42
ГЛАВА 3. РАЗРАБОТКА РЕКОМЕНДАЦИЙ И
ПРЕДЛОЖЕНИЙ ПО СОВЕРШЕНСТВОВАНИЮ
ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ ЛОКАЛЬНОЙ
ВЫЧИСЛИТЕЛЬНОЙ СЕТИ ООО «АЙТИ-СЕРВИС»
3.1. Предложения по совершенствованию программного обеспечения по
администрированию и обеспечению защиты локальной сети
Выполненный анализ показал, что настоящее время в ООО «Айти-
сервис» для администрирования локальной сети применяются встроенные
возможности сетевой операционной системы Windows Server, а также
утилита X-Net Stat Professional позволяет своевременно выявить
несанкционированное подключение к локальной сети. Для обеспечения
защиты применяется антивирусная программа Dr. Web.
Для улучшения администрирования и обеспечения защиты локальной
сети предлагаем использовать ООО «Айти-сервис» программно-аппаратный
комплекс защиты «Соболь 3.0», позволяющий предотвращаться
несанкционированный доступ к ресурсам локальной сети.
К основным функциям ПАК (программно-аппаратный комплекс)
«Соболь 3.0» относятся [37]:
- идентификация и аутентификация пользователей через персональные
идентификаторы eToken, Rutoken S;
- организация защиты от несанкционированной загрузки операционной
системы со съемных устройств;
- выполнение контроля целостности файлов, выполнения загрузок с
жестких дисков, системного реестра данных;
- мониторинг локальной вычислительной сети в режиме онлайн и
блокировки вредоносного программного обеспечения.
Предлагаемая схема работы ПАК «Соболь» в компьютерной сети ООО
«Айти-сервис» приведена на рисунке 10.
43
Рисунок 10 – Схема работы ПАК «Соболь» в компьютерной сети
ООО «Айти-сервис»
Как видно из рисунка 10, регистрация пользователя в компьютерной
сети производится через ПАК «Соболь». Если данные пользователя верны,
выполняются операции по контролю целостности файлов и секторов
жесткого диска и непосредственно загрузка операционной системы.
Программные системы криптозащиты представлены в виде
специального программного обеспечения, позволяющего выполнять
шифрование данных на носителях. В их состав входят защищенные
виртуальные сети, позволяющие выполнять обмен данными (VPN-сети) и
комбинированные программно-аппаратные комплексы.
Среди основных функций средств предлагаемой программной
криптозащиты ООО «Айти-сервис» следует отметить:
- создание и использование ключей шифрование;
- организацию защиты посредством электронной цифровой подписи и
связанной с ней шифрованием, с последующей проверкой авторства;
- организация работы с криптографическими интерфейсами;
- выполнение задач аутентификации и идентификации данных.
44
Процесс шифрования и расшифрования ПАК «Соболь» исходного
текста с помощью программных средств криптозащиты приведен на рисунке
11.
Рисунок 11 – Процесс шифрования и расшифрования исходного текста с
помощью программных средств криптозащиты
Процесс шифрования данных ПАК «Соболь» основан на однозначном
математическом или криптографическом преобразовании, определяемом
параметрами ключа (преобразования). Оно ставит в сопоставление блоку
открытой информации, цифровую кодировку.
При этом если шифрование и расшифрование данных ПАК «Соболь»
выполняется с применением одного ключа, то в основе программных средств
защиты находятся алгоритмы симметричного криптографического
преобразования, а если используются разные ключи, то программные
средства защиты называют асимметричными.
Наиболее важную роль в средствах криптозащиты ПАК «Соболь»
занимает электронная подпись, позволяющая обеспечить целостность
данных, которые передаются по незащищенным каналам. При создании
цифровой подписи используется сложная математическая зависимость между
электронными документами, ключами и системами проверки.
45
Процесс формирования электронной подписи в ПАК «Соболь»
приведен на рисунке 12.
