04. Опис функцій і можливостей КЗЗ від НСД

1. Системи захисту в АС класу 1

1.1. «Рубіж-РСО» (версія 2)

Комплекс призначений для забезпечення захищеної інформаційної технології в частині збирання, оброблення, зберігання і представлення інформації з обмеженим доступом в АС класу 1. Рівень гарантій - Г-3. Експертний висновок № 422 дійсний до 01.03.2016. Розробник: ПАТ «КП ОТІ» (Київ).

ФПЗ комплексу:

КА-2, КО-1, ЦА-1, ДВ-1, НР-2, НИ-3, НК-1, НО-2, НЦ-1, НТ-2

Комплекс може використовуватися у якості програмно-технічного ядра КСЗІ в АС класу 1 для обробки конфіденційної інформації, а також інформації, що становить державну таємницю, при виконанні відповідних організаційних заходів та забезпеченні захисту від витоку інформації технічними каналами. Використання  передбачається: на робочих станціях «Intel» архітектури в середовищі операційної системи (далі - ОС) Windows 2000 / XP.

При автентифікації в Windows використовуються логін і пароль та додатково перевіряється PIN-код на оптичному носії CD-R/RW, який повинен бути зареєстрований адміністратором безпеки в базі даних комплексу за правилами обліку носіїв. Тільки при наявності усіх цих чинників може бути здійснена автентифікація користувача АС.

Технологія обробки конфіденційної інформації передбачає виконання таких вимог:
- ІзОД зберігається тільки на зйомних магнітних (Flash диски) та оптичних  носіях  (CD-R/RW), які зареєстровані адміністратором в базі даних;
- на одному носії зберігаються дані одного ступеню конфіденційності, який відповідає встановленому для носія грифу конфіденційності.

Комплекс забезпечує вирішення таких функцій захисту:
- можливість доступу до інформації тільки за умови достовірного розпізнавання користувача з урахуванням наданих йому повноважень;
- виключення неконтрольованого та несанкціонованого ознайомлення, копіювання та відновлення інформації;
- виключення неконтрольованої та несанкціонованої модифікації та видалення інформації;
- ведення обліку дій користувачів та реєстрацію спроб порушення встановленого порядку доступу до інформації, блокування доступу до інформації у разі виявлення таких спроб, а також можливість здійснення контролю за доступом до інформації з боку адміністратора безпеки (відповідальної особи);
- контроль роботи комплексу ТЗІ від витоку фізичними каналами, при включенні до складу КЗЗ приладу контролю активності «РІАС-4КА»;
- контроль цілісності комплексу ТЗІ.

Комплекс складається з:
- комплексу технічних засобів обробки ІзОД;
- засобів захисту інформації від витоку фізичними каналами, які підключаються до певних входів приладу;
- «РІАС-4КА» - пристрою автоматизованого контролю працездатності засобів просторового та лінійного захисту інформації з видаванням сигналів на КЗЗ.

Опис функціонування

Посилена автентифікація - при спробі користувача авторизуватись в ОС відбувається перевірка КЗЗ від НСД. Якщо виявлені порушення, то користувач, що не є Адміністратором безпеки не зможе здійснити вхід до системи.

Моніторинг - вмикається тоді, коли адміністратор безпеки переведе КЗЗ в режим роботи Нормальний, і, вимикається, коли КЗЗ переводиться в режим роботи «Службовий».

Інформування - у випадку виявлення порушень функціонування Комплексу буде надано користувачеві інформативне повідомлення з певним часом аварійного завершення сеансу на виявлення та можливого вирішення ситуації зі сторони користувача, якщо це можливо, та здійснений запис в базу даних КЗЗ.

Якщо час аварійного завершення сеансу вийшов і Комплекс не був відновлений, система примусово завершить сеанс користувача і переведеться в режим «Службовий».

Обробка ІзОД передбачає виконання такої послідовності дій:
- отримати носій у відповідального за зберігання носіїв працівника;
- пройти процес автентифікації при вході в ОС;
- створити або скопіювати з носія до власної робочої папки необхідні для роботи документи;
- виконати планові операції з документами (створення, перегляд, редагування, друк та збереження);
- скопіювати необхідні документи на носій;
- всі документи робочих папок та тимчасово створені файли знищити;
- завершити сеанс роботи;
- здати носій на зберігання працівнику РСО.

1.2. «VTI-Рубіж» (версія 2)

Комплекс призначений для реалізації механізмів захисту інформації від НСД, автоматизації процесів керування ними та створення захищеної технології оброблення, зберігання та представлення ІзОД в АС класів 1 і 2. Рівень гарантій - Г-3. Експертний висновок № 482 дійсний до 13.12.2016.

ФПЗ комплексу:

КА-2, КО-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-4, НИ-3, НК-1, НО-2, НЦ-2, НТ-3

Комплекс може розглядатися як централізована багаторівнева ієрархічна система захисту інформації від НСД, яка складається з КЗЗ рівнів та засобів забезпечення їх взаємодії. До складу КЗЗ кожного рівня входять монітор безпеки (МБ) у складі автоматизованого робочого місця (АРМ) адміністратора безпеки та серверу МБ.

