52
Для осуществления слежения за неизменностью содержимого
системных файлов в ПО должна быть реализована технология контроля
целостности. Действия этой технологии обязаны основываться на сравнении
настоящих значений контрольных сумм системных файлов и эталонных
показателей, принятых. Эталонные показатели контролируемых файлов
должны рассчитываться:
для программной части, при образовании дистрибутива ПО.
Список модулей ПО, которые должны контролироваться, содержаться в
файле настроек. В результате выполненного расчета в этот же файл обязаны
записываться контрольные значения сумм каждого модуля и контрольная
сумма самого настроечного файла, защищенная особым ключом;
для информационной части, благодаря
программеScIntegrityCtlUtil.exe, вошедшей в комплект поставки
«Континент».
Контроль целостности должен осуществляться:
в автоматическом режиме для программной части, каждые 15
минут работы «Континент» обязаны проверяться контрольные суммы
модулей ПО и контрольная сумма настроечного файла, в котором
зафиксированы эталонные значения контрольных сумм;
в ручном режиме для информационной части, по мере
необходимости. Обязана проверяться целостность правил фильтрации.
Все операции и события, возникающие при проведении процесса
контроля программной части, должны регистрироваться в журнале.
3. Требования к эксплуатационным особенностям СЗИ «Континент»
СЗИ «Континент» должен обеспечивать возможность проведения
регулярного резервного копирования всех компонентов, и содержание
резервных копий на специально-отведённом сервере.
Все приборы системы должны быть подключены к бесперебойному
электропитанию.
53
В комплексе МЭ «Континент» должен быть реализован широкий
функционал самоаудита, результаты аудита всех узлов должны быть в
открытом доступе на интерфейсе.
В системе должна обеспечиваться поддержка функции восстановления
всей информации, находящейся в архиве, при выходе из строя всей БД.
Агент МЭ должен запускаться автоматически при запуске
операционной системы. Чтобы начать работу пользователю нужно войти в
свою учётную запись.
«Континент» должен работать в фоновом режиме.
Сервер управления должен автоматически запускаться после запуска
ОС. Если сервер управления и рабочее место АМР-администратора будут
устанавливаться на одном компьютере, тогда все показатели кроме пароля
должны устанавливаться автоматически.
Основное окно «Континент» должно быть выполнено в
минималистской форме. Оно должно состоять из трех разделов: объекты
защиты, учетные записи и настройки.
В разделе «Объекты защиты» должно реализовываться управление
всеми защищаемыми объектами, задание конфигураций безопасности и
правил доступа к объектам. Чтобы гарантировать защиту компьютера, его
нужно добавлять в список защищаемых объектов. В зависимости от типа
объекта и его состояния должна изменяться его пиктограмма. Чтобы
добавить новый защищаемый объект нужно нажать на команду «Добавить».
После этого необходимо будет при помощи мастера защиты сервера задать
настройки защиты объекта.
4. Квалификационные требования к персоналу
АРМ-Администратор СЗИ «Континент» должен обладать:
навыками работы с ПК под управлением ОС Windows;
определёнными знаниями в сфере IT безопасности;
54
базовые знания по техническим и криптографическим аспектам
обеспечения информационной безопасности;
знаниями и опытом работы с программным обеспечением СЗИ и
уметь благодаря МЭ реализовывать корпоративную политику безопасности в
части, относящейся к обмену данными.
навыки администрирования баз данных.
5. Требования к отказоустойчивости
В АРМ администратора должны предусматриваться специальные
средства, позволяющие сохранить данные о пользователях и правилах
доступа к защищаемым компьютерам в файлы форматов *.csv и *.xml, чтобы
затем загрузить в «Континент» ранее сохранённые данные.
Резервное копирование данных
Для обеспечения отказоустойчивости системы необходимо
предусматривать процедуру резервного копирования информации. Для
резервного копирования данных:
1. Завершить работу АРМ администратора.
2. Вызывать оснастку "Службы" консоли MMC на компьютере, на
котором установлено ПО сервера управления, и остановить работу всех
служб. Наименования служб «Континент» должны начинаться со слов
"Континент …".
