46
46
регламентировать доступ
они
к защищаемым
во
информационным ресурсам.
для
Это
позволяет ограничить
от
круг лиц
это
имеющих доступ
бы
к защищаемой
ни
информации, а
ли
также отслеживать
что
все действия
без
пользователей с
при
данной информацией.
где
Основными характеристиками средств
это
защиты от
где
НСД являются
1
:
степень
без
полноты охвата
где
и качества
но
системы разграничения
для
доступа;
состав
чем
и качество
кто
обеспечивающих средств
тот
системы разграничения
же
доступа;
гарантии
уже
и правильность
вы
функционирования системы
он
разграничения доступа
там
и обеспечивающих
так
ее средств.
но
оперативную замену
он
вышедших из
там
строя технических
со
средств.
Для надежной
тот
защиты информации
вы
в локальных
так
сетях организации
ты
необходима единая
что
система управления
без
безопасностью, объединяющая
ты
различные средства
ни
защиты от
кто
несанкционированного доступа
еще
и
обеспечивающая
что
оперативный контроль
со
защищенности ресурсов.
же
Рассмотрим наиболее часто
по
применяемые сертифицированные
же
СЗИ от
НСД.
СЗИ от
для
НСД Панцирь-К
КСЗИ «Панцирь-К» для ОС Windows 2000
ну
/XP/2003 собственными
так
средствами реализует
там
все технические
из
требования, регламентируемые
во
для АС
класса
без
защищенности 1Г.
Для шифрования
ни
данных в
со
КСЗИ реализована возможность
без
подключения криптопровайдеров
для
«Signal-COM CSP» (ЗАО «Сигнал КОМ») и
«КриптоПро CSP 3.
уже
0» (ООО «Крипто-Про»), сертифицированных
сам
ФСБ России
по требованиям
ли
безопасности информации
же
к классам
еще
«КС1» и «КC2».
Назначение и
так
состав комплекса
вот
СЗИ
1
Бузов Г.А., Калинин СВ., Кондратьев А.В. Защита от утечки информации по техническим каналам: Учебное
пособие.- М.- Горячая линия-Телеком.-2015.-416 с.
47
47
Система предназначена для
на
защиты информации,
за
обрабатываемой
на
еще
автономном компьютере,
да
либо на
вот
компьютерах в
по
составе корпоративной
вы
сети. КСЗИ служит
это
для эффективного
тот
противодействия, как
вы
известным, так
за
и
потенциально
бы
возможным атакам
сам
на защищаемые
тот
ресурсы, что
так
обеспечивается
устранением
да
архитектурных недостатков
что
защиты современных
во
ОС.
КСЗИ может применяться
под
для защиты,
вот
как от
мы
внешних, так
сам
и от
от
внутренних ИТ-угроз,
во
обеспечивая эффективное
что
противодействия атакам
там
и со
же
стороны хакеров,
при
и со
два
стороны инсайдеров
да
(санкционированных пользователей,
ли
допущенных к
до
обработке информации
так
на защищаемом
он
вычислительном
средстве).
на
КСЗИ также может
вот
использоваться для
из
эффективного
противодействия
же
вирусным атакам
под
и шпионским
вы
программам.
В части
ли
дополнительной защиты
от
конфиденциальности
информации
ни
в КСЗИ реализованы
ни
возможности гарантированного
от
удаления
остаточной
со
информации и
два
шифрования данных
на
"на лету"
он
(шифрование файлов
еще
и дисков,
на
локальных, съемных,
сам
сетевых).
Система реализована
до
программно (опционально
за
может
использоваться
вот
аппаратная компонента
на
защиты), содержит
кто
в своем
без
составе
клиентскую
со
и серверную
это
части(для
кто
реализации АРМа администратора
уже
безопасности в
что
составе сети).
для
Основные механизмы защиты
так
КСЗИ реализованы в
для
виде
системных
как
драйверов. Все возможности
на
защиты, предоставляемые
да
КСЗИ,
реализованы собственными
они
средствами (не
мы
использованы встроенные
там
механизмы ОС).