Крім МБ в комплекс входять агенти МБ, які інсталюються на кожному з хостів і здійснюють взаємодію з програмно-технічними та проблемно-орієнтованими засобами захисту (ПОЗЗ). МБ є програмно-технічним ядром системи захисту, яке забезпечує централізоване управління КЗЗ та взаємодію його елементів.

МБ інтегрує в єдину систему керування захистом такі засоби:
- захисту домену;
- захисту функціональних робочих місць у складі засобів автентифікації, захисту ОС та управління фізичним доступом до робочих станцій - «Рубіж-РС»;
- підсистеми управління фізичним доступом до території та приміщень вузла АС - «Рубіж-Ф»;
- захисту баз даних (БД) рівня АС;
- захисту комунікаційної мережі зв'язку;
- криптографічного захисту інформації;
- антивірусного захисту;
- резервного копіювання та відновлення інформації КЗЗ, операційного середовища та БД.

Сервер МБ забезпечує:
- реалізацію бізнес-логіки функціонування системи захисту інформації АС від НСД,
- зберігання параметрів моделі системи захисту, конфігурації системи, ведення та обробку журналів подій,
- зберігання параметрів аудиту системи та реагування на критичні події, автентифікацію адміністраторів (агентів),
- мережеву взаємодію з АРМ адміністратора безпеки та агентами МБ,
- формування команд для взаємодії з ПОЗЗ,
- відслідковування подій та видачу інформації на АРМ адміністратора безпеки для керування КЗЗ.

Взаємодія МБ з ПОЗЗ з проблемно-орієнтованими засобами захисту (функціональних АРМ, контролера домену, операційних систем та СКБД) забезпечується його структурним елементом - сервером МБ за схемою: АРМ адміністратора « сервер МБ « агент монітора безпеки « ПОЗЗ.

Взаємодія з програмно-технічними та проблемно-орієнтованими засобами захисту інформаційних ресурсів кожного з хостів здійснюється через окремі функціональні компоненти - агенти МБ, які інсталюються на окремих серверах та робочих станціях АС. Кожний агент для взаємодії з проблемно-орієнтованими засобами захисту має набір драйверів відповідно до складу ПОЗЗ.

Агенти МБ призначені для:
- керування механізмами захисту ПОЗЗ;
- видачі інформації на АРМ про параметри системи захисту за запитами адміністратора безпеки;
- реєстрації подій ПОЗЗ;
- видачі повідомлень на АРМ адміністратора безпеки про події, що зв'язані з безпекою системи.

Агент МБ приймає команди на адміністрування ПОЗЗ від АРМ адміністратора, виконує команди і відправляє монітору безпеки інформацію про результати їх виконання. Крім того, агент МБ відслідковує події на ПОЗЗ, видає інформацію про події монітору безпеки і забезпечує реагування на критичні події.

У випадку відсутності зв'язку з МБ (або його непрацездатністю) агент МБ автономно виконує функції захисту інформаційних ресурсів хосту, відслідковує події, забезпечує реагування на критичні події. При відновленні зв'язку з МБ всю необхідну інформацію агент пересилає на МБ для подальшої обробки і прийняття відповідних рішень.

Програмні засоби АРМ адміністратора безпеки забезпечують зручний та інтуїтивно зрозумілий інтерфейс для адміністратора безпеки і представляють собою програмні модулі, що функціонують у середовищі Windows NT / 2000.

Інтерфейс забезпечує введення та відображення інформації, необхідної для налагодження та керування механізмами захисту АРМ адміністратора безпеки, а також відслідкування подій, що впливають на стан захищеності АС.

Засоби комплексу забезпечують автоматизовану побудову моделі захищеної системи, яка включає:
- структуру системи, що захищається;
- структуру власне СЗІ;
- структуру суб'єктів інформаційної діяльності;
- структуру об'єктів захисту;
- правила розмежування доступу (далі - ПРД);
- правила забезпечення спостереженості за станом систем;
- правила реагування на критичні події.

Об’єктами захисту комплексу є:
- системні ресурси АС - ресурси операційних систем, системних та мережних служб, власне СЗІ;
- інформаційні ресурси АС (об'єкти СКБД, файли);
- інформаційні ресурси власне КЗЗ АС (об'єкти БД КЗЗ: параметри моделі і конфігурація системи захисту, параметри автентифікації користувачів, журнали подій, журнали дії адміністраторів, архіви журналів, звіти про стан захищеності системи, параметри аудиту подій, параметри реагування на події тощо);
- прикладні ресурси (програмне забезпечення АС).

ПРД визначаються встановленою власником АС політикою безпеки і полягають у наданні повноважень суб'єктам АС на доступ до ресурсів, які захищаються, а також у встановленні типів доступу суб'єктам до об'єктів захищеної системи. На основі такої інформації за внутрішніми алгоритмами перевірки повноважень диспетчери доступу ПОЗЗ реалізують санкціонування доступу суб'єкта до об'єкта. Таким чином забезпечується довірчий та адміністративний принципи керування доступом.

1.3. «Лоза-1» (версія 4)

Система - це програмний засіб захисту інформації від НСД в АС класу 1, який працює під керуванням ОС Windows XP / Vista / 7. Рівень гарантій: Г-4. Експертний висновок № 540 дійсний до 08.08.2016. Розробник: ТОВ НДІ «Автопром» (Київ).

