Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности
Подождите немного. Документ загружается.
Клиентская часть системы защиты (как автономный вариант, так и
сетевой) устанавливается на компьютер, содержащий важную информацию,
будь то рабочая станция в сети или какой-либо сервер (в том числе и сервер
безопасности).
Основное назначение клиентской части:
- защита ресурсов компьютера от несанкционированного доступа и
разграничение прав зарегистрированных пользователей;
- регистрация событий, происходящих на рабочей станции или сервере
сети, и передача информации на сервер безопасности;
- выполнение централизованных и децентрализованных управляющих
воздействий администратора безопасности.
Клиенты Secret Net оснащаются средствами аппаратной поддержки
(для идентификации пользователей по электронным идентификаторам и
управления загрузкой с внешних носителей).
Сервер безопасности устанавливается на выделенный компьютер или
контроллер домена и обеспечивает решение следующих задач:
- ведение центральной базы данных (ЦБД) системы защиты,
функционирующей под управлением СУБД Oracle 8.0 Personal Edition и
содержащей информацию, необходимую для работы системы защиты;
- сбор информации о происходящих событиях со всех клиентов Secret Net в
единый журнал регистрации и передача обработанной информации
подсистеме управления;
- взаимодействие с подсистемой управления и передача управляющих
команд администратора на клиентскую часть системы защиты.
Подсистема управления Secret Net устанавливается на рабочем месте
администратора безопасности и предоставляет ему следующие возможности:
- централизованное управление защитными механизмами клиентов Secret
Net;
- контроль всех событий, имеющих отношение к безопасности
информационной системы;
- контроль действий сотрудников в ИС организации и оперативное
реагирование на факты и попытки НСД;
- планирование запуска процедур копирования ЦБД и архивирования
журналов регистрации.
121
Схема управления, реализованная в Secret Net, позволяет управлять
информационной безопасностью в терминах реальной предметной области и
в полной мере обеспечить жесткое разделение полномочий администратора
сети и администратора безопасности.
Система защиты информации Secret Net выпускается в автономном и
сетевом вариантах. Автономный вариант состоит только из клиентской части
и предназначен для обеспечения защиты автономных компьютеров или
рабочих станций и серверов сети, содержащих важную информацию. Сетевой
вариант состоит из клиентской части, подсистемы управления, сервера
безопасности и позволяет реализовать защиту как всех компьютеров сети, так
и только тех рабочих станций и серверов, которые хранят и обрабатывают
важную информацию. Причем в сетевом варианте, благодаря наличию
сервера безопасности и подсистемы управления, будет обеспечено
централизованное управление и контроль работы всех компьютеров, на
которых установлены клиенты Secret Net.
Семейство средств защиты информации Secret Net имеет все
необходимые сертификаты Гостехкомиссии России и Федерального
агентства правительственной связи и информации России.
Система защиты информации Secret Net 4.0 сертифицирована
Гостехкомиссией России по 3 классу защищенности. Это означает, что Secret
Net 4.0 можно применять для защиты информации, содержащей сведения,
составляющие государственную тайну.
8.4.4. Электронный замок «Соболь-РСI»
Предназначен для защиты ресурсов компьютера от
несанкционированного доступа. Электронный замок (ЭЗ) «Соболь-PCI»
сертифицирован Гостехкомиссией России. Сертификат № 457 от 14.05.2000
г. подтверждает соответствие изделия требованиям Руководящего документа
Гостехкомиссии России «Автоматизированные системы. Классификация
автоматизированных систем и требования по защите информации» и
позволяет использовать его при разработке систем защиты для
автоматизированных систем с классом защищенности до 1В включительно.
122
Электронный замок «Соболь» может применяться как устройство,
обеспечивающее защиту автономного компьютера, а также рабочей станции
или сервера, входящих в состав локальной вычислительной сети.
При этом используются следующие механизмы защиты:
идентификация и аутентификация пользователей; регистрация попыток
доступа к ПЭВМ; запрет загрузки ОС со съемных носителей; контроль
целостности программной среды.
Возможности по идентификации и аутентификации пользователей, а
также регистрация попыток доступа к ПЭВМ не зависят от типа
использующейся ОС.
Действие электронного замка «Соболь» состоит в проверке
персонального идентификатора и пароля пользователя при попытке входа в
систему. В случае попытки входа в систему незарегистрированного
пользователя электронный замок регистрирует попытку и осуществляется
аппаратная блокировка до 4 устройств (например: FDD, CD-ROM, ZIP, LPT,
SCSI-порты).
