67
знании работником требований нормативных и методических актов и
документов по информационной безопасности и сохранении тайны
организации [20].
Разрешение на допуск к работам с конфиденциальными сведениями
персонифицировано. Руководители лично несут персональную ответственность
за правильную выдачу ими разрешений на работу с конфиденциальными
данными исполнителей. Лица, которые работают с конфиденциальными
данными, несут персональную ответственность за сохранение тайны их
содержания, а так же сохранность носителей и соблюдение правил работы с
документацией.
После проведенной работы по изучению организации системы допуска
персонала к конфиденциальной информации в компании и анализа полученных
результатов, можно достоверно утверждать, что в целом система допуска
персонала к конфиденциальной информации организована удовлетворительно и
обеспечивает необходимый уровень безопасности данных.
2.2. Комплекс проектируемых программно-аппаратных средств
обеспечения информационной безопасности и защиты информации
предприятия
2.2.1. Структура программно-аппаратного комплекса информационной
безопасности и защиты информации предприятия
Выбор программно-аппаратных средств обеспечения информационной
безопасности в процессе организации системы защиты информации
осуществляется в соответствии с показателями рабочей системы. При этом
учитывается ряд важных параметров, а именно: объем передаваемого трафика в
информационной системе, возможности расширения ее структуры, качество
совместной работы различного оборудования и так далее. Кроме этого в
обязательном порядке учитывается тип оборудования. Устройства должны
отвечать жестким требованиям по количеству интерфейсов, по их типу, по
пропускным способностям и так далее.
68
В ходе дипломного проекта необходимо выбрать следующее
оборудование:
средства аутентификации доступа;
средства защищенных соединений;
средства межсетевого экранирования;
криптографические средства защиты.
Варианты устройств будут выбираться исходя из их положения в системе,
с необходимыми нам характеристиками. При этом необходимо принять во
внимание рекомендации производителей оборудования.
Для обеспечения идентификации пользователей предполагается
использовать электронный ключ, а также идентификатор в виде USB-носителя.
Электронные ключи еToken PRO (Java) – персональное средство
аутентификации и защищенного хранения пользовательских данных, аппаратно
поддерживающее работу с цифровыми сертификатами и электронно-цифровой
подписью (ЭЦП).
Цена: от 4000 рублей.
Применение:
Обеспечение строгой двухфакторной аутентификации пользователей в
операционных системах и бизнес-приложениях (Microsoft, Citrix,
CiscoSystems, IBM, SAP, CheckPoint).
Защищенное хранение ключевой информации российских СКЗИ
(КриптоПроCSP, Крипто-КОМ, Домен-К, Верба-OW и др.);
Защита закрытых ключей электронно-цифровой подписи (ЭЦП)
пользователей в системах электронного документооборота, формирование
ЭЦП документов и транзакций, обеспечение безопасной работы с
электронной почтой;
Защита закрытых ключей ЭЦП пользователей систем дистанционного
банковского обслуживания.
Комплекс средств обеспечения доверенного сеанса состоит из клиентской
и серверной части – Клиент ДСС и Сервер ДСС.
Применение вышеописанной схемы дает следующие преимущества:
69
- пользователю предоставляется необходимый функционал и достаточный
уровень защиты (близкий к уровню доверенного компьютера с набором
сертифицированной операционной системы и средств защиты информации);
- стоимость средств обеспечения доверенного сеанса значительно ниже
стоимости оборудования рабочего места необходимым для реализации политики
изолированной программной среды набором СЗИ;
- клиент ДСС является мобильным загрузочным устройством, готовым к
работе на любом недоверенном компьютере;
- средства обеспечения доверенного сеанса не накладывают ограничений
на работу пользователя с компьютером вне доверенного сеанса связи.
В качестве межсетевых экранов в рассматриваемой компании будут
рассматриваться последние разработки следующих компаний-производителей
аппаратных средств защиты периметра:
IBM;
D–link;
Cisco.
В результате выбора среди продуктов от каждой фирмы можно выделить
продукты D–linkDFL–260, IBMProventiaNetworkIPS и Cisco 1801/K9.