Система постачається у двох конфігураціях:
- «Підвищена безпека» - для захисту інформації, що становить державну таємницю;
- «Стандартна безпека» - для захисту службової та конфіденційної інформації (в тому числі персональних даних).

ФПЗ системи у  конфігурації  «Підвищена безпека»:

КА-3, КО-1, ЦА-1, ДВ-1, ДЗ-1, НР-2, НИ-3, НК-1, НО-2, НЦ-2, НТ-2.

ФПЗ системи у конфігурації «Стандартна безпека»:

КД-2, КА-2, КО-1, ЦД-1, ЦА-1, ДВ-1, ДЗ-1, НР-2, НИ-2, НК-1, НО-2, НЦ-2, НТ-2.

У конфігурації «Стандартна безпека» рівень надання послуги безпеки «Ідентифікація та автентифікація» залежить від значення параметра конфігурації «Перевіряти ключовий диск під час входу до Windows». Якщо для нього встановлене значення «Так», зазначена послуга надається на рівні НИ-3 «Множинна ідентифікація та автентифікація».

У протилежному випадку послуга надається на рівні НИ-2 «Одиночна ідентифікація та автентифікація». У конфігурації «Підвищена безпека» послуга безпеки НИ-3 забезпечується автоматично. Як ключові диски можуть використовуватись модулі пам'яті USB Flash та CD/DVD-диски.

Система забезпечує:

1. Захист інформації від НСД:

- дозволяє захистити будь-які дані на знімних та стаціонарних носіях; захист здійснюється на рівні папок Windows та знімних дисків;

- забезпечує надійний захист документів Microsoft Word та Microsoft Excel за рахунок тісної інтеграції з Microsoft Office (відключаються небезпечні команди, макроси, шаблони тощо); підтримуються версії Microsoft Office XP / 2003 / 2007 / 2010;

- дозволяє контролювати роботу із знімними дисками: компакт-дисками та флешками; для флешек дозволи на доступ до диска можуть встановлюватись для окремих носіїв (вони ідентифікуються за «залізним» серійним номером);

- дозволяє встановлювати дозволи або заборони на запуск процесів.

2. Контроль друку та експорту:

- забезпечує можливість встановлення дозволу/заборони друку та експорту на рівні окремих документів;

- для підсилення контролю дозволяє забезпечити присутність адміністратора або іншої уповноваженої особи під час друку та експорту (за рахунок необхідності введення пароля).

3. Контроль входу користувачів до системи:

- у конфігурації «Підвищена безпека» вхід здійснюється тільки після введення пароля та встановлення ключового диска (може використовуватись флешка або диск); діє жорстка політика паролів та політика блокування користувачів, яка протидіє підбору паролів;

- у конфігурації «Стандартна безпека» для входу достатньо ввести пароль; політика паролів менш жорстка, ніж в конфігурації «Підвищена безпека».

4. Реєстрацію подій:

- веде захищений журнал, в якому реєструються всі події, важливі для захисту інформації;

- аналіз журналу та протоколів роботи не потребує спеціальної кваліфікації;

- журнал подій ніколи не перезаписується: після досягнення граничного розміру журналу всі події зберігаються у файлі на жорсткому диску;

- забезпечує докладну реєстрацію подій друку та експорту; поряд із стандартною інформацією у журналі фіксуються гриф та обліковий номер документа, а також серійний номер носія, на якому зберігається документ, та носія, на який здійснюється експорт; адміністратор має можливість формування протоколу друку документів.

1.4. «Гриф» (версія 3)

Комплекс призначений для забезпечення захисту ІзОД від НСД при її обробці в АС класів 1 і 2 під керуванням ОС Windows XP / Vista / 7 / Server 2008 / Server 2008 R2. Рівень гарантій - Г-4. Експертний висновок № 674 дійсний до 01.07.2019. Розробник: ТОВ «Інститут комп'ютерних технологій» (Київ).

Комплекс повністю замінює штатні засоби адміністрування ОС власними засобами, що підтримують реалізацію адміністративного розмежування доступу до захищених ресурсів. Комплекс забезпечує захист інформації, представленої у вигляді файлів даних довільного типу (електронних документів, електронних таблиць, конструкторських креслень, цих геоінформаційних систем тощо).

ФПЗ комплексу:

КА-2, КО-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-3, НО-2

Комплекс реалізує такі основні функції захисту:

- ідентифікацію і аутентифікацію користувачів на підставі логіна, пароля і носія даних автентифікації (зйомного файлового носія або облаштування Touch Memory);

- розмежування обов'язків користувачів і виділення декількох ролей адміністраторів, які можуть виконувати різні функції з адміністрування (реєстрації ресурсів, реєстрації користувачів, надання прав доступу, обробки протоколів аудиту тощо);

- розмежування доступу користувачів до вибраних папок, розміщених на жорсткому магнітному диску ПЕОМ, і файлів, які містяться в них, що дозволяє організувати спільну роботу декількох користувачів, що мають різні службові обов'язки і права по доступу до ІзОД;

- керування потоками інформації і блокування потоків інформації, що призводять до зниження рівня її конфіденційності;

