3.4.1.2 Сспт-2

На базе ССПТ-2 реализуются высокоэффективные масштабируемые решения по защите информации в компьютерных сетях на базе технологии Ethernet. Устройство FNP используется как:

1. Основное средство защиты для реализации различных политик информационной безопасности с помощью:

• фильтрации пакетов на канальном, сетевом, транспортном и прикладном уровнях;

• управления транспортными соединениями между отдельными узлами ЛВС или виртуальной ЛВС (VLAN);

• контроля контента данных на прикладном уровне с учетом направления, времени и типа протоколов передачи трафика.

2. Дополнительное устройство защиты для:

• обеспечения безопасности функционирования ранее установленных в компьютерной сети средств защиты и устройств маршрутизации;

• мониторинга трафика с возможностью анализа данных регистрации пакетов по различным критериям и интеграции с IDS;

• обеспечения функционирования сетевых распределенных телематиче- ских приложений и GRID ресурсов.

Преимущества:

1. Применение системы защиты, состоящей из межсетевых экранов, функционирующих в режиме скрытной фильтрации или в режиме «стелс» позволяет не только гарантировать безопасность сетевых приложений в соответствии с РД ФСТЭК и ФСБ, но и повышает надежность работы системы защиты в целом.

2. Устройства защиты типа FNP в режиме «стелс» невозможно обнаружить никакими известными средствами удаленного мониторинга сети.

Технические характеристики:

• Многоуровневая скрытная фильтрация пакетов по совокупности критериев.

• Контроль транспортных соединений (до 40000 ТСР сессий) на основе проверки соответствия каждого пакета контексту выбранной ТСР сессии.

• Трансляция сетевых адресов (режим NAT) в режиме «стелс» для сокрытия структуры внутренней сети с выделением «демилитаризованной зоны».

• Блокировка компьютерных flood-атак на основе фильтрации аномальной активности сетевых потоков данных.

• Регистрация системных событий и полных заголовков обработанных пакетов на всех уровнях межсетевого взаимодействия.

• Ведение журналов регистрации пакетов и их выгрузка по запросам администратора сети с использованием протоколов FTP и SYSlog.

• Защита каналов управления с использованием алгоритмов шифрования, реализованных в OpenSSL.

• Аутентификация и авторизация администратора с помощью протокола RADIUS.

• Контроль доступа к интерфейсу управления на основе списка доверенных сетевых адресов.

• Синхронизация системного времени по протоколу NTP.

Область применения: ИСПДн К1.

Сертификат:

ФСБ России №СФ/525-1093 на соответствие требованиям современных стандартов безопасности для устройств 3-го класса защиты.

ФСТЭК России №1687 от 23 сентября 2008 г. на соответствие требованиям руководящих документов "Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации".

• НСД - 3 класс

• НДВ - 3 класс

Цена: 125 400.00 руб.

3.4.2 Система защиты каналов передачи данных

Необходимость объединения рабочих мест в распределенные сети для доступа к различным ресурсам и обмена информацией является объективной потребностью любой организации.

В большинстве случаев оптимальным, а часто и единственным доступным решением является использование сети Интернет для связи с удаленными филиалами, мобильными пользователями и другими сетями. Данное решение имеет ряд преимуществ - таких как уменьшение стоимости связи, гибкость структуры корпоративной сети организации.

Одной из существующих в настоящее время технологий, позволяющих обеспечить заданный уровень защищенности распределенной корпоративной сети, является использование виртуальных частных сетей (VPN).В качестве сети передачи данных используются сети общего пользования(например, Интернет), а безопасность информации достигается криптографическими средствами. Виртуальная частная сеть реализует функции шифрования передаваемых данных и создания электронной цифровой подписи (ЭЦП), а также централизованного управления.

При создании защищённого канала передачи данных зашифрованная информация передаётся между устройствами частной сети, находящимися в точках подключения локальных сетей центрального офиса и филиалов к сетям общего пользования (Интернет). При создании защищённого туннеля между территориально распределёнными сетями создаётся прозрачный для пользователя канал передачи данных, осуществляющий защиту всей передаваемой информации. Кроме того, возможно подключение к локальной сети по защищённому каналу через сеть Интернет мобильных пользователей, на рабочих станциях которых установлено клиентское программное обеспечение виртуальной частной сети.

При внедрении решений по защищенной передачи данных используются продукты компаний «Инфотекс», КриптоПРО и другие сертифицированные средства построения виртуальных частных сетей.

