Система Secret Net может быть использована для того, чтобы:
- на компьютерах компании была только та
информация, и только те программы, которые
необходимы сотрудникам для работы;
- неблагонадежные сотрудники компании
не смогли передать конфиденциальную
информацию конкурентам;
- конфиденциальная информация организации
была под постоянным контролем – всегда
можно узнать, кто и когда к ней обратился;
- всегда можно было ознакомиться с историей
работы сотрудника на компьютере;
- в незащищенных ОС Windows 95, Windows 98 сделать
такую же защиту, как в серверной ОС, не
повышая требований к аппаратной части
компьютера;
- существенно облегчить работу администратора
безопасности;
- всегда можно было выяснить – что происходит
на компьютерах корпоративной сети.
Семейство средств защиты информации
Secret Net имеет все необходимые сертификаты Гостехкомиссии России и
Федерального агентства правительственной
связи и информации России.
Система Secret Net широко применяется как средство
защиты информации в автоматизированной
системе, подлежащей аттестации. В таких
автоматизированных системах, как правило,
обрабатываются сведения, составляющие
государственную тайну.
Система защиты информации Secret Net 4.0 сертифицирована Гостехкомиссией
России по 3 классу защищенности. Это означает,
что Secret Net 4.0 можно применять для защиты
информации, содержащей сведения, составляющие
государственную тайну.
Система защиты информации поставляется
в двух вариантах - автономном и сетевом.
В составе автономной версии системы
Secret Net клиентская часть обеспечивает
защиту автономных компьютеров, а так
же может быть использована для защиты
рабочих станций и серверов сети, содержащих важную информацию.
В составе сетевой версии системы Secret Net клиентская
часть позволяет реализовать защиту, как
всех компьютеров сети, так и только тех
рабочих станций и серверов, которые хранят
и обрабатывают важную информацию. При
этом в сетевом варианте, благодаря наличию
сервера безопасности и подсистемы управления,
будет обеспечено централизованное управление
и контроль работы всех компьютеров, на
которых установлены клиенты Secret Net.
В настоящее время система защиты информации
Secret Net позволяет обеспечить защиту рабочих станций и серверов сети, работающих
под управлением следующих операционных
систем:
- ОС семейства Windows'9x (Windows 95, Windows 98 и их
модификаций) с файловой системой FAT16 или FAT32;
- ОС Windows NT версии 4.0 с файловой системой NTFS;
- ОС Windows 2000 с файловой системой NTFS5.
Клиент Secret Net имеет весь спектр защитных
механизмов, необходимых для обеспечения
безопасности рабочих станций и серверов сети.
Идентификация и аутентификация:
- Идентификация и аутентификация пользователей
осуществляется при каждом входе пользователя в систему. При
загрузке компьютера система Secret Net запрашивает
у пользователя его идентификатор и пароль.
Если идентификатор и пароль указаны верно,
то пользователю разрешается вход в систему.
В качестве идентификаторов могут использоваться: уникальные имена (присваивается
пользователю при создании в системе Secret
Net объекта "пользователь"); уникальные
номера аппаратных устройств идентификации (персональных идентификаторов). В Secret Net поддерживается работа с паролями длиной до 16 символов. Если имя или пароль указаны неверно, подается звуковой сигнал и в системном журнале регистрируется попытка НСД. При трехкратном вводе неверного имени или пароля блокируется клавиатура рабочей станции, подается звуковой сигнал, на экран выдается соответствующее сообщение, и, после
нажатия любой клавиши, осуществляется
перезагрузка рабочей станции. При установленной
аппаратной поддержке компьютер перезагружается
только после нажатия кнопки "RESET"
(или выключения питания). Пароль может
быть изменен самим пользователем или администратором
безопасности, факт смены пароля пользователя
регистрируется в системном журнале. Администратор
может назначать пользователям новые
пароли, но не имеет возможности узнать
значения старых паролей. В Secret Net реализована дополнительная, криптографически
усиленная, аутентификация клиента Secret
Net на сервере безопасности, при этом доступ
к защищаемым ресурсам информационной
системы с компьютера невозможен до тех
пор, пока клиент Secret Net данного компьютера
не произведет аутентификацию на сервере безопасности.
Данная функция устанавливается опционально
и позволяет предотвратить подключение к сети других компьютеров.