- контроль за виведенням інформації на друк з можливістю маркування друкарських аркушів документів згідно вимог чинних нормативних документів в області охорони державної таємниці;

- контроль за експортом інформації на зйомні носії з забезпеченням можливості їх реєстрації та обмеження (для певних користувачів) їх переліку тільки зареєстрованими;

- контроль за імпортом інформації зі зйомних носіїв;

- гарантоване видалення ІзОД шляхом затирання вмісту файлів при їх видаленні;

- розмежування доступу застосовних програм до вибраних папок і файлів, що містяться в них, що дозволяє забезпечити захист ІзОД від випадкового видалення або модифікації і дотриматися технології її обробки;

- контроль цілісності прикладного ПЗ і ПЗ комплексу, а також блокування завантаження програм, цілісність яких порушена, що дозволяє забезпечити захист від вірусів і дотримання технології обробки ІзОД;

- контроль за використанням дискового простору користувачами (квоти), що унеможливлює блокування одним з користувачів можливості роботи інших;

- можливість блокування облаштувань інтерфейсу користувача (клавіатури, миші, монітора) на час його відсутності;

- контроль цілісності і самотестування комплексу при старті;

- відновлення функціонування комплексу після збоїв, що гарантує доступність інформації при дотриманні правил доступу до неї;

- реєстрацію, аналіз і обробку інформації про критичні для безпеки події (входу користувача в ОС, спроб несанкціонованого доступу, фактів запуску програм, роботи з ІзОД, імпорту/експорту інформації, виводу на друк і т.п.), що дозволяє адміністраторам контролювати доступ до ІзОД, стежити за тим, як використовується комплекс, а також правильно його конфігурувати;

- ведення архіву зареєстрованих даних аудиту;

- взаємодія з прикладними програмними системами (ППС) через визначений інтерфейс, що дозволяє забезпечити безперервність захисту ІзОД при її обробці як штатними засобами ОС, так і засобами різних ППС.

Операційні системи, в середовищі яких працюють КЗЗ

Windows

NT

2000

XP

Vista

7

Server 2008

Touch Memory

Захист папок

VTI-Рубіж

+

+

 

 

 

 

 

 

Рубіж-РСО

 

+

+

 

 

 

 

 

Лоза-1

 

 

+

+

+

 

 

+

Гриф

 

 

+

+

+

+

+

+

 

Порівняння послуг безпеки ФПЗ механізмів захисту ОС і КЗЗ

Комплекс засобів захисту

ФПЗ АС-1

Windows 10 Pro

Лоза-1 вер.4

Гриф вер.3

1

рівень гарантій

Г2

Г2

Г4

Г4

2

повна / базова адмін. конфіденційність

КА-1

-

КА-3

КА-2

4

повторне використання об’єктів

КО-1

КО-1

КО-1

КО-1

5

мінімальна адміністративна цілісність

ЦА-1

-

ЦА-1

ЦА-2

6

обмежений відкат

ЦО-1

ЦО-1

-

ЦО-1

7

використання ресурсів - квоти

ДР-1

ДР-1

-

ДР-1

8

стійкість при обмежених відмовах

-

-

ДС-1

ДС-1

9

модернізація

-

ДЗ-2

ДЗ-1

ДЗ-1

10

ручне відновлення

ДВ-1

ДВ-2

ДВ-1

ДВ-1

11

захищений журнал / детальна реєстрація

НР-2

НР-2

НР-2

НР-2

12

один. / множ. ідентифікація і автентифікація

НИ-2

НИ-2

НИ-2/3

НИ-3

13

однонаправлений достовірний канал

НК-1

НК-1

НК-1

НК-1

14

розподіл обов'язків на підставі привілеїв / розподіл обов'язків адміністратора

НО-1

НО-3

НО-2

НО-2

15

КЗЗ з гарантованою цілісністю / контролем цілісності

НЦ-1

НЦ-2

НЦ-2

НЦ-2

16

самотестування при старті / у реальному часі

НТ-1

НТ-2

НТ-2

НТ-2

Здійснивши порівняльний аналіз послуг безпеки ФПЗ механізмів захисту ОС і вище зазначених КЗЗ, можна зробити такі висновки:

- разом з послугами безпеки ОС усі КЗЗ забезпечують визначений ФПЗ АС-1;

- «Гриф» є найсильнішим КЗЗ, оскільки у порівнянні з «Лозою» забезпечує вищий рівень послуги адміністративної цілісності ЦА-2 і додаткові послуги обмеженого відкату ЦО-1 і використання ресурсів ДР-1, а також автентифікацію користувачів з використанням технології «Touch Memory»;

- «Лоза» у порівнянні з «Гриф» забезпечує вищий рівень адміністративної конфіденційністі КА-3.

2. Системи захисту в АС класу 2

2.1. «Лоза-2» (версія 3) 

Система - це програмний засіб захисту інформації від несанкціонованого доступу в АС класу 2 (ЛОМ). Система може працювати під керуванням операційних систем Windows XP / Vista / 7 / Server 2003 / Server 2008 / Server 2008 R2. Рівень гарантій: Г-4. Експертний висновок № 605 дійсний до 30.12.2018.