3.4.2.1 АПК «VipNet»

ViPNet CUSTOM – это название комплекса программного и программно-аппаратного обеспечения, разрабатываемого и поставляемого компанией Инфотекс для рынка средств защиты конфиденциальной информации.

В настоящее время в состав комплекса ViPNet CUSTOM входит более 10 различных компонент и модулей, позволяющих реализовать множество сценариев защиты информации в современных мультисервисных сетях связи (рисунок 22).

Базовыми компонентами ViPNet CUSTOM является ПО ViPNet Administrator, ViPNet Coordinator и ViPNet Client. Эти компоненты являются основой для развертывания виртуальной частной сети и инфраструктуры открытых ключей. С целью расширения возможностей базовых компонент могут использоваться дополнительные компоненты: ViPNet Registration Point, ViPNetPublicationService и ViPNetCryptoService.

Рисунок 21. Компоненты комплекса ViPNet CUSTOM.

Рассмотрим продукты, необходимые для построения системы защиты:

ViPNetRegistrationPoint (Пункт Регистрации) – программное обеспечение, выполняющее функции пункта регистрации пользователей защищенной сети. ViPNetRegistrationPoint состоит из Центра Регистрации, дополненного ПО ViPNetClient . В защищенной сети ViPNet данное программное обеспечение выполняет роль удаленного филиала ViPNetAdministrator , что позволяет децентрализовать систему управления защищенной сетью, когда исходная сеть заказчика представляет из себя большую географически распределенную корпоративную сеть.

Центр регистрации будет установлен в каждом учреждении и головном центре, для упрощения конфигурации сети.

Пункт Регистрации реализует следующий функционал:

• Регистрация пользователей защищенной сети и внешних пользователей (держателей ЭЦП);

• Формирование секретного ключа подписи пользователя и его запись на аппаратный носитель ключевой информации;

• Формирование и отправку в УЦ запроса на сертификацию подписи от своего имени (Уполномоченного лица Центра Регистрации), прием и ввод в действие;

• Ведение справочника запросов и изданных сертификатов;

• Формирование запросов на отзыв, приостановление и возобновление сертификатов зарегистрированных пользователей;

• Ведение журналов работы и хранение списков изданных сертификатов;

• Ведение журнала событий и действий Уполномоченного лица ЦР;

• Импорт учетных записей пользователей из каталога ActiveDirectory.

ViPNetCoordinator (Координатор) – это общее название линейки программного обеспечения, выполняющего функции универсального сервера защищенной сети ViPNet . В зависимости от настроек ViPNetCoordinator может выполнять следующие функции:

• Сервера IP-адресов — обеспечивает регистрацию и доступ в реальном времени к информации о состоянии объектов защищенной сети и текущем значении их сетевых настроек (IP- адресов и т.п.);

• Прокси-сервера защищенных соединений — обеспечивает подключение локальной ViPNet сети к другим аналогичным сетям через публичные сети (Интернет);

• Туннельного сервера (криптошлюза) — обеспечивает туннелирование (шифрование) трафика от незащищенных компьютеров и серверов локальной сети для его передачи к другим объектам защищенной сети (в том числе мобильным и удаленным) в зашифрованном виде по открытым каналам публичных сетей. Для мобильных и удаленных объектов защищенной сети туннельный сервер выступает в роли сервера доступа к ресурсам локальной сети;

• Межсетевого экрана — обеспечивает в соответствии с заданной политикой безопасности фильтрацию трафика по множеству параметров (порты, протоколы, диапазоны адресов и др.) между сегментами защищенной и открытой сетей.

• Сервера защищенной почты — обеспечивает маршрутизацию почтовых сообщений для сервиса ViPNetBusinessMail и служебных рассылок в рамках защищенной сети.

Координатор будет установлен на каждую локально вычислительную систему (ЛВС) и нести роль шлюза и впн туннелирования трафика организации. ЛВС единственная в сети будет иметь прямой доступ к сети InterNet, поэтому будет подвергаться прямым атакам злоумышленников.

Одной из мер снижения атак в учреждения является использование внутренних ИП адресов провайдеров InterNet, что снизит стоимость InternNet подключение и повысит безопасность ЛВС.

