52
«Застава» – персональный клиент;
«Застава» – корпоративный клиент;
центр управления
итог
«Застава»;
«Застава» – сервер;
«Застава» – офис;
персональный центр сертификации
семь
«Застава»;
корпоративный центр сертификации
семь
«Застава»;
сервер сертификатов «Застава».
«Застава» версии
семь
3.3 для
этап
организации
семь
защищенных каналов связи
использует протокол IPSec. Наличие
опыт
полного
куда
набора
есть
клиент – сервер –
шлюз позволяет строить на
дело
базе «Заставы» разнообразные
факт
VPN-решения
итог
как по
либо
функциональности, так и по
либо
стоимости. При
суть
этом защищенные
факт
каналы могут быть организованы как вне, так и внутри
суть
защищаемой ЛВС.
Надежные
факт
и проработанные
факт
решения
итог
по
либо
управлению ключевой
инфраструктурой, а также
счет
возможность поддержки
курс
закрытых и открытых
соединений и совместимость с VPN-продуктами
тема
других производителей, тоже
счет
делает «Заставу» весьма
один
привлекательным продуктом для
этап
построения
итог
корпоративных VPN различного
куда
масштаба.
VPN-продукты «Застава» не
рост
имеют встроенных криптоалгоритмов, все
криптоалгоритмы носят внешний характер и взаимодействуют с базовым ПО
через специально
чтоб
разработанный криптоинтерфейс. Это
ясно
качество, во-первых,
снимает с данного
куда
ПО экспортно-импортные
факт
ограничения, свойственные
факт
другим VPN-продуктам, а во-вторых, предоставляет пользователю полную
свободу выбора
есть
криптоалгоритма
один
для
этап
построения
итог
своей VPN. При
суть
этом
в рамках одной сети
база
существует возможность построения
итог
единой VPN на
дело
базе нескольких криптоалгоритмов, поскольку «Застава» одновременно
чтоб
может поддерживать работу до 256 криптомодулей. В настоящее
план
время
фонд
«Застава» работает с двумя
фонд
основными
тема
модулями
тема
преобразования
итог
информации: модуль кодирования
итог
информации
семь
фирмы «ЛАН-Крипто»,
реализующий алгоритм «Веста-2М» – отраслевой стандарт газовой
промышленности
база
России
семь
(ГОСТ 51 06 98), и криптомодуль «Cripton-
Emulator» фирмы «АНКАД».
53
Классификация
итог
защищенности: по
либо
3 уровню контроля
этап
для
этап
НДВ и
по
либо
3 классу для
этап
МЭ.
Семейство продуктов ViPNet
ViPNet - программное
цена
решение
опыт
для
этап
организации
семь
виртуальных
частных сетей (VPN) типовых конфигураций - защищенных сетей ViPNet
ViPNet TUNNEL предназначен для
этап
использования
итог
в распределенных
IP-сетях, обеспечивает организацию защищенных каналов связи между
необходимым числом локальных сетей, подключенных к сети
база
Интернет.
В отличие
опыт
от решения
итог
ViPNet TUNNEL в ViPNet OFFICE создание
опыт
и
модификация
итог
защищенной сети
база
производится
сбор
с помощью ViPNet Manager.
ViPNet Manager - это
ясно
облегченная
сеть
версия
итог
программного
куда
обеспечения
итог
ViPNet Администратор, позволяющее
план
простым образом, на
дело
интуитивном
уровне, задавать и изменять структуру защищенной сети
база
ViPNet. Входящий в
состав ViPNet Координатора
есть
и Клиента
тоже
ViPNet Драйвер обеспечивает
надежное
цена
шифрование
опыт
IP-трафика, а также
счет
функции
семь
межсетевого
куда
и
персонального
куда
сетевого
куда
экранов соответственно. В качестве
криптографического
куда
ядра
есть
в программном обеспечении
семь
решения
итог
ViPNet
OFFICE используется
сбор
СКЗИ Домен-К.
Классификация
итог
защищенности: по
либо
3 уровню контроля
этап
для
этап
НДВ и
по
либо
3 классу для
этап
МЭ.