Рисунок 12 – Процесс формирования электронной подписи ПАК «Соболь»
В основе программных средств криптозащиты находятся такие важные
понятия как криптографический ключ, ключевая информация, документы,
средства криптографической защиты информации.
Криптографический ключ представлен в виде совокупности данных,
позволяющих обеспечить выбор определенного алгоритма для выполнения
криптографического преобразования данных. В свою очередь, ключевая
информация представлена в виде специальной организованной совокупности
криптоключей, направленных на обеспечение криптографической защиты в
течение определенного промежутка времени.
К ключевым документам относят электронные документы, в которых
содержится ключевая информация, к которой существует ограниченной
доступ.
Средства криптографической защиты (СКЗИ) относятся к
программным средствам шифрования данных и обеспечения имитозащиты. В
их состав входят средства для создания электронной подписи, кодирования
данных, создания ключевых документов.
46
Основные параметры современных средств программной
криптозащиты ПАК «Соболь» приведены в таблице 9.
Таблица 9 – Основные параметры современных средств программной
криптозащиты ПАК «Соболь»
Название параметра
Характеристика
Конфиденциальность
Обеспечение защиты прочтения данных для лиц, которые
не имеют соответствующих прав и привилегий доступа.
Среди главных компонентов программного средства
защиты в этом случае выступает ключ, представленный в
виде уникальной буквенно-численной комбинации,
позволяющей обеспечить доступ пользователей в
определенный блок системы защиты
Целостность
Обеспечение защиты от изменений редактирования и
удаления данных. В этом случае программным путем к
информации добавляется избыточность и
криптографический алгоритм
Аутентификация
Позволяющая подтвердить подлинность данных.
Передаваемые по каналам данные должны иметь
аутентификацию по содержимому, времени создания,
передаче, источникам и получателям
Авторство
Позволяет подтвердить подлинность и права на
использование данных. Для его защиты в программных
средствах предусмотрен механизм создания электронной
цифровой подписи
Для реализации перечисленных в таблице 9 параметров в состав
современных программных средств защиты входят криптопровайдер,
криптодрайвер, модули сетевой аутентификации, шифрования файловой
системы, сетевые модули, а также интерфейсы управления и
администрирования.
Внедрение ПАК «Соболь» позволит ООО «Айти-сервис» реализовать
следующие механизмы защиты:
- выполнить идентификацию и аутентификацию пользователей;
- блокировать загрузку операционной системы со съемного носителя;
- выполнять контроль целостности файловой системы, жесткого диска
и реестра операционной системы;
47
- использовать сторожевой таймер, а также регистрировать события в
области обеспечения безопасности системы.
ПАК «Соболь» может работать как в режиме инициализации данных,
так и в рабочем режиме.
В режиме инициализации данных выполняется подготовка комплекса к
эксплуатации за счет инициализации аппаратной и программной защиты.
Основные идентификаторы, входящие в состав ПАК «Соболь»
приведены в таблице 10.
Таблица 10 – Основные идентификаторы, входящие в состав ПАК «Соболь»
Название идентификатора
Назначение
DS1992
USB-ключ и смарт-карта eToken PRO
DS1993
Rutoken S
DS1994
Rutoken RF S
DS1995
iKey 2032
DS1996
По умолчанию
Как видно из таблицы 10, в зависимости от типа предъявляемого
идентификатора в состав ПАК «Соболь» входят механизмы поддержки
двухфакторной аутентификации (для iKey 2032, Rutoken S, Rutoken RF S), а
также усиленный двухфакторный режим (eToken PRO).
Настройка параметров защиты производится в окне «Общие параметры
системы» приведенном на рисунке 13.
Рисунок 13 – Окно для настройки общих параметров системы
48
Как видно из рисунка 13, в окне установки общих параметров системы,
указывается текущая версия криптографической системы, число попыток
выполнения тестирования.
Также можно установить режим показа статистики пользователя,
ограничить длину ввода пароля пользователем, произвести настройки
сторожевого таймера и возможность поддержки USB-идентификатора.
