70
передачи информации, средства размножения и отображения информации,
вспомогательные технические средства и системы);
• материальные средства (здания, сооружения, хранилища, техническое
оборудование, транспорт и иные средства);
• технические средства и системы охраны и защиты материальных и
информационных ресурсов.
Все объекты, в отношении которых могут быть осуществлены угрозы
безопасности или противоправные посягательства, имеют различную
потенциальную уязвимость с точки зрения возможного материального или
морального ущерба. Исходя из этого они должны быть классифицированы по
уровням уязвимости (опасности), степени риска.
Наибольшую уязвимость представляют финансовые и валютные средства,
особенно в процессе транспортировки, информационные ресурсы «Avto-Matrix» и
некоторые категории персонала.
2.2 Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия
В качестве основного программного средства для обеспечения
информационной безопасности информационной системы «Avto-Matrix» будем
применять комплексную систему защиты информации «Панцирь-К» для ОС
Windows.
Комплексная система защиты информации (КСЗИ) «Панцирь-К» для ОС
Windows– программный комплекс защиты конфиденциальной информации и
персональных данных, предназначенный для защиты, как автономных
компьютеров, так и компьютеров в составе сети предприятия.
КСЗИ реализована программно. Одна и та же клиентская часть может
устанавливаться на различные ОС семейства Windows.
Реализованные подходы к построению обеспечивают высокую надежность
функционирования КСЗИ и независимость от установленных обновлений (path-ей)
ОС и приложений – основные компоненты КСЗИ – системные драйверы
71
протестированы с использованием соответствующих средств отладки
производителя ОС.
Все механизмы защиты реализованы собственными средствами, не
использован ни один встроенный в ОС механизм защиты, многие из которых
обладают серьезными архитектурными недостатками.
КСЗИ «Панцирь-К» сертифицирована ФСТЭК России и может
использоваться для защиты конфиденциальной информации (АС класса
защищенности 1Г) и для защиты персональных данных (ИСПДн класса К2).
Для шифрования данных в КСЗИ интегрированы возможности
использования сертифицированных ФСБ России криптопровайдеров «Signal-COM
CSP» и «КриптоПро CSP 3.0 (3.6 для ОС Vista)».
КСЗИ «Панцирь-К» создана с целью обеспечения эффективного
противодействия наиболее вероятным и критичным сегодня угрозам безопасности
конфиденциальной информации и персональных данных, с учетом разработанной
модели безопасности. В КСЗИ внедрено множество НОУ-ХАУ и оригинальных
технических решений компании, на которые получено 11 патентов. Эти решения,
которые принципиально отличают КСЗИ «Панцирь-К» от аналогов, могут быть
реализованы только в разработках компании ЗАО «НПП «Информационные
технологии в бизнесе».
2.2.1 Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия
К основным функциональным задачам защиты, решаемым КСЗИ (как
комплексной системы защиты персональных данных), при формировании и
реализации политики безопасности в АС, отнесены:
1. Противодействие внешним угрозам (атакам из внешней сети,
направленным на несанкционированную модификацию (вплоть до уничтожения),
либо хищение корпоративных данных);
2. Противодействие внутренним угрозам - угрозам хищения
санкционированными пользователями (инсайдерами) корпоративных данных, в
первую очередь, с использованием внешних накопителей и сетевых ресурсов;
72
3. Противодействие несанкционированному доступу к данным сторонних
сотрудников предприятия (несанкционированных пользователей);
4. Антивирусное противодействие, в первую очередь, в части
противодействия запуску на защищаемых компьютерах вредоносного кода.
СЗД включает в себя автоматическое шифрование данных «на лету»,
автоматическое гарантированное удаление оставшихся данных, поддерживание
разделение прав доступа к защищаемым объектам, умеет скрывать объекта
файловой системы.
Защищаемыми объектами становятся такие файловые объекты, как
логические диски, каталоги, подкаталоги, файлы (для задания объектов
применяется механизм масок), как на жестком диске, так и на других носителях –
локальных или сетевых.
