76
76
возможность мониторинга
ну
безопасности информационной
без
системы в
вы
реальном
времени.
при
Тесная интеграция защитных
тот
механизмов Secret Net с
под
механизмами
управления
ты
сетевой инфраструктурой,
во
повышает защищенность
вот
информационной системы
два
компании в
для
целом.
Усиленная идентификация
чем
и аутентификация
как
пользователей
Система Secret Net 6
сам
совместно с
же
ОС Windows обеспечивает
идентификацию
бы
и аутентификацию
кто
пользователя с
так
помощью программно
от
-
аппаратных средств
без
при его
раз
входе в
они
систему. В качестве
где
устройств для
да
ввода в
бы
нее идентификационных
ну
признаков могут
вы
быть использованы:
это
iButton;
eToken Pro.
Управление доступом пользователей
где
к конфиденциальным
вы
данным
Функция управления
раз
доступом пользователей
для
к конфиденциальной
бы
информации. Каждому информационному
во
ресурсу назначается
во
один их
как
трёх
уровней
вы
конфиденциальности: "Не конфиденциально
где
”, "Конфиденциально”,
"Строго конфиденциально”, а
же
каждому пользователю
ни
– уровень допуска.
по
Доступ осуществляется по
кто
результатам сравнения
же
уровня допуска
во
с категорией
это
конфиденциальности информации.
да
Разграничение доступа к
это
устройствам
Функция обеспечивает
кто
разграничение доступа
бы
к устройствам
два
с целью
уже
предотвращения несанкционированного
еще
копирования информации
как
с
защищаемого
да
компьютера. Существует возможность
бы
запретить, либо
во
разрешить
пользователям
это
работу с
еще
любыми портами
где
\ устройствами. Разграничивается
доступ
ни
к следующим
вот
портам/устройствам:
уже
последовательные и
ли
параллельные порты;
чем
сменные, логические
еще
и оптические
они
диски;
USB-порты.
чем
Поддерживается контроль подключения
без
устройств на
чем
шинах USB,
PCMCIA, IEEE1394 по
сам
типу и
вот
серийному номеру,
от
права доступа
там
на эти
где
77
77
устройства задаются
без
не только
что
для отдельных
раз
пользователей, но
ну
и для
кто
групп
пользователей.
на
Также существует возможность
вот
запретить использование
вот
сетевых интерфейсов
до
— Ethernet, 1394 FireWire, Bluetooth, IrDA, WiFi.
Защита от
со
загрузки с
они
внешних носителей
два
С помощью средств
что
аппаратной поддержки
так
можно запретить
при
пользователю загрузку
же
ОС с внешних
же
съёмных носителей.
еще
В качестве
аппаратной
кто
поддержки система
до
Secret Net 6 использует
но
программно-
аппаратный
еще
комплекс «Соболь“ и
как
Secret Net Touch Memory Card. Плату
аппаратной поддержки
так
невозможно обойти
до
средствами BIOS: если
где
в течение
ли
определённого времени
где
после включения
до
питания на
ни
плату не
ли
было передано
на
управление, она
так
блокирует работу
во
всей системы.
при
Для каждого пользователя
без
компьютера формируется
по
определённый
перечень
два
программ, разрешенных
ну
для запуска.
тот
Он может быть
мы
задан как
где
индивидуально для
но
каждого пользователя,
что
так и
бы
определен на
чем
уровне групп
но
пользователей. Применение этого
бы
режима позволяет
до
исключить
распространение
от
вирусов, «червей
вы
» и шпионского
два
ПО, а также
еще
использования
ПК в
уже
качестве игровой
там
приставки.
Используется для слежения
кто
за неизменностью
еще
контролируемых
объектов
бы
с целью
на
защиты их
со
от модификации.
два
Контроль проводится в
за
автоматическом режиме
на
в соответствии
ни
с некоторым
же
заданным расписанием.
сам
Объектами контроля могут
со
быть файлы,
уже
каталоги, элементы
во
системного
реестра
вы
и секторы
под
дисков. Каждый тип
ты
объектов имеет
вот
свой набор
как
контролируемых параметров.
же
Так, файлы могут
от
контролироваться на
из
целостность содержимого,
ты
прав доступа,
же
атрибутов, а
но
также на
кто
их
существование,
же
т.е.
