Еще раз о базисе и надстройке



Скачать 108.65 Kb.
Pdf просмотр
Дата28.12.2016
Размер108.65 Kb.
Просмотров185
Скачиваний0

www.accord.ru
www.accord.ru
ЕЩЕ РАЗ О БАЗИСЕ И НАДСТРОЙКЕ
Семейство СЗИ НСД АККОРД
ТМ давно и прочно ассоциируется с материалистической философией защиты информации. Сегодня вопрос о том, что первично – hard или soft? – можно задать уже только в шутку. Значительная часть предприятий и организаций, в которых необходимость обеспечения защищенности информации осознана как одно из определяющих условий успешного функционирования, используют Аккорды, или планируют их использовать и уже делают определенные шаги в этом направлении.
Выбор сделан – базис может быть только
материальным

(аппаратным) и должен быть
надежным
(Аккорд).
Но со студенческой скамьи мы знаем –
базис
рождает
надстройку
И сейчас уже очевидно, что по мере движения к информационному обществу и, соответственно, усложнения автоматизированных систем все востребованнее становится надстройка нашего базиса – специальное программное обеспечение для комплексов Аккорд, позволяющее организовать надежную и эффективную систему защиты информации. Не только новые партнеры, но и те, кто уже давно и успешно использует в
работе Аккорд-АМДЗ
1
(Аппаратный Модуль Доверенной Загрузки), осознают, что использовать его
только
для обеспечения доверенной загрузки на современном этапе уже просто не рационально –
ведь мы предлагаем
существенно более
широкий спектр возможностей
Итак, для всех, кем осознана необходимость построения целостной системы защиты информации, коротко обрисуем, что могут предложить для этого материалисты ОКБ САПР.
I. БАЗИС
Аккорд-АМДЗ
Вкратце напомним самое главное.
СЗИ НСД Аккорд-АМДЗ
– это аппаратный модуль доверенной загрузки для IBM- совместимых ПК – серверов и рабочих станций
1
Права на товарный знак АМДЗ, согласно свидетельству №277792, принадлежат ОКБ САПР.
АККОРД. I. Базис
АККОРД. I. Базис

www.accord.ru
www.accord.ru
локальной сети, обеспечивающий защиту устройств и информационных ресурсов от несанкционированного доступа.
«
Доверенная загрузка
» – это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК
(с использованием механизма пошагового контроля целостности) и аппаратной идентификации /
аутентификации пользователя.
Иными словами, это загрузка строго определенной, не измененной ОС
и только в том случае, если подтверждено, что в компьютере не произошло никаких несанкционированных изменений
(на аппаратном уровне и в критичной части приложений) и что включает его именно тот пользователь
,
который имеет право на нем работать именно в это время
Комплекс начинает работу сразу после выполнения штатного BIOS компьютера – до загрузки операционной системы, и обеспечивает доверенную загрузку ОС, работающих с файловыми системами
FAT 12, FAT 16, FAT 32, NTFS, HPFS, EXT2FS, EXT3FS, FreeBSD, Sol86FS, QNXFS, MINIX
Это, в частности, ОС семейств
MS DOS, Windows (Windows 9x, Windows ME, Windows NT,
Windows 2000, Windows XP, Windows 2003, Windows Vista), QNX, OS/2, UNIX, LINUX, BSD
и др.
Важно иметь в виду, что на процесс загрузки операционных систем семейства Windows влияют не только системные файлы, но и
реестр
. Поэтому контроля файловой системы не достаточно для того,
чтобы убедиться в корректности загрузки этих ОС, необходимо также проконтролировать неизменность
отдельных ветвей реестра. В
Аккорд-АМДЗ для всех ОС
семейства Windows реализована такая возможность.
Аккорд-АМДЗ может быть реализован в
5 вариантах
, что позволяет использовать его на различных с точки зрения шинных интерфейсов машинах:
1.
Аккорд-4.5
(для ПК с шинным интерфейсом ISA),
2. его функциональный аналог в стандарте PC104 –
Аккорд-PC104
,
3. унифицированный контроллер для шинных интерфейсов PCI и PCI-X –
Аккорд-5МХ
,
4. его функциональный аналог в стандарте mini-
PCI –
Аккорд-5МХ mini-PCI
,
5. унифицированный контроллер (PCI, PCI-X)
Аккорд-5.5
(а также версия для PCI-Express –
Аккорд-5.5.e
), имеющий мощную аппаратно реализованную криптографическую подсистему.
Аккорд-4.5
Аккорд-PC104
Аккорд-5MX mini PCI
Аккорд-5MX
АККОРД. I. Базис
АККОРД. I. Базис