- Кодирование данных «на лету». В СЗД возможно автоматическое
шифрование данных «на лету» при их сохранении в локальный или удаленный
каталог на жестком диске или на другом носителе. В процессе сохранения в
удаленный файловый объект, информация по каналу переносится в
зашифрованном виде. Ест ь возможность работы с файловыми системами NTFS,
FAT32 или FAT16, алгоритмы кодирования: AES, XOR, DES, GOST. Реализуется
подключение крипто провайдеров «КриптоПро CSP» (3.0 и 3.6 версии) или «Signal-
COM CSP», при этом СЗД поддерживает шифрование данных в соответствии с
российским криптографическим алгоритмом ГОСТ 28147-89. Имеются различные
политики генерации, ввода и сохранения ключевой информации. Ключ отдается
объекту «группа», в который входят защищаемые файловые объекты. Число новых
групп и файловых объектов в группе на одном ПК не имеет ограничений. Ключ
может быть в виде парольной фразой (не менее 6 символов), из которой потом
генерируется автоматически (для выявления группы парольная фраза задается с
консоли). Еще ключ может задаваться целиком: вручную из файла,
автоматизировано самом системой, создаваться путем движения мыши. Для
сохранения ключевой информации применяется электронный ключ e-Token
(Aladdin eToken R2) или ruToken, смарт карта (Aladdin eToken PRO Smart Card
32K), а также файловый объект (удаленный или локальный – в сети задается
ключевой сервер, причем вся исходная информация передается по каналу в
73
шифрованном виде), определяемый его полнопутевым именем, что дает
возможность хранить ключевую информацию на внешних носителях, в частности,
USB-устройстве, причем одно устройство может сохранять нужное количество
ключей, при этом также может без проблем использоваться по своему прямому
назначению. Для выявления группы (для получения доступа к файловому объекту в
группе), системе нужно один раз считать значение ключа в ОЗУ, после чего ключ
из системы удаляется.
- Полноценное удаление оставшихся данных. В СЗД имеется автоматическое
(«прозрачное» для пользователя) полноценное удаление данных в файле
(удаленном или локальном, на жестком диске или на другом переносном носителе),
после того, как он был удален или модифицирован штатными средствами ОС. Для
защищаемых файловых объектов система дает возможность устанавливать число
«проходов очистки» и вид маскирующих данных, записываемых в файловый
объект до удаления в нем данных при помощи стандартных средств ОС.
Защищаемыми объектами становятся любые файловые объекты, в т. ч. логические
диски, каталоги, подкаталоги, файлы (для задания объектов применяется механизм
масок), как на самом жестком диске, так и на других переносных носителях -
локальных, или сетевых.
- Разделение прав доступа к защищаемым объектам на основе ключевой
информации. В СЗД создано разделение прав доступа к защищаемым файловым
объектам на основе определения групп объектов по ключам (при помощи
парольного слова, либо ключевых данных на внешнем носителе). Ключ
устанавливается объекту «группа», включающей в себя защищаемые файловые
объекты (удаленные или локальные, на жестком диске или на других переносных
носителях), права доступа к которым должны иметь ограничение. Какой-либо
доступ к защищаемому файловому объекту возможен только после проверки
группы, в которую включен объект – т.е. только после того, как введена верная
ключевая информация (либо методом набора на клавиатуре, либо путем
подключения необходимого накопителя или устройства). Разграничивать права
доступа нужно к файловым объектам, где сохраняются данные как в обычном, так
и в закодированном виде. Сохраняемыми объектами являются любые файловые
объекты – логические диски, каталоги, подкаталоги, файлы (для задания объектов
74
применяется механизм масок), как на жестком диске, так и на других переносных
носителях - локальных или сетевых. Скрытие защищаемых объектов на дисках. В
дополнение к разделению прав доступа к файловым объектам в СЗД имеются
следующие возможности:
• Скрытие защищенного файлового объекта (объект будет “не
видимым” для остальных);
• Преобразование имени файлового объекта для его предоставления по
запросу доступа;
• Кодирование имен файловых объектов на диске.
Передача имени файлового объекта может быть реализована только после
проверки группы, в которую включен объект. Защищаемыми объектами становятся
все файловые объекты – логические диски, каталоги, подкаталоги, файлы (для
задания объектов обычно применяется механизм масок), как на жестком диске, так
и на других переносных носителях – локальные или сетевых.
- Обмен кодированными данными (файлами) в сети с применением
открытых ключей (в случае использования крипто провайдеров). Есть возможности
работы крипто провайдеров «КриптоПро CSP» (3.0 и 3.6 версии) и Signal-COM для
обмена по сети зашифрованными файлами с применением ассиметричных ключей
шифрования.