где
на наличие
как
файлов по
тот
заданному пути.
сам
При обнаружении
несоответствия
сам
предусмотрены следующие
он
варианты реакции
сам
на возникающие
вот
ситуации нарушения
под
целостности:
регистрация
где
события в
он
журнале Secret Net;
блокировка
ни
компьютера;
восстановление
без
повреждённой/модифицированной
да
информации;
78
78
отклонение
но
или принятие
под
изменений.
Контроль аппаратной
еще
конфигурации компьютера
от
Осуществляет своевременное обнаружение
два
изменений в
по
аппаратной
конфигурации
это
компьютера и
там
реагирования на
они
эти изменения.
от
Предусмотрено
два вида
вот
реакций:
регистрация
бы
события в
бы
журнале Secret Net;
блокировка
из
компьютера.
Функциональный самоконтроль
вот
подсистем
Самоконтроль производится
под
перед входом
при
пользователя в
по
систему и
да
предназначен для
из
обеспечения гарантии
кто
того, что
до
к моменту
из
завершения
загрузки
же
ОС все ключевые
без
компоненты Secret Net 6
во
загружены и
ну
функционируют.
Предназначено для усиления
еще
защищенности информационных
но
ресурсов
компьютера.
от
В системе Secret Net 6
из
управление шифрованием
сам
файлов и
вы
доступ
к
сам
зашифрованным файлам
вы
осуществляется на
тот
уровне каталога.
тот
Пользователь,
создавший зашифрованный
от
ресурс, является
они
его владельцем,
на
он может
раз
пользоваться им
без
не только
два
индивидуально, но
от
и предоставлять
во
доступ к
вот
этому
ресурсу
кто
другим пользователям.
без
Шифрование файлов производится
мы
по
алгоритму
чем
ГОСТ 28147–89.
же
Контроль печати конфиденциальной
вы
информации.
Печать осуществляется
уже
под контролем
так
системы защиты.
во
При
разрешённом выводе
во
конфиденциальной информации
как
на печать
вы
документы
автоматически
за
маркируются в
как
соответствии с
для
принятыми в
во
организации
стандартами.
тот
Факт печати отображается
от
в журнале
ну
защиты Secret Net 6.
ну
Гарантированное уничтожение данных
ни
Уничтожение достигается путем
ты
записи случайной
до
последовательности
на
что
место удаленной
уже
информации в
но
освобождаемую область
вот
диска. Для большей
ты
надежности может
по
быть выполнено
же
до 10
где
циклов (проходов)
уже
затирания.
Система Secret Net 6 регистрирует
от
все события,
во
происходящие на
там
компьютере: включение
они
\ выключение компьютера,
на
вход \ выход
вы
79
79
пользователей, события
бы
НСД, запуск приложений,
вы
обращения к
под
конфиденциальной информации,
да
контроль вывода
со
конфиденциальной
информации
для
на печать
от
и отчуждаемые
да
носители и
мы
т.п.
по
Импорт и экспорт
до
параметров
В Secret Net 6
бы
реализована возможность
так
экспорта и
еще
импорта различных
при
параметров системы.
при
После проверки корректности
он
работы защитных
кто
механизмов на
ни
компьютере, принимаемом
сам
за эталонный,
без
выполняется экспорт
мы
значений параметров
со
в файл.
да
Далее значения импортируются
из
на необходимое
для
количество компьютеров.
ли
Возможность применения персональных
бы
идентификаторов с
еще
Secret Net 6
Сетевая версия
тот
системы Secret Net 6
сам
обладает всеми
от
возможностями
автономной
под
версии, кроме
ли
того в
там
нее включены
это
средства централизованного
для
управления, что
для
существенно облегчает
там
работу администратора
они
безопасности.
Автономный вариант
вот
системы Secret Net может
он
использоваться для
чем
защиты рабочих
так
станций локальной
как
сети. Однако, если
там
количество
защищаемых
они
рабочих станций
кто
в локальной
раз
сети больше
при
20–25,
как
то
целесообразнее
уже
использовать сетевой
так
вариант Secret Net.
Система централизованного
как
управления
В качестве
что
хранилища информации
от
в системе
под
централизованного
управления
чем
используется Active Directory (AD). Для нужд
это
централизованного
управления
на
Secret Net 6 схема
уже
Active Directory расширяется — создаются
сам
новые
объекты
за
и изменяются
вы
параметры существующих.