www.accord.ru
www.accord.ru
Все контроллеры могут быть оснащены двумя реле блокировки физических каналов (+/- 5V, 300Ма). Через эти реле могут управляться специальные интерфейсные разъемы для FDD и HDD
(IDE) и других устройств. Это дает возможность администратору блокировать отдельным пользователям доступ к внешним
(по отношению к контроллеру) устройствам
, например, к накопителю
FDD, СD-ROM или принтеру.
Контроллер
Аккорд-5.5
допускает установку до 3-х реле и оснащен отдельным реле управления питанием материнской платы (ATX, EATX). Отключения питания происходит в случае,
если за N секунд (интервал, определенный администратором) не начал работу BIOS АМДЗ.
Аккорд-АМДЗ позволяет использовать для идентификации пользователей смарт-карты, устройства iButton, устройства считывания отпечатков пальцев.
Журнал регистрации событий
, который ведется во время каждого сеанса работы пользователя, хранится в энергонезависимой памяти контроллера и доступен только администратору безопасности информации.
Аккорд-5.5
Аккорд-5.5.e

Успешно функционирует Аккорд-АМДЗ в разных конфигурациях
«тонкого клиента»
. Клиентская часть ПО «тонкого клиента» может размещаться непосредственно в контроллере Аккорд. В
стандартной комплектации контроллера
Аккорд-5.5
объем такого ПО может достигать 16 Мбайт, и это значение по отдельному заказу может быть легко увеличено до 1 Гбайта.
Аккорд-5.5
совмещает функции защиты от НСД с криптографическими функциями. В нем аппаратно реализованы алгоритмы шифрования (по ГОСТ Р 28147-89), хеширования (по ГОСТ Р 34.11-94, MD5,
SHA-1), выработки/проверки защитных кодов аутентификации (на основе функции хеширования по
ГОСТ Р 31.11-94) и вычисления/проверки ЭЦП (по ГОСТ Р 34.10-94 и по ГОСТ Р Р 34.10-2001).
Использование программируемой логики (FPGA) позволяет изменять набор реализованных криптоалгоритмов на существующей аппаратной базе без ее изменения.
АККОРД. I. Базис
АККОРД. I. Базис

www.accord.ru
www.accord.ru
II. НАДСТРОЙКА
Итак, реальный базис
Аккорд-АМДЗ
обеспечивает наличие под ногами твердой почвы
– теперь мы знаем, что компьютер – тот самый,
которому мы исходно доверяем, и включен он тем самым пользователем, которому это положено делать. Какова же в этом случае
«общественная надстройка»
, повышающая уровень защиты?
Разумеется, в первую очередь, это
РАЗГРАНИЧЕНИЕ ПРАВ ДОСТУПА К
ДАННЫМ ДЛЯ РАЗЛИЧНЫХ
ПОЛЬЗОВАТЕЛЕЙ ОДНОГО
КОМПЬЮТЕРА
.
Для этого предназначены
Программно-
аппаратные комплексы защиты от НСД к
информации Аккорд-1.95 и Аккорд-NT/2000.