- Средства аппаратной поддержки в системах
защиты семейства Secret Net предназначены
для выполнения следующих функций: запрет загрузки операционной
системы с отчуждаемых носителей (гибких
дисков, CD-ROM и т.д.); идентификация пользователей
системы защиты до загрузки операционной
системы; поддержка различных аппаратных
идентификаторов, заменяющих ввод идентифицирующей информации с клавиатуры.
Виды аппаратной поддержки: Электронный
замок "Соболь" (стандарт ISA); Электронный
замок "Соболь-PCI"; Secret Net PCI Touch Memory Card.
Электронный замок "Соболь" - плата с разъемом для подключения считывателя
Touch Memory, аппаратным датчиком случайных
чисел, 2-мя (4-мя) каналами физической блокировки
устройств и внутренней энергонезависимой
памятью. Устанавливается внутри компьютера
в разъем ISA или PCI. В системе Secret Net используется
для идентификации пользователей по электронным
идентификаторам Touch Memory, а также для генерации
криптографических ключей.
Secret Net PCI Touch Memory Card - плата с разъемом
для подключения считывателя Touch Memory. Устанавливается
внутри компьютера в разъем PCI. Обеспечивает
идентификацию пользователей по электронным
идентификаторам Touch Memory до загрузки операционной
системы.
Механизмы разграничения доступа:
- Избирательное управление доступом –
один из основных механизмов для разграничения
доступа пользователей к информационным
ресурсам. Система защиты информации Secret
Net добавляет механизм избирательного
управления доступом к возможностям таких
слабо защищенных операционных системах как Windows 95, Windows 98.
- Система защиты информации Secret Net позволяет
организовать порядок доступа пользователей
к информации в соответствии с важностью
информации и статусом пользователя. Такое
управление доступом называется полномочным
(мандатным) и состоит в следующем: для каждого пользователя устанавливается
некоторый уровень допуска к конфиденциальной
информации; каталогам или файлам назначается
категория конфиденциальности, например,
"конфиденциальная информация", "строго
конфиденциальная информация". При
этом доступ к файлу пользователь получит только
в том случае, если его уровень допуска
не ниже чем уровень конфиденциальности
файла. В Secret Net используются три категории
конфиденциальности информации: "Открытая
информация", "Конфиденциальная",
"Строго конфиденциальная". Названия категорий конфиденциальности
могут быть изменены, например: «Секретная
информация», «Совершенно секретная».
При работе системы Secret Net в режиме полномочного
управления доступом контролируется перемещение
документа: используется контроль потоков, при котором, например, «конфиденциальный» документ нельзя переместить в «не конфиденциальную» директорию; контролируется буфер обмена операционной системы, т.е. невозможно, используя буфер обмена, сделать копию всего документа или его части. В системе защиты существует возможность
регистрировать изменения меток конфиденциальности
информационных ресурсов, при этом указывается:
дата и время изменения; имя пользователя,
сделавшего изменения; АРМ, с которого
были произведены изменения; логическое
имя ресурса, который подвергся изменениям, и полный путь к нему. При печати конфиденциальной информации, ведется автоматическая маркировка каждой страницы учетными реквизитами: грифом конфиденциальности; порядковым номером в формате "текущий номер страницы из общего числа листов"; указывается имя пользователя, производившего печать. Формат маркировки документа может быть изменен в соответствии с требованиями внутренних инструкций организации к маркировке конфиденциальных документов, по умолчанию маркировка документа выполняется в соответствии с
требованиями руководящих документов
Гостехкомиссии России. Факт печати пользователем конфиденциального документа регистрируется в журнале регистрации Secret Net, при этом указывается: дата и время печати; имя распечатанного файла и гриф конфиденциальности;
имя пользователя, распечатывавшего документ;
количество распечатанных копий документа.
Secret Net предоставляет администратору безопасности
возможность запретить пользователю вывод
конфиденциальной информации на дискеты. Если вывод конфиденциальной информации на дискеты разрешен, то осуществляется регистрация данных событий.
- Для того чтобы пользователь на рабочем
месте занимался выполнением своих служебных
обязанностей, администратор может использовать механизм замкнутой программной среды. Данный механизм позволяет администратору составить список программ, которые действительно необходимы сотруднику для выполнения своих служебных обязанностей, и запретить использовать те приложения, которых нет в этом списке. Некоторые возможности механизма замкнутой программной
среды: реализована политика "запрещено все,
что явно не разрешено"; используется
указание полных путей к файлам (позволяет
предотвратить запуск одноименных программ
с ГМД, CD-ROM или сетевого диска); запрет
модификации (злоумышленник не сможет изменить
существующую программу или подменить
ее); автоматизированная процедура построения
списка разрешенных для запуска программ
(наличие «мягкого режима» замкнутой программной
среды). Механизм замкнутой программной
среды на этапе ввода в эксплуатацию может применяться в "мягком" режиме работы. Данный режим позволяет автоматизировать процедуру построения списка разрешенных для запуска программ. При использовании "мягкого" режима пользователю разрешен запуск программ, не входящих в список замкнутой программной среды.
