8(495)909-90-01
8(964)644-46-00
pro@sio.su
Главная
Системы видеонаблюдения
Охранная сигнализация
Пожарная сигнализация
Система пожаротушения
Система контроля удаленного доступа
Оповещение и эвакуация
Контроль периметра
Система домофонии
Парковочные системы
Проектирование слаботочных сетей
Аварийный
контроль
Вы находитесь в разделе Типовых решений систем безопасности

Методологическая основа сравнительного анализа средств защиты конфиденциальной информации ,часть 2,



Требования к техническим средствам защиты, используемым в составе сети С учетом всего сказанного ранее, получим набор требований к защите конфиденциальной информации в АС, реализованной на базе ОС Windows (для других платформ данные требования, не теряя своей общности, должны быть модифицированы с учетом архитектурных особенностей ОС, например, в ОС Unix настроечные файлы ОС находятся не в реестре ОС, в файлах, устройства монтируются к файловой системе и т.д.).

Требования получим на основе требований к АС класса защищенности 1Г (защита конфиденциальной информации). Требования к АС первой группы (включающие требования к техническим средствам защиты информации) представлены в Табл.1.

Обозначения, использованные в Табл.1.
- - нет требований к данному классу; + - есть требования к данному классу.

Таблица 1 Формализованные требования к АС первой группы
Подсистемы и требования
Классы
Подсистема управления доступом
1. Идентификация, проверка подлинности и контроль доступа субъектов:
- в систему
+
+
+
+
+
- к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ
-
+
+
+
+
- к программам
-
+
+
+
+
- к томам, каталогам, файлам, записям, полям записей
-
+
+
+
+
1. Управление потоками информации
-
-
+
+
+
Подсистема регистрации и учета
2. Регистрация и учет:
- входа (выхода) субъектов доступа в (из) систему (узел сети)
+
+
+
+
+
- выдачи печатных (графических) выходных документов
-
+
+
+
+
- запуска (завершения) программ и процессов (заданий, задач)
-
+
+
+
+
- доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи
-
+
+
+
+
- доступа программ субъектов доступа к терминалам, ЭВМ , узлам сети ЭВМ, программам, томам, каталогам, файлам, записям, полям записей
-
+
+
+
+
- изменения полномочий субъектов доступа
-
-
+
+
+
- создаваемых защищаемых объектов доступа
-
-
+
+
+
2. Учет носителей информации
+
+
+
+
+
2. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей
-
+
+
+
+
2. Сигнализация попыток нарушения защиты
-
-
+
+
+
Криптографическая подсистема
3. Шифрование конфиденциальной информации
-
-
-
+
+
3. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах
-
-
-
+
+
3. Использование аттестованных (сертифицированных) криптографических средств
-
-
-
+
+
Подсистема обеспечения целостности
4. Обеспечение целостности программных средств и обрабатываемой информации
+
+
+
+
+
4. Физическая охрана средств вычислительной техники и носителей информации
+
+
+
+
+
4. Наличие администратора (службы) защиты информации в АС
-
-
+
+
+
4. Периодическое тестирование СЗИ НСД
+
+
+
+
+
4. Наличие средств восстановления СЗИ НСД
+
+
+
+
+
4. Использование сертифицированных средств защиты
-
-
+
+
+
Перечень подсистем защиты конфиденциальной информации и требований к ним, включая введенные нами уточняющие требования, представлены в Табл.2. Замечание. Здесь сведены только интересующие нас требования к техническим средствам защиты (не представлены требования к организационным мерам).