Аккорд-1.95 и Аккорд-NT/2000 – это программно-аппаратные комплексы средств защиты от несанкционированного доступа к ПК и информации как для автономных ПК, так и для ПК, объединенных в локальную сеть.
В основе комплексов – Аккорд-АМДЗ и Подсистема разграничения доступа к информации
Аккорд-1.95
– для операционных систем
MS DOS, Windows 9x, Windows Millenium
, а в
Аккорд-NT/2000
– для
Windows NT, Windows 2000, Windows XP,
Windows 2003, Windows Vista
).
Аккорд-1.95 и Аккорд-NT/2000 наряду с
функциями АМДЗ обеспечивают:
- передачу результатов успешной идентификации/аутентификации в подсистему аудита и операционную систему;
- контроль целостности программ и данных и их защиту от несанкционированных модификаций
;
- создание индивидуальной для каждого пользователя изолированной рабочей программной среды
;
АККОРД. II. Надстрой а. Раз раничение прав дост па
АККОРД. II. Надстрой а. Раз раничение прав дост па

www.accord.ru
www.accord.ru
- запрет запуска неразрешенных программ;
- разграничение доступа пользователей к массивам данных и программам с помощью дискреционного метода контроля доступа
;
- разграничение доступа пользователей и процессов к массивам данных с помощью мандатного метода контроля доступа
;
- управление потоками информации;
- контроль доступа к сетевым ресурсам, USB-устройствам и съемным дискам;
- автоматическое ведение протокола событий
Программное обеспечение комплексов позволяет администратору безопасности информации (АБИ)
описать любую непротиворечивую
политику безопасности
на основе достаточного набора атрибутов.
Комплексы имеют семь атрибутов операций с файлами
(разрешение на открытие файлов только для чтения, разрешение на открытие файлов для записи, разрешение на создание файлов на диске,
разрешение на удаление файлов, разрешение на переименование файлов, видимость файлов, эмуляция разрешения на запись информации в файл), четыре атрибута операций с каталогами
(создание каталогов на диске (или подкаталогов в каталоге, для которого устанавливается атрибут), удаление каталогов на диске (или подкаталогов в каталоге, для которого устанавливается атрибут), разрешение перехода в этот каталог, переименование каталога), два атрибута регистрации
(регистрируются все операции чтения файлов из этого каталога в журнале и регистрируются все операции записи файлов из этого каталога в журнале) и атрибут разрешения на запуск программ

ПО Аккорд-NT/2000 имеет
интерфейс подключения внешних антивирусных модулей
. В
качестве такого модуля может применяться Антивирусное ядро
Vba32
, разработанное фирмой
ВирусБлокАда, или Антивирусное ядро
DrWeb
.
Совместная работа Аккорд-NT/2000 и антивирусного ядра позволяет не только добавить в ПО Аккорд-
NT/2000 новую функцию обнаружения и обезвреживания вредоносных программ (при этом динамически проверяются только те объекты, к которым обращается пользователь), но и
существенно ускорить
работу
за счёт исключения дублирования проверок (проверки производятся одновременно, а не последовательно, соответственно каждый объект проверяется единожды).
Также в Аккорд-NT/2000 реализована возможность
контроля печати на принтерах
, который позволяет протоколировать вывод документов на печать и маркировать эти документы. В качестве маркера может выступать, например, гриф секретности документа, имя пользователя, имя принтера,
имя документа и другая служебная информация.
2
Подробнее об этом см.: Маркс К., Энгельс Ф. Сочинения. 2-е изд-е. Т. 25. Ч. 2. С. 354.
АККОРД. II. Надстрой а. Раз раничение прав дост па
АККОРД. II. Надстрой а. Раз раничение прав дост па

www.accord.ru
www.accord.ru
***
Особенность феномена надстройки состоит в том, что она представляет собой не диффузно организованную сущность, выделить в которой некие сегменты можно лишь условно, а дискретную,
но в то же время системно организованную совокупность отношений.
И разнообразие ее форм связано с разнообразием эмпирических обстоятельств и естественных условий
2
Эмпирические обстоятельства таковы, что сейчас вторую молодость переживают
терминальные решения
. Начав с больших
ЭВМ, пройдя через эру персональных ЭВМ,
информационные технологии вновь возвращаются к идее одного центра обработки и хранения данных.
Суть терминальной сессии осталась прежней:
хранение и обработка данных происходит на сервере
, к пользователю передаются изменения изображения на экране
, от пользователя на сервер передаются нажатия клавиш и манипуляции с мышью

