Компьютер-Информ || Архив || Рубрики || Поиск || Подписка || Работа || О "КИ" || Карта
Владимир Зима, Николай Кочетов. компания Эврика
Тел/факс (812) 327-3343, 327-3342
Исходное положение, ставшее причиной появления как этой статьи, так и разработок, в ней описанных, следующее: создание полноценной системы защиты информации стало актуальной задачей для многих компаний и организаций. Не станем углубляться в объяснение причин, но c развитием информационных технологий, в том числе и технологий защиты информации, уязвимость компьютерных систем не только не уменьшается, но постоянно возрастает.
Как показывает практика, в этих условиях необходимый уровень защищенности информации можно обеспечить только благодаря комплексному подходу к построению системы информационно-компьютерной безопасности. Настоящая статья освещает решения специалистов компании ╚Эврика╩ в области создания комплексных систем защиты информации. ╚Эврика╩ обладает значительным опытом в реализации подобных систем, ведет ряд инициативных исследований в этой области, специалистами компании разработан универсальный подход к созданию комплексных решений защиты информации.
Выступая в роли системного интегратора, компания ╚Эврика╩ производит и поставляет защищенные автоматизированные системы, интегрирующие в себе серверы и рабочие станции собственного производства, современные операционные системы (ОС), системы управления БД, а также специализированные средства защиты информации.
Сотрудничество в области построения защищенных автоматизированных систем с такими компаниями, как ╚Информзащита╩ и ╚ИнфоКрипт╩ (Москва), ╚Конфидент╩, ╚Спектр╩, ╚НИИ РТК╩ (Санкт-Петербург) позволяет компании ╚Эврика╩ объединять лучшие решения в области информационной безопасности. Постоянный анализ потребностей заказчиков в средствах защиты, адаптированных к использованию в действующих информационных системах позволяет специалистам создавать оптимальные решения, в том числе с финансовой точки зрения для каждого конкретного случая.
Дальнейший материал описывает разработанный в компании ╚Эврика╩ комплекс защиты информации, полностью прошедший испытания на развернутом в лаборатории стенде тестирования (рис.1) и готовый к промышленному применению.
Комплекс обеспечивает защиту информации в корпоративных системах от любого материального, морального или иного ущерба, который может быть нанесен преднамеренно или случайно. В задачи комплекса входит:
Защищенная автоматизированная система построена на основе программно-аппаратного комплекса ╚АккордСеть-NDS╩. Этот программно-аппаратный комплекс, разработанный фирмами ╚ОКБ САПР╩ и ╚ИнфоКрипт╩, сертифицирован на соответствие требованиям Руководящих Документов Гостехкомиссии России ╚АС. Защита от несанкционированного доступа к информации. Классификация АС и требования по защите информации╩ для класса ╚1В╩ и ╚Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации╩ для 4 класса защищенности.
Согласно этому сертификату комплекс ╚АккордСеть-NDS╩ обеспечивает защиту сетевых ресурсов в гетерогенных вычислительных сетях с ОС NetWare 4.11, IntranetWare, NetWare 4.2, NetWare 5, Windows NT Server 4.0, HP-UX 10.20, HP-UX 10.30, Sun Solaris 2.6, Sun Solaris 7, Linux, NCR UNIX SVR4 MP-RAS v 3.0. Наличие у средств защиты информации сертификата по классу защищенности ╚1В╩ считается необходимым условием для применения их во многих государственных и коммерческих учреждениях России. Основными заказчиками комплекса ╚АккордСеть-NDS╩ в России являются: Центральный банк России, Внешэкономбанк, Сбербанк, центральные государственные учреждения, а также учреждения правительства Москвы.
Работа комплекса ╚АккордСеть-NDS╩ основана на использовании и усилении защитных функций сетевой ОС Novell NetWare 5 и службы единого каталога фирмы Novell (Novell Directory Services √ NDS). Выбор NDS, как основы защиты систем коллективного пользования, обусловлен тем, что на сегодня это единственное средство управления и защиты сетевых ресурсов, объединяющее многие сетевые платформы на едином фундаменте. Для защиты сетей, не содержащих серверов NetWare, устанавливается сервер безопасности комплекса (как правило, достаточно одного такого сервера или серверного кластера), функционирующий в среде NetWare 5. Он становится одним из основных звеньев системы защиты сетевых ресурсов.