Таблица 2 Подсистемы и требования к защите информации в автоматизированной системе
Подсистемы и требования Класс 1Г
Контроль доступа
Подсистема контроля доступа в систему:
- Загрузка в штатном режиме
+
- Загрузка в безопасном режиме (размешена только администратору)
+
- Доступ при выходе из хранителя экрана
+
- Доступ при смене пользователя
+
Подсистемы контроля доступа субъектов к объектам
Примечания:
Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа.
Должна быть реализована разрешительная политика доступа к ресурсам: "Все что не разрешено - явно не указано, то запрещено".
2. Подсистема контроля доступа к объектам файловой системы (дискам, папкам, файлам) на жестком диске и на любом внешнем носителе:
- К локальным объектам
+
- К разделенным в сети объектам:
+
- К удаленному объекту
+
- От удаленного пользователя
+
2. Подсистема контроля доступа к системным объектам (в частности, запрет модификации системного диска)
- Для прикладных пользователей
+
- Для системных пользователей
+
2. Подсистема контроля идентификации объекта файловой системы
- По длинному имени
+
- По короткому имени
+
- По ID
+
2. Подсистема контроля идентификации субъекта доступа - контроль заимствования прав пользователями (контроль сервиса олицетворения)
+
2. Подсистема обеспечения замкнутости программной среды (контроль доступа к исполнению файлов)
- Списком разрешенных к запуску процессов
+
- Списком папок, из которых разрешен запуск процессов
+
2. Подсистема контроля доступа к объектам реестра ОС (ветви, ключи реестра ОС)
- Для прикладных пользователей
+
- Для системных пользователей
+
2. Подсистема контроля доступа к устройствам (к любой сущности, принимающей запрос на обслуживание: порты, внешние накопители, принтеры, контроллеры и т.д.):
- К локальным устройствам
+
- К разделенным в сети устройствам
+
2. Подсистема контроля доступа к виртуальным каналам связи сети (к объектам, имеющим свой адрес в сети):
- К удаленным объектам
+
- От удаленных объектов
+
2. Подсистема контроля доступа к настройкам механизмов защиты (доступ разрешен только администратору, сущность "Владелец" информации должна быть исключена из схемы администрирования как таковая)
+
Регистрация и учет

Примечание. Регистрация и учет должны осуществляться подсистемами контроля доступа:
Подсистемой контроля доступа в систему (
+
В параметрах регистрации указываются:
- дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;
- результат попытки входа: успешная или неуспешная;
- идентификатор субъекта, предъявленный при попытке доступа;
- пароль, предъявленный субъектом при неуспешной попытке.
 
Подсистемами контроля доступа субъектов к объектам (2.1 - 2.
+
В параметрах регистрации указываются:
- дата и время зарегистрированного события - доступ субъекта к объекту;
- имя (идентификатор) пользователя, инициировавшего доступ к объекту (имя и эффективное имя пользователя);
- имя (идентификатор) программы (процесса), инициировавшего доступ к объекту;
- тип и идентификатор объекта, к которому инициирован доступ субъектом;
- тип запрошенного субъектом доступа к объекту (чтение, запись, исполнение и т.д.);
- результат доступа (успешный, неуспешный - несанкционированный).
 
Обеспечение целостности
Подсистема обеспечения целостности СЗИ НСД при загрузке системы
+
Подсистема периодического контроля целостности программных и информационных компонент СЗИ НСД
+
3. Подсистема периодического контроля работоспособности и восстановления СЗИ НСД
+
Итак, в Табл.2 представлен набор требований, включающих, как требования к корректности реализации механизмов защиты, так и требования к их достаточности (полноте), применительно к условиям использования в составе сети (в частности, в ЛВС). Данный набор требований может позиционироваться как МЕТОДОЛОГИЧЕСКАЯ ОСНОВА СРАВНИТЕЛЬНОГО АНАЛИЗА СРЕДСТВ ЗАЩИТЫ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ.