На первый взгляд, работу пользователя в рамках терминальной сессии можно по-прежнему представить так, будто он работает непосредственно на сервере, из которого тянутся
«длинные
провода»
к монитору, клавиатуре и мыши.
Однако в процессе эволюции и терминальные сервера, и терминалы значительно изменились. Это утверждение в равной мере относится как к аппаратной составляющей системы, так и к программной.
Если раньше типичный терминал представлял собой только монитор, клавиатуру и блок соединения с сервером и носил гордое название
«алфавитно-цифровой терминал»
, то сегодня, чаще всего,
«терминальная функция» – это только одна из задач, которая может выполняться на терминале, что вылилось в смену его названия на
«тонкий клиент»
Еще одним следствием эволюции стала миниатюризация серверов. Если раньше в качестве сервера могла выступать только действительно большая ЭВМ, то сейчас ПО терминального сервера может выполняться не только на обычной персоналке, но и даже на ноутбуке.
В рамках концепции «длинных проводов» для обеспечения защищенности достаточно решить традиционные вопросы безопасной обработки данных и дополнительно обеспечить надежную передачу данных от терминального сервера к терминалу. В то время, когда терминал был только «алфавитно- цифровым», такие системы защиты делали терминальные решения действительно надежно защищенными.
АККОРД. II. Надстрой а
АККОРД. II. Надстрой а

www.accord.ru
www.accord.ru
Приход «тонких клиентов» разрушил концепцию «длинных проводов»
. В силу того, что «тонкие клиенты» могут обладать собственной операционной системой, собственным жестким диском,
собственной периферией (дисководом, портами ввода/вывода, USB-разъемами) их уже нельзя представить как просто удаленные от терминального сервера монитор, клавиатуру и мышь. Да и сетевой адаптер из конца «длинного провода» превратился в самостоятельный периферийный элемент.
Очевидно, что для надежной защиты терминальных решений
недостаточно обеспечить защиту
терминального сервера и коммуникаций, нужно еще защищать и «тонкие клиенты»
Защитить «тонкие клиенты» можно двумя способами
:
- использовать навесные средства защиты
, которые обеспечат процедуры идентификации /
аутентификации пользователей и создадут изолированную программную среду на «тонком клиенте»,
- или осознано превратить «тонкий клиент» в «алфавитно-цифровой» терминал
, на аппаратном уровне запретив пользователю делать что-либо, кроме создания терминальной сессии с сервером.
При этом в обоих случаях надо понимать, что
«точечная» защита
«тонких клиентов» – когда терминальный сервер защищен отдельно, а «тонкие клиенты» защищены отдельно – не решает полностью вопроса обеспечения безопасности терминальных решений
. Необходимо обеспечить
взаимосвязь защитных механизмов «тонкого клиента» и терминального сервера
, то есть добиться того, чтобы с терминальным сервером мог работать пользователь только с защищенного «тонкого клиента»
и, наоборот, чтобы пользователь работал только с защищенным терминальным сервером

Для этого в момент создания терминальной сессии со стороны терминального сервера необходимо проверять не только пользователя, но и «тонкий клиент», а со стороны «тонкого клиента» необходимо убедиться в том, что терминальный сервер действительно тот, с которым должен работать пользователь.
Решить такую специфическую задачу, как
ЗАЩИТА ТЕРМИНАЛЬНЫХ РЕШЕНИЙ
, также позволяет
Аккорд-NT/2000 – в режиме TSE (Terminal Server Edition)
Аккорд-NT/2000 V3.0
работает на всей ветви операционных систем (ОС)
Microsoft NT +
, на терминальных серверах, построенных на базе ОС
Windows 2000 Advanced Server и на базе серверов семейства Windows 2003, а также
ПО Citrix Metaframe XP
, работающем на этих ОС.
Комплекс использует собственную систему разграничения доступа
(мандатный и дискреционный методы контроля) и служит фильтром между ядром ОС и расположенным выше прикладным ПО
терминальных служб. Это значит, что
действия, разрешенные прикладным ПО, но запрещенные
Аккордом – будут запрещены пользователю
В предлагаемой системе защиты терминальных сессий комплексы Аккорд, установленные на терминальных серверах и на пользовательских терминалах, взаимодействуют в рамках виртуальных каналов, построенных на протоколах RDP и ICA. Это позволяет использовать уже установленную связь между сервером и терминалом
, а не устанавливать новую.
АККОРД. II. Надстрой а. Защита терминальных решений
АККОРД. II. Надстрой а. Защита терминальных решений