Net-PRO, ЗАО «Сигнал-Ком»
Программный комплекс Net-PRO обеспечивает защиту потоков данных в
различных вариантах: в пределах корпоративной локальной сети, при
суть
взаимодействии
семь
территориально
чтоб
разнесенных локальных сетей одного
куда
предприятия, при
суть
взаимодействии
семь
с удаленными
тема
ресурсами
тема
через сети
база
общего
куда
пользования, при
суть
необходимости
база
организации
семь
безопасной работы
удаленного
куда
пользователя
этап
с корпоративной сетью. Для
этап
аутентификации
семь
и
защиты потоков данных в Net-PRO используется
сбор
модернизированный
протокол Secure Socket Layer (SSL), работающий поверх TCP/IP.
Особенностью реализации
семь
этого
куда
протокола в версии
семь
компании
семь
«Сигнал-Ком» является
сбор
поддержка
быть
нескольких алгоритмов шифрования,
включая
сеть
отечественный ГОСТ 28147-89; предусмотрена
дело
двусторонняя
риск
и
54
односторонняя
риск
аутентификация
итог
на
дело
основе криптографических алгоритмов с
открытым ключом; аутентификация
итог
осуществляется
сбор
с применением
цифровых сертификатов в формате Х.509. Комплекс функционирует под
управлением Windows NT/9x.
«Тропа», АО «Инфосистемы Джет»
«Тропа»- комплекс кодирования
итог
межсетевых потоков. Программный
комплекс представляет собой пример традиционного
куда
VPN между удаленными
тема
локальными
тема
сетями: набор криптошлюзов и компоненты управления.
Программная
сеть
платформа
один
- ОС Solaris. Совместимость с «Заставой-Джет».
Одной из основных целей разработчиков было строгое
цена
следование
опыт
спецификации
семь
IPSec. Абонент защищенной сети
база
может обмениваться
сбор
данными
тема
с любым другим абонентом сети, причем кодирование
опыт
передаваемых данных, как для
этап
абонентов, так и для
этап
используемого
куда
ими
тема
программного
куда
обеспечения
итог
является
сбор
прозрачным. Криптошлюз
осуществляет селективное
цена
шифрование
опыт
только
лишь
между абонентами,
находящимися
сбор
в виртуальном «контуре безопасности». Таким образом, в
задачи криптошлюза входит также
счет
фильтрация
итог
трафика
быть
на
дело
кодируемый и
некодируемый и его
куда
маршрутизация.
Классификация
итог
защищенности: по
либо
4 уровню контроля
этап
для
этап
НДВ
«Континент-К», НИП «Информзащита»
Решение
опыт
криптошлюза «Континент-К» компании
семь
«Информзащита»
представляет собой специализированное
цена
аппаратно-программное
цена
устройство,
функционирующее
план
на
дело
платформе Intel под управлением сокращенной версии
семь
ОС FreeBSD. Комплекс состоит из криптографического
куда
шлюза, центра
есть
управления
итог
сетью криптомаршрутизаторов и неограниченного
куда
количества
весь
консолей управления.
Криптографический шлюз в стандартной поставке оборудуется
сбор
платой
«Электронный замок «Соболь» (сертифицирован ФАПСИ) со встроенным
датчиком случайных чисел. Плата
тоже
обеспечивает локальную идентификацию и
аутентификацию администратора
есть
криптошлюза и контроль целостности
база
программного
куда
обеспечения. Таким образом, решается
сбор
проблема
один
собственной защиты криптографического
куда
маршрутизатора.
55
В АПК «Континент-К» используются
сбор
собственный протокол
шифрования
итог
IP-пакетов, основанный на
дело
алгоритме симметричного
куда
шифрования
итог
- ГОСТ 28147-89, и собственные
факт
алгоритмы инкапсуляции
семь
и
сжатия
итог
заголовков IP-пакетов, а также
счет
достигаются
сбор
внушительные
факт
показатели
явно
производительности
база
на
дело
операциях шифрования
итог
- порядка
быть
30
Мбит/с.
Классификация
итог
защищенности: НДВ по
либо
3 уровню контроля
этап
и МЭ по
либо
4 классу.