Как видно из таблицы 13, высокая цена продукта компании IBM
обоснована высоким качеством, пропускной способностью, в данном случае
рассматривается мало пропускаемая, т.е. самая дешёвая – 10Mbps, и
функциональной полнотой их продуктов. Однако наилучшим продуктом в
соотношении цена/качество является продукт компании D–link.
Условные обозначения:
– недостатки;
Без выделения – преимущества.
Таким образом, наиболее приемлемым средством защиты периметра
является межсетевой экран D–linkDFL–260.
Таблица 15
Результаты сравнительного анализа средств межсетевого экранирования
Характеристика
D–linkDFL–260
IBMProventiaNetworkIPS
Cisco
1801/K
70
9
Класс
отказоустойчивост
и
1 класс
нет
1 класс
Контроль на
прикладном уровне
с учетом состояния
Нет
Да
Да
Прозрачная
аутентификация
Windows
Да
Да
Да
Пропускная
способность
80Mbps
10Mbps
100Mbp
s
Wi–Fi
Нет
Нет
Да
Интерфейсы
Ethernet
10/100Base
T (WAN)
Ethernet
2 x Ethernet
10/100BaseT (WAN)
Ethernet
ADSL (WAN))
8 x Ethernet
10/100BaseT (LAN)
ISDN BRI
Протоколирование
всех имен
пользователей и
приложений
Да
Да
Нет
Поддержка
Exchange
Да
Да
Да
Поддержка
Exchange
Да
Да
Да
Демилитаризованн
ая зона
Да
Да
Нет
Характеристика
D–
linkDFL–
260
IBMProventiaNetworkI
PS
Cisco 1801/K9
Контроль
шлюзового и
клиентского
трафика VPN на
прикладном
уровне
Нет
Да
Да
100–Мбит/с порты
ЛВС
4
8
8
Число
одновременных
подключений
12000
10000
18000
Передача функций
отказавшего МЭ
исправному
Нет
Нет
Да
71
устройству
Web-кэширование
и proxy
Да
Нет
Да
Цена
28000 руб.
150000 руб.
36000 руб.
Общее количество
недостатков
систем
3
4
3
Secret Disk Enterprise — многофункциональный продукт для
криптографической защиты хранимых данных, обладающий большим набором
функций и централизованным управлением.
Secret Disk Enterprise включает в себя восемь компонентов — шесть
серверных модулей и два клиентских продукта:
Сервер бизнес-логики — центральный компонент серверной части Secret
Disk Enterprise, обеспечивает взаимодействие всех компонентов и процессов
продукта. Выполнен в виде службы для операционной системы Windows.
Шлюз клиентов — серверный модуль для реализации канала связи между
клиентским агентом и сервером бизнес-логики. Реализован в виде надстройки
для Microsoft IIS — встроенного веб-сервера в Microsoft Windows Server.
Административный web-портал — веб-приложение для администрирования
системы. Реализация аналогична шлюзу клиентов — надстройка для IIS.
База данных — хранение всей служебной информации Secret Disk
Enterprise, включая сертификаты пользователей и ключи шифрования. Хранение
осуществляется в шифрованном виде, в качестве ключа шифрования
используется общий мастер-ключ. В качестве базы данных выступает СУБД
Microsoft SQL.
Модуль синхронизации с Active Directory — выполняет синхронизацию
данных о пользователях, сертификатах и защищаемых компьютерах между
Secret Disk Enterprise и Active Directory.
Модуль сертификации — компонент для выпуска сертификатов Х.509 на
электронных ключах и проверка выпущенных сертификатов при проведении
операций с ними.
72
Secret Disk Agent — клиентское приложение, непосредственно
осуществляющее криптографические преобразование и защиту хранимых
данных на рабочих местах, серверах и съемных накопителях.
Secret Disk Reader — утилита для доступа к зашифрованным данным вне
защищенной инфраструктуры, используется для обмена защищенными
контейнерами с внешними пользователями.
Рис.5. Архитектура Secret Disk Enterprise
Функциональные возможности Secret Disk Enterprise можно условно
разделить на три основных группы:
Основные функции продукта:
Обеспечение полнодискового шифрования — преобразования всех
данных отдельных дисковых разделов, включая поддержку защиты
системного (загрузочного) диска.