www.accord.ru
www.accord.ru
При этом состав полномочий пользователя инвариантен как к протоколу подключения
, так и к
типу терминального сервера
(Microsoft или Citrix)
Комплекс характеризуется также набором возможностей, добавленных к функциям классической версии Аккорд-NT/2000:
· усиленная аутентификация терминальных станций с помощью контроллера Аккорд или ПСКЗИ
3
ШИПКА (Шифрование, Идентификация,
Подпись, Коды Аутентификации)
4
,
· идентификация/аутентификация пользователей
, подключающихся к терминальному серверу (с использованием ТМ- идентификатора или ПСКЗИ ШИПКА),
· опциональная автоматическая идентификация в системе Windows NT+ и на терминальном сервере пользователей,
аутентифицированных защитными механизмами
3
Персональное средство криптографической защиты информации (ПСКЗИ) – это СКЗИ, предназначенное для использования вне контролируемой зоны, или для которого допускается вынос за пределы контролируемой зоны.
4
Права на товарный знак ШИПКА, согласно свидетельству
№ 240660, принадлежат ОКБ САПР.
контроллера АМДЗ (при таком подходе, избегая повторной идентификации пользователей, можно гарантировать, что ОС будет загружена под именем того же пользователя, который был аутентифицирован в контроллере АМДЗ, и к терминальному серверу подключится тот же самый пользователь).
· управление терминальными сессиями
***
Важнейшая часть надстройки – это,
безусловно, форма отношений, связанная с
управлением
Для
УПРАВЛЕНИЯ ЗАЩИТОЙ
ИНФОРМАЦИИ
мы предлагаем
Подсистему
распределенного аудита и управления
Аккорд-РАУ.
По мере роста объема и сложности автоматизированных систем выполнение функций администратора безопасности
АККОРД. II. Надстрой а. Управление защитой информации
АККОРД. II. Надстрой а. Управление защитой информации

www.accord.ru
www.accord.ru
информации (АБИ) – управление системой безопасности информации организации – становится задачей все более сложной и трудоемкой.
Для автоматизации управления защитой информации в АС предназначена
Подсистема Аккорд-РАУ
Она объединяет Автоматизированное рабочее место администратора безопасности информации
(АРМ АБИ) и рабочие станции, оснащенные СЗИ семейства АККОРД
5
Система управления защитой информации может быть надежной только в том случае, если она построена на базе
защищенного обмена данными
, в противном случае, она лишь увеличивает уязвимость АС. Подсистема Аккорд-РАУ построена на основе специально разработанного нами комплекса
Аккорд-AcXNet
, обеспечивающего защищенный обмен данными по сети, и программного обеспечения
АРМ АБИ
.
Использование ПК с внедренными средствами защиты не требует изменения существующего программного обеспечения.
С помощью АРМ администратор безопасности информации может осуществлять
оперативное наблюдение за работой пользователей и управление их работой в режиме
реального времени, а также удаленное администрирование системы.
5
Оснащенность АРМ АБИ и рабочих станций Аккорд-АМДЗ и ПО Аккорд-1.95 или Аккорд-NT/2000, для серверов – ПО Аккорд-
NT/2000 – является техническим условием применения Подсистемы Аккорд-РАУ, данные компоненты поставляются отдельно!