3. Открыть каталог установки ПО сервера управления и скопировать на
сетевой или съёмный носитель.
4. Открыть каталог установки ПО сервера обработки событий и
скопировать на сетевой или съёмный носитель.
5. Вызвать оснастку "Службы" консоли MMC и возобновить работу
всех служб «Континент».
3.1.4. Состав и содержание работ по внедрению системы
Все мероприятия проектированию и внедрению «Континент» должны
состоять из следующих этапов:
55
1. Обнаружение и определение защищаемой информации:
Обнаружение конфиденциальных данных и определения места и
формата для содержания конфиденциальной информации.
Выделение информационных потоков конфиденциальной
информации.
Создания модели угроз конфиденциальной информации.
2. Разработка структуры решения по защите конфиденциальной
информации:
Исследование нормативно-регламентной документации
предприятия в области информационной безопасности.
Рассмотрение сетевой архитектуры предприятия и применяемых
СЗИ
Описание работ «Континент».
Написание рекомендаций по повышению общего уровня
защищённости конфиденциальных данных.
3. Установка и конфигурация системы:
Создание рабочей группы Исполнителя и Заказчика,
согласование план-графика работ и т.д.
Поставка и подготовка ПО и лицензии для установки системы
защиты.
Установка системы.
Настройка агента на рабочих станциях.
Испытание системы.
Ввод системы в промышленную эксплуатацию.
Разработка инструкций и необходимых документов по проекту.
4. Сопровождение системы:
Поддержка мероприятий модулей СЗИ на ресурсах предприятия.
Внедрение обновлений в конфигурации систем в случаях
обновления структуры решения.
56
Актуализация политики систем защиты (корректировка работы
систем(ы) и т.д.).
Расследование событий-инцидентов и настройка системы для
выполнения побочных задач.
3.1.5. Ожидаемые результаты
По итогам выполнения всех необходимых работ по проектированию и
реализации СЗИ должны быть выполнены следующие мероприятия:
Средство защиты установлено и правильно функционирует в
штатном режиме;
Осуществляется защита клиент-серверных и многозвенных
ИСПДн;
Реализуется защита информационных системах персональных
данных (ИСПДн) и государственная информационная система (ГИС);
Производится разграничение доступа к файл-серверу на уровне
общих папок;
Выполняются разграничения доступа пользователей к серверам;
Совершается защита терминальных соединений;
Установлена защита имеющихся виртуальных машин.
3.1.6. Требования к видам обеспечения
Требования к лингвистическому обеспечению:
Вся прилагаемая эксплуатационная и техническая документация,
работы с графическим интерфейсом пользователя должна быть выполнена на
английском и русском языках.
Требования к ПО:
Программные компоненты «Континент» должны функционировать на
основе ОС Windows и Linux.
3.1.7. Этапы контроля и приёма работ по внедрению системы
57
Тестированием называется процесс проверки выполнения заданных
функций СЗИ «Континент», а также выявления и устранения недостатков в
ПО и документации.
Чтобы проверить работоспособность заданных функций и приёма
системы в эксплуатацию должны быть реализованы:
- предварительные проверки;
- опытная эксплуатация;
- приёмочные проверки.
Требования к составу проверок определяются в документе «Программа
и методика испытаний», которая должна разрабатываться на этапе
проектирования.
3.1.8. Требования к документированию
В результате выполнения работ по внедрению МЭ «Континент» в
соответствии с объёмами, предусмотренными стадиями, должны быть
разработаны следующие документы:
1. ТЗ на создание системы защиты информации.
2. ОРД по защите персональной информации в составе:
- приказ о границах контролируемой зоны;
- приказ о назначении ответственных лиц;
- положение по обеспечению безопасности;
- приказ о назначении АРМ-администратора «Континент»;
- журнал учёта доступа к системе.
3. Технический проект.
4. Рабочая документация (договоры, акты).
5. Документация по применению системы:
- руководство администратора системы;
- руководство пользователя системы.