где
Для выполнения этих
да
действий используется
где
специальный модуль
раз
изменения схемы
вот
AD, который
устанавливается
но
и запускается
кто
на контроллере
вы
домена при
там
установке системы
ну
централизованного управления.
во
Для приведения параметров
на
работы защитных
по
средств компьютера
уже
в соответствие
раз
настройкам безопасности
уже
Secret Net 6,
задаваемым
вот
с помощью
до
групповых политик,
по
используется агент
со
Secret Net 6,
установленный
уже
на каждом
при
сервере или
мы
рабочей станции
сам
защищаемой сети.
от
Столь тесная интеграция
еще
Системы Управления с Active Directory позволяет
ли
легко использовать
ни
Secret Net 6 для
кто
организации защиты
да
сети, использующей
ну
80
80
многодоменную структуру.
чем
Построение защитной системы
чем
сети, использующей
да
многодоменную структуру,
вы
на основе
до
выделенного сервера
два
безопасности, как
за
это было
да
в системах
где
защиты предыдущего
тот
поколения, имело
два
ряд существенных
на
недостатков. Постоянно возникающие
во
проблемы синхронизации
как
данных между
ты
контроллером домена
как
и сервером
уже
безопасности, завышенные
ли
требования к
так
аппаратной части
что
сервера безопасности
он
– всё это
во
значительно затрудняло
вот
централизованное управление
что
безопасностью информационной
же
системы. В
Secret Net 6
ты
эти проблемы
вот
принципиально отсутствуют.
кто
Оперативный мониторинг и
уже
аудит
В Secret Net 6
мы
предусмотрена функция
но
оперативного мониторинга
ни
и
аудита
под
безопасности информационной
тот
системы предприятия,
они
которая
позволяет
кто
решать такие
сам
задачи, как:
на
Оперативный контроль состояния
же
автоматизированной системы
кто
предприятия (получение
за
информация о
что
состоянии рабочих
по
станций и
чем
о
работающих
до
на них
раз
пользователях).
Централизованный сбор
чем
журналов с
это
возможностью оперативного
там
просмотра в
от
любой момент
без
времени, а
на
также хранение
до
и архивирование
так
журналов.
Оповещение администратора
со
о событиях
сам
НСД в режиме
вот
реального
времени.
ли
Оперативное реагирование на
уже
события НСД — выключение,
до
перезагрузка или
еще
блокировка контролируемых
он
компьютеров.
Ведение журнала
на
НСД.
Система Оперативного управления имеет
под
свою базу
ни
данных, в
ни
которой
хранится
со
вся информация,
ни
связанная с
от
работой сервера
вы
по обеспечению
тот
взаимодействия компонентов,
уже
а также
со
журналы, поступающие
уже
от агентов.
ты
В
качестве базы
два
данных используется
что
СУБД Oracle 9i.
Программа мониторинга
вот
устанавливается на
для
рабочем месте
по
администратора оперативного
из
управления — сотрудника,
бы
уполномоченного
контролировать
со
и оперативно
тот
корректировать состояние
за
защищаемых
81
81
компьютеров
от
в режиме
ты
реального времени.
бы
С помощью программы
мы
мониторинга администратор
за
может управлять
сам
сбором журналов
за
с рабочих
для
станций. Предусмотрено два
без
варианта. Первый — сервер
до
оперативного
управления
ну
собирает журналы
где
по команде
до
администратора. Второй —
администратор
сам
составляет расписание
до
и передает
для
его серверу,
кто
далее сервер
ли
собирает журналы
да
в соответствии
так
с этим
что
расписанием. Также предусмотрена
со
возможность создать
так
удобный для
без
администратора вид
так
представления сети
под
–
т.н.
где
«срез» (например,
еще
по отделам,
на
по территориальному
где
размещению и
раз
т.п.),
же
в
случае
да
крупной распределённой
по
сети, делегировать
сам
другим администраторам
они
выделенные им
во
для управления
ли
сегменты сети.
вы
В системе Secret Net 6
же
для проведения
при
аудита используются
сам
4 журнала,
под
три из
чем
которых – штатные
да
журналы ОС и
ты
одни хранит
ты
сведения событий,
уже
происходящих в
еще
Secret Net 6. Журналы ведутся
от
на каждом
при
защищаемом
компьютере
вы
сети и
еще
хранятся в
ни
его локальной
без
базе данных.