Создание шифрованных файл-контейнеров, подключаемых к системе как
виртуальные диски, с возможностью передачи контейнера в виде
обычного файла внешним пользователям.
73
Шифрование файлов на съемных дисках, флеш-накопителях и других
носителях информации.
Реализация собственного загрузчика (с поддержкой Legacy BIOS и UEFI
BIOS) с предварительной двухфакторной аутентификацией для
обеспечения доступа к шифрованному системному диску.
В качестве второго фактора аутентификации поддерживаются
электронные ключи JaCarta и eToken.
Защита от анализа, восстановления и расшифрования данных при
несанкционированном доступе к ним.
Применение криптостойких алгоритмов шифрования с использованием
сторонних служб криптографии (КриптоПро CSP и ViPNet CSP для
реализации алгоритмов ГОСТ 28147‐89) и встроенной службы Microsoft
Windows для алгоритмов AES и TripleDES.
Механизмы надежного удаления данных для предотвращения их
восстановления.
Управление сетевым доступом к защищенным ресурсам.
Поддержка замены ключей шифрования и перешифрования защищенных
данных.
Дополнительные функции для обеспечения надежности работы:
Постепенный процесс зашифрования и расшифрования, устойчивый к
аппаратным сбоям, включая возможность продолжения работы
алгоритмов после внезапного отключения компьютера.
Поддержка выстраивания отказоустойчивых кластеров для серверной
части Secret Disk Enterprise. Возможность резервного копирования
криптохранилища, размещаемого в СУБД продукта, и мастер-ключа от
данного хранилища.
Поддержка сценариев восстановления доступа к зашифрованным данным
в случае утери или поломки электронного идентификатора пользователя.
Функции, направленные на удобство эксплуатации:
Управление всей системой через единый веб-портал с любого устройства
с веб-браузером.
Ролевая модель доступа администраторов к системе управления.
74
Полный аудит всех действий и событий в системе.
Реализация периодических процессов самообслуживания системы и
слежение за критическими состояниями, требующими внимания
администраторов.
Прозрачность и незаметность работы системы для пользователей.
2.2.2. Контрольный пример реализации проекта и его описание
После развертывания продукта в соответствии с эксплуатационной
документацией администратор безопасности получает доступ к web-порталу
Secret Disk Enterprise. Главный экран веб-интерфейса содержит расширенное
меню со ссылками на все функции продукта.
Рисунок 6. Основный экран веб-портала Secret Disk Enterprise
Основная навигация производится через верхнее меню, в котором
представлены следующие пункты:
75
Пользователи — управление всеми пользователями системы, включая
учетные записи привилегированных пользователей, настройка прав доступа
и доступных к использованию функций продукта.
Рабочие станции — перечень защищаемых компьютеров, на которых
установлена программа-агент, с возможностью просмотра перечня
шифрованных дисков и папок и управлением базовыми настройками
станций.
Диски — общая информация обо всех защищенных дисках и папках на всех
защищаемых компьютерах с возможностью добавления новых дисков и
проведения различных операций над существующими.
Мониторинг — работа с журналами аудита.
Безопасность — управление ролями, которые можно применить для
пользователей, работа с криптографическими алгоритмами и провайдерами
и мастер-ключом базы данных.
Администрирование — обслуживание системы, управление параметрами
сервера, настройка глобальных политик рабочих станций и работа с
лицензиями продукта.
В разделе «Пользователи» доступны четыре вкладки и боковое меню для
фильтрации списка пользователей по организационным единицам (OU) из Active
Directory. В разделе «Общие» отображается краткая информация по каждому из
пользователей системы с указанием его роли и прав доступа. В разделе
«Управление» доступны возможности по удалению, блокировке и разблокировке
отдельных пользователей, а также представлены ссылки для быстрого перехода
к журналам аудита и редактированию политик.
76
Рисунок 7. Управление пользователями в Secret Disk Enterprise
В Secret Disk Enterprise реализованы глобальные политики,
распространяемые на всех пользователей, которые настраиваются из раздела
«Администрирование». Для отдельных пользователей глобальные политики
могут быть заменены персональными настройками.