BlackICE Firewall (разработчик компания Internet Security Systems)
BlackICE Firewall отвечает за блокирование
опыт
сетевого
куда
трафика
быть
с
определенных IP-адресов и TCP/UDP-портов. Предварительное
цена
блокирование
опыт
трафика
быть
по
либо
определенным критериям позволяет увеличить
производительность системы за счет снижения
итог
числа «лишних» операций на
дело
обработку неразрешенного
куда
трафика. Настройка
быть
данного
куда
компонента
тоже
может осуществлять как вручную, так и в автоматическом режиме. BlackICE
Firewall работает напрямую с сетевой картой, минуя встроенный в
операционную систему стек протоколов, что
ясно
позволяет устранить опасность от
использования
итог
многих известных уязвимостей, связанных с некорректной
реализацией стека
быть
в ОС.
Symantec Enterprise Firewall (разработчик компания Symantec)
Межсетевой экран Symantec Enterprise Firewall, предназначенный для
этап
активной защиты информационных ресурсов предприятия
итог
на
дело
сетевом и
прикладном уровнях, обеспечивает быстрое
цена
и безопасное
цена
подключение
опыт
к
Интернету. Благодаря строгому, основанному на
дело
стандартах подходу он
защищает предприятия
итог
как от уже
счет
известных, так и от новых атак. В рамках
единственной в своем роде
цель
гибридной архитектуры удалось объединить
средства
весь
полного
куда
анализа трафика
быть
приложений модули-посредники
курс
(proxies) прикладного
куда
уровня, средства
весь
анализа состояний и технологию
фильтрации
семь
пакетов. В результате система
один
по
либо
умолчанию обеспечивает
защиту от сложных комбинированных угроз и атак типа «отказ в обслуживании»
(DoS). Кроме того, с помощью интегрированных в программное
цена
решение
опыт
средств VPN, основанных на
дело
стандартах, можно
чтоб
устанавливать экономичные
56
факт
высокоскоростные
факт
подключения
итог
между филиалами, а также
счет
между
центральным офисом предприятия
итог
и мобильными
тема
пользователями.
В продукте Symantec Enterprise Firewall предусмотрен современный
алгоритм наилучшего
куда
совпадения, позволяющий сопоставлять правила доступа
и попытки
курс
подключения
итог
к сети.
Check Point Firewall-1 (Check Point Software Technologies)
Обеспечивает контроль доступа в сетях Интернет, Интранет, Экстранет,
а также
счет
удаленного
куда
доступа с расширенными
тема
функциями
тема
авторизации
семь
и
установления
итог
подлинности
база
пользователей. FireWall-1 позволяет
транслировать сетевые
факт
адреса (NAT) и сканировать потоки
курс
данных на
дело
наличие
опыт
недопустимой информации
семь
и вирусов. Широкий набор основных и
сервисных функций дает возможность реализовать интегрированное
цена
решение
опыт
по
либо
обеспечению сетевой и информационной безопасности, полностью
отвечающее
план
современным требованиям любых организаций, как крупных, так
и небольших.
FireWall-1 позволяет организации
семь
создать единую интегрированную
политику безопасности, которая
сеть
распространялась бы на
дело
множество
хотя
межсетевых экранов и управлялась бы с любой выбранной для
этап
этого
куда
точки
курс
сети
база
предприятия. Продукт имеет и массу дополнительных возможностей,
таких, как управление
опыт
списками
тема
доступа аппаратных маршрутизаторов,
балансировка
быть
сетевой нагрузки
курс
на
дело
серверы, а также
счет
элементы для
этап
построения
итог
систем повышенной надежности, которые
факт
также
счет
полностью
интегрируются
сбор
в глобальную политику безопасности. Работа
тоже
Check Point
FireWall-1 прозрачна
дело
для
этап
пользователей и обеспечивает рекордную
производительность практически
курс
для
этап
любого
куда
IP протокола и
высокоскоростной технологии
семь
передачи данных.
57
2.7.4 Средства антивирусной защиты
В настоящее
план
время
фонд
рынок антивирусных средств защиты достаточно
чтоб
разнообразен. Мною рассмотрены лишь некоторые
факт
антивирусные
факт
средства.