Программно-аппаратный комплекс ╚АккордСеть-NDS╩ позволяет постепенно наращивать средства защиты, не требует их обязательной установки на все компьютеры сети. Кроме того, программная часть комплекса использует только системные и прикладные интерфейсы сетевых ОС без применения процедур дезассемблирования и ╚врезания╩. Благодаря этому исключается необходимость обновлять версии ╚АккордСеть-NDS╩ при установке в сети Service Pack(ов), Support Pack(ов) и прочих ╚заплаток╩ от изготовителей сетевых ОС. Следовательно, стоимость поддержки комплекса значительно снижается, а сама поддержка не требует вмешательства высококвалифицированных программистов.
Использование программно-аппаратного комплекса ╚АккордСеть-NDS╩ совместно со средствами обеспечения безопасности, входящими в состав Novell Netware 5 позволяет создать надежную многоуровневую защиту компьютерных ресурсов (см. рис. 2):
Защита на уровне аппаратных средств рабочих станций и серверов реализуется с помощью аппаратного модуля доверенной загрузки √ ╚Аккорд-АМДЗ╩, устанавливаемого на каждый защищаемый компьютер сети. Здесь под доверенной загрузкой понимается загрузка различных ОС только после проведения процедур аутентификации пользователей и контроля эталонного состояния рабочей среды. ╚Аккорд-АМДЗ╩ обладает следующими особенностями:
В случае неудачных попыток аутентификации и нарушении эталонного состояния рабочей среды загрузка ОС блокируется, и злоумышленник будет остановлен уже на первом уровне защиты компьютерных ресурсов.
Второй уровень защиты может быть реализован одним из следующих способов:
В первом случае создается замкнутое интерфейсное окружение, где пользователь получает доступ только к тем программам и элементам интерфейса, которые разрешены администратором.
Более высокой степени защиты на втором уровне можно достичь с помощью программного комплекса ╚Рубеж╩, разработанного фирмой ╚ИнфоКрипт╩. Этот комплекс, представляющий собой программную систему защиты локальных ресурсов в средах Windows 95/98/NT выполняет следующие функции:
Защита на уровне сетевых компьютерных ресурсов обеспечивается использованием клиент-серверных частей комплекса ╚АккордСеть-NDS╩, защитных функций сетевой ОС Novell NetWare 5 и NDS. Главными функциями защиты на данном уровне являются:
Защищаемые сетевые ресурсы (пользователи, тома, принтеры и т. д.) размещаются в отдельных разделах деревьев единого каталога. После этого защита указанных сетевых ресурсов реализуется как защита разделов NDS. Как правило, эти разделы соответствуют группам пользователей функциональных подразделений организации. В каждом функциональном подразделении системами защиты управляют администраторы информационной безопасности (администратор БИ), которым в ╚АккордСеть-NDS╩ предусмотрено рабочее место ≈ консоль администратора безопасности.
После установки комплекса ╚АккордСеть-NDS╩ пользователи входят в сеть и получают доступ к назначенным им сетевым ресурсам (включая БД UNIX-серверов и NT-серверов) через вызов процедур усиленной аутентификации в NDS.
Попытки несанкционированного доступа (НСД) к сетевым ресурсам вызывают разрыв сетевого соединения и блокирование рабочей станции, с которой эта попытка осуществлялась. Сообщение о попытке НСД в режиме реального времени поступает на консоль администратора безопасности и фиксируется в сетевом журнале NDS. Доступ к сетевому журналу NDS имеет только специально назначенный аудитор.
Управление системой защиты возможно с одной или нескольких консолей администратора безопасности и предусматривает выполнение следующих функций:
Для проверки заявленных возможностей программно-аппаратного комплекса защиты ╚Аккорд-Сеть-NDS╩ авторизованный партнер фирмы ╚ИнфоКрипт╩ ≈ компания ╚Эврика╩ создала экспериментальный стенд (см. рис. 1).
Тестирование подсистемы информационно-компьютерной безопасности с программно-аппаратным комплексом ╚АккордСеть-NDS╩ выполнялась на основе требований руководящих документов Гостехкомиссии России:
Процесс комплексного тестирования включал две фазы проверок:
1) статическое тестирование:
2) динамическое тестирование:
Выполненные проверки показали, что защищенные автоматизированные системы, построенные на основе Novell Netware 5, службы единого каталога NDS и программно-аппаратного комплекса ╚АккордСеть-NDS╩, обеспечивают надежную защиту компьютерных ресурсов и конфиденциальной информации.