Система може працювати як в одноранговій мережі, так і в мережі, побудованій на основі домену. Один із комп’ютерів мережі повинен виконувати роль сервера системи. В одноранговій мережі серверна частина системи може бути встановлена на будь-якому з комп'ютерів мережі.

В мережі, побудованій на основі домену, серверна частина системи встановлюється на первинному контролері домену. На всіх інших комп'ютерах встановлюється клієнтська частина системи.

ФПЗ для конфігурації «Стандартна безпека»:

КД-2, КА-2, КО-1, ЦД-1, ЦА-1, ДС-1, ДЗ-1, ДВ-1, НР-4, НИ-2, НК-1, НО-2, НЦ-2, НТ-2

ФПЗ для конфігурації «Підвищена безпека»:

КА-3, КО-1, ЦА-1, ДС-1, ДЗ-1, ДВ-1, НР-4, НИ-3, НК-1, НО-2, НЦ-2, НТ-2

Система забезпечує ті ж функції, що й «Лоза-1»:
- захист інформації від НСД;
- контроль друку та експорту;
- контроль входу користувачів до системи;
- реєстрацію подій.

2.2. «Гриф-Мережа» (версія 3)

Комплекс призначений для забезпечення захисту інформації з обмеженим доступом, що обробляється в ЛОМ і РОМ. До складу мережі можуть входити файлові сервери, що функціонують під управлінням ОС Windows Server 2003 / Server 2008 / Server 2008 R2, і робочі станції, що функціонують під управлінням ОС Windows XP / Vista / 7, об'єднані в єдиний домен Active Directory.

Рівень гарантій Г-4. Експертний висновок № 643 дійсний до 02.03.2019.

Комплекс дозволяє створити на базі ЛОМ спеціалізовану АС класу 2 для обробки ІзОД і забезпечити її захист від загроз порушення цілісності, конфіденційності і доступності при реалізації політики адміністративного керування доступом до інформації.

Комплекс поставляється у двох конфігураціях: базовій і підвищеної спостереженості. Відмінність між вказаними конфігураціями комплексу полягає в тому, що у конфігурації підвищеної спостереженості реалізована можливість збору і аналізу в реальному часі інформації про критичні з точки зору захищеності інформації події, зареєстровані на серверах, робочих станціях і активних мережевих пристроях, що функціонують у складі захищеної ЛОМ.

ФПЗ у базовій конфігурації:

КА-2, КО-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-2, НК-1, НЦ-2, НТ-2, НИ-3, НО-2

У базовій конфігурації в реальному часі виконується тільки збереження інформації про критичні з точки зору захищеності інформації події, зареєстровані на серверах і робочих станціях, що функціонують у складі захищеної ЛОМ, її аналіз виконується у відкладеному режимі.

Комплекс у базовій конфігурації доцільно застосовувати для захисту інформації в ЛОМ, кількість робочих станцій в яких відносно невелика (до 30) і при цьому усі робочі станції розташовуються в одному або декількох суміжних приміщеннях.

ФПЗ у конфігурації підвищеної спостереженості:

КА-2, КО-1, ЦА-2, ЦО-1, ДР-1, ДС-1, ДЗ-1, ДВ-1, НР-5, НК-1, НЦ-2, НТ-2, НИ-3, НО-2

Комплекс доцільно застосовувати для захисту інформації в ЛОМ, кількість робочих станцій в яких досить велика (більше 30) або в яких робочі станції розташовуються у великій кількості територіально рознесених приміщень (наприклад, по декілька робочих станцій на різних поверхах багатоповерхової будівлі).

Комплекс реалізує такі функції:

- ідентифікацію і автентифікацію користувачів на підставі логіна, пароля і персонального носія даних автентифікації (Touch Memory, Flash Drive тощо) при завантаженні ОС робочої станції до завантаження будь-якого ПЗ з дисків, що дозволяє заблокувати використання робочої станції сторонньою особою, а також упізнати авторизованого користувача та надалі реагувати на його запити згідно його повноважень;

- розмежування обов'язків користувачів і виділення декількох ролей адміністраторів, які можуть виконувати різні функції з адміністрування (реєстрації ресурсів, реєстрації користувачів, пнадання прав доступу, обробки протоколів аудиту тощо);

- блокування облаштувань інтерфейсу користувача (клавіатури, миші, монітора) на час його відсутності;

- контроль цілісності та самотестування КЗЗ при старті і за запитом адміністратора, що дозволяє забезпечити стійке функціонування КЗЗ і не допустити обробку ІзОД у разі порушення його працездатності;

- розмежування доступу користувачів до вибраних папок, розміщених на робочих станціях і файлових серверах ЛОМ, і файлів, які знаходяться в них, що дозволяє організувати одночасну спільну роботу декількох користувачів ЛОМ, що мають різні службові обов'язки і права по доступу до ІзОД;

- керування потоками інформації і блокування потоків інформації, що призводять до зниження її рівня конфіденційності;

- контроль за виведенням інформації на друк з можливістю маркування друкарських аркушів документів, що виводяться, згідно вимог чинних нормативних документів в області охорони державної таємниці;

- контроль за експортом інформації на зйомні носії з можливістю обмеження переліку використовуваних змінних носіїв;

- контроль за імпортом інформації зі зйомних носіїв;

