69
локальные и
сессий
сетевые принтеры. Кроме того, компонент DeviceLock Base служит
в качестве инфраструктурной платформы для других компонентов комплекса и
реализует все функции его централизованного управления и администрирования
NetworkLock. Обеспечивающий контекстный контроль каналов сетевых
коммуникаций компьютеров, включая распознавание сетевых протоколов
независимо от используемых портов, детектирование коммуникационных
приложений и их селективную блокировку, реконструкцию сообщений и сессий
с восстановлением файлов, данных и параметров, а также событийное
протоколирование и теневое копирование передаваемых данных.
ContentLock. Реализующий механизмы мониторинга и контентной
фильтрации файлов, копируемых на съемные носители и иные Plug-n-Play
устройства, а также объектов данных, перехваченных NetworkLock при их
передаче по сетевым каналам связи – включая содержимое электронной почты,
мгновенных сообщений, web-форм, публикаций социальных сетей и файловых
обменов. Для контентного анализа и фильтрации данных, передаваемых по
каналам сетевых коммуникаций, также необходим компонент NetworkLock.
А также в состав DeviceLock входят консоли управления, апплеты и
сервер DeviceLock Enterprise Server. Последний обеспечивает полнотекстовый
поиск по централизованным базам данных теневого копирования и событийного
протоколирования DeviceLock. Применение поискового сервера DLSS позволяет
значительно снизить трудозатратность и повысить эффективность процессов
аудита и расследования инцидентов информационной безопасности, связанных с
утечками информации, их анализа и сбора доказательной базы.
ООО «МегаБит» особое внимание обратило на резервное копирование
информационных активов. Поскольку это позволит быстро восстановить
утраченные данные в случаях ее уничтожения на основном носителе. Резервное
копирование на предприятии осуществляется на резервный сервер, при этом вся
информация шифруется при помощи специальной программы. Восстановить
данные с резервного сервера возможно только при наличии специального
ключа, который хранится у генерального директора.
Handy Backup Office Expert. Многофункциональное и простое решение
для для резервного копирования. Поддерживает возможность копирования
70
данных на любые современные устройства, включая HDD, SSD и NAS.
Программа ведёт журнал всех работ и событий, обеспечивающий пользователю
полный контроль над резервным копированием. Программа запускается как
службу Windows, что позволяет не отвлекать пользователей сервера от работы с
другими приложениями и экономит ресурсы оборудования.
В лицензию включены все функции:
Резервное копирование файлов, папок, баз данных и создание образа
диска (1С, MS SQL, MySQL, MariaDB, PostgreSQL, IBM DB2, Lotus Notes
MS Exchange и др.)
Создание копий всех необходимых элементов сайта: базы данных
(удаленные и локальные), CMS и конфигурации. Поддержка протоколов
FTP/SFTP/FTPS.
Сохраняет точный образ любого сервера, физического или виртуального.
Также ООО «МегаБит» использует для своих информационных активов
шифрование. Ключи кодировки и шифровки информации хранятся у
генерального директора и не известны сотрудникам службы безопасности.
Используемая программа запрограммирована так, что в ситуации, угрожающей
основному серверу предприятия, он отключается и вся информация, хранящееся
на нем удаляется.
CyberSafe Top Secret. Программа для защиты информации, использующая
современные алгоритмы шифрования (RSA, AES, BlowFish и др.).
Предоставляемый в программе набор инструментов и функций применяется во
всех сферах работы с информацией: защита конфиденциальной информации,
защита E-mail корреспонденции, создание и проверка цифровых подписей.
Преимущества CyberSafe Top Secret:
Гибкость в работе. Позволяют зашифровать файлы и папки различными
способами.
Поддержка нескольких криптопровайдеров
Система доверенных приложений. Назначается перечень доверенных
программ, которые смогут получить доступ к защищенным файлам, в то
время как программы, не вошедшие в число доверенных, не будут иметь
доступа. Шифрование на стороне пользователя. Секретные файлы на
71
сервере всегда хранятся в зашифрованном виде, что обеспечивает их
надежную защиту.
Администрирование и разграничение прав доступа.
Шифрование резервных копий на стороне пользователя
Преимущества перед другими программами:
Хранение приватных ключей только на вашем компьютере.
72
2.2.2. Контрольный пример реализации проекта и его описание.