1. Анализ физической и логической архитектуры защищаемой компьютерной системы, а также используемых схем автоматизированной обработки информации. Анализу должны подлежать: аппаратные средства и их конфигурация; ПО и схема распределения его компонентов между узлами сети; протоколы взаимодействия и сетевой трафик; технология использования мобильных программ; согласованность аппаратной и программной конфигурации узлов сети; подсистемы защиты информации на различных уровнях программно-аппаратных средств.
2. Выявление на основе проведенного анализа уязвимых элементов, которые могут стать средством реализации угроз информации. Должны быть выявлены уязвимые элементы: аппаратных средств и каналов связи; ОС; используемых систем управления БД; прикладного ПО; сетевых программных средств; подсистем информационно-компьютерной безопасности.
3. Определение, анализ и классификация всех возможных угроз информации в компьютерных системах. Особое внимание необходимо обратить на угрозы: хищения и подлога информации; нарушений физической и логической целостности данных; нарушений работоспособности компьютерных систем; проявления ошибок; нарушений безопасности сетевого взаимодействия; несанкционированного изменения состава компьютерной системы и ее компонентов; хищения носителей информации; нарушений системы электроснабжения.
4. Оценка текущего уровня информационно-компьютерной безопасности и определение риска. Здесь важны следующие стадии: оценка ценностей; определение вероятности и прогнозирование частоты проявления угроз на основе накопленной статистики и условий эксплуатации компьютерных сетей; прогнозирование вероятности воздействий на компьютерные ресурсы; оценка объема потенциальных потерь при возможной реализации угроз; непосредственное вычисление риска и выработка рекомендаций по его снижению до приемлемого уровня.
5. Разработка политики безопасности как совокупности концептуальных решений, направленных на эффективную защиту информации и ассоциированных с ней ресурсов. Политика безопасности должна определять: стратегические цели защиты и требования к защищаемой информации; концепцию защиты от реализации преднамеренных угроз; концепцию защиты от реализации случайных угроз; организационную структуру и функции службы информационно-компьютерной безопасности; совокупность организационных мероприятий по созданию условий безопасной обработки информации; меры ответственности и должностные обязанности сотрудников организации по защите информации.
6. Формирование полного перечня детальных требований к подсистемам информационно-компьютерной безопасности в соответствии с необходимыми классами защищенности. Должны быть выработаны требования к подсистемам: аутентификации и разграничения доступа к компьютерным ресурсам; защиты от вирусоподобных программ; криптографической защиты и контроля эталонного состояния рабочей среды; резервирования информации и восстановления работоспособности компьютерных средств; регистрации и сигнализации; обеспечения безопасности сетевого взаимодействия.
7. Непосредственная разработка системы информационно-компьютерной безопасности с учетом всех предъявленных требований и влияющих на защиту факторов. Здесь важны следующие стадии: формирование детальных спецификаций; выбор сертифицированных средств защиты информации и обоснование принятых решений; проектирование уникальных подсистем, не содержащих концептуальных недоработок; проектирование комплексных систем защиты информации для рабочих станций, серверов, а также компьютерных сетей в целом; интеграция подсистем информационно-компьютерной безопасности, их комплексная настройка и проверка работоспособности.
Для поддержания актуальности системы защиты информации предусматривается проверка соблюдения всех норм по обеспечению информационно-компьютерной безопасности и контроль правильности функционирования средств защиты. Такая проверка включает: проверку систем защиты на соответствие руководящим и нормативным документам в области информационно-компьютерной безопасности; тестирование компонентов защиты на правильность реагирования при моделировании процесса реализации возможных угроз; комплексный контроль работоспособности систем безопасности при моделировании нарушений работоспособности отдельных элементов компьютерных систем; проверку на отсутствие ошибок администрирования и конфигурирования; проверку на наличие своевременных обновлений средств защиты; анализ политики формирования и использования эталонной информации (ключей, паролей и др.); контроль правил корректного использования средств защиты в зависимости от их состава и назначения; сертификацию используемых (разработанных) средств информационно-компьютерной безопасности.
КОМПЬЮТЕР-ИНФОРМ Анкета || Рубрики || Работа || Услуги || Поиск || Архив || Дни рождения
О "КИ" || График выхода || Карта сайта || Подписка
Главная страница
Сайт газеты "Компьютер-Информ" является зарегистрированным электронным СМИ.
Свидетельство Эл ╧ 77-4461 от 2 апреля 2021 г.
Перепечатка материалов без письменного согласия редакции запрещена.
При использовании материалов газеты в Интернет гиперссылка обязательна.
Телефон редакции (812) 118-6666, 118-6555.
Адрес: 196084, СПб, ул. Коли Томчака, д. 9
e-mail:
Для пресс-релизов и новостей