Norton AntiVirus
Компания
итог
Symantec предлагает семейство
хотя
продуктов, включающее:
Norton AntiVirus (NAV) для
этап
DOS/Windows 3.x, Windows 9х, Windows
NT/2000/XP, Novell NetWare, Symantec AntiVirus 4.5 for Macintosh, а также
счет
инструментарий для
этап
сетевой инсталляции
семь
и обновления
итог
таблиц сигнатур
вирусов Norton AntiVirus Network Manager. Norton AntiVirus предлагает
всестороннюю защиту серверов сети
база
и подключенных станций. Пакет
поддерживает службу каталогов Novell Directory Service, в 1995 г.
сертифицирован Novell Labs. Программа
один
проверяет все файлы Windows 3.x,
Windows 95 и Macintosh, распознавая
сеть
более
план
8100 компьютерных вирусов для
этап
DOS/Windows, вирусы-мутанты, вирус One-Half, макровирусы в документах
MS Word и MS Excel, неизвестные
факт
вирусы, а также
счет
все виды инфекций для
этап
Macintosh. Программа
один
предлагает запатентованную технологию контроля
этап
вирусоподобной активности
база
Virus Sensor, предохраняющую от проникновения
итог
неизвестных инфекций. Для
этап
борьбы с вирусами-мутантами
тема
используется
сбор
технология
итог
«псевдовыполнения», имитирующая
сеть
запуск программы и
заставляющая
сеть
вирус-мутант раскрыть себя. Пакет позволяет регулировать
загрузку сервера, восстанавливать поврежденные
факт
файлы, принудительно
чтоб
отключать зараженный компьютер от сети, планировать антивирусное
цена
сканирование
опыт
серверов и станций, настраивать и конфигурировать Norton
AntiVirus на
дело
станциях с центральной консоли. Механизм оповещения
итог
о
наличии
семь
вирусов в сети
база
поддерживает пейджеры и службу Novell MHS.
Программа
один
Norton AntiVirus за счет развитого
куда
интерфейса удобна
дело
конечному пользователю, но
чтоб
она
дело
плохо приспособлена
дело
для
этап
работы в сети:
дополнительный код, реализующий интерфейс, чрезмерно
чтоб
перегружает
ресурсы, что
ясно
чревато
ясно
снижением производительности
база
системы.
VirusScan
58
Семейство
хотя
продуктов McAfee для
этап
антивирусной защиты локальной
сети
база
включает в себя: резидентный монитор Vshield для
этап
Windows З.х/Windows
9x, предназначенный для
этап
обнаружения
итог
и удаления
итог
загрузочных вирусов и
проверяющий файлы в режиме реального
куда
времени, сканер VirusScan (для
этап
DOS, Windows 3.x, Windows 9x, Windows NT и OS/2), модуль NetShield for
NetWare для
этап
сервера
есть
NetWare или
явно
NetShield NT для
этап
сервера
есть
NT, модули
явно
WebScan и WebShield для
этап
рабочих станций и серверов, взаимодействующих с
Интернет. В этих продуктах используются
сбор
патентованные
факт
технологии
семь
Code
Trace Scanning и CodeMatrix Scanning, разработанные
факт
McAfee и
лицензированные
факт
Microsoft для
этап
реализации
семь
в программных продуктах,
обращающихся
сбор
к ресурсам Интернет Имеется
сбор
возможность оптимизации
семь
загрузки
курс
ресурсов сервера
есть
и кросс-серверной синхронизации. Консоль Task
Explorer упрощает процедуры администрирования, оповещения
итог
(пейджер, E-
mail) и создания
итог
отчетов. Все семейство
хотя
антивирусной защиты для
этап
сетей с
доступом в Интернет включает программы для
этап
защиты сети
база
в целом, для
этап
защиты серверов группового
куда
ПО и распределенных вычислений, для
этап
защиты
отдельных рабочих станций и дисководов и, для
этап
специальной защиты Web-
узлов.
Dr. Solomon's AntiVirus ToolKit
Данный продукт имеет все необходимое
цена
для
этап
обеспечения
итог
антивирусной защиты сетевой информационной системы и способен работать в
DOS, Windows 3.x, 9х и NT, OS/2, Novell NetWare и даже
счет
в SGO Unix.
