной безопасности сети. Считается, что такой подход заставит противника расходовать собственные ресурсы в процессе преодоления множественных слоев защиты прежде, чем тот сможет воздействовать на работу ИС. Такая слоистая концепция безопасности позволяет максимально использовать возможности коммерческих технологий и минимизировать дополнительные инвестиции, которые необходимы для их совершенствования. Эта методика, основанная на тесной интеграции способностей персонала и возможностей современных технологий, предусматривает организацию защиты локальных вычислительных пространств отдельных объектов критической инфраструктуры (называемых также <анклавы>), границ анклавов и сети коммуникаций, которая связывает их, а также создание обеспечивающей инфраструктуры. Составители доклада отмечают, что сегодня они не в состоянии сделать ИС полностью неуязвимыми, однако надеются существенно смягчить последствия их атаки.
Основные мероприятия по реализации базовых концепций. Для реализации концепции <глубокая оборона> МО проводит ряд мероприятий. Так, в настоящее время в самом министерстве развертывается инфраструктура, необходимая для обеспечения работы средств криптофафической защиты информации с открытым ключом PKI (Public Key Infrastructure) на основе стойких криптоалго-ритмов. Считается, что она позволит осуществлять непрерывное шифрование информации, передаваемой по каналам связи, аутентификацию <чувствительных, но несекретных> данных, а также улучшить управление доступом к ИС и компьютерам. Кроме того, по расчетам военных специалистов, в будущем эта система обеспечит полную безопасность секретных сведений, передаваемых по незащищенным каналам связи сетей общего пользования. Согласно руководящим документам, подписанным в мае 1999 года и августе 2000-го, к октябрю 2002 года все военнослужащие, гражданский персонал и ряд сотрудников из числа резервистов получат <типовую карту доступа> (Common Access Card) на основе смарт-карты со встроенным микропроцессором, которая будет содержать цифровые сертификаты PKI министерства с информацией о пользователе.
Помимо работ, связанных с созданием PKI, проводятся мероприятия по внедрению более совершенных технологий шифрования с тем, чтобы обеспечить уровень криптостойкости, отвечающий быстрым изменениям в области информационных технологий и методов криптоанализа. Отмечается, что министерство обороны активно развивает соответствующие программы, цель которых - модернизация методов и технологии безопасной передачи голоса и данных непосредственно на рабочее место сотрудников министерства, а также совершенствование безопасных технологий для сетей радиосвязи. Так, пересматривается программа МО США <Информационная инициатива>, предусматривающая формирование глобальной информационной сети (Global Information Grid). Темпы ее реализации в последнее время резко возросли. Именно ей отводится главная роль в достижении и удержании информационного превосходства. Документ <Политика информационной безопасности в сфере глобальной информационной сети> 6-8510 был подписан в мае 2000 года. Он включает требования не только по обеспечению конфиденциальности информации, но также и по ее доступности, целостности и потребности в усиленной идентификации и предоставлении отказоустойчивых услуг.
Совершенствование судебной практики в области компьютерных преступлений. Одной из наиболее важных целей работ, проводимых МО, является существенное продвижение по пути совершенствования приемов и методов работы с доказательствами совершения компьютерных преступлений, что имеет большое значение при проведении расследований любых инцидентов, связанных с применением вычислительной техники. Так, 24 сентября 1999 года была открыта компьютерная судебная лаборатория министерства обороны DCFL (Defense Computer Forensics Laboratory ) -одна из наиболее современных структур, предназначенная для обработки компьютерных доказательств преступлений и мошенничеств, а также в ходе контрразведывательных мероприятий для всех организаций, занимающихся исследованиями в области криминалистики и контрразведки. Управление специальных исследований ВВС США определено в качестве исполнительного агентства для DCFL.