Основные механизмы
из
защиты, реализованные
же
в КСЗИ «Панцирь-К»
[14.стр.32]:
Механизмы разграничения
за
доступа к
под
локальным и
чем
разделенным в
вы
сети ресурсам
да
– к файловым
да
объектам, к
но
объектам реестра
как
ОС, к внешних
но
накопителям, к
два
принтерам, к
мы
сетевым хостам
это
и др.;
это
48
48
Механизм включения в
кто
разграничительную политику
ты
субъекта
"процесс",
на
как самостоятельного
кто
субъекта доступа
же
к ресурсам,
уже
принципиально
расширяющий
для
функциональные возможности
во
защиты и
вот
противодействующий
атакам
что
на расширение
под
привилегий;
Механизм управления
бы
подключением устройств;
сам
Механизм обеспечения замкнутости
но
программной среды,
под
позволяющий локализовать
как
среду исполнения
вы
для пользователей,
от
в частности
как
противодействующий запуску
уже
троянских и
сам
шпионских программ;
вот
Механизмы контроля целостности
бы
файловых объектов
ты
(программ и
во
данных) и
да
контроля корректности
на
функционирования КСЗИ;
Механизм авторизации,
где
позволяющий подключать
тот
аппаратные
средства
они
ввода парольных
во
данных (eToken и
как
др.);
Механизм контроля
еще
корректности идентификации
до
субъекта
доступа
на
к ресурсам
там
(контроль олицетворения);
на
Механизм противодействия ошибкам
бы
и закладкам
для
в системном
так
и в
по
прикладном ПО;
Механизм шифрования
из
данных, реализующий
два
ключевую
политику,
еще
обеспечивающую невозможность
до
несанкционированно раскрыть
по
похищенную информацию
ли
(в том
чем
числе и
как
собственно пользователем,
так
ее
обрабатывающим
вы
- инсайдером), даже
тот
при наличии
ты
у похитителя
из
ключа
шифрования.
это
Secret Net 6
Secret Net 6
еще
– это система
но
защиты информации
сам
на серверах
где
и рабочих
раз
станциях от
же
несанкционированного доступа.
как
Функционирует под управлением
кто
ОС семейства MS Windows (Vista, 2000,
раз
XP и 2003).
уже
Secret Net предназначен для
до
защиты информации,
там
составляющей
коммерческую
они
или государственную
мы
тайну, или
как
относящейся к
за
персональным
данным.
для
49
49
Приведение автоматизированных систем
но
в соответствие
еще
законодательным требованиям
так
и существенное
чем
упрощение процесса
ни
аттестации;
Снижение рисков
тот
за счет
бы
системы защиты
на
от внутренних
по
угроз;
Контроль и
раз
мониторинг при
же
обработке персональных
он
данных позволяет
раз
повысить уровень
по
автоматизации и
как
сократить затраты,
на
связанные с
со
административными мероприятиями
бы
по безопасности.
но
Возможности СЗИ Secret Net [7.стр.8].
Усиленная идентификация и
без
аутентификация пользователей
что
Система Secret Net 6 совместно
что
с ОС Windows обеспечивает
для
идентификацию и
со
аутентификацию пользователя
уже
с помощью
два
программно-
аппаратных
при
средств при
как
его входе
вы
в систему.
что
Управление доступом пользователей
чем
к конфиденциальным
от
данным
Каждому информационному
они
ресурсу назначается
это
один их
же
трёх уровней
на
конфиденциальности: «Не конфиденциально",
ли
"Конфиденциально", "Строго
конфиденциально", а
они
каждому пользователю
чем
– уровень допуска.
он
Доступ
осуществляется по
на
результатам сравнения
во
уровня допуска
он
с категорией
где
конфиденциальности информации.
сам
Разграничение доступа к
по
устройствам
Функция обеспечивает
бы
разграничение доступа
сам
к устройствам
уже
с целью
за
предотвращения несанкционированного
мы
копирования информации
вы
с
защищаемого
при
компьютера. Существует возможность
еще
запретить, либо
он
разрешить
пользователям
сам
работу с
под
любыми портами
же
\ устройствами. Разграничивается
доступ
но
к следующим
бы
портам/устройствам:
вот
последовательные и
ни
параллельные
порты;
что
сменные, логические
на
и оптические
под
диски; USB-порты.
при
Поддерживается контроль подключения
где
устройств на
так
шинах USB,
PCMCIA, IEEE1394 по
уже
типу и
вот
серийному номеру,
что
права доступа
да
на эти
он
устройства задаются
уже
не только
ты
для отдельных
кто
пользователей, но
ты
и для
он
групп
пользователей.
без
50
50
Также существует возможность
до
запретить использование
ты
сетевых
интерфейсов
что
— Ethernet, 1394 FireWire, Bluetooth, IrDA, WiFi.
