5.10 Средства защиты информации Secret Net, Соболь, Континент-к.

СЗИ "Secret Net" предназначена для обеспечения информационной безопасности в локальной вычислительной сети, рабочие станции и сервера которой функционируют под управлением операционных систем Windows95, Windows98, Windows NT 4.0 и Windows 2000.

СЗИ Secret Net может быть использована для того, чтобы:

• на компьютерах организации была только та информация и только те программы, которые необходимы сотрудникам для работы;

• неблагонадежные сотрудники организации не смогли передать конфиденциальную информацию конкурентам;

• конфиденциальная информация организации была под постоянным контролем - всегда можно узнать, кто и когда к ней обратился;

• всегда можно было ознакомиться с историей работы сотрудника на компьютере;

• существенно облегчить работу администратора безопасности;

• всегда можно было выяснить, - что происходит на компьютерах сети.

СЗИ Secret Net наделяет операционную систему широким спектром дополнительных механизмов защиты, таких как:

• механизм полномочного управления доступом;

• механизм замкнутой программной среды;

• механизм контроля целостности системных областей дисков, произвольных списков файлов, каталогов и ключей системного реестра;

• <прозрачное> шифрование файлов на сетевых и локальных дисках;

• защита от загрузки других ОС с внешних носителей;

• затирание удаляемой информации.

Secret Net: централизованное управление

СЗИ Secret Net позволяет из единого центра управления конфигурировать защитные механизмы клиентов СЗИ Secret Net и управлять встроенными возможностями операционных систем.

СЗИ Secret Net содержит подсистему оперативного управления, позволяющую контролировать работу защищаемых компьютеров в режиме реального времени и немедленно реагировать на попытки неправомерных действий пользователей.

Secret Net: регистрация событий

Специальная подсистема СЗИ Secret Net позволяет администратору безопасности работать с единым журналом регистрации. Информация о событиях на всех компьютерах сети представляется в едином виде, удобном для ознакомления и анализа.

Secret Net: система генерации отчетов

Благодаря встроенной в СЗИ Secret Net возможности генерации отчетов система позволяет получать различные отчеты о состоянии защищаемой системы, обобщенной или детальной информации о конфигурации АРМ и серверов сети, настройках защитных механизмов, правах доступа пользователей к корпоративным ресурсам и т.д.

Система защиты информации (СЗИ) Secret Net 4.0 сертифицирована по 3 классу защищенности и прошла проверку на отсутствие недекларированных возможностей по 3 уровню контроля. Сертификаты Гостехкомиссии позволяют применять СЗИ Secret Net для защиты государственной тайны.

Электронные замки «Соболь» и «Соболь-PCI», разработаны научно-инженерным предприятием «ИНФОРМЗАЩИТА» и предназначены для защиты ресурсов компьютера от не санкционированного доступа.

Электронный замок «Соболь»/«Соболь-PCI» может применяться как устройство, обеспечивающее защиту автономного компьютера, а также рабочей станции или сервера, входящих в состав локальной вычислительной сети.

Система защиты Электронный замок «Соболь»/«Соболь-PCI» обладает следующими возможностями:

. Идентификация и аутентификация пользователей.

. Регистрация попыток доступа к ПЭВМ.

. Запрет загрузки ОС со съемных носителей.

. Контроль целостности программной среды.

Возможности по идентификации и аутентификации пользователей, а также регистрация попыток доступа к ПЭВМ не зависят от типа использующейся ОС.

Каждый пользователь компьютера регистрируется в системе электронный замок «Соболь»/«Соболь-PCI», установленной на данном компьютере.

Регистрация пользователя осуществляется администратором и состоит в определении имени регистрируемого пользователя, присвоении ему персонального идентификатора и назначении пароля.

Действие электронного замка «Соболь»/«Соболь-PCI» состоит в проверке персонального идентификатора и пароля пользователя при попытке входа в систему. В случае попытки входа в систему не зарегистрированного пользователя электронный замок «Соболь» регистрирует попытку НСД и

осуществляется аппаратная блокировка до 4-х устройств, например: FDD, CD- ROM, ZIP, LPT, SCSI-порты (электронный замок «Соболь-PCI» позволяет блокировать до 3-х устройств).

В электронном замке используются идентификаторы Touch Memory фирмы Dallas Semiconductor. Загрузка операционной системы с жесткого диска осуществляется только после предъявления зарегистрированного идентификатора. Служебная информация о регистрации пользователя (имя, номер

присвоенного персонального идентификатора и т.д.) хранится в энергонезависимой памяти электронного замка. Электронный замок «Соболь»/«Соболь-PCI» осуществляет ведение системного журнала, записи которого хранятся в специальной энергонезависимой памяти.

Электронный замок фиксирует в системном журнале вход пользователей, попытки входа, попытки НСД и другие события, связанные с безопасностью системы.

В системном журнале хранится следующая информация: дата и время события, имя пользователя и информация о типе события, например:

. Факт входа пользователя;

. Введение неправильного пароля;

. Предъявление не зарегистрированного идентификатора пользователя;

. Превышение числа попыток входа в систему;

. Другие события.