В качестве базового примера практического применения СЗД покажем
защиту корпоративной бухгалтерской информации. Допустим компания
использует бухгалтерскую программу 1С Предприятие V 8.0. Это сетевое ПО,
дающее возможность сохранять базу на сервере и удаленно работать в ней сразу
нескольким сотрудникам на различных рабочих станциях в сети (при помощи
механизмов одновременного доступа).
Суть защиты конфиденциальных данных заключается в следующем. На
каждую рабочую станцию ставится СЗД (если на сервере так же будет работа с
базой, то СЗД устанавливается и на сервер). При этом каталог с базой, указанный
сервере и видимый в сети, на каждом ПК внесен в группу защищаемых объектов. У
этой группы на каждой рабочей станции сделан ключ шифрования – он один для
всех станций (только в таком случае имеет место одновременный доступ к базе),
что дает возможность реализовать опция экспорта и импорта ключа – на одной
75
станции ключ заводят – перемещают в файл (например, на USB-накопитель), а уже
затем переносят исходный ключ из данного файла на другие станции.
Ключи шифрования сохраняются на соответствующих носителях, которые
передаются сотрудникам, работающим в бухгалтерской базе. Аналогичным
образом разделяется доступ к базе (с обычного ПК он возможен при условии ввода
верной ключевой информации), а если нужно, то скрывается и сам факт ее
присутствия (выделяться защищаемый объект будет лишь после ввода ключевой
информации).
Для обеспечения информационной безопасности в программно-аппаратном
комплексе применяются следующие механизмы (рисунок 2.1):
Применяемые
механизмы Панцирь
-К
управления
подключением
устройств
регистрации и
учета
обеспечения
целостности
противодействия
ошибкам и
закладкам
маркировка
документов
теневого
копирования
документов
MS
Word
очистки памяти
теневого
копирования
любых печатных
документов
изоляции
модулей
кодирования
(шифрования
)
данных
контроля
доступа к
ресурсам
Рисунок 2.1 Механизмы применения комплекса защиты
• Механизм управления подключением устройств
• Механизмы регистрации и учета
76
• Механизмы обеспечения целостности
• Механизмы противодействия ошибкам и закладкам в системном и
функциональном программном обеспечении
• Механизм маркировка документов
• Механизм теневого копирования документов MS Word
• Механизмы очистки памяти
• Механизм теневого копирования любых печатных документов
• Механизмы изоляции модулей
• Механизм кодирования (шифрования) данных
• Механизмы контроля доступа к ресурсам (разграничения прав
доступа).
Механизмы шифрования реализуются с помощью алгоритма
криптографического преобразования данных, который, в соответствии с ГОСТ
28147-89, представляет собой 64-битовый блочный алгоритм с 256-битовым
ключом, предназначен для аппаратной и программной реализации, удовлетворяет
криптографическим требованиям и не накладывает ограничений на степень
секретности защищаемой информации.
2.2.2 Контрольный пример реализации проекта и его описание
Применяемая комплексная система защита информации в том числе
предназначена для защиты конфиденциальной информации и персональных
данных, обрабатываемых на автономных компьютерах и на компьютерах в составе
корпоративной сети; сохраняемых на локальных и удаленных (разделенных в сети)
жестких дисках и внешних устройствах (в том числе – на мобильных накопителях),
передаваемых по сети при доступе к удаленным (разделенным) ресурсам. Система
реализована программно, содержит в своем составе системный драйвер и
интерфейсный модуль. Все возможности защиты, предоставляемые СЗД,
реализованы собственными средствами СЗД (не использованы встроенные
механизмы ОС).
СЗД реализует автоматическое шифрование данных «на лету»,
автоматическое гарантированное удаление остаточной информации, разграничение
77
прав доступа к защищаемым объектам, скрытие защищаемых объектов файловой
системы.
Защищаемыми объектами являются любые (назначаемые администратором)
файловые объекты – логические диски, каталоги, подкаталоги, файлы (для задания
объектов может использоваться механизм масок), как на жестком диске, так и на
внешних носителях, как локальные, так и удаленные (разделенные в сети).