- гарантоване видалення інформації шляхом затирання вмісту файлів при їх видаленні;

- розмежування доступу застосовних програм до вибраних папок і файлів, що знаходяться в них, що дозволяє забезпечити захист ІзОД від випадкового видалення, модифікації і дотриматися технології її обробки;

- контроль цілісності прикладного і системного ПЗ і ПЗ КЗЗ, а також блокування завантаження програм, цілісність яких порушена, що дозволяє забезпечити захист від вірусів і дотримання технології обробки ІзОД;

- контроль за використанням користувачами дискового простору файлових серверів (квоти), що унеможливлює блокування одним з користувачів можливості роботи інших;

- відновлення функціонування КЗЗ після збоїв, що гарантує доступність інформації із забезпеченням дотримання правил доступу до неї;

- безперервну реєстрацію, аналіз і обробку подій (входу користувачів в ОС, спроб НСД, фактів запуску програм, роботи з ІзОД, виводу на друк і т.п.) в спеціальних протоколах аудиту, що дозволяє адміністраторам контролювати доступ до ІзОД, стежити за тим, як використовується КЗЗ, а також правильно його конфігурувати;

- ведення архіву зареєстрованих даних аудиту;

- негайне сповіщення адміністратора безпеки про всі виявлені порушення ПРД (у конфігурації підвищеної спостереженості).

Операційні системи, в середовищі яких працюють КЗЗ

Windows

NT

2000

XP

Vista

7

Server 2003

Server 2008

Touch Memory

Захист папок

VTI-Рубіж

+

+

 

 

 

 

 

 

 

Лоза-2

 

 

+

+

+

+

+

 

 

Гриф

 

 

+

+

+

 

+

+

+

Гриф-Мережа

 

 

+

+

+

+

+

+

+

 

Порівняння послуг безпеки ФПЗ механізмів захисту ОС і КЗЗ

Комплекс засобів захисту

ФПЗ АС-2

Windows Server

Лоза-2 вер.3

Гриф вер.3

Гриф-Мережа

1

рівень гарантій

Г2

Г2

Г4

Г4

Г4

2

базова адмін. конфіденційність

КА-2

-

КА-2

КА-2

КА-2

3

базова довірча конфіденційність

КД-2

КД-2

КД-2

-

-

4

повторне використання об’єктів

КО-1

КО-1

КО-1

КО-1

КО-1

5

базова адміністративна цілісність

ЦА-2

-

ЦА-1

ЦА-2

ЦА-2

6

мінімальна довірча цілісність

ЦД-1

ЦД-1

ЦД-1

-

-

7

обмежений відкат

ЦО-1

ЦО-1

-

ЦО-1

ЦО-1

8

використання ресурсів - квоти

ДР-1

ДР-1

-

ДР-1

ДР-1

9

стійкість при обмежених відмовах

ДС-1

ДС-1

ДС-1

ДС-1

ДС-1

10

модернізація

ДЗ-1

ДЗ-2

ДЗ-1

ДЗ-1

ДЗ-1

11

ручне відновлення

ДВ-1

ДВ-2

ДВ-1

ДВ-1

ДВ-1

12

захищений журнал / детальна реєстрація / аналіз у реальному часі

НР-2

НР-2

НР-4

НР-2

НР-2/5

13

одиночна / множинна ідентифікація і автентифікація

НИ-2

НИ-2

НИ-2/3

НИ-3

НИ-3

14

однонаправлений достовірний канал

НК-1

НК-1

НК-1

НК-1

НК-1

15

розподіл обов'язків на підставі привілеїв / розподіл обов'язків адміністратора

НО-2

НО-3

НО-2

НО-2

НО-2

16

КЗЗ з гарантованою цілісністю / контролем цілісності

НЦ-2

НЦ-2

НЦ-2

НЦ-2

НЦ-2

17

самотестування при старті / у реальному часі

НТ-2

НТ-2

НТ-2

НТ-2

НТ-2

Здійснивши порівняльний аналіз послуг безпеки ФПЗ механізмів захисту ОС і вище зазначених КЗЗ, можна зробити такі висновки:

- разом з послугами безпеки ОС КЗЗ «Гриф» забезпечують визначений ФПЗ АС-2 у повному обсязі, а «Лоза» не забезпечує рівень послуги ЦА-2;

- «Гриф-Мережа» у конфігурації підвищеної спостереженості є найсильнішим КЗЗ, оскільки у порівнянні з «Лоза» забезпечує вищий рівень послуги адміністративної цілісності ЦА-2 і реєстрації НР-5 (аналіз у реальному часі), а також додаткові послуги обмеженого відкату ЦО-1 і використання ресурсів ДР-1 та автентифікацію користувачів з використанням технології «Touch Memory»;

- «Лоза» у порівнянні з «Гриф» і «Гриф-Мережа» у базовій конфігурації забезпечує додаткові послуги довірчої конфіденційності КД-2 і цілісності ЦД-1 та вищий рівень послуги реєстрації НР-4 (захищений журнал).

3. Системи захисту Web-ресурсів від НСД

3.1. «Megapolis. Portal Manager»

Система забезпечує керування адміністративною частиною, зовнішнім виглядом та наповненням будь-якого Web-ресурсу. Однією з його головних переваг є простота і гнучкість використання. Рівень гарантій: Г-2. Експертний висновок № 567 дійсний до 27.02.2018. Розробник: ТОВ «Софтлайн ІТ» (Київ).