Защита от
да
загрузки с
на
внешних носителей
сам
С помощью средств
до
аппаратной поддержки
от
можно запретить
ну
пользователю загрузку
он
ОС с внешних
кто
съёмных носителей.
где
В качестве
аппаратной
так
поддержки система
кто
Secret Net 6 использует
раз
программно-
аппаратный
ли
комплекс «Соболь" и
из
Secret Net Card. Плату аппаратной поддержки
для
невозможно обойти
по
средствами BIOS: если
там
в течение
но
определённого времени
за
после включения
как
питания на
где
плату не
что
было передано
тот
управление, она
два
блокирует работу
но
всей системы.
раз
Замкнутая программная среда
ни
Для каждого пользователя
два
компьютера формируется
как
определённый
перечень
же
программ, разрешенных
ни
для запуска.
это
Он может быть
ли
задан как
он
индивидуально для
чем
каждого пользователя,
ты
так и
на
определен на
со
уровне групп
так
пользователей. Применение этого
на
режима позволяет
под
исключить
распространение
до
вирусов, «червей
еще
» и шпионского
на
ПО, а также
еще
использования
ПК в
ну
качестве игровой
за
приставки.
Контроль целостности
вы
Используется для слежения
кто
за неизменностью
да
контролируемых
объектов
он
с целью
под
защиты их
при
от модификации.
из
Контроль проводится в
раз
автоматическом режиме
же
в соответствии
как
с некоторым
уже
заданным расписанием.
во
Объектами контроля могут
от
быть файлы,
до
каталоги, элементы
раз
системного
реестра
он
и секторы
под
дисков. Каждый тип
со
объектов имеет
да
свой набор
вы
контролируемых параметров.
вы
Так, файлы могут
он
контролироваться на
из
целостность содержимого,
да
прав доступа,
раз
атрибутов, а
еще
также на
уже
их
существование,
под
т.е.
на
на наличие
ну
файлов по
уже
заданному пути.
тот
При обнaружении
несоответствия
они
предусмотрены следующие
они
варианты реакции
да
на возникающие
он
ситуации нарушения
там
целостности: регистрация
но
события в
из
журнале Secret Net;
блокировка
он
компьютера; восстановление
ты
повреждённой/модифицированной
вы
информации; отклонение
они
или принятие
это
изменений.
51
51
Контроль аппаратной
без
конфигурации компьютера
там
Осуществляет своевременное обнаружение
так
изменений в
ты
аппаратной
конфигурации
за
компьютера и
же
реагирования на
без
эти изменения.
под
Предусмотрено
два вида
вы
реакций: регистрация
по
события в
сам
журнале Secret Net; блокировка
при
компьютера.
Функциональный самоконтроль
до
подсистем
Самоконтроль производится
же
перед входом
ли
пользователя в
уже
систему и
до
предназначен для
раз
обеспечения гарантии
без
того, что
со
к моменту
но
завершения
загрузки
там
ОС все ключевые
за
компоненты Secret Net 6
да
загружены и
мы
функционируют.
Контроль печати
из
конфиденциальной информации.
кто
Печать осуществляется под
при
контролем системы
еще
защиты. При
разрешённом
по
выводе конфиденциальной
для
информации на
раз
печать документы
кто
автоматически маркируются
от
в соответствии
вот
с принятыми
еще
в организации
из
стандартами. Факт печати
они
отображается в
со
журнале защиты
ни
Secret Net 6.
Гарантированное уничтожение
ты
данных
Уничтожение достигается
ни
путем записи
до
случайной последовательности
на
на место
вы
удаленной информации
до
в освобождаемую
под
область диска.
до
Для большей
надежности
вы
может быть
это
выполнено до
при
10 циклов
сам
(проходов) затирания.
же
Регистрация событий
Система Secret Net 6
ты
регистрирует все
до
события, происходящие
вот
на
компьютере:
ты
включение \ выключение
это
компьютера, вход
мы
\ выход
пользователей,
за
события НСД, запуск
на
приложений, обращения
на
к
конфиденциальной
сам
информации, контроль
как
вывода конфиденциальной
мы
информации на
сам
печать и
на
отчуждаемые носители
на
и т.
да
п.
СЗИ от
кто
НСД Блокпост-2000/XP
Система защиты
под
информации «Блокпост 2000
вот
/XP» v.1.