Функция показ статистики создает возможности разрешения или
запрета вывода на экран информационного окна, в котором отражается
успешная идентификация пользователя.
Важным параметром является время ожидания сторожевого таймера,
определяющее интервал времени, в течение которого будет производиться
автоматическая перегрузка персонального компьютера. Также можно
определить периодичность, с которой будет выполняться тестирование
сторожевого таймера.
Меню администратора ПАК «Соболь» приведено на рисунке 14.
Рисунок 14 – Внешний вид меню администратора ПАК «Соболь»
В меню администратора команда «Список пользователей» применяется
для выполнения операций по управлению пользователями комплекса.
49
Для просмотра текущих событий необходимо использовать команду
«Журнал регистрации событий, а настройки общих параметров – команду
«Общие параметры системы».
Также в комплексе предусмотрена функция «Расчет контрольных
сумм», позволяющая на основании установленных эталонных параметров
задать шаблоны контрольного центра.
Достаточно важную роль для обеспечения безопасности имеет
организация возможности управления зарегистрированными пользователями.
В этом режиме ПАК «Соболь» на экране отображается текущая карточка
пользователя, в которой приводятся:
- сведения о выбранном пользователе (имя пользователя, номер
идентификатора, время последнего входа в компьютерную сеть).
- список параметров учетной записи и строка со справочными
данными.
Для того чтобы выполнить настройку параметров учетной записи
пользователей, используется команда «Зарегистрированные пользователи»,
диалоговое окно работы с которой приведено на рисунке 15.
Рисунок 15 – Внешний вид окна «Зарегистрированные пользователи»
50
Команда «Количество неудачных попыток входа» отражает состояние
выполненных входов в компьютерную сеть, а для управления блокировкой
входов пользователей используется команда «Текущий статус пользователя»,
который может принимать два значения: «Блокирован», то есть вход в
систему пользователям запрещается и «Не блокирован». Если пользователь
заблокирован в системе, то в окне пользователя будет отображено сообщение
«Ваш вход в системе запрещен администратором».
ПАК «Соболь» позволяет реализовать два режима контроля
целостности данных: жесткий режим с блокировкой данных пользователя и
мягкий режим.
Также при настойке учетных данных пользователя можно использовать
команду «Ограничение срока действия пароля». В этом режиме, пароль
пользователя перестанет работать по истечении срока, указанного в
параметре «Максимальный срок действия пароля».
Для контроля работоспособности ПАК «Соболь» используется меню
«Диагностика платы», внешний вид которого приведен на рисунке 16.
Рисунок 16 – Внешний вид меню «Диагностика платы»
Тест памяти платы позволяет выполнить проверку работоспособности
энергонезависимой памяти ПАК «Соболь». В процессе проверки
контролируются попытки доступа на запись и чтение для каждой ячейки
памяти.
51
Для оценки работоспособности ПАК «Соболь» можно запустить тест
датчика случайных чисел, позволяющий определить равномерность
распределения случайных чисел, которые генерируются датчиком.
Тест идентификатора позволяет поддержку USB-идентификаторов,
подключенных к комплексу.
Все выполненные в программном комплексе действия регистрируются
в журнале записи событий, как это показано на рисунке 17.
Рисунок 17 – Внешний вид окна журнала записи событий
Как видно из рисунка 17, записи о событиях, представлены в табличной
форме и каждая из записей выделяется своим цветом. Желтый цвет
используется для обозначения событий, успешных действий администратора.
Красный цвет используется для отражения критических событий, требующих
особого внимания, а белый цвет применяется для отражения событий по
успешной работе пользователей.
Среди основных событий, совершаемых в ПАК «Соболь» следует
отметить, входы в систему администратора и пользователей, запросы на
добавление данных пользователя или их удаление, запросы по пересчету
контрольных сумм или переходу в автономный режим работы, запросы по
блокировке данных пользователей или смене ими пароля, а также различные
ошибки.
Можно сказать, что программный комплекс позволяет в ООО «Айти-
сервис» обеспечить достаточную защиту.