В электронном замке используются идентификаторы Touch Memory
фирмы Dallas Semiconductor. Загрузка операционной системы с жесткого
диска осуществляется только после предъявления зарегистрированного
идентификатора. Служебная информация о регистрации пользователя (имя,
номер присвоенного персонального идентификатора и т.д.) хранится в
энергонезависимой памяти электронного замка. Электронный замок
осуществляет ведение системного журнала, записи которого хранятся в
специальной энергонезависимой памяти.
В системном журнале фиксируется вход пользователей, попытки входа,
попытки НСД и другие события, связанные с безопасностью системы. В нем
хранится следующая информация: дата и время события, имя пользователя и
информация о типе события (например, факт входа пользователя,
введение неправильного пароля, предъявление не зарегистрированного
идентификатора пользователя, превышение числа попыток входа в систему,
другие события).
Таким образом, электронный замок «Соболь» предоставляет
информацию администратору обо всех попытках доступа к ПЭВМ.
Контроль целостности системных областей дисков и наиболее
критичных файлов производится по алгоритму ГОСТ 28147-89 в режиме
123
имитовставки. Администратор имеет возможность задать режим работы
электронного замка, при котором будет блокирован вход пользователей в
систему при нарушении целостности контролируемых файлов. Подсистема
запрета загрузки с гибкого диска и CD диска обеспечивает запрет загрузки
операционной системы с этих съемных носителей для всех пользователей,
кроме администратора. Администратор может разрешить отдельным
пользователям компьютера выполнять загрузку операционной системы со
съемных носителей.
Подсистемы контроля целостности и подсистемы запрета загрузки со
съемных носителей функционируют под управлением следующих ОС: MS
DOS версий 5.0-6.22 (только ЭЗ «Соболь» для стандарта ISA); ОС семейства
Windows'9x (FAT12, FAT 16 или FAT32); Windows NT версий 3.51 и 4.0 с
файловой системой NTFS; Windows 2000 с файловой системой NTFS (только
«Соболь-PCI»); UNFX FreeBCD (только «Соболь-PCI»).
Для настройки электронного замка «Соболь» администратор имеет
возможность определять минимальную длину пароля пользователя,
предельное число неудачных входов пользователя, добавлять и удалять
пользователей, блокировать работу пользователя на компьютере, создавать
резервные копии персональных идентификаторов.
Электронный замок «Соболь» может применяться в составе системы
защиты информации Secret Net для генерации ключей шифрования и
электронно-цифровой подписи. Кроме того, при использовании ЭЗ «Соболь»
в составе Secret Net обеспечивается единое централизованное управление его
возможностями. С помощью подсистемы управления Secret Net админи-
стратор безопасности может управлять статусом персональных
идентификаторов сотрудников: присваивать электронные идентификаторы,
временно блокировать, делать их недействительными, что позволяет
управлять доступом сотрудников к компьютерам автоматизированной
системы организации.
В базовый комплект электронного замка «Соболь-PCI» входит (рис. А6,
А7):
- контроллер «Соболь-PCI»;
- считыватель Touch Memory;
- два идентификатора DS-1992;
- интерфейс для блокировки загрузки с FDD;
124
- интерфейс для блокировки загрузки с CD-ROM;
- программное обеспечение формирования списков контролируемых
программ;
- документация.
Рис. 6. Рис. 7.
8.4.5. Система защиты корпоративной информации Secret Disk Server
Предназначена для защиты
конфиденциальной информации,
корпоративных баз данных (Рис. 8).
Система предназначена для работы в
Windows NT 4.0 Server/Workstation,
поддерживает работу с IDE- и SCSI-дисками,
со всеми типами RAID-массивов.
Защищаемые разделы могут содержать
файловую систему FAT или NTFS.
Рис. 8.
Система не только надежно защищает конфиденциальные данные, но и
скрывает их наличие.
Защита информации осуществляется путем «прозрачного» («на лету»)
шифрования содержимого разделов жесткого диска (логических дисков).
При установке Secret Disk Server выбранные логические диски
зашифровываются. Права доступа к ним для пользователей сети
устанавливаются средствами Windows NT. Шифрование осуществляется
программно системным драйвером ядра (kernel-mode driver).
125
Помимо встроенного алгоритма преобразования данных с длиной
ключа 128 бит, Secret Disk Server позволяет подключать внешние модули
криптографической защиты, например входящий в Windows RC-4 или
эмулятор известной платы «Криптон», реализующей мощнейший
российский алгоритм шифрования ГОСТ 28147-89 с длиной ключа 256 бит.
Скорость шифрования очень высока, поэтому мало кто сможет заметить
небольшое замедление при работе.
Ключи шифрования вводятся в драйвер Secret Disk Server перед
началом работы с защищенными разделами (или при загрузке сервера). Для
этого используются микропроцессорные карточки (смарткарты),
защищенные PIN-кодом. Не зная код, воспользоваться карточкой нельзя. Три
попытки ввода неправильного кода заблокируют карту. При работе сервера
смарткарта не нужна, и ее можно спрятать в надежное место.