Электронное представление документов должно соответствовать
формату редакторов Microsoft Word, Microsoft Visio (*.doc,*.docx,*.vsd).
3.1.9. Требования к поставке
58
К поставке ПО предъявляются следующие требования:
Тестовый срок, внедрения и запуска в эксплуатацию должен
составлять не более 100 рабочих дней;
Поставка ПО после получения предоплаты в размере не более
50% от общей стоимости системы. Окончательный расчет после получения
полного перечня СЗИ на основании договора;
Предоставление развёрнутого календарного плана с детализацией
мер и достигаемыми итогами с указанием стоимости;
Сроки прав предоставления (лицензии) на эксплуатацию системы
не должен быть более 2-х недель со времени получения оплаты по договору.
3.2. Реализация внедрения системы защиты информации на
предприятии
3.2.1. Моделирование работы «Континент»
Для моделирования работы криптошлюза можно рассмотреть такой
сценарий: криптошлюз выполняет работу
Состав и варианты размещения подсистемы управления. Подсистема
управления комплексом состоит из следующих компонентов:
• программа управления ЦУС;
• агент ЦУС и СД;
• программа разработки ключевого носителя для агента ЦУС и СД;
• программа управления СД (если она предусмотрена в комплекте
поставки);
• конфигуратор БД журналов ЦУС и СД;
• программа просмотра журналов ЦУС и СД;
• программа просмотра отчетов ЦУС;
• агент обновлений базы решающих правил СОВ;
• агент Роскомнадзора;
• программа копирования ключей.
59
На рисунке 14 представлен пример организации действующих
локальных сетей до и после подключения КШ:
Рисунок 14 - Пример организации МЭ
Начинать использование комплекса нужно в следующем порядке:
1. Подключение ЦУС.
2. Инсталляция подсистемы управления.
3. Настройка правил фильтрации и показа.
3.2.2. Установка и настройка системы
Для начала установки необходимо произвести подключение
аппаратного средства к локальной сети предприятия. На рисунке 13
представлена схема данного устройства.
60
Рисунок 13 – Схема аппаратного компонента
Далее перейдем к установке комплекса:
Шаг 1. Проверка укомплектованности
1. Сверка комплекта с продуктом, указанным в техническом паспорте.
2. Визуальный осмотр комплектующих на отсутствие повреждений.
Шаг 2. Подготовка требуемой аппаратуры
1. Необходимо обеспечить наличие нужной аппаратуры в соответствии
с предъявленными ниже требованиями.
2. Проверка работоспособность аппаратуры.
3. Инсталляция необходимого ПО и анализ его работоспособности.
Шаг 3. Сбор нужных сведений
Необходимо получить требуемые данные у провайдера или
подготовить данные самостоятельно на основе топологии КИС и
корпоративной политики информационной безопасности. Нужные исходные
данные представлены для каждого сценария ввода комплекса в
эксплуатацию.
61
Этап 1. Подключение ЦУС
1. Нужно получить у провайдера два IP-адреса: один для ЦУС и один
для маршрутизатора по умолчанию. Примечание. На рисунке 1 это IP-адрес
182.22.120.25 для ЦУС и IP-адрес 182.22.120.1 для маршрутизатора по
умолчанию.
2. Необходимо инициализировать ЦУС:
подготовить к инициализации;
настроить сетевые интерфейсы этого КШ;
загрузить исходную ключевую информацию;
создать идентификатор администратора комплекса;
настроить дополнительные параметры;
выполнить подключение к сети.
При настройке интерфейсов указывают подключаемые к ним сети.
Нужно запомнить или записать, какой интерфейс, к какой сети необходимо
подключить.
Во время установки нужно указывать следующие значения параметров
– имя интерфейса, внешний сетевой адрес, маска сети, имя внутреннего
интерфейса, внутренний сетевой адрес, маска сети и автоматизированный
комплекс.
3. Нужно подключить ЦУС к сети, как указано на рисунке 1 выше.
Результат :
Работающий ЦУС.
Идентификатор и пароль администратора комплекса на USB-
флешнакопителе.
Шаг 2. Инсталляция подсистемы управления