- В настоящее время эта лаборатория имеет 42 позиции для исследователей и судебных приставов, позволяющие обрабатывать компьютерные доказательства наряду со звуковой и видеоинформацией в судебных делах в самом широком диапазоне: от детской порнографии до вторжений в компьютеры и шпионажа. DCFL обеспечивает ФБР необходимыми данными в ходе расследования компьютерных преступлений. Специалисты DCFL уже накопили определенный потенциал и приобрели навыки работы с инструментальными средствами анализа информации в ходе успешно проведенных мероприятий по идентификации групп хакеров, а также при нейтрализации уязвимости ИС в нескольких контрразведывательных операциях, связанных с защитой национальных компьютерных сетей.
Формирование спецподразделений компьютерной обороны. С целью обеспечения более надежной защиты информационных систем и компьютеров была создана объединенная оперативная группа по защите компьютерной сети министерства обороны JTF-CND (Joint Task Force for Computer Network Defense), подчиненная непосредственно командующему объединенным космическим командованием. Как отмечается в отчете, в ходе инцидента с вирусом <Мелисса> в марте 2000 года JTF-CND совместно с группой реагирования на чрезвычайные ситуации с вычислительной техникой МО быстро оценила угрозу, сформировала оборонительную стратегию и успешно ее реализовала. В мае 2000 года, когда имела место эпидемия компьютерного вируса , был продемонстрирован еще один пример четких действий JTF-CND. Персонал быстро идентифицировал потенциальное повреждение, обеспечив при этом своевременное уведомление подразделений, служб и агентств министерства, что позволило им принять эффективные меры.
С 2000 года министерство обороны США совместно с союзниками по НАТО приступило к работе по обеспечению информационной безопасности. В частности, Канада имеет официального представителя, работающего в JTF-CND, развивается система разделения информации между военными ведомствами двух стран в соответствии с основными положениями меморандума о взаимопонимании и концепции совместных действий, подписанного с канадской стороной. В результате совместных усилий была создана система сигнализации IAVA (Information Assurance Vulnerability Alert), срабатывающая в случае обнаружения угрозы уязвимости информационной безопасности с последующим оповещением всех подразделений и служб МО. В 1999 году на основе полученных данных было подготовлено и выпущено 11 предупреждений, три бюллетеня и 20 технических консультаций (в 2000-м три, три и девять соответственно). Агентство ИС МО DISA (Defense Information System Agency) сформировало банк данных для немедленного распределения информации об уязвимости каждому администратору системы вместе с краткими рекомендациями об ответных действиях с целью локализации возможных последствий.
Обучение персонала. Одним из серьезных достижений является то, что сформированы и реализуются программы всестороннего обучения, тренировки и осведомления (Education, Training and Awareness) военнослужащих, гражданского персонала и служащих по контракту. Для всех пользователей ИС установлен необходимый минимум базовых знаний в области информационной безопасности, без которого они не могут быть допущены к работе, причем весь персонал ежегодно должен проходить переподготовку. Кроме того, администраторам как засекреченных, так и несекретных систем требуется иметь сертификаты на допуск к работе (соответствующие программы сертификации будут внедрены в 2001 году). Для совершенствования методов обучения создано управление программ по информационной безопасности IAPMO (Information Assurance Program Office). Агентство ИС МО подготовило и распространяет множество компакт-дисков и видеофильмов, содержащих материалы по курсам обучения. Эти материалы доступны всем федеральным структурам.
Чтобы повысить качество академического образования в области информационной безопасности. Агентство национальной безопасности (АНБ) сформировало в 1999 году соответствующие центры после-вузовского образования, а в 2000-м значительно расширило программу, включив в нее 14 ведущих университетов США. Университеты выбирались на основании оценки качества их учебных программ в области информационной безопасности в соответствии со стандартами, предложенными комитетом по безопасности телекоммуникационных и информационных систем национальной безопасности NSTISSC (National Security Telecommunications and Information Systems Security Committee). Разработка единых принципов оценки состояния информационной безопасности в МО. Интересной работой является развитие единого процесса формирования самой метрики, которая позволит министру обороны объективно оценить и четко сформулировать статус боеготовности МО в области информационной безопасности. Этот процесс будет применен во всем министерстве для взаимодействия как с боевыми, так и небоевыми подразделениями и службами. В результате дожлны быть выработаны: статус боеготовности в части информационной безопасности, формализованные требования к ресурсам для обеспечения информационной безопасности, а также к исходным данным для формирования или пересмотра политики МО в области информационной безопасности. Предполагается, что метрика будет структурирована в виде пяти уровней иерархии, которые соответствуют пяти критическим индикаторам успеха: люди, мероприятия, обучение, оборудование и инфраструктура.