ФПЗ системи:

КА-2, ЦА-1, ЦО-1, ДВ-1, НР-2, НИ-1, НИ-2, НК-1, НО-2, НЦ-1, НТ-2, НВ-1

Система на Web-порталі забезпечує розподіл прав доступу користувачів до визначених ресурсів, надає ці права, в залежності від «ролей» користувачів (відвідувач порталу, адміністратор або контент-менеджер), стежить за дотриманням цих прав доступу згідно встановлених правил.

Система реалізує технологію «MDI Framework», який потрібен для того, щоб у зручному форматі відображати інформацію, яку сервіси отримують із будь-яких джерел за допомогою технологічних інтерфейсів.

Основні характеристики системи:
- реалізація в архітектурі клієнт-сервер, що забезпечує роботу в «багато-користувацькому» режимі;
- простота та зручність налаштувань за рахунок використання стандартного інтерфейсу користувача файлових менеджерів (папки, дерева тощо);
- можливість роботи з сучасними промисловими СКБД;
- забезпечення роботи віддаленого адміністрування порталів;
- розподіл прав доступу користувачів до елементів порталу;
- модульність побудови системи, що дозволяє більш гнучко настроювати керування кожним конкретним порталом.

Система має такі властивості:

- керування сервісами порталу за допомогою модулів, які входять до складу кожного сервісу;

- інформація про складові кожного сервісу (елементи), що зберігається у відповідних записах;

- однотипні записи складають окремий реєстр;

- всі реєстри складають базу даних усіх записів (елементів);

- керування контентом порталу здійснюється за допомогою модулів, в яких створюються записи в реєстрах;

- реєстри можуть бути в довільний спосіб пов'язані між собою;

- над записами будь-якого реєстру можна виконувати наступні операції:
- створення нових записів;
- редагування існуючих записів;
- видалення записів;
- пошук з можливістю урахування морфології;
- фільтрація записів реєстрів за різноманітними критеріями;
- групування записів;

- інтеграція з програмними пакетами «Microsoft Office» для підготовки матеріалів публікацій;

- автоматична публікація вже готових матеріалів;

- можливість одночасної роботи з декількома реєстрами або модулями кожного сервісу.

3.2. «Тайфун-Web»

Комплекс призначений для криптографічного захисту та розмежування доступу до інформації, оброблюваної в ІТС, побудованих на базі Web-технологій. Рівень гарантій: Г-4. Експертний висновок № 566 дійсний до 27.02.2018. Розробник: ТОВ «Інститут комп'ютерних технологій» (Київ).

ФПЗ комплексу:

КА-2, КВ-2, ЦА-1, ЦВ-2, ДС-1, ДЗ-1, ДВ-1, НР-1, НИ-1, НО-1, НЦ-1, НТ-2, НВ-2 

При використанні комплексу забезпечується:

- взаємна автентифікація (підтвердження справжності) клієнта та сервера за протоколом, побудованим з використанням асиметричних криптоалгоритмів;

- захист конфіденційності та цілісності інформації, що передається між клієнтом та сервером, з використанням симетричних криптоалгоритмів і вироблення/перевіряння кодів автентифікації повідомлень;

- розмежування доступу користувачів до інформаційних ресурсів, представлених у вигляді статичних або динамічних Web-сторінок, що зберігаються та оброблюються на захищених Web-серверах.

Реалізована технологія інтеграції серверної та клієнтської компонентів комплексу до стеку мережевих протоколів ОС, які реалізують функції «Winsock», забезпечує незалежність від використовуваних Web-браузерів та Web-серверів. Для забезпечення сумісності із засобами «MS Internet Information Server» (IIS), в якому функції «Winsock» не використовуються, реалізована можливість підключення серверної компоненти комплексу безпосередньо до «MS IIS» через інтерфейс «ISAPI».

Програмні засоби комплексу функціонують на IBM-сумісних комп'ютерах (робочих станціях користувачів, Web-серверах, Proxy-серверах) в ОС Windows 2000 / XP / 2003 / Vista / 7 / Server 2008. При використанні засобів комплексу на Proxy-серверах, жодних обмежень щодо ОС Web-серверів, на яких зберігаються та оброблюються захищені Web-ресурси, не висувається.

Для керування ключовою інформацією (для вироблення відкритого та особистого ключів користувачів) у комплексі «Тайфун-Web» (у модулі адміністрування) використовуються програмні засоби генерації ключів та обслуговування сертифікатів користувачів комплексу «Тайфун-PKI».