Установка DeviceLock. Предусмотрена установка компонентов
DeviceLock прямым запуском файла setup.exe на любой машине без участия
пользователя. Для такой установки нужно запустить setup.exe на локальной или
удаленной (например, с помощью psexec.exe) машине с параметром /s. При этом
параметры установки будут браться из файла DeviceLock.ini из той же
директории, где находится setup.exe.
Настройка «белого списка» USB-устройств (Рис. 2.1). Настраивается он в
разделе Devices/USBDevicesWhiteList. Каждому пользователю можно назначить
свой белый список. Это в теории дает возможность построить систему, в
которой ни один пользователь не сможет воспользоваться «чужой флешкой».
Рисунок 2.1. Интерфейс белого списка.
73
Настройка снятия контроля на уровне порта для отдельных типов
устройств (Рис. 2.2). Настраивается в разделе DevicesSecurity Settings — единым
списком, либо в окне Security Settings настроек доступа каждого из портов —
только для устройств, которые могут работать через этот конкретный порт
Рисунок 2.2. Интерфейс снятия контроля доступа на уровне порта для
отдельных типов устройств.
Unhook protection (Рис.2.3). В этом режиме агент DeviceLock не позволит
пользователям отключить защиту критичных для сервиса веток реестра и
файлов, таким образом делая невозможным отключение DeviceLock при помощи
утилит-руткитов (таких, как, например, Kernel Detective). В режиме Unhook
74
protection, агент DeviceLock при нарушении целостности вызывает завершение
работы Windows синим экраном смерти.
Рисунок 2.3. Ограничение доступа к агенту DeviceLock по списку без
выставления защиты UnhookProtection
Мониторинг активности агентов и восстановление целостности их
настроек с помощью модуля «Мониторинг» сервера DeviceLock (Рис. 2.4). В
частности, модуль будет уведомлять, удаленный агент замолчал, если
злоумышленники все-таки узнали имя сервера / IP-адрес и порт и загасил
коммуникации на них.
75
Рисунок 2.4. Модуль Monitoring сервера DeviceLock.
Для установки Handy Backup на сервере базы данных, необходимо
запустить установочный файл Handy Backup. Появиться мастер установки,
необходимо нажать кнопку «Далее» (Рис.2.5). В следующем окне необходимо
прочитать лицензионное соглашение и нажать «Согласен». Далее появиться
окно, где необходимо выбрать приложение установки. В нашем случае это будет
Handy Backup, поскольку резервное копирование будет происходить только на
одном компьютере, сервере баз данных.
76
Рисунок 2.5. Мастер установки Handy Backup.
После следует выбрать место, куда следует установить программу и
нажать «Установить». После установки откроется программа.
Для того, чтобы зарезервировать данные необходимо создать задачу
резервного копирования с помощью значка, который располагается на панели
инструментов.
После запуска программы появиться мастер создания новой задачи. Handy
Backup работает с данными, сгруппированными по задачам (Рис. 2.6). Для
резервного копирования, восстановления или синхронизации данных требуется
создать задачу, определив:
имя задачи;
тип выполняемой операции (резервное копирование, восстановление,
синхронизация);
месторасположение копируемых данных;
место хранения резервных копий;
77
тип и степень сжатия при архивировании;
пароль для шифрования;
расписание копирования;
и прочие дополнительные опции.
Рисунок 2.6. Мастер создания новой задачи. Выбор типа задач.
Задачу резервного копирования можно создать, либо в стандартном
режиме, обеспечивающим минимально необходимый набор настроек, либо в
режиме эксперт с расширенными возможностями настройки свойств задачи.
В следующем окне по кнопке «Добавить» будет предложено указать, какие
файлы и папки следует включить в набор для резервного копирования (Рис. 2.7).
78
Рисунок 2.7. Мастер создания новой задачи.
Поле «включить маски» определяет, какие файлы включаются в задание. В
него можно ввести полные имена файлов, отделённые точкой с запятой друг от
друга; и/или обозначить маски, указывающие на группы файлов. Аналогично
поле «Исключить маски». Можно обозначить файлы и/или маски, указывающие,
какие файлы или группы файлов не надо резервировать. Кнопка «добавить
стандартные расширения временных файлов» позволяет добавить в список
исключения временные файлы. После нажатия на кнопку стандартные маски
временных файлов появятся в окне «исключить маски».