При этом в системном журнале запуск программ,
не входящих в список замкнутой программной
среды, регистрируется как событие НСД.
Система Secret Net анализирует записи журнала
регистрации и автоматически составляет
список всех программ, которые использовал пользователь.
Механизмы контроля работы системы защиты:
- В процессе работы системы Secret Net все
события, происходящие на компьютере и
связанные с безопасностью системы, регистрируются
в системном журнале механизмом регистрации событий. Для каждого события указывается следующая информация: дата и время события; идентификатор пользователя, действия которого привели к появлению события; краткая характеристика события; имя программы, работа которой привела к появлению события; ресурс, при работе с которым
произошло событие. Более 100 видов событий могут фиксироваться в системном журнале, например: вход и выход пользователей из системы, запуск ОС, события НСД, запуск программ и другие события. Реализовано гибкое управление данным механизмом. Существует возможность
определить индивидуальный режим регистрации
для каждого пользователя, предельный
срок хранения регистрационных записей
в системном журнале. Если на файл установлены
дополнительные атрибуты "Аудит чтения"
или "Аудит записи", то любое соответствующее
обращение пользователей к этому файлу
будет фиксироваться в системном журнале
независимо от установленных для них режимов
регистрации событий. Настройку режимов
регистрации событий может осуществлять
только тот пользователь, который наделен соответствующими
привилегиями на администрирование системы защиты.
- Механизм контроля целостности используется
в системе Secret Net для повышения надежности работы системы защиты. Он осуществляет проверку целостности следующих объектов: системных программ - ядра и исполняемых файлов системы; программ замкнутой программной среды; ключей системного реестра; любых других файлов, определенных администратором. Для всех проверяемых объектов составляются пакеты контроля целостности. В пакетах содержатся контрольные суммы проверяемых
объектов и полный путь к каждому из них.
Контрольные суммы рассчитываются с использованием
хеш-функций (в соответствии с ГОСТ Р 34.11-94)
или по оригинальному (быстрому) алгоритму
собственной разработки. Проверка целостности системных и разрешенных для
запуска программ осуществляется при
загрузке компьютера. Проверка файлов
из списка, составленного администратором,
может осуществляться при загрузке компьютера
или по установленному администратором
расписанию (например, один раз каждые два часа). Реакция системы Secret Net на нарушение целостности объектов определяется настройками механизма контроля целостности. Эти настройки могут быть индивидуальными для каждого пользователя компьютера.
Другие возможности и отличительные особенности клиента Secret Net:
- Для дополнительной защиты важной информации
в Secret Net и в СКЗИ М-506A существует возможность шифрования файлов
на сетевых и локальных дисках. Пользователь
имеет возможность зашифровывать логические
диски, каталоги и файлы, находящиеся на его компьютере.
Если используется шифрование сетевых
ресурсов, то круг пользователей, имеющих
доступ к сетевому ресурсу, определяет
администратор безопасности. При этом
реализовано т.н. «прозрачное шифрование»: пользователь, которому предоставлено право работать с зашифрованным
сетевым ресурсом, может обратиться к
нему по сети как к обычному не зашифрованному
сетевому ресурсу. Файл пересылается по
сети в зашифрованном виде и, лишь затем,
на рабочей станции обратившегося пользователя,
расшифровывается. Шифрование осуществляется
методом, определенным в ГОСТ 28147-89, в режиме гаммирования.
- В системе Secret Net предусмотрена возможность
временной блокировки компьютера. В этом
режиме блокируются устройства ввода
(клавиатура и мышь) и экран монитора (хранителем экрана). Включается
этот режим нажатием комбинации клавиш
или автоматически - после истечения некоторого интервала времени.
- Запрет загрузки операционной системы
с отчуждаемых носителей (гибких дисков,
CD-ROM и т.д.); идентификация пользователей системы защиты до загрузки
операционной системы; поддержка различных
аппаратных идентификаторов, заменяющих
ввод идентифицирующей информации с клавиатуры.