Во время работы системы ключи шифрования хранятся в оперативной
памяти сервера и никогда не попадают на диск в файл подкачки (swap file).
Генерация PIN-кода и ключей шифрования производится самим
пользователем. При генерации используется последовательность случайных
чисел, формируемая по траектории движения мыши и временным
характеристикам нажатия произвольных клавиш.
Secret Disk Server имеет открытый интерфейс для подачи сигнала
«тревога» и позволяет подключать различные датчики и устройства контроля
доступа в помещение (датчики открывания дверей, окон, движения,
изменения объема, электронные и кодовые замки).
При подключении защищенных дисков возможен автоматический
запуск необходимых программ и сервисов, перечисленных в
конфигурационном файле.
После перезагрузки сервера без предъявления смарткарты или попытки
чтения дисков на другом компьютере, защищенные разделы будут «видны»
как неформатированные области, прочитать которые нельзя. При
возникновении опасности можно мгновенно «уничтожить» информацию,
сделав защищенные разделы «невидимыми». В поставку входит
установочный CD диск, универсальное устройство для работы со
смарткартами (внешнее), комплект кабелей, специальная плата Hardlock,
документация на русском языке, 3 смарткарты.
126
8.4.6. Система защиты конфиденциальной информации Secret Disk
Secret Disk – система защиты конфиденциальной информации для
широкого круга пользователей компьютеров: руководителей, менеджеров,
бухгалтеров, аудиторов, адвокатов и др.
При установке системы Secret Disk в компьютере появляется новый
виртуальный логический диск (один или несколько). Все, что на него
записывается, автоматически шифруется, а при чтении расшифровывается.
Содержимое этого логического диска находится в специальном контейнере
— зашифрованном файле. Файл секретного диска может находиться на
жестком диске компьютера, на сервере, на съемных носителях типа Zip, Jaz,
CD-ROM или магнитооптике.
Secret Disk обеспечивает защиту данных даже в случае изъятия такого
диска или самого компьютера. Использование секретного диска равносильно
встраиванию функций шифрования во все запускаемые приложения.
Подключение секретного диска и работа с зашифрованными данными
возможны только после аппаратной аутентификации пользователя ввода и
правильного пароля. Для аутентификации используется электронный
идентификатор – смарткарта, электронный ключ или брелок.
После подключения секретного диска он становится «виден»
операционной системе Windows как еще один жесткий диск, а записанные
на нем файлы доступны любым программам.
Не имея электронного идентификатора и не зная пароля, подключить
секретный диск нельзя – для посторонних он останется просто
зашифрованным файлом с произвольным именем (например, game.exe или
girl.tif).
Как любой физический диск, защищенный диск может быть
предоставлен для совместного использования в локальной сети. После
отключения диска все записанные на нем файлы и программы сделаются
недоступными.
Перечень основных характеристик:
1. Защита конфиденциальных данных с помощью профессиональных
алгоритмов шифрования (возможность подключения внешних
криптографических библиотек).
2. Генерация ключей шифрования самим пользователем.
127
3. Аппаратная аутентификация пользователя посредством электронных
брелоков, смарт-карт, PCMCIA-карт или электронных ключей.
4. Двойная защита. Каждый секретный диск защищен личным электронным
идентификатором пользователя и паролем доступа к этому диску.
5. Работа с зашифрованными архивами. Информацию можно сжать и
зашифровать как для себя (с использованием электронного идентификатора),
так и для защищенного обмена с коллегами (с паролем).
6. Блокировка компьютера Secret Disk позволяет гасить экран и блокировать
клавиатуру при отключении электронного идентификатора, при нажатии
заданной комбинации клавиш или длительной неактивности пользователя.
При блокировании системы секретные диски не отключаются, запущенные
приложения, использующие защищенные данные, продолжают нормально
работать, работа других пользователей, которым предоставлен совместный
доступ к секретному диску в сети, не нарушается.
7. Режим работы под принуждением. В критической ситуации можно ввести
специальный аварийный пароль. При этом система на некоторое время
подключит диск, уничтожив личный ключ шифрования в электронном
идентификаторе (что сделает невозможным доступ к диску в будущем), а
затем сымитирует одну из известных ошибок Windows.
8. Возможность восстановления данных при утере (или намеренной порче)
электронного идентификатора или утрате пароля.
9. Простой и удобный пользовательский интерфейс.
10. Различия по алгоритмам шифрования (в зависимости от потребностей,
может использоваться один из встроенных алгоритмов):
- встроенный алгоритм кодирования с длиной ключа 128 бит;
- криптографический алгоритм RC4 с длиной ключа 40 бит, встроенный в
Windows 95, 98 (для неамериканской версии);
- криптографический алгоритм ГОСТ 28147-89 с длиной ключа 256 бит
(программный эмулятор платы «Криптон» или плата «Криптон»).