Формирование виртуального резерва. В 1999 году была утверждена концепция действий виртуальной информационной организации объединенного резерва - JRVIO (Joint Reserve Component Virtual Information Organization), которая обеспечивает поддержку совместных информационных операций, проводимых агентством информационных систем МО, АНБ, объединенным центром информационных операций JIOC (Joint Information Operations Center), техническим центром информационных операций IOTC (Information Operations Technical Center) и объединенной оперативной группой JTF-CND. При этом у данной организации нет других функций, кроме проведения виртуальных операций. Ее руководство гарантирует, что действия резерва оперативно изменяются в зависимости от миссии подразделений, в поддержку которых выступает резерв. Любая миссия по обеспечению информационной безопасности, выполняемая одной из поддерживаемых организаций, будет открыта для управления задачами JRVIO. Так, если на объединенном уровне DISA проводит мероприятия по обеспечению информационной безопасности с целью защиты информационной инфраструктуры МО (Defense Information Infrastructure), то в этом случае все они выполняются через центр обеспечения функционирования и защиты глобальной сети (Global Network Operations and Security Center), центры обеспечения функционирования и защиты региональных сетей (Regional Network Operations and Security Centers), группу реагирования на чрезвычайные ситуации с вычислительной техникой МО.
Координация со службами и другими агентствами, с промышленностью и множеством других внутренних подразделений МО, а также организация внешних контактов возложены на JRVIO. Управление информационной безопасности АНБ совместно с DISA проводит мероприятия по обеспечению информационной безопасности министерства обороны и других правительственных департаментов и агентств. Считается, что участие JRVIO в этих мероприятиях расширит возможности данных структур оперативно реагировать на все чаще возникающие вызовы информационной безопасности.
Деятельность КНШ и командований видами ВС по проведению работ в области информационной безопасности. Председателем КНШ выпущено руководство для командующих и штабов объединенных командований, служб и агентств по улучшению системы оповещения об уязвимости в информационной сфере. Так, объединенное космическое командование обозначено в качестве руководящей структуры по обеспечению защиты компьютерных сетей МО и противодействию нападениям на сети ЭВМ. Мероприятия по защите сетей КНШ включает во все оперативные и долгосрочные планы боевой подготовки.
Руководством МО отдельно рассмотрены вопросы, реализованные директоратом коммуникационных и компьютерных систем и систем управления, контроля объединенного штаба (Command, Control, Communications & Computer Systems Directorate, J-6). Отмечается, что это подразделение полностью укомплектовано и готово к выполнению инструкции CJCSI 6510.01C по определению минимума информационной безопасности (по 55 параметрам), требуемого для подразделений, служб и агентств министерства обороны. На сегодняшний момент в директорате J-6 объединены несколько оперативных рабочих групп, занимающихся проблемой информационной безопасности в рамках одного комитета, который подотчетен военной коллегии по электронике и коммуникациям МСЕВ (Military Communications-Electronics Board). Работа комитета привела к существенному сокращению уязвимости мобильного программного кода (на основе Интернет-технологий ActiveX и Java) в ИС МО США.
Совместно с другими подразделениями директорат работает над формализацией метрики боеготовности в части информационной безопасности и ее включения в ежемесячное объединенное сообщение о готовности (Joint Monthly Readiness Report), которое объединяет данные об информационной безопасности, переданные в сообщениях боевых расчетов дежурных смен.