уже
Сбор журналов
осуществляется
раз
по команде
где
аудитора или
во
по расписанию.
без
Программа работы с
от
журналами позволяет
чем
аудитору просматривать
мы
записи журналов
сам
и тем
так
самым
отслеживать
на
действия пользователей,
по
связанные с
бы
безопасностью
автоматизированной
уже
информационной системы
ну
предприятия. В журналах
но
предусмотрена удобная
со
система фильтрации
ли
по различным
кто
критериям, которая
же
значительно упрощает
еще
работу, связанную
кто
с поиском
еще
и анализом
два
событий. С
помощью
под
программы работы
он
с журналами
во
аудитор может
раз
выдавать команды
при
серверу на
ну
архивацию журналов,
из
а также
под
на восстановление
там
журналов из
где
архива. Предусмотрена возможность
два
просмотра архивов,
что
а также
за
сохранения
журнала
так
в файл
но
для последующей
из
передачи и
это
анализа записей
за
вне системы
ни
Secret Net 6.
2.2.2. Контрольный пример реализации проекта и его описание
На предприятии будут внедряться следующие технические средства для
уменьшения риска физического проникновения постороннего лица на
территорию организации:
камеры видеонаблюдения;
82
82
кодовые дверные замки.
датчики на разбитие окон (для охраны в не рабочее
время суток);
датчики движения (для охраны в не рабочее время
суток).
Для защиты от несанкционированного доступа будет внедрено
следующее программное обеспечение:
Secret Net.
Внедрения приведенных выше программных и аппаратных устройств
приведет к изменению в программной и аппаратной структуре вычислительной
системы предприятия. Также поскольку будут добавлены новые устройства
обеспечения физической безопасности, схема связанная с обеспечением
физической безопасности также изменится.
Внедрение всех выбранных устройств затронет все подразделения
организации.
На рисунке 2.2 представлена измененная техническая архитектура
предприятия
83
83
Интернет
Локальная вычислительная сеть
Директорат Отделы компании
Брандмауэр Windows
Брандмауэр Windows
EliteBook 8460p
Color LaserJet CM1312
EliteBook 8460p
HP Z200
Color LaserJet CM1312
Cisco ASA 5520
Secret Net
Secret Net
Рис. 2.2. Техническая архитектура предприятия
Также измениться и программная архитектура предприятия. Она
представлена на рисунке 2.3.
84
84
Отделы компании
Директорат
Microsoft Windows XP SP3
Microsoft Office 2003
Avast! Business Pro
Microsoft Windows 7 Professional
Microsoft Office 2007
Avast! Business Pro
Opera 10.0
Opera 10.0
Бухгалтерия
Microsoft Windows XP SP3
Microsoft Office 2003
Avast! Business Pro
Opera 10.0
«1С:Бухгалтерия»
Интернет
Secret Net Secret Net Secret Net
Рис. 2.3. Программная архитектура предприятия
На рисунке 2.4. представлен интерфейс СЗИ от НСД Secret Net.
Рис. 2.4. Интерфейс Secret Net
85
85
Также измениться ситуация по обеспечению физической безопасности.
Схема системы обеспечения физической безопасности информационной
системы представлена на рисунке 2.5.
C
Бухгалтерия
Отдел по работе с
клиентами
Директорат
Транспортный отдел
Административно-
хозяйственный отдел
C
C
C
C
C
C
C
C
C
C
C
W
I
W
I
W
I
W
I
W
I
W
I
C
S
C
S
C
S
C
S
C
S
C
S
C
S
C
S
C
S
C
S
C
S
C
S
Рис.2.5. Схема расположения средств обеспечения физической безопасности
Подобное расположение видеокамер позволит точно устанавливать
личность входящих лиц на территорию организации, обеспечить
дополнительную безопасность от возможных краж, устанавливать личность
входящих лиц в помещения закрытых для посторонних лиц.
Также из схемы видно, расположение кодовых замков. Они не позволят
злоумышленнику проникнуть в комнаты, предназначенные для персонала
организации, в том числе и в кабинет директора.
Таким образом, будет значительно повышена общая информационная
безопасность организации, снижены выделенные риски.