Садердинов А.А. Информационная безопасность предприятия

Подождите немного. Документ загружается.

до 32 источников.

В многопользовательском исполнении число записывае мых ка-

налов ограничено сетевой архитектурой. Для таких си стем воз-

можно создание нескольких дополнительных рабочих мест по о б-

работке и воспроизведению информации. Системы комплектую тся

встроенными накопителями на сменны х дисках, записываемыми

CD для создания долговременного архи ва хранения данных.

Таблица 4

Основные те хнические характеристики комплекса Эхолот.

Операционная система

Т/2000/МЕ/98

Защита от несанкционированного

доступа

Аппаратная/программная

Входное сопротивление канала

1МОм

Частотный диапазон

300 - 3400 Гц

Динамический диапазон, дБ, не менее

Не менее 60

Подключение

Параллельно источнику

Поток записи данных по каналу (при

максимальном сжатии), байт/с

600

Алгоритм сжатия

Любые доступные алгоритмы

Windows

Разделение между каналами

Не менее 60 дБ

Главной особенностью данной системы является совмест ная

работ ее с цифровой системой видеорегистрации, Sivineya, что

позволяет осуществлять успешный аудио- и видеоконтроль объек-

тов. Аппаратное построение системы Эхолот может быть выпол-

нено в двух вариантах: как на базе стандартных ау-диобластеров,

так и в виде одноплатового решения на базе L-card, причем, на

одну плату будет приходиться до 32 каналов, при этом програм м-

ная часть бу дет оставаться неизменной.

Рис. 32. План-схема организации системы аудиорегистрации Эхолот

Основные достоинства системы очевидны: высокое качество

записи аудиосигналов с использованием новейших алгоритмов

сжатия аудиоданных; наличие программно-аппаратного комплекса

для опреде ления как вхо дящих, так и исхо дящих телефонны х но-

меров и факсов; быстрое масштабирование системы и ее стабиль-

ная, не требующая больших ресурсов от системы в целом работа.

Следует также сказать и о том, что Эхолот имеет телефон ный

адаптер на два канала помогающий записывать как городские, так

и внутренние телефонные линии, простой и ин туитивно понятный

интерфейс программы. Система обладает возможностью быстрого

наращивания себя, при этом качество обработки сигналов, оста-

нется неизменно высоким, есть также возможность записи с ис-

пользованием голосового старта и параллельная работа в тандеме с

цифровой системой видеорегистрации «Sivineya™». А такие свой-

ства, как мгновенный доступ к архиву, поиск и возможность со-

хранения для по следующей обработки и анализа аудиофайлов,

«скрытые» версии ПО - обеспечивают конфиденциальность работы

с системой Эхолот.

К настоящему времени разработано достаточное большое число

отечественных и зарубежных програм мно-технических средств

защиты в ИИСУП. Выбор тех или иных из них должен осуществ-

ляться в результате тщательного анализа:

особенностей конкретно го предприятия;

выбранной политики безопасности;

принятого на предприятии характера управления;

возможности использования каких-либо средств, опре-

деляющих степень защиты предприятия;

уровня соответствия выбранных программно-технических

средств документам и рекомендациям, разработанным Гостех-

комиссией при Президенте РФ и другими государственными

органами по защите информации.

9.Система защиты информации в

SAP R/3 [^]

9.1. Служба безопасности SAP R/3 [^]

Система защиты информации в SAP R/3 должна обеспечивать:

аутентификацию (установление подлинности пользова ния), автори-

зацию его (разрешения, по лномочия), целостность, требования сек-

ретности, имеющейся или обрабатывае мой информации; безотказ-

ную работу системы информационного обслуживания, разнообраз-

ные операции по необходимым ревизиям и регистрациям (Рис. 33).

Аутентификация (установление подлиннос ти), авториза ция

(разрешения, полномочия) пользователя производится на уровне

соединения:

- между клиентским местом R3 и системой (сервером при-

ложений ) R3:

SAPgui SAP System (Application Server)

Целостность, секретность обеспечивается на уровне со-

единений:

- между двумя сегментами ЛВС: SAProuter SAProuter

- между внешней программы и системой R3:

Ext. Program SAP System RFC

Ext. Program SAP System CPIC

- между двумя сис темами R3:

SAP System SAP System RFC

SAP System SAP System CPIC

- между системой R3 и внешней не -SAP R3 системой: SAP Sys-

tem Ext. RFC Program RFC

SAP System Ext. CPIC Program CPIC

- между системой R3 и системной печатью:

- SAP System SAPlpd

- между Интернет-системами и системой AP R3:

- ITS SAP System

Регистрация и ревизия осуществляются с помощью Центра

сертификации и контроля системы.

Рис. 33. Структурная схема служб бе зопасности R/3

9.2. Подключение ядра шифрования фирмы

CryptoPro к компонентам mySAP.com через модифи-

цированный MSNC-адаптер [^]

MSNC-адаптер предназначен для подключения ядра шиф-

рования фирмы CryptoPro к компонентам mySAP.com для создания

безопасного соединения между компонентами систе мы. Структур-

ная схема подключения MSNC-адаптера к компонентам my-

SAP.com показана на рис. 34.