В сухопутных войсках имеется программа усовершенствования безопасности сети, в рамках которой создана инфраструктура групп реагирования на компьютерные инциденты (ACERT). Эти группы принимают все сообщения о вторжении и поддерживают пользователей во всем мире в вопросах обеспечения необходимой защиты и возможных вариантов ответа на нападения на системы и сети.
Директорат J-6 и военная коллегия по электронике и коммуникациям финансировали разработку основных направлений политики применения мобильного программного кода (документ подписан 7 ноября 2000 года). Предполагается, что их реализация уменьшит уязвимость информационных ресурсов министерства от злонамеренных нападений из глобальной сети Интернет. С целью совершенствования этой политики представители J-6 активно сотрудничали с корпорацией <Майкрософт> по выявлению возможной уязвимости мобильного кода и технологий на его основе. МСЕВ также финансировала формирование <Руководства по управлению коммуникационными портами и протоколами>, одобренное исполнительным комитетом МО по вопросам защиты критической инфраструктуры в ноябре 2000 года. Это руководство позволяет сотрудникам министерства обеспечивать безопасность в наиболее уязвимых точках межсетевых соединений. Сотрудники J-6 встречались также с представителями корпорации <Венг> и обсуждали возможное ее участие в работах по PK.I. Будущие планы J-6 включают формирование программ аудита инфраструктуры с целью определить объем работ по обеспечению информационной безопасности, возможный интерфейс как часть глобальной информационной сети, а также зависимость между состоянием критических компонент инфраструктуры и боеготовностью подразделений.
Так как директорат J-6 входит в состав консультативного совета по телекоммуникациям национальной безопасности, он вовлечен в деятельность оперативных групп NSTAC по направлению <распределение информации/защита критической инфраструктуры>. Одна из его приоритетных инициатив заключается в координации действий управления обеспечения безопасности критической инфраструктуры при президенте (President's Critical Infrastructure Assurance Office) с целью достижения положительных результатов в реализации президентской директивы PDD-63 1998 года.
В отчете отмечается, что сухопутные войска являются признанным лидером, объединяющим и координирующим все работы по биометрическим системам обеспечения информационной безопасности для министерства обороны. В 2000 финансовом году был создан отдел биометрического управления ВМО (Biometrics Management Office). Основная его задача состоит в том, чтобы разработать и внедрить стратегию применения биометрических технологий, которые гарантируют безусловный контроль и управление доступом к критической информации и системам вооружения во всех сферах ведения боевых действий.
Центр информационного доминирования сухопутных войск (находится в подчинении командования разведки и безопасности) достиг начального уровня боеспособности 1 октября 2000 года и в настоящее время находится во второй фазе трехэтапного процесса развития. Он обеспечивает сухопутные войска технологиями и инструментами для поддержки совместного планирования, анализа и выполнения информационных операций.
В 2000 году был разработан оперативный план информационной безопасности <Армии XXI века>. Его реализация позволит осуществить защиту критической инфраструктуры путем целостного подхода, сосредоточенного на обеспечении функциональной способности во всем спектре конфликта. Наряду с этим сформирован стратегический план информационной безопасности, ориентированный на поддержку ключевых положений стратегии национальной безопасности США.
Боевые группы временных бригад сухопутных войск (Army's Interim Brigade Combat Teams) и цифровой корпус включили мероприятия по обеспечению информационной безопасности в совокупность своих действий. Сухопутные войска обновили план защиты для систем по программе <Армия XXI века>, в котором определены требования по планированию безопасности и предусмотрено проведение испытаний с целью выявления степени уязвимости этих систем и выработки ключевых решений по их нейтрализации.
Обеспечение информационной безопасности (защита критической инфраструктуры) вошли в установочный курс подготовки высшего командного состава сухопутных войск. В 2001 году планируется провести военно-политические игры по отработке элементов обеспечения информационной безопасности.