Отметим, что в Табл.2 не включено ни одного требования, являющегося дополнительным к формализованным требованиям, изложенным в соответствующих нормативных документах, либо противоречащего им – внесены лишь уточняющие требования, с учетом рассматриваемой области приложений средства защиты (сетевая АС, реализованная на платформе ОС Windows), которые напрямую следуют из требований соответствующих нормативных документов. Замечание. Используя требования, представленные в Табл.1 (расставив знаки «+», либо «-» в каждой строке таблице), уже можно провести корректное сравнение представленных на рынке альтернативных вариантов СЗИ НСД для защиты конфиденциальной информации, оценить достаточность их применения в АС, в части выполнения формализованных требований к защите конфиденциальной информации. Корректное, а не полное потому, что в Табл.2 сведены лишь формализованные требования (с их уточнениями), в то время, как СЗИ НСД могут обладать и принципиально иными возможностями (расширенными свойствами защиты).Так, например, КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 (разработчик ЗАО «НПП «Информационные технологии в бизнесе») не только реализует все требования, сведенные в Табл.2 (в каждой строке Табл.2 можем поставить знак «+»), но и характеризуется рядом ключевых дополнительных возможностей.Подсистемы и требования к защите информации в АС, реализуемые КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 приведены в Табл.3.Обозначения, использованные в Табл.3.
- черный цвет – формализованные требования к АС;
- красный цвет – дополнительные возможности КСЗИ.

Таблица 3 Подсистемы и требования к защите информации в АС, реализуемые КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003
Подсистемы и реализуемые требования "Панцирь-К" для ОС Windows 2000/XP/2003
Контроль доступа
Подсистема контроля доступа в систему:
- Загрузка в штатном режиме
+
- Загрузка в безопасном режиме (размешена только администратору)
+
- Доступ при выходе из хранителя экрана
+
- Доступ при смене пользователя
+
Примечание. Реализовано подключение аппаратных средств хранения и ввода пароля: файловых устройств (Flash-устройство, дискета, CD-ROM диск), электронного ключа eToken.
- Запрет повторного доступа в систему (сведение задачи к однопользовательской, многозадачной). В общем виде решается задача изоляции программных модулей - в системе всегда может быть зарегистрирован только один пользователь.

+
Подсистемы контроля доступа субъектов к объектам
Примечания:
Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа.
Должна быть реализована разрешительная политика доступа к ресурсам: "Все что не разрешено - явно не указано, то запрещено".
Права доступа задаются не для объектов, а назначаются субъектам - ключевое решение в части реализации индуктивной модели безопасности и упрощения администрирования
2. Подсистема контроля доступа к объектам файловой системы (дискам, папкам, файлам) на жестком диске и на любом внешнем носителе:
- К локальным объектам
+
- К разделенным в сети объектам:
+
- К удаленному объекту
+
- От удаленного пользователя
+
2. Подсистема контроля доступа к системным объектам (в частности, запрет модификации системного диска)
- Для прикладных пользователей
+
- Для системных пользователей
+
2. Подсистема контроля идентификации объекта файловой системы
- По длинному имени
+
- По короткому имени
+
- По ID
+
2. Подсистема контроля идентификации субъекта доступа - контроль заимствования прав пользователями (контроль сервиса олицетворения)
+
2. Подсистема обеспечения замкнутости программной среды (контроль доступа к исполнению файлов)
- Списком разрешенных к запуску процессов
+
- Списком папок, из которых разрешен запуск процессов
+
2. Подсистема контроля доступа к объектам реестра ОС (ветви, ключи реестра ОС)
- Для прикладных пользователей
+
- Для системных пользователей
+
2. Подсистема контроля доступа к устройствам (к любой сущности, принимающей запрос на обслуживание: порты, внешние накопители, принтеры, контроллеры и т.д.):
- К локальным устройствам
+
- К разделенным в сети устройствам
+
2. Подсистема контроля доступа к виртуальным каналам связи сети (к объектам, имеющим свой адрес в сети):
- К удаленным объектам
+
- От удаленных объектов
+
2. Подсистема контроля доступа к настройкам механизмов защиты (доступ разрешен только администратору, сущность "Владелец" информации должна быть исключена из схемы администрирования как таковая)
+
2.1 Подсистема доверительного контроля доступа к ресурсам. Для подсистем 2.1 - 2.9 права доступа могут назначаться и разграничиваться отдельно для субъекта "пользователь", отдельно для субъекта "процесс", комбинированно - "для пользователя, осуществляющего доступ процессом"
+
Регистрация и учет Примечание. Регистрация и учет должны осуществляться подсистемами контроля доступа:
Подсистемой контроля доступа в систему (
+
В параметрах регистрации указываются:
- дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы;
- результат попытки входа: успешная или неуспешная;
- идентификатор субъекта, предъявленный при попытке доступа;
- пароль, предъявленный субъектом при неуспешной попытке.
 