- Если на компьютере не установлена плата
аппаратной поддержки, то существует возможность
загрузить операционную систему с других
носителей (например: с ГМД, CD-ROM). Функция
сокрытия информации, изменяя системные
области жестких дисков, позволяет сделать
их "невидимыми".
- Система Secret Net обеспечивает защищенный
обмен данными по протоколам TCP/IP и IPX между сервером безопасности, подсистемой управления и клиентами Secret Net на рабочих станциях и серверах сети. Передаваемые данные подвергаются сначала имитозащите, потом сжатию, а затем криптографической защите.
- Система защиты осуществляет гарантированное уничтожение удаляемой информации путем записи случайной последовательности в освобождаемую область памяти. Может быть установлено до 5-ти циклов затирания. Когда происходит затирание? Затирание удаляемых файлов - после команды «удалить файл»; Затирание файла подкачки страниц - при выключении
компьютера; Затирание временных файлов
приложения - при удалении временных файлов
приложением.
- невысокие системные требования к программному и аппаратному обеспечению.
3.2. Защита каналов связи
Без применения средств криптографической защиты
информации практически нереально надежно
защитить от НСД как компьютерные сети,
так и отдельные ЭВМ.
На основе отечественных криптографических
алгоритмов созданы образцы шифровальной
техники, имеющие сертификат ФАПСИ, не уступающие лучшим зарубежным аналогам,
а по ряду показателей и превосходящие
их. К наиболее распространенным относятся
следующие СКЗИ:
- обширное семейство СКЗИ под общим шифром
«Верба»;
- семейство «АПДС» и «Янтарь», «Криптографический
сервер», «Защищенный почтамт-с»;
- шифраторы потоков данных Х.25 и TCP/IP и т.д.
Также имеет рекомендацию ФАПСИ к использованию
в СКЗИ семейство аппаратно-программных
плат «Криптон».
Средства криптографической защиты информации
(СКЗИ) "Криптон-4" и "Криптон-4К/16"
работают в составе IBM PC совместимых компьютеров и предназначены
для криптографической защиты данных.
СКЗИ "Криптон" рекомендован для
защиты конфиденциальной и секретной
информации в государственных и коммерческих
структурах. Используемый криптографический
алгоритм не накладывает ограничения
на степень секретности защищаемой информации.
СКЗИ "Криптон-4К/16" полностью совместимо
с СКЗИ "Криптон-4", но имеет повышенные
скоростные и надежностные характеристики,
а также позволяет хранить ключи на таблетках
touch memory.
СКЗИ "Криптон" может применяться для
организации защиты файлов электронных
документов, содержащих информацию, составляющую
государственную тайну. СКЗИ "Криптон-4"
сертифицирован в ряде АРМ для защиты
информации, составляющей гостайну. СКЗИ
"Криптон-4К/16" сертифицирован в составе
СКЗИ CryptonArcMail на соответствие требованиям
по безопасности по уровню "С".
В комплект поставки СКЗИ входит также
программа электронной цифровой подписи
CryptonSign. Использование данной программы
позволяет организовать систему электронного документооборота. Использование
технологии электронной цифровой подписи
позволяет придавать файлам статус электронных
документов. Использование технологии
шифрования позволяет обеспечить конфиденциальность
служебной или финансовой информации,
содержащейся в документе. Электронная
подпись является электронным эквивалентом
печати организации и подписи ответственного
лица. ЭЦП обеспечивает проверку целостности
и авторства файлов электронных документов.
СКЗИ реализует криптографические алгоритмы,
являющиеся государственными стандартами
Российской Федерации: ГОСТ 28147-89 Системы
обработки информации. Защита криптографическая.
Алгоритмы криптографического преобразования
ГОСТ Р 34.11-94 Информационная технология.
Криптографическая защита информации.
Функция хэширования ГОСТ Р 34.10-94 Информационная
технология. Kриптографическая защита
информации. Процедуры выработки и проверки
электронной цифровой подписи на базе
асимметричного криптографического алгоритма.
Алгоритм шифрования реализован аппаратно
на основе специализированной БИС "Блюминг-1",
а для СКЗИ "Криптон-4К/16" - на базе
новой СБИС "Блюминг-1К". Аппаратная
реализация позволяет надежно гарантировать
целостность алгоритма криптографического
преобразования. Использование СБИС также
позволяет загружать ключи шифрования
до загрузки операционной системы в регистры
шифропроцессора и хранить их там в процессе
обработки файлов без выгрузки в ОЗУ, что
гарантирует сохранность ключей от несанкционированного
доступа.