11. Плата «Криптон» сертифицирована для защиты государственной тайны,
поставляется по отдельному запросу фирмой АНКАД.
12. Версия с аппаратной защитой от начальной загрузки компьютера
(DeLuxe) поставляется по отдельным соглашениям.
128
8.4.7. Программно-аппаратный комплекс средств защиты
«Аккорд-АМДЗ»
Предназначен для применения на IBM-совместимых ПЭВМ (рабочих
станциях ЛВС) в целях их защиты от несанкционированного доступа :
идентификации, аутентификации пользователей, регистрации их действий;
контроля целостности технических и программный средств(файлов общего,
прикладного ПО и данных) ПЭВМ(PC); обеспечения режима доверенной
загрузки в различных операционных средах (MS DOS, Windows 9x, Windows
Millenium, Winder-NT, Windows 2000, OS/2, UNIX), а такс; любых других ОС,
использующих файловые системы FAT 12, FAT 16, FAT 32, NTFS HPFS,
FreeBSD, Linux EXT2FS, при многопользовательском режиме эксплуатации
ПЭВМ (рабочих станций ЛВС).
Комплекс представляет собой совокупность технических и
программных средств, обеспечивающих выполнение основных функций
защиты от НСД ПЭВМ (PC) на основе применения персональных
идентификаторов пользователей; парольного механизма; блокировки
загрузки операционной системы со съемных носителей информации;
контроля целостности технических средств и программных средств (файлов
общего, прикладного ПО и данных) ПЭВМ (PC); обеспечения режима
доверенной загрузки установленных в ПЭВМ (PC) операционных систем.
Программная часть комплекса, включая средства идентификации и
аутентификации, средства контроля целостности технических и программных
средств ПЭВМ (PC), средства регистрации действий пользователей, а также
средства администрирования (настройки встроенного ПО) и аудита (работы с
регистрационным журналом) размещается в энергонезависимой памяти
(ЭНП) контроллера при изготовлении комплекса.
Доступ к средствам администрирования и аудита комплекса
предоставляется только администратору БИ.
Идентификация и аутентификация пользователей, контроль
целостности технических и программных средств ПЭВМ (PC) выполняются
контроллером комплекса до загрузки операционной системы, установленной
в ПЭВМ (PC). При модификации системного ПО замена контроллера не
требуется. При этом обеспечивается поддержка специального режима
программирования контроллера без снижения уровня защиты.
129
Комплекс обеспечивает выполнение основных функций защиты от
НСД как в составе локальной ПЭВМ, так и на рабочих станциях ЛВС в
составе комплексной системы защиты от НСД ЛВС, в том числе настройку,
контроль функционирования и управление комплексом.
Основные характеристики:
1. Защита ресурсов ПЭВМ (PC) от лиц, не допущенных к работе на ней,
идентификацией пользователей ПЭВМ (PC) по персональным
идентификаторам DS 199х – до загрузки операционной системы (ОС).
2. Аутентификация пользователей ПЭВМ (PC) по паролю длиной до 12
символов, вводимому с клавиатуры (длину пароля устанавливает
администратор БИ при регистрации пользователя), с защитой от раскрытия
пароля – до загрузки операционной системы (ОС).
3. Блокировка загрузки с отчуждаемых носителей.
4. Контроль целостности технических, программных средств, условно-
постоянной информации ПЭВМ (PC) до загрузки ОС с реализацией
пошагового алгоритма контроля. Этим обеспечивается защита от внедрения
разрушающих программных воздействий (РПВ).
5. Доверенная загрузка системного и прикладного ПО при одновременной
установке на дисках или в разделах диска ПЭВМ (PC) нескольких ОС.
6. Поддержка файловых систем FAT12, FAT16, FAT32, NTFS, HPFS,
FreeBSd, Linux EXT2FS.
7. Регистрация на ПЭВМ (PC) до 16 пользователей.
8. Регистрация контролируемых событий в системном журнале,
размещенном в энергонезависимой памяти контроллера.
9. Возможность физической коммутации управляющих сигналов
периферийных устройств в зависимости от уровня полномочий пользователя,
позволяющей управлять вводом/выводом информации на отчуждаемые
физические носители и устройства обработки данных.
10. Администрирование встроенного ПО комплекса (регистрация
пользователей и персональных идентификаторов, назначение файлов для
контроля целостности, контроль аппаратной части ПЭВМ (PC), просмотр
системного журнала).
11. Контроль целостности программ и данных, их защита от
несанкционированной модификации.
130