ViPNetClient (Клиент) – это программное обеспечение для ОС Windows 2000/ XP /2003 Server/Vista, реализующее на рабочем месте пользователя или сервере с прикладным ПО функции VPN -клиента, персонального экрана и клиента защищенной почтовой системы. ViPNetClient состоит из набора программных модулей:

1) ViPNetMonitor (Монитор) – отвечает за реализацию функций:

Персонального сетевого экрана — надежно защищает рабочую станцию/сервер от возможных сетевых атак, как из глобальной, так и из локальной сети. При этом:

• Осуществляется фильтрация защищенного и открытого трафиков по множеству параметров («белый» и «черный» списки IP-адресов, порты, протоколы, типы сервисов и приложений);

• Реализуется режим «stealth» (режим инициативных соединений), позволяющий сделать невидимым компьютер защищенной сети из открытой сети;

• Имеет встроенную систему обнаружения вторжений (IDS);

• Обеспечивает мониторинг сетевой активности приложений, позволяющий обнаружить и блокировать несанкционированную активность программ-«троянцев».

Шифратора TCP/IP трафика — обеспечивает защиту (конфиденциальность, подлинность и целостность) любого вида трафика (приложений, систем управления и служебного трафика ОС), передаваемого между любыми объектами защищенной сети, будь-то рабочие станции, информационные серверы, серверы приложений, сетевые устройства и узлы. Высокая производительность шифрующего драйвера позволяет в реальном времени защищать трафик служб голосовой и видеосвязи в сетях TCP/IP. Поддерживается прозрачная работа через устройства статической и динамической NAT/PAT маршрутизации.

• Чат-клиента – позволяет пользоваться услугами сервиса обмена защищенными сообщениями и организации чат-конференций между объектами защищенной сети ViPNet , на которых установлены ViPNetClient или ViPNetCoordinator (Windows ).

• Клиента службы обмена файлами – позволяет обмениваться между объектами защищенной сети ViPNet любыми файлами без установки дополнительного ПО (например, FTP -сервера/клиента) или использования функций ОС по общему доступу к файлам через сеть. Обмен файлами производится через защищенную транспортную сеть ViPNet с гарантированной доставкой и «докачкой» файлов при обрыве связи.

2) ViPNetApplicationControl (Контроль приложений) – программный модуль – позволяет контролировать сетевую активность приложений и компонент операционной системы. При этом можно формировать «черный» и «белый» списки приложений, которым запрещено или разрешено работать в сети, а также задавать реакцию на сетевую активность неизвестных приложений. В большинстве случаев это позволяет предотвратить несанкционированную сетевую активность вредоносного ПО, например, программ-«троянцев».

Область применения: ИСПДн К1.

Компанией Инфотекс на программные компоненты ViPNet CUSTOM разных версий получены следующие сертификаты:

• Сертификат соответствия ФСБ России №СФ/114-1150 от 31 марта 2008 года на средство криптографической защиты информации (СКЗИ) "Домен-КМ" на соответствие требованиям ГОСТ 28147-89, ГОСТ Р 34.10-94, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001 и требованиям ФСБ России к СКЗИ класса КС3 для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну.

• Сертификат ФСБ России № СФ/114-1048 от 1 августа 2007 г. на СКЗИ «Домен-КС2» на соответствие ГОСТ 28147-89, ГОСТ Р34.10-94, ГОСТ Р34.11-94, ГОСТ Р34.10-2001 и требованиям ФСБ к СКЗИ класса КС1 и КС2 (в разных комплектациях) для обработки информации, не содержащей сведений, составляющих государственную тайну.

• Сертификат ФСБ России № СФ/124-0984 от 1 марта 2007 г. на аппаратно-программное средство защиты информации ViPNet Клиент (версия 3.0) на соответствие требованиям ФСБ России к СКЗИ класса КС2 и требованиям к межсетевым экранам по 4 классу для защиты информации, не содержащей сведений, составляющих государственную тайну.

• Сертификат ФСБ России № СФ/124-0985 от 1 марта 2007 г. на аппаратно-программное средство защиты информации ViPNet Координатор (версия 3.0) на соответствие требованиям ФСБ России к СКЗИ класса КС2 и требованиям к межсетевым экранам по 4 классу для защиты информации, не содержащей сведений, составляющих государственную тайну.

• Сертификат Федеральной Службы по Техническому и Экспортному контролю России (Гостехкомиссия) №1549 от 17 января 2008 г. на программный комплекс «ViPNet CUSTOM 3.0» – на соответствие оценочному уровню доверия ОУД 4+, требованиям к межсетевым экранам по 3 классу защищенности, 3 уровню контроля НДВ и возможность использования для создания автоматизированных систем до класса 1В включительно.

• Сертификат соответствия № ГО00.RU.1313.H00014 от 20 ноября 2007 года системы добровольной сертификации ГАЗПРОМСЕРТ на средство криптографической защиты информации (СКЗИ) «Домен-КС2».

Цена: 65 500 руб. за лицензию.