ОПЕРАТИВНОЕ НАБЛЮДЕНИЕ И УПРАВЛЕНИЕ В РЕЖИМЕ РЕАЛЬНОГО ВРЕМЕНИ
В рамках оперативного наблюдения за работой пользователя можно
- получать информацию о том, кто работает на данной станции, о версии ОС, под управлением которой идет работа, о списке задач, которые выполняются на этой станции в текущий момент времени;
- просматривать все события подсистемы разграничения доступа со всех станций в одном окне
;
- при необходимости детального анализа работы одной станции, получать все поступающие события в отдельное окно
;
- просматривать экран выбранной рабочей станции;
- просматривать диски рабочих станций (до уровня файлов).
При этом администратор безопасности информации может настроить параметры просмотра
журналов,
- выбирая для просмотра только те рабочие станции или только те события
, которые в данный момент представляют особенный интерес;
- оперативно изменяя уровень детальности журнала на рабочих станциях;
Оперативное управление работой пользователя – это возможность
- посылать пользователю сообщения
;
- обмениваться с пользователем файлами
;
АККОРД. II. Надстрой а. Управление защитой информации
АККОРД. II. Надстрой а. Управление защитой информации

www.accord.ru
www.accord.ru
- включать пользователю
Screensaver
, который может быть разблокирован только TM- идентификатором АБИ;
- управлять мышью и клавиатурой рабочих станций;
- перегружать рабочие станции.
УДАЛЕННОЕ АДМИНИСТРИРОВАНИЕ
Централизованный сбор журналов регистрации СЗИ НСД Аккорд подразумевает
- получение журналов подсистемы разграничения доступа с рабочих станций;
- получение журналов контроллеров АМДЗ
с рабочих станций;
- осуществление очистки журналов регистрации.
При этом администратор безопасности
информации может настроить параметры
сбора журналов
- с выбранных рабочих станций;
- с делением по датам сбора.

Работа со списком зарегистрированных рабочих станциях –
- редактирование списка станций на АРМ;
- рассылка обновленного списка по рабочим станциям.
Работа с базами пользователей и файлами конфигурации на рабочих станциях включает –
- получение файлов конфигурации с выбранной станции;
- редактирование и замену файлов конфигурации выбранной станции;
- редактирование базы пользователей рабочих станций на АРМ:
.
удаление пользователей станции или изменение настроек их полномочий,
.
добавление новых пользователей станции и назначение им полномочий;
- синхронизация баз пользователей на рабочих станциях (в том числе, находящиеся в контроллерах)
. сразу после изменения базы или
. в момент начала работы рабочей станции.
Эти возможности не только упрощают работу
АБИ, но и делают ее
значительно эффективнее
АККОРД. II. Надстрой а. Управление защитой информации
АККОРД. II. Надстрой а. Управление защитой информации

www.accord.ru
www.accord.ru
Ведь с точки зрения защиты информации очень важны разного рода «особые случаи».
Например, необходимо дать пользователю временные полномочия. В этом случае нужно особенно внимательно проследить за его действиями, а потом своевременно эти полномочия отменить. Или,
например, уволенному сотруднику необходимо немедленно запретить доступ к компьютеру. Успешное решение таких задач гораздо более вероятно, если можно сделать все это немедленно и прямо со своего рабочего места
, а не бежать к той или иной рабочей станции на другой этаж. Можно не успеть.
Да и остальные текущие задачи пришлось бы пустить на самотек.
***
Итак, мы готовы помочь в соответствии с эмпирическими обстоятельствами и реальными условиями
Вашей работы создать
целостную систему защиты информации
, в которой
базис
и
надстройка
будут взаимосвязаны, взаимообусловлены и непротиворечивы. Ведь со студенческой скамьи и из личного опыта все мы прекрасно знаем, что функционирование надстройки, идущее вразрез с базисом,
может приводить к нежелательным результатам. Еще раз специально заметим – если Ваша реальная ситуация требует формы, которой нет среди предложенных, мы готовы разработать ее для Вас.
Ставьте задачу.
© ОКБ САПР



Поделитесь с Вашими друзьями:


База данных защищена авторским правом ©nethash.ru 2019
обратиться к администрации

войти | регистрация
    Главная страница


загрузить материал