Включает в себя как клиентское, так и серверное
цена
ПО. Для
этап
рабочих станций
предназначены: сканер FINDVIRUS, использующий технологию Generic
Encryption Engine для
этап
расшифровки
курс
полиморфных вирусов, резидентный
модуль WinGuard для
этап
Windows 9х и NT, модуль VIVERIFY для
этап
контроля
этап
целостности
база
файлов. Для
этап
серверов - сканеры для
этап
Windows NT и Novell
NetWare, планировщик заданий, обеспечивающий сканирование
опыт
по
либо
заданному расписанию. Есть также
счет
средства
весь
администрирования, которые
факт
позволяют так сконфигурировать средства
весь
защиты, чтобы рабочая
сеть
станция, на
дело
которой не
рост
запущено
чтоб
клиентское
цена
антивирусное
цена
ПО, автоматически
курс
отключалась от сети
база
(log out). Интересен специальный инструментарий для
этап
59
обучения
итог
антивирусной программы путем описания
итог
новых вирусов на
дело
языке
VITRAN. В комплект поставки
курс
входит «энциклопедия
итог
вирусов» - справочное
цена
пособие
опыт
на
дело
бумаге или
явно
в электронном виде.
Антивирусная программа Dr. Web
Это
ясно
полифаг. Год ее
план
выхода
этот
– 1994. Автор: И. А. Данилов. Основные
факт
возможности
база
программы таковы: поиск и обезвреживание
опыт
файловых,
загрузочных и файлово-загрузочных известных вирусов, вирусов внутри
суть
архивов, упакованных и вакцинированных файлов, в файлах документов для
этап
MS WinWord и Excel; эвристический анализатор для
этап
неизвестных вирусов;
эмулятор процессора
есть
для
этап
сложных шифрованных и полиморфных вирусов,
для
этап
которых не
рост
работает простой сигнатурный поиск.
AntiViral Toolkit Pro (AVP)
Ревизор AVP Inspector отличают следующие
опыт
черты: графический
интерфейс (GUI); многозадачная
сеть
работа; многопоточность; 32-х разрядность;
для
этап
Windows 95 можно
чтоб
обращаться
сбор
напрямую к дискам (практически
курс
любым, не
рост
только
лишь
физическим) через драйвер IOS в обход DOS-резидентов,
что
ясно
не
рост
могут DOS-программы; не
рост
использует прерывания
итог
21h; фоновый
режим работы; обнаружение
опыт
вирусов до заражения.
Ревизор проводит следующие
опыт
проверки: при
суть
первом запуске
запоминается
сбор
объем ОЗУ, таблицы параметров винчестера
есть
(Hard Disk
Parameter Table) в области
база
переменных BIOS и строятся
сбор
таблицы для
этап
проверяемых дисков; при
суть
последующих запусках диски
курс
проверяются
сбор
так:
объем ОЗУ; таблица HDPT; Master-Boot и Boot-секторы; список номеров
сбойных кластеров; дерево
хотя
каталогов диска
быть
(ищутся
сбор
созданные
факт
и
удаленные
факт
подкаталоги); файлы (ищутся
сбор
новые, удаленные,
переименованные, перемещенные
факт
из одного
куда
подкаталога в другой и
изменившиеся
сбор
файлы; проверяется
сбор
изменение
опыт
длины и контрольной суммы
файла).
60
3 КОНСТРУКТОРСКАЯ ЧАСТЬ
3.1 Защита информации от НСД
Основными
тема
критериями
тема
при
суть
выборе средств защиты
информационных ресурсов рабочих станций и серверов можно
чтоб
назвать их
стоимость и наличие
опыт
сертификатов соответствия
итог
требованиям РД
Гостехкомиссии.
Как показал анализ рисков, наиболее
план
вероятными
тема
нарушителями
тема
могут являться
сбор
сотрудники
курс
предприятия, не
рост
обрабатывающие
опыт
данную
информацию, поэтому необходимо
язык
в первую очередь защитить эту
информацию от них.
Для
этап
этого
куда
достаточно
чтоб
встроенных средств Windows. Таким образом,
администратору следует лишь настроить политики
курс
безопасности
база
на
дело
компьютере, согласовать их с руководством, ознакомить пользователей.