Подсистемами контроля доступа субъектов к объектам (2.1 - 2.
+
В параметрах регистрации указываются:
- дата и время зарегистрированного события - доступ субъекта к объекту;
- имя (идентификатор) пользователя, инициировавшего доступ к объекту (имя и эффективное имя пользователя);
- имя (идентификатор) программы (процесса), инициировавшего доступ к объекту;
- тип и идентификатор объекта, к которому инициирован доступ субъектом;
- тип запрошенного субъектом доступа к объекту (чтение, запись, исполнение и т.д.);
- результат доступа (успешный, неуспешный - несанкционированный).
 
Подсистемой контроля доступа к настройкам механизмов защиты (2. , в части:
- изменения полномочий субъектов доступа
+
- создания защищаемых объектов доступа
В параметрах регистрации указывается все по п.п.2
+
Сигнализация попыток нарушения защиты
- Локально
+
- Удаленно (на сервер безопасности)
+
Криптографическая защита
Подсистема шифрования конфиденциальных данных "на лету"
- Шифрование конфиденциальной информации (объектами могут служить логические диски, папки, файлы) на жестком диске и внешних носителях:
* Локальные объекты
+
* Разделенные в сети (удаленные) объекты (данные по каналу передаются в зашифрованном виде)
+
- Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах (ключевая информация присваивается объекту)
+
- Использование аттестованных (сертифицированных) криптографических средств (подключен криптопровайдер "Signal-COM CSP"
+
Примечание. Реализовано подключение аппаратных средств хранения и ввода ключей шифровани: файловых устройств (Flash-устройство, дискета, CD-ROM диск), электронного ключа eToken.
Обеспечение целостности
Подсистема обеспечения целостности СЗИ НСД при загрузке системы
+
Подсистема периодического контроля целостности программных и информационных компонент СЗИ НСД
+
Подсистема контроля целостности файловых объектов:
- Периодический контроль
+
- Асинхронный контроль (по факту выявления несанкционированного события)
+
Подсистема периодического контроля целостности объектов реестра ОС
+
Подсистема контроля целостности программ (исполняемых файлов) перед запуском
+
Подсистема контроля санкционированности событий (противодействие ошибкам и закладкам в системном и прикладном ПО)
+
Подсистема периодического контроля работоспособности и восстановления СЗИ НСД
+
Подсистема контроля активности СЗИ НСД:
- Аппаратно (с использованием платы - опционально)
+
- Программно - удаленно с сервера безопасности
+
Подсистема доверенной загрузки ОС и СЗИ НСД (опционально с использованием платы)
+
Реализация данных дополнительных возможностей позволяет говорить о реализации комплексной системы защиты информации (КСЗИ):
  • Эффективная защита информации от несанкционированного доступа (эффективная, т.к. возможности СЗИ НСД принципиально расширены);
  • Криптографическая защита информации - шифрование локальных и разделенных в сети файловых объектов (логических дисков, каталогов, файлов) на жестком диске и внешних носителях, с реализацией ключевой политики (в том числе и сетевой), не позволяющей несанкционированно раскрыть данные даже санкционированному пользователю, при наличии у него ключа шифрования, зашифрованных данных, и средства шифрования;
  • Противодействие ошибкам и закладкам в системном и прикладном ПО (механизм контроля санкционированных событий);
  • Антивирусное противодействие и противодействие шпионским программам, основанные на использовании механизмов контроля доступа к ресурсам (механизма обеспечение замкнутости программной среды и доверительного контроля доступа к ресурсам – контроля доступа процессов к ресурсам).





Читайте далее:
Дурная наследственность-ii
Основы работы с videocad часть 3
Автоматизация и безопасность объектов оао ржд
Дурная наследственность-iii
Ip–революция
Ip–революция iii
Профессиональные системы cvs с внешними матричными коммутаторами