Военно-воздушные силы реализовали процесс сертификации продуктов и услуг на пригодность к использованию в сетях (Certificate ofNetworthiness). Прежде чем систему сочтут пригодной и будет выпущен соответствующий сертификат ведущим комитетом по защите инфраструктуры в ВВС США, должно быть проведено испытание оценки степени риска сети, идентифицируются потенциальные проблемы безопасности и ликвидируются выявленные дефициты.
- В 2000 году в ВВС было проведено 41 мероприятие по оценке уязвимости ИС от террористов. При этом использовались интегральная оценка уязвимости объединенного штаба (JSIVA) и команды оценки уязвимости ВВС США. На 2001 год намечено проведение 44 таких мероприятий. Как и в предыдущие годы, в фокусе этих оценок - защита персонала. Однако в будущем информационная безопасность и планирование ответных мероприятий займут важное мест в такого рода проверках.
Штаб ВВС участвовал в разработке объединенной оценки уязвимости. Были согласованы исходные данные по интеграции существующих процессов оценки, численность и состав рабочих групп, а также протоколы обмена такой информацией. ВВС США провело отработку предложенной концепции в полевых условиях на авиабазе Малмстром (штат Монтана).
Корпус морской пехоты разработал базовый набор защиты инфраструктуры сети (Base Network Infrastructure Protection Suite), который в настоящее время проходит полевые испытания.
В ВМС разворачиваются безопасные ИС, которые облегчают работу для всех уровней классификаций информации.
Командование объединенных сил (USJFCOM) утвердило программы по защите ИС, по обучению приемам обеспечения информационной безопасности для компьютерных сетей штабов наряду с проведением контроля по обеспечению информационной безопасности в 19 подчиненных командованиях. Кроме того, оно дополнительно включило игру по обеспечению информационной безопасности в обучающее упражнение объединенного оперативного соединения в координации с группами планирования информационных операций объединенного боевого центра. Обновлены также процедуры информирования об инцидентах в сети ЭВМ, что позволит быстрее уведомлять вышестоящие подразделения об идентифицированных событиях. Установлена периодичность контрольных проверок боеготовности в отношении информационной безопасности для всех пяти объединенных командований.
С 1 июля 2000 года начали эксплуатироваться системы слежения агентства информационных систем министерства обороны за возможными уязвимостями, а также использоваться дополнительные каналы связи для штабов в сети SIPRNET, что позволит автоматически восстановливать системы после сбоев. В 2001 году командование объединенных сил при поддержке DISA планирует установить в своих компьютерных сетях дополнительные серверы безопасности, межсетевые экраны, системы обнаружения вторжения и сканеры уязвимости.
Несмотря на значительный объем проделанной работы, американские эксперты весьма критически оценивают ее эффективность. Некоторые из них полагают, что в итоге уровень информационной безопасности систем МО США увеличился лишь незначительно. Атаки китайских хакеров на компьютерные сети военного ведомства в период кризиса, вызванного инцидентом с разведывательным самолетом ЕР-ЗЕ, оказались достаточно эффективными. По мнению ряда сотрудников администрации США, созданная национальная система информационной безопасности оказалась <слишком тяжеловесной и неповоротливой>. В некоторых случаях процесс доведения информации тормозился в силу бюрократических проволочек, что приводило к негативным последствиям, в других (при появлении нового вида компьютерных вирусов) противоядие не было своевременно найдено ни сотрудниками ACERT, HHJTF-CND. Существенным препятствием в достижении поставленных целей остается нехватка квалифицированного персонала для работы в сфере обеспечения информационной безопасности, о чем свидетельствуют попытки привлечения студентов-компьютерщиков на работу в федеральные ведомства по контрактам в обмен на оплату их обучения в вузах.
Таким образом, цели, провозглашенные национальным планом защиты информационных систем, за минувший год достигнуты лишь частично. При этом выявлен ряд проблем, необходимость решения которых, возможно, приведет к пересмотру некоторых положений как самого плана, так и других концептуальных документов по этой проблеме.