мы
0 предназначена
сам
для комплексной
вы
и многофункциональной
что
защиты от
где
несанкционированного
доступа
ни
(НСД) ресурсов рабочей
за
станции в
во
локальной сети
где
или автономного
он
52
52
ПК, функционирующих под
тот
управлением операционных
на
систем MS Windows
2000
да
/XP.
СЗИ «Блокпост 2000/XP» может
ли
использоваться:
при
ну
создании контролируемого
при
защищенного доступа
вот
к ресурсам
два
рабочей станции
вы
в локальной
чем
сети организации
бы
или автономного
при
ПК;
в случаях
что
необходимости обеспечения
там
качественной защиты
они
от
несанкционированного
еще
доступа к
тот
рабочим станциям;
под
при создании
же
автоматизированных систем
без
– до класса
ну
защищенности 1В включительно;
так
при создании
уже
информационных систем
ну
персональных данных
что
(ИСПДн) – до класса
как
К1 включительно.
Области применения:
раз
«Блокпост 2000/XP» может
но
использоваться везде,
это
где есть
мы
необходимость создания
для
надежно защищенного
от
доступа к
во
ресурсам рабочей
еще
станции в
тот
локальной сети
они
организации или
бы
автономного ПК:
на
же
предприятиях малого
еще
и среднего
тот
бизнеса;
на
он
крупных предприятиях;
со
в региональных
во
филиалах организаций,
уже
удаленных от
так
главного
офиса;
ты
на домашнем
по
компьютере.
Преимущества «Блокпост 2000
бы
/XP» [11.стр.33]:
надежная защита
без
от несанкционированного
без
доступа рабочих
еще
станций в
мы
локальных сетях;
вы
удобный и
еще
понятный интерфейс;
тот
имеет сертификаты
же
ФСТЭК России (Гостехкомиссии России) по 4
вы
классу защищённости
но
СВТ и 3
там
уровню контроля
во
отсутствия НДВ;
может
раз
использоваться при
да
создании автоматизированных
ну
систем
до
это
класса защищённости
за
1В включительно;
53
53
может
сам
использоваться при
он
защите персональных
ни
данных до
ни
класса
К1 включительно;
но
разумное решение
это
по разумной
так
цене.
СЗИ «Блокпост 2000
со
/XP» v.1.
мы
0 дополняет
раз
стандартные защитные
из
механизмы операционных
так
систем (ОС) MS Windows функциями,
да
обеспечивающими:
идентификацию
ни
пользователей при
там
помощи специальных
где
аппаратных средств
тот
(iButton);
дискреционное и
на
мандатное управление
до
доступом пользователей
вот
к
информационным
он
ресурсам ПК;
оперативный
как
контроль за
что
работой пользователей
за
ПК путем
регистрации
же
событий, связанных
кто
с безопасностью
ты
информационной системы,
он
с
помощью
при
средств просмотра
от
и представления
за
зарегистрированной
информации;
раз
контроль целостности
тот
программ, используемых
бы
пользователями и
чем
ОС;
возможность создания
при
для любого
как
пользователя замкнутой
там
программной среды
ли
(списка разрешенных
это
для запуска
так
программ);
контроль
тот
запуска процессов
они
(создание списка
там
запрещенных для
под
запуска программ);
так
простоту управления
при
объектами с
тот
помощью механизма
там
шаблонов
настроек;
от
контроль сетевых
уже
подключений с
под
помощью встроенного
вот
персонального экрана.
два
Система защиты информации
это
"Блокпост - 2000/XP" v.
при
1.0
ну
имеет
сертификаты
бы
Гостехкомиссии России по 4
да
классу для
по
СВТ, 3 уровню
при
исследования на
два
НДВ и может
там
использоваться для
на
защиты информации
при
от
несанкционированного
чем
доступа в
да
АС по классу
это
1В включительно.
54
54
Рекомендуется для
это
использования СЗИ от
вот
НСД Secret Net 6.0
как
поскольку
данная
от
СЗИ от НСД на
два
сегодняшний день
вот
является наиболее
сам
распространенной,
обеспечивает
чем
максимальную защиту
ни
информационной системы.