Рис. 34. Схема подключения ядра шифрования фирмы CryptoFYo к компоне н-

там mySAP.com компании SAP с помоью MSNC-адаптера

MSNC-адаптер основан на Win32-интерфейсе SSPI Schannel.

Это позволяет использовать в качестве ядра шифро вания любые

средства шифрования, имеющие соответствующий интерфейс.

Именно та ким способом подключается продукт фирмы CryptoPro.

Сам адаптер представляет собой соединение двух независимых

модулей — SNC-wrapper и GSS-библиотека. SNC-wrap-рег — это

библиотека, с помощью которой можно построить SNC-адаптер на

любом GSS-модуле. GSS-модуль - это биб лиотека, реализующая

GSS-интерфейс к функциональности SSPI-Schannel.

К особенностям адаптера следует отнести его распределен ную

архитектуру. По сути его реализация может состоять из дву х ко м-

понент: RPC GSS-клиента и RPC GSS-сервера. Эта особенность

позволяет (с ориентацией на Windows-платформу) подключать ал-

горитмы шифрования к серверам приложе ний SAP R/3 разверну-

тым на Unix-системах.

Однокомпонентная версия MSNC-адаптера может испо ль-

зоваться для подключения к компонентам SAPGUI, SAPLPD, SA-

PROUTER, SAP ITS. Распределенная реализация используется для

активации безопасного сетевого соединения (SNC) на серверах

приложений mySAP.com.

MSNC-адаптер — программное средство защиты информации,

предназначенное для связи распределенных компонентов системы

mySAP.com с ядром шифрования «КриптоП-ро CSP». В качестве

такового он обеспе чивает безопасную сетевую связь между ком-

понентами системы mySAP.com (SAP System, SAPgui, SAProuter,

SAPlpd, ITS, RFC-connections), а также выполнение следующих

функциональных вызовов:

• инициализация MSNC-адаптера;

• создание среды единственного предъявления пар оля;

• обеспечение безопасного контекста;

• безопасность сообщений;

• поддержка сервисных функций.

MSNC-адаптер использует в своей работе средство крипто-

графической защиты, сер тифицированное государственным орга-

ном по защите информации и функционирующее в следу ющих

операционных системах:

• Windows 98,

• Windows 2000,

• Windows NT 4.0.

MSNC-адаптер поддерживает интерфейс Microsoft Security Sup-

port Provider Interface (SSPI) и использует Security Channel (Schan-

nel) для обращения к сервису криптографических функций.

MSNC-адаптер использует та кже Центр Сертификации от-

крытых ключей Х.509 — Microsoft Certification Authority для обес-

печения:

• генерации секретных (256 бит) и открытых (1024 бита) клю-

чей ЭЦП и шифрования;

• формирования секретны х ключей на различны х типах носи-

телей;

• генерации ключей с различными параметрами в соответс твии

с ГОСТ Р 34.10-93 («Информационная техноло гия. Криптогра-

фическая защита информации. Система электронной цифровой

подписи на базе асимметричного криптографического алгорит-

ма.»).

MSNC-адаптер применяются для:

• хеширования данных в соответствии с ГОСТ Р 34.11-93

(«Информационная технология. Криптографическая защита ин-

формации. Функция хэ ширования»);

• шифрования данны х во всех режимах, определенных ГОСТ

28147—89 (« Системы обработки информации. Защита крипто-

графическая»);

• имитозащиты данных в соответствии с ГОСТ 28147-89; фор-

мирования электронной цифровой подписи в соответ ствии с

ГОСТ Р 34.10-93;

• реализации мер защиты от НСД ключевой информации поль-

зователя.

Тестирование MSNC-адаптера и SNC-соединений с ком-

понентами mySAP.com производится по программе тестирова ния

SAP TestPlan. В основу тестирования положена программа SAP

GssTest. Тестирование проводится в наиболее «жестких» режимах -

максимальный диапазон буфера при тестировании функции ши ф-

рования, с включенной опцией симуляции пользовательских ош и-

бок и ошибок приложения.

9.3. Создание центра сертификации Windows 2000 на

базе криптографического ядра фирмы CryptoPro [^]

В этом случае на сервере СА производится инсталляция ПО

Центра Сертификации на базе служб сертификации Windows 2000

Server, (структурная схема его представлена на рис. 35). Центр Се р-

тификации отвечает за выпуск цифровых сертификатов и управле-

ние ими.

Центр Сертификации позволяет решать такие задачи, как:

• обработка запросов на сертификаты (вхо дной моду ль);

• проверка правомочности обращающихся за сертифика том

(модуль политики);

• создание и выпуск сертификатов для запросивших сер-

тификат и прошедших проверку на правомочность (ядро служб

сертификации);

• периодическая публикация списков отозванных серти-

фикатов (выхо дной моду ль);

• сохранение всех транзакций с сертификатами в «следе» ау-

дита (база данных сертифика тов).