Рассмотрим основные
факт
встроенные
факт
средства
весь
защиты от НСД.
Встроенные средства шифрования.
Для
этап
защиты данных, хранящихся
сбор
на
дело
жестком диске, применяется
сбор
шифрующая
сеть
файловая
сеть
система
один
(EFS – Encrypting File System) операционной
системы Windows 2000. Для
этап
дополнительной защиты локальных данных
система
один
EFS позволяет шифровать нужные
факт
файлы или
явно
папки
курс
на
дело
локальном компьютере, чтобы посторонние
опыт
лица не
рост
могли
явно
прочитать эти
база
файлы. Шифрующая
сеть
файловая
сеть
система
один
шифрует файлы, используя
открытый ключ и алгоритм симметричного
куда
шифрования, доступные
факт
с
помощью интерфейса CryptoAPI. EFS автоматически
курс
шифрует файл при
суть
сохранении
семь
и расшифровывает, когда
этот
пользователь открывает его
куда
снова.
Такие
опыт
файлы не
рост
может прочесть никто, кроме пользователя, который его
куда
зашифровал, или
явно
пользователя, имеющего
куда
статус агента
тоже
восстановления
итог
файлов EFS (представителя
этап
службы безопасности). Поскольку механизм
шифрования
итог
встроен в файловую систему, его
куда
работа
тоже
незаметна
дело
для
этап
пользователя, а атака
быть
на
дело
него
куда
крайне
рост
затруднена.
EFS шифрует файлы с помощью симметричного
куда
ключа, уникального
куда
для
этап
каждого
куда
файла. Затем шифруется
сбор
и этот ключ шифрования
итог
уже
счет
61
с помощью открытого
куда
ключа из сертификата
тоже
владельца файла. Поскольку
владелец файла является
сбор
единственным лицом, имеющим доступ к своему
личному ключу, он единственный, кто
ясно
может расшифровать ключ шифрования
итог
файла, а значит, и сам файл.
Шифрование
опыт
защищает файлы даже
счет
в том случае, когда
этот
кто-то
ясно
сможет обойти
база
систему контроля
этап
доступа NTFS и воспользоваться
сбор
дисковыми
тема
утилитами
тема
низкого
куда
уровня, чтобы попытаться
сбор
прочесть
данные. Даже
счет
если
явно
файл будет украден – физически
курс
или
явно
через сеть – его
куда
нельзя будет расшифровать, не
рост
располагая
сеть
личным ключом владельца файла.
Поскольку файл не
рост
может быть прочитан, он не
рост
может быть и тайно
чтоб
изменен.
На случай крайней необходимости, например, если
явно
личный ключ
сотрудника
быть
утерян, система
один
EFS содержит механизм восстановления,
позволяющий восстановить зашифрованные
факт
данные. Операцию
восстановления
итог
могут выполнять только
лишь
специальные, заранее
план
определенные
факт
пользователи
явно
– агенты восстановления
итог
(представитель
службы безопасности).
Парольная защита.
Рекомендуется
сбор
проводить следующую политику парольной защиты
(данные
факт
опции
семь
настраиваются
сбор
в «Панель управления\Администрирование\
Локальные
факт
параметры безопасности»):
Максимальное
цена
время
фонд
хранения
итог
пароля: Определяет период времени
итак
(в днях), в течение
опыт
которого
куда
может использовать один и тот же
счет
пароль,
прежде
цель
чем система
один
попросит пользователя
этап
сменить его. От 0 до 999 дней. 0
– «вечный» пароль.
Минимальная
сеть
длина
дело
пароля: Определяет минимально
чтоб
возможную
длину пароля. От 0 до 14 символов. Рекомендуется
сбор
не
рост
менее
план
8 символов.
Минимальное
цена
время
фонд
хранения
итог
пароля: Определяет период времени
итак
(в днях), в течение
опыт
которого
куда
пользователь не
рост
может сменить свой новый
пароль. От 0 до 999 дней. Рекомендуется
сбор
не
рост
менее
план
15.
Требование
опыт
неповторяемости
база
пароля: Определяет количество
хотя
новых
уникальных паролей, которые
факт
должен использовать пользователь, прежде
цель