мы
В качестве дополнительного
для
средства для
же
обеспечения безопасности
для
ПДн и программно
они
-аппаратной среды
со
ИСПДн, обеспечивающей обработку
бы
этой
информации,
под
рекомендуется применять
там
специальные средства
раз
антивирусной
защиты
во
(подсистема антивирусной
уже
защиты). Такие средства
ли
способны
обеспечивать[13.стр.66]:
что
обнаружение и
это
блокирование деструктивных
еще
вирусных
воздействий
ни
на общесистемное
мы
и прикладное
же
ПО, реализующее обработку
еще
ПДн,
а также
кто
на сами
кто
ПДн;
обнаружение и
при
удаление «неизвестных
так
» вирусов (т.
но
е. вирусов,
ли
сигнатуры которых
да
еще не
со
внесены в
чем
антивирусные базы
при
данных);
обеспечение
кто
самоконтроля (предотвращение
бы
инфицирования)
данного
да
антивирусного средства
но
при его
чем
запуске.
Подсистема антивирусной
да
защиты должна
ни
строиться с
сам
учетом
следующих
за
факторов:
наличия
что
средств централизованного
вот
управления
функционированием
чем
средств антивирусной
где
защиты с
за
рабочего места
уже
администратора безопасности
мы
информации в
под
ИСПДн;
возможности оперативного
он
оповещения администратора
без
безопасности информации
для
в ИСПДн обо
еще
всех событиях
во
и фактах
по
проявления
программно
два
-математических воздействий
два
(ПВМ).
Для реализации подсистемы
что
антивирусной защиты
из
ПДн при их
ты
обработке в
что
ИСПДн возможно использование
еще
антивирусных средств
вот
компании
«Лаборатория Касперского».
Продукты компании
сам
«Лаборатория Касперского» сертифицированы
Федеральной службой
тот
безопасности России. Данные сертификаты
что
удостоверяют, что
чем
Антивирус Касперского соответствует требованиям
мы
к
антивирусным
еще
средствам.
55
55
Кроме того,
два
продукты Антивирус Касперского для
ты
Windows Servers,
Антивирус Касперского для Windows Workstation и
до
Kaspersky Administration Kit
соответствуют требованиям
по
руководящего документа
для
ФСТЭК – по 3
как
уровню
контроля
тот
и требованиям
вот
технических условий.
со
Для осуществления разграничения
что
доступа к
ты
ресурсам ИСПДн при
мы
межсетевом взаимодействии
где
(подсистема обеспечения
что
безопасности
межсетевого
без
взаимодействия ИСПДн) применяется
за
межсетевое экранирование,
вы
которое реализуется
из
программными и
для
программно-аппаратными
где
межсетевыми
экранами
во
(МЭ). Межсетевой экран устанавливается
от
между защищаемой
кто
внутренней и
так
внешней сетями.
как
МЭ входит в
это
состав защищаемой
они
сети. За счет
ну
соответствующих настроек
вот
задаются правила,
еще
которые позволяют
мы
ограничивать
доступ
ну
пользователей из
ну
внутренней сети
сам
во внешнюю
там
и наоборот.
раз
На сегодняшний день
до
в компании
так
уже используется
под
межсетевой экран
мы
Cisco ASA 5520.
Cisco ASA 5520
где
поддерживают различные
же
VPN-сервисы и
ли
новую
архитектуру
вы
Adaptive Identification and Mitigation (AIM). Являющиеся
ключевым
вы
компонентом Cisco Self-Defending Network, Cisco ASA 5520
из
обеспечивает проактивную
для
защиту от
во
атак, т.
вот
е. позволяющую
там
предотвращать
атаки,
вы
перед тем
тот
как они
сам
распространятся по
бы
сети, контролировать
где
сетевую
активность
он
и обеспечивать
мы
гибкое подключение
со
при помощи
во
технологии
виртуальных
ты
частных сетей.
ты
В результате, устройства
до
этой серии
чем
являются
многофункциональной
где
платформой, обеспечивающей
так
глубокую защиту
два
малых,
средних
же
и больших
тот
сетей, уменьшающие
вот
общую стоимость
ну
внедрения и
уже
поддержки, а
сам
также сложность
тот
решений в
до
области информационной
ли
безопасности.
Серия Cisco ASA 5500
за
включает в
же
себя устройства
чем
безопасности Cisco
ASA 5510,
сам
5520 и
что
5540, которые
это
поддерживают последние
сам
технологии
межсетевых
на
экранов Cisco PIX, систем
же
предотвращения атак
кто
Cisco IPS 4200 и
да
VPN-концентраторов серии
при
Cisco 3000.