Таким образом, электронный замок «Соболь» предоставляет информацию администратору о всех попытках доступа к ПЭВМ. Подсистема контроля целостности расширяет возможности электронного замка «Соболь»/«Соболь-PCI». Контроль целостности системных областей дисков и наиболее критичных файлов производится по алгоритму ГОСТ 28147-89 в режиме имитовставки. Администратор имеет возможность задать режим работы электронного замка, при котором будет блокирован вход пользователей в систему при нарушении целостности контролируемых файлов. Подсистема запрета загрузки с гибкого диска и CD ROM диска обеспечивает запрет загрузки операционной системы с этих съемных носителей для всех пользователей компьютера, кроме администратора. Администратор может разрешить отдельным пользователям компьютера выполнять загрузку операционной системы со съемных носителей.

Подсистемы контроля целостности и подсистемы запрета загрузки со съемных носителей функционируют под управлением следующих ОС:

. MS DOS версий 5.0-6.22;

. ОС семейства Windows’9x (FAT12, FAT16 или FAT32);

. Windows NT версий 3.51 и 4.0 с файловой системой NTFS;

. Windows 2000 с файловой системой NTFS (только «Соболь-PCI»);

. UNIX FreeBSD (только «Соболь-PCI»).

Для настройки электронного замка «Соболь» администратор имеет возможность:

. Определять минимальную длину пароля пользователя;

. Определять предельное число неудачных входов пользователя;

. Добавлять и удалять пользователей;

. Блокировать работу пользователя на компьютере;

. Создавать резервные копии персональных идентификаторов.

Другие возможности и преимущества

. Самая низкая по сравнению с аналогичными продуктами цена - 190 долларов «Соболь» для стандарта ISA и 230 долларов «Соболь-PCI»;

. Датчик случайных чисел, соответствующий требованиям ФАПСИ.

. Простота установки, настройки и администрирования.

. Современная элементная база, обеспечивающая высокую надежность и долговечность.

. Возможность установки в любой IBM-совместимый персональный компьютер, имеющий свободный разъем стандарта ISA или PCI.

Электронный замок «Соболь»/«Соболь-PCI» может применяться в составе системы защиты информации Secret Net для генерации ключей шифрования и электронно-цифровой подписи. Кроме того, при использовании электронного замка в составе СЗИ Secret Net обеспечивается единое централизованное

управление его возможностями. С помощью подсистемы управления Secret Net администратор безопасности имеет возможность управлять статусом персональных идентификаторов сотрудников: присваивать электронные идентификаторы, временно блокировать, делать их недействительными, что

позволяет управлять доступом сотрудников к компьютерам автоматизированной системы организации. Также «Соболь»/«Соболь-PCI» применяется в составе аппаратно-программного комплекса «Континент-К» для идентификации и аутентификации администратора криптографического шлюза, формирования ключей шифрования и контроля целостности программного обеспечения комплекса. А также совместно с криптопровайдером КриптоПРО CSP (для обеспечения хранения сертификатов пользователя на электронных идентификаторах и в качестве средства формирования ключей электронной цифровой подписи). позволяет использовать данный продукт при разработке систем защиты для автоматизированных систем с классом защищенности до 1В включительно.

«Континент-К» предназначен для построения виртуальных частных сетей (VPN) на основе глобальных сетей общего пользования, использующих протоколы семейства TCP/IP (например, Internet), и обеспечивает:

эффективную защиту конфиденциальной информации, передаваемой по сетям общего пользования

полную "прозрачность" для конечных пользователей

защиту информационных систем от атак со стороны сетей общего пользования

безопасный доступ к ресурсам сетей общего пользования.

В качестве составных частей VPN могут выступать локальные вычислительные сети (ЛВС) организации, их сегменты и отдельные компьютеры (в том числе переносные или домашние компьютеры руководителей и сотрудников).

Возможности и достоинства АПК «Континент-К»:

«Континент-К», являясь одним из самых эффективных отечественных решений задачи построения виртуальных частных сетей (VPN), при относительно низкой стоимости обладает широким спектром возможностей, удовлетворяющих различные запросы клиентов. Среди них:

Надежная криптографическая защита передаваемых данных по ГОСТ 28147-89

Маршрутизация сетевого трафика (статическая)

Фильтрация сетевого трафика

Обеспечение доступа мобильных и удаленных пользователей

Обеспечение высокой пропускной способности

Низкие накладные расходы

Низкая стоимость эксплуатации корпоративной сети за счет использования сетей общего пользования вместо собственных или арендуемых линий связи

Возможность сжатия передаваемой информации

Скрытие внутренней структуры защищаемой сети

Cоздание информационных подсистем с разделением доступа на физическом уровне

Поддержка возможности удаленного управления коммутационным оборудованием

Высокая надежность комплекса (в т.ч. за счет "горячего", т.е. аппаратного резервирования)

Поддержка до 15 внутренних интерфейсов

Неограниченная масштабируемость комплекса:

-Регистрация до 500 пользователей на каждом сервере доступа

-Возможность объединения в сеть до 5000 VPN устройств

Простота установки и настройки

Централизованное управление сетью

Удобство администрирования

Возможность ролевого управления комплексом

Контроль за действиями администратора

Ведение системных журналов

Необслуживаемый режим работы

Оповещение администратора (в реальном режиме времени) о событиях, требующих оперативного вмешательства

Поддержка динамического распределения адресов при доступе удаленных пользователей

Абсолютная прозрачность для всех приложений

Поддержка мультимедиа-сервисов

Возможность организации доступа к ресурсам сетей общего пользования из защищаемых сетей

АПК "Континент" сертифицирован в Гостехкомиссии по 3 классу защищенности (сертификат №352 от 28.08.2000) для межсетевых экранов.