Комплекс реалізує такі основні функції:

- ідентифікацію та автентифікацію користувачів комплексу на основі атрибутів, отриманих від ОС, що дозволяє однозначно встановити певного користувача та у подальшому коректно оброблювати його запити на доступ до захищеної інформації або до засобів адміністрування;

- виділення, на підставі результатів виконаної автентифікації, користувачів-адміністраторів, яким надані повноваження із керування засобами комплексу;

- сувору взаємну автентифікацію клієнтської та серверної компонентів комплексу та їхніх користувачів з використанням відповідних протоколів, у яких використовується механізм вироблення / перевірки ЕЦП за алгоритмом, установленим ДСТУ 4145, з використанням відповідних атрибутів;

- керування доступом користувачів до захищених Web-ресурсів (окремих Web-сторінок та їх сукупностей), представлених відповідними URL-адресами, на основі атрибутів доступу, призначених спеціально вповноваженими адміністраторами;

- зашифрування/розшифрування інформації, що передається між Web-браузером, який функціонує на робочій станції (РС) користувача, та захищеним Web-сервером (Proxy-сервером), що забезпечує захист конфіденційності інформації на всьому шляху її передачі по каналах мережі Internet;

- контроль цілісності інформації, що передається між Web-браузером, яке функціонує на РС користувача, та захищеним Web-сервером (Proxy-сервером), що забезпечує захист від її несанкціонованої модифікації на всьому шляху її передачі по мережі Internet;

- контроль цілісності та самотестування програмних засобів комплексу при старті та в процесі функціонування, що дозволяє забезпечити стійке функціонування засобів захисту та не допустити обробки повідомлень у випадку порушення працездатності;

- протоколювання критичних з погляду захищеності оброблюваної інформації подій у захищеному журналі ОС із забезпеченням можливості аналізу зареєстрованих даних аудита вповноваженими адміністраторами;

- можливість використання для збереження особистих (секретних) ключів користувачів, як незахищених (диск, flash-drive тощо), так і захищених носіїв (пристрій eToken Pro; SecureToken тощо).

Операційні системи, в середовищі яких працюють КЗЗ

Windows

2000

XP

2003

Vista

7

Server 2003

Server 2008

Крипто захист

Портал Менеджер

 

 

 

 

 

 

 

 

Тайфун-Web

+

+

+

+

+

 

+

+

 

Порівняння послуг безпеки ФПЗ механізмів захисту ОС і КЗЗ

 № 

 Комплекс засобів захисту

ФПЗ WEB

Windows Server 2008 R2

Портал Менед-жер 1.0

Тайфун-Web версія 1

1

рівень гарантій

Г2

Г2

Г2

Г4

2

базова адміністративна конфіденційність

КА-2

-

КА-2

КА-2

3

базова довірча конфіденційність

КД-2

КД-2

-

-

4

мінімальна / базова конфіденційність при обміні

КВ-1

КВ-1

-

КВ-2

5

мінімальна адміністративна цілісність

ЦА-1

-

ЦА-1

ЦА-1

6

обмежений відкат

ЦО-1

ЦО-1

-

ЦО-1

7

мінімальна / базова цілісність при обміні

ЦВ-1

ЦВ-1

-

ЦВ-2

8

використання ресурсів - квота

ДР-1

ДР-1

-

-

9

ручне відновлення

ДВ-1

ДВ-2

ДВ-1

ДВ-1

10

захищений журнал / зовнішній аналіз

НР-2

НР-2

НР-2

НР-1

11

один. / множинна ідентифікація і автентифікація

НИ-2

НИ-2

НИ-2

НИ-1

12

однонаправлений достовірний канал

НК-1

НК-1

НК-1

-

13

розподіл обов'язків адміністраторів / виділення адміністратора

НО-1

НО-3

НО-2

НО-1

14

КЗЗ з контролем цілісності

НЦ-1

НЦ-2

НЦ-1

НЦ-1

15

самотестування при старті

НТ-1

НТ-2

НТ-2

НТ-2

16

автентифікація вузла / джерела даних

НВ-1

НВ-1

НВ-1

НВ-2

Здійснивши порівняльний аналіз послуг безпеки ФПЗ механізмів захисту вище зазначених КЗЗ, можна зробити такі висновки:

- з урахуванням послуг безпеки ОС усі КЗЗ забезпечують визначений ФПЗ WEB;

- «Тайфун-Web» є найсильнішим КЗЗ, оскільки у порівнянні з іншим має найбільшу кількість послуг безпеки, вищий рівень гарантій та забезпечує додатково послуги базової конфіденційності при обміні КВ-2, базової цілісності при обміні ЦВ-2, стійкості при обмежених відмовах ДС-1 і модернізації ДЗ-1;

- «Портал Менеджер» є найслабкішим КЗЗ, оскільки у порівнянні з іншим має найменшу кількість послуг безпеки.

Разом з тим, «Портал Менеджер» у порівнянні з іншим забезпечує додатково послуги обмеженого відкату ЦО-1 і однонаправленого достовірного каналу НК-1, а також вищий рівень послуг ідентифікації і автентифікації НИ-2 (одиночна), реєстрації НР-2 (захищений журнал), розподілу обов'язків НО-2 (адміністраторів).

Крім того, головна відмінність КЗЗ «Тайфун-Web» від КЗЗ «Портал Менеджер» є застосування симетричних криптоалгоритмів для захисту конфіденційності та цілісності інформації, що передається між клієнтом та сервером.

----------------------------------------------------------------------------------------------------

Книга | Автор | Статьи | Фильмы | Фото | Ссылки | Отзывы

Контакт | Студентам | Ветеранам | Астрология | Карта сайта



Рейтинг@Mail.ru Яндекс.Метрика