Компоненты служб сер тификации должны работать совме стно

с интерфейсом CryptoAPI и криптопровайдером CryptoPRO CSP.

Чтобы стало возможным, производится инсталляция ПО CryptoPro

CSP на сервере СА для обеспечения таких крипто-услуг, как:

Рис. 35. Структурная схема Центра Сертификации на базе криптограф ического

ядра фирмы CryptoFro

авторизация и подтверждение юридической значимости

электронны х документов при обмене ими между пользова-

телями, посредством процедур формирования и проверки

электронной цифровой подписи (ЭЦП) в соответствии с

отечественными стандар тами ГОСТ Р 34.10-94, ГОСТ Р

34.11-94;

соблюдение конфиденциальности и контроль целос тности

информации посредством ее шифрования и имитоза-щиты

в соответствии с ГОСТ 28147-89;

контроль целостности, системного и прикладного про -

граммного обеспечения с целью его защиты от несанкцио-

нированного изменения или от нарушения правильности

его функционирования;

управление ключевыми элементами системы в соо твет-

ствии с регламентом средств защиты.

Основные функции, реализуемые «CryptoPro CSP»:

генерация секретны х (256 бит) и открытых (1024 бита) клю-

чей ЭЦП и шифрования;

формирование секретных ключей на различные типы нос и-

телей;

возможность генерации ключей с различными параметрами в

соответствии с ГОСТ Р 34.10-93 («Информационная техно-

логия.

Криптографическая защита информации. Система элек тронной

цифровой подписи на базе асимметричного крипто графического

алгоритма»);

• хеширование данны х в соответствии с ГОСТ Р 34.11—93

(«Информационная технология. Криптографическая за щита ин-

формации. Функция хэ ширования»);

• шифрование данных во всех режимах, определенных ГОСТ

28147-89 («Системы обработки информации. Защита крипто-

графическая»);

• имитозащита данны х в соответствии с ГОСТ 28147-89; фор-

мирование электронной цифровой по дписи в соответствии с

ГОСТ Р 34.10-93;

• опциональное использование пароля (пин -кода) для до-

полнительной защиты ключевой информации;

• реализация мер защиты от НСД ключевой информации поль-

зователя.

Длина ключей шифрования:

• сессионный ключ для шифрования по ГОСТ 28147-

89-256 бит;

• секретный ключ — 256 бит;

• открытый ключ — 1024 бита.

Типы ключевых носите лей:

• дискета 3,5»;

• процессорные карты MPCOS-EMV и российские ин-

теллектуальные карты (РИК) с использованием считыва теля

смарт карт GemPlus GCR-410;

• таблетки Touch-Memory DS1993 - DS1996 с использо-

ванием устройств Аккорд 4+, электронный замок «Со боль»

или устройство чтения таб леток Touch-Memory DALLAS;

• USB-ключ eToken;

• реестр Windows.

Для обеспечения безопасного трафика (между клиентом и сер-

вером) процесса аутентификации и шифрования производится ин-

сталляция ПО CryptoPro TLS на сервере С А.

«CryptoPro TLS» - это протокол, базирующийся на протоколе

TLS v. 1 и российских стандар тах крипто графической защиты, и

реализованный в Сре дстве Криптографической Защиты Информ а-

ции (СКЗ И). Протокол предназначен для обеспечения криптогр а-

фическими средствами аутентифика ции отправителя (клиента) -

адресата (сервера), контроля целостности и шифрования данных

информационного обмена. Аутентификация опционально может

быть о дносторонней (ау тентификация сервера клиентом), взаимной

(встреч ная аутентификация сервера и клиента) или вообще не ис-

пользоваться.

В механизме защиты реализации протокола « CryptoPro TLS»

применяются криптографические алгоритм ы шифрования в соот-

ветствии с Г ОСТ 28147-89, обмена ключей по алго ритму Диффи-

Хеллмана и хэ ширования в соответствии с ГОСТ Р 34.11-94.

В случае использования клиентом эфемерной пары секрет-

ного/открытого ключей для верификации о ткрытого ключа эф е-

мерной пары применяются алгоритмы выработки и проверки элек-

тронной цифровой подписи в соответствии с ГОСТ Р 34.10-94 или

ГОСТ Р 34.10-2001.

Программное обеспечение «CryptoPro TLS» - э то реализа ция

протокола TLS с использованием криптографических функций

«CryptoPro CSP» для обеспечения процессов:

аутентификации и шифрования трафика между кли

ентом и сервером;

шифрования информации;

контроля целостности информации. Производится также

инсталляция центра сертификации (Windows 2000 + Cryp-

toPro) как корневого изолированного центра сертифика-

ции.

Осуществляется настройка службы сертификатов стандар та

Х.509 на основе шаблонов и в соответствии с политикой.

И, наконец, осуществляется в интересах информационной безо-

пасности проверка работы SNC соединений с испо льзо ванием цен-

тра сертификации.

9.4. Настройка служб безопасности R/3 [^]

Если используется безопасная сетевая связь ( Secure Network

Communications-SNC) и внешняя программа защиты то для на-