- Шифрование данных «на лету». В СЗД реализовано автоматическое «на
лету» («прозрачное» для пользователя) шифрование/расшифрование данных при
их сохранении в локальный или удаленный файловый объект на жестком диске или
на внешнем носителе.
- Гарантированное удаление остаточной информации. В СЗД реализовано
автоматическое («прозрачное» для пользователя) гарантированное удаление
данных в файловом объекте (локальном или удаленном, на жестком диске или на
внешнем носителе), при его удалении или модификации штатными средствами ОС.
Для защищаемых файловых объектов система позволяет задавать число «проходов
очистки» и вид маскирующей информации, записываемой в файловый объект,
перед удалением в нем данных штатными средствами ОС. Защищаемыми
объектами являются любые (назначаемые администратором) файловые объекты –
логические диски, каталоги, подкаталоги, файлы (для задания объектов может
использоваться механизм масок), как на жестком диске, так и на внешних
носителях, как локальные, так и удаленные (разделенные в сети).
- Разграничение прав доступа к защищаемым объектам на основе ключевой
информации. В СЗД реализовано разграничение прав доступа к защищаемым
файловым объектам на основе идентификации групп объектов по ключам
(посредством парольного слова, либо ключевой информации на внешнем
носителе). Ключ присваивается объекту «группа», в который включаются
защищаемые файловые объекты (локальные или удаленные, на жестком диске или
на внешнем носителе), права доступа к которым разграничиваются. Какой-либо
доступ к защищаемому файловому объекту разрешается только после
идентификации группы, в которую включен объект – т.е. только после введения
ключевой информации (либо с клавиатуры, либо путем подключения
соответствующего накопителя или устройства). Разграничивать права доступа
78
можно к файловым объектам, в которых данные сохраняются, как в
зашифрованном, так и в обычном виде. Защищаемыми объектами являются любые
(назначаемые администратором) файловые объекты – логические диски, каталоги,
подкаталоги, файлы (для задания объектов может использоваться механизм масок),
как на жестком диске, так и на внешних носителях, как локальные, так и удаленные
(разделенные в сети).
- Скрытие защищаемых объектов файловой системы. В дополнение к
разграничению прав доступа к файловым объектам в СЗД реализованы следующие
возможности:
скрытие защищаемого файлового объекта (объект остается “не
видимым” для пользователей);
скремблирование имени файлового объекта при его предоставлении
по запросу доступа;
кодирование имени файлового объекта на диске.
Отображение имени (или реального имени) файлового объекта возможно
только после идентификации группы, в которую включен объект. Защищаемыми
объектами являются любые (назначаемые администратором) файловые объекты –
логические диски, каталоги, подкаталоги, файлы (для задания объектов может
использоваться механизм масок), как на жестком диске, так и на внешних
носителях, как локальные, так и удаленные (разделенные в сети).
- Обмен зашифрованными данными (файлами) в сети с использованием
открытых ключей (в случае использования криптопровайдеров). Реализованы
возможности криптопровайдеров Signal-COM и «КриптоПро CSP» (версии 3.0 и
3.6) обмена по сети зашифрованными файлами с использованием ассиметричных
ключей шифрования.
В качестве контрольного примера практического использования СЗД
рассмотрим защиту корпоративной бухгалтерской информации. Пусть на
предприятии используется бухгалтерская программа 1С Предприятие V 8.0. Это
сетевое приложение, позволяющее хранить базу на сервере и удаленно с ней
работать (реализуется коллективный доступ) одновременно нескольким
сотрудникам на различных рабочих станциях в сети.
79
Решение по защите конфиденциальных данных при этом состоит в
следующем. На каждую рабочую станцию устанавливается СЗД (если на сервере
также предполагается работа с базой локально, то СЗД устанавливается и на
сервер). Настройка СЗД на рабочей станции приведена на рисунке 2.2.
Рисунок 2.2 Настройка СЗД на рабочей станции
Механизмы разграничения прав доступа в КСЗИ «Панцирь-К» реализованы
в виде отдельных модулей (драйверов), имеющих собственный интерфейс
настройки. Интерфейсы настроек механизмов могут быть вызваны как из общего
интерфейса КСЗИ, так и посредством запуска исполняемого файла, для механизмов
управления доступом к файловой системе - файла filectrl.exe.
Дискреционный механизм контроля доступа в КСЗИ обеспечивает
возможность разграничения